检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
前提条件 账号拥有KMS CMKFullAccess及以上权限。 约束条件 用户最多可创建100个自定义密钥，不包含默认密钥。创建副本密钥会占用该区域自定义密钥配额。 创建的对称密钥使用的是AES算法密钥，AES-256密钥可用于小量数据的加解密或用于加解密数据密钥，HMAC密钥用于数据完成性校验。
专属加密 密码系统服务 （Cloud Platform Cryptosystem Service，CPCS） 云平台密码系统服务是一种云上的一站式密码服务管理平台。 CPCS为您提供经国家秘密管理局检测认证的密码服务，自动部署，简易管理，实时监控，简化了密码应用改造建设流程，提
户下载加密对象时，存储的密文会先在服务端解密为明文，再提供给用户。 约束条件 当前登录用户已通过统一身份认证服务添加华为云关系型数据库所在区域的KMS Administrator权限。权限添加方法请参见《统一身份认证服务用户指南》的“如何管理用户组并授权？”章节。 如果用户需要使
单击管理控制台左上角，选择区域或项目。 单击页面左上方的，选择“安全与合规 > 数据加密服务”。 在左侧导航树中，选择“专属加密 > 实例列表”，进入“实例列表”页面。 单击页面右上方的“创建专属加密实例”。 专属加密实例仅支持“包年/包月”的“计费模式”。 图1 计费模式 选择“当前区域”、“当前项目”。
后存储。用户下载加密对象时，存储的密文会先在服务端解密为明文，再提供给用户。 约束条件 已通过统一身份认证服务添加华为云文档数据库服务所在区域的KMS Administrator权限。权限添加方法请参见《统一身份认证服务用户指南》的“如何管理用户组并授权？”章节。 如果用户需要使
认证证书 合规证书 华为云服务及平台通过了多项国内外权威机构（ISO/SOC/PCI等）的安全合规认证，用户可自行申请下载合规资质证书。 图1 合规证书下载 资源中心 华为云还提供以下资源来帮助用户满足合规性要求，具体请查看资源中心。 图2 资源中心 销售许可证&软件著作权证书
副本密钥如何收费？ 副本密钥与主密钥计费方式一致。副本密钥的账单发生在该密钥所在区域。 如果您需要查看DEW服务的费用账单，您可以前往“费用中心 > 账单管理 > 流水和明细账单 > 费用账单”查看，详情可参考费用账单。 副本密钥的计费项为：密钥实例费用 * 时长+密钥请求API次数
单击页面右上方的“创建专属加密实例”。 专属加密实例仅支持“包年/包月”的“计费模式”。 图1 计费模式 选择“当前区域”、“当前项目”。 图2 选择区域 当前区域选择确认后，当前项目选择默认。 当前项目仅支持使用默认项目，不支持自主创建。 选择专属加密实例版本，如图3所示，相关参数说明如表1所示。
操作。 约束条件 凭据类型为轮转凭据。 凭据账号必须是目标数据库里已存在的数据库账号。 首次开启轮转时，当用户确认授权后，CSMS会在当前区域当前项目下，帮助用户自动创建委托授权。因此，用户需要确认账号拥有IAM相关权限：iam:permissions:grantRoleToAg
仅支持轮转IAM子账号，不支持IAM主账号轮转。 待轮转的IAM子账号下至少需要存在一组凭证。 区域已上线凭据管理服务（CSMS）。 操作步骤 创建委托 登录管理控制台。 单击管理控制台左上角，选择区域或项目。 单击页面左上方的，选择“管理与监管 > 统一身份认证服务”，进入统一身份认证服务界面。
/ID、状态创建时间。密钥状态包括“启用”、“禁用”、“计划删除”和“等待导入”。 操作步骤 登录管理控制台。 单击管理控制台左上角，选择区域或项目。 单击页面左侧，选择“安全与合规 > 数据加密服务”，默认进入“密钥管理”界面。 在密钥列表中，查看密钥信息，密钥列表参数说明，如表1所示。
该任务指导用户通过密钥管理界面导入密钥材料。 约束条件 HMAC密钥算法不支持导入密钥材料。 副本密钥在创建时会同步主密钥的密钥材料，密钥材料过期后，需在各区域重新独立导入密钥材料。 操作流程 场景 操作步骤 已有密钥材料 创建密钥材料来源为外部的密钥：创建一个密钥材料来源为外部的空密钥。 导入密
TTPS协议。 Endpoint： 指定承载REST服务端点的服务器域名或IP，不同服务不同区域的Endpoint不同，您可以从地区和终端节点获取。 例如IAM服务在“华北-北京一”区域的Endpoint为“iam.cn-north-1.myhuaweicloud.com”。 resource-path：
专属加密实例的名称/ID、状态、服务版本、设备厂商、设备型号、IP地址和创建时间。 操作步骤 登录管理控制台。 单击管理控制台左上角，选择区域或项目。 单击页面左上方的，选择“安全与合规 > 数据加密服务”。 在左侧导航树中，选择“专属加密 > 实例列表（新版）”，进入“实例列表（新版）”页面。
进入“创建密钥”页面，填写以下参数。 密钥算法选择“AES-256”。 创建的密钥只能在当前选择的区域使用，如需在其它区域使用，请切换到对应区域进行创建或者使用区域性密钥。有关副本密钥的区域说明，请参见功能总览。 其他参数根据具体情况选择。 单击“确定”，在页面右上角弹出“创建密钥成
凭据列表”，单击界面左上角“创建凭据”。 进入“创建凭据”页面，填写以下参数。 凭据类型选择“通用凭据”。 创建的凭据只能在当前选择的区域使用，如需在其它区域使用，请切换到对应区域进行创建。有关凭据管理的区域说明，请参见功能总览。 KMS列表选择默认密钥或者已创建的密钥。 其他参数根据具体情况选择。 单击“确定
AZ构建高可用性系统的需求。 项目 区域默认对应一个项目，这个项目由系统预置，用来隔离物理区域间的资源（计算资源、存储资源和网络资源），以默认项目为单位进行授权，用户可以访问您账号中该区域的所有资源。如果您希望进行更加精细的权限控制，可以在区域默认的项目中创建子项目，并在子项目中
kms:cmk:getTags 通过控制台或API进行访问 支持共享的资源类型和区域 当前DEW服务支持共享的资源类型和区域如表 DEW服务支持共享的资源类型和区域所示。 表2 DEW服务支持共享的资源类型和区域 云服务 资源类型 支持共享的区域 KMS cmk：用户主密钥 华北-北京一 华北-北京四 华东-上海一
禁用密钥库 前提条件 已创建密钥库。 操作步骤 登录管理控制台。 单击管理控制台左上角，选择区域或项目。 单击页面左侧，选择“安全与合规 > 数据加密服务”，默认进入“密钥管理”界面。 选择“专属密钥库”页签，在需要禁用的密钥库所在行，单击“禁用”。 父主题： 管理密钥库
MS。 解决方法 检查该用户是否具有KMS系统策略，KMS Administrator和KMS CMKFullAccess权限。 查看用户所属用户组以及用户组已有的权限。具体操作请参见用户组及授权。 如无KMS系统策略，则继续执行步骤 2。 如无系统策略，则为该用户添加系统策略。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
