检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
如表 KMS系统策略、表 KPS系统策略、表 CSMS系统策略所示，包括了DEW的所有系统权限。 表1 KMS系统策略 系统角色/策略名称 描述 类别 依赖关系 KMS Administrator 密钥管理服务(KMS)管理员，拥有该服务下的所有权限。 系统角色 无 KMS CMKFullAccess
加密方式说明 计算 弹性云服务器ECS 弹性云服务器资源加密包括镜像加密和云硬盘加密。 在创建弹性云服务器时，您如果选择加密镜像，弹性云服务器的系统盘会自动开启加密功能，加密方式与镜像保持一致。 在创建弹性云服务器时，您也可以对添加的数据盘进行加密。 镜像服务IMS IMS服务端加密 存储
当您有大量数据（例如：照片、视频或者数据库文件等）需要加解密时，用户可采用信封加密方式加解密数据，无需通过网络传输大量数据即可完成数据加解密。 加密本地文件流程，如图2所示。 图2 加密本地文件 流程说明如下： 用户需要在KMS中创建一个用户主密钥。 用户调用KMS的“create-datakey”接口创建数据加密密
建的密钥对，可将创建的密钥对升级为账号密钥对。 前提条件 已创建密钥对或者已导入密钥对。 需要具有Tenant Administrator系统角色的用户至少执行一次升级，升级密钥对个数不限。 已成功申请升级密钥对。 约束条件 如果密钥对名称与其他子用户的私有密钥对重名，将无法升级。
DEW自定义策略 如果系统预置的DEW权限，不满足您的授权要求，可以创建自定义策略。自定义策略中可以添加的授权项（Action）请参见权限及授权项说明。 目前华为云支持以下两种方式创建自定义策略： 可视化视图创建自定义策略：无需了解策略语法，按可视化视图导航栏选择策略内容，可自动生成策略。
自定义密钥包含密钥元数据（密钥ID、密钥别名、描述、密钥状态与创建日期）和用于加解密数据的密钥材料。 当用户使用KMS管理控制台创建自定义密钥时，KMS系统会自动为该自定义密钥生成密钥材料。 当用户希望使用自己的密钥材料时，可通过KMS管理控制台的“导入密钥”功能创建密钥材料为空的自定义密钥，并将自己的密钥材料导入该自定义密钥中。
encrypt-data接口返回的密文数据基础长度为124字节。密文数据由“密钥ID”、“加密算法”、“密钥版本”、“密文摘要”等字段拼接组成。 明文按照每个分组16个字节进行处理，不足16字节的，补码至16字节。所以密文长度为124+Ceil(明文长度/16)*16，并将结果进行Base64编码。 以4字节明文输入
存储。签名流程如图 签名流程所示。 图1 签名流程 用户需要使用文件时，先进行完整性校验，确保文件未被篡改。 用户重新计算文件的摘要，连同签名值调用KMS的“verify”接口对摘要进行验签。用户得到验签结果。如果能正常验签，则表明文件未被篡改。验签流程如图 验签流程所示。 图2
和保留期时长。 避免和处理欠费 欠费后需要及时充值，详细操作请参见账户充值。 如果不再使用数据加密服务，您可以将他们退订，以免继续扣费。 您可以在“费用中心 > 总览”页面设置“可用额度预警”功能，当可用额度、通用代金券和现金券的总额度低于预警阈值时，系统自动发送短信和邮件提醒。
成功付款后，在专属加密实例列表界面，可以查看激活的专属加密实例信息。 当专属加密实例的“状态”为“创建中”时，表示专属加密实例已完成激活，系统正在分配专属加密实例给用户，等待5-10分钟，可分配完成。 创建中：系统正在分配专属加密实例给用户，等待5-10分钟，可分配完成。 分配后，分配状态有以下两种情况： 创建失败
在管理控制台上，不支持对Windows操作系统的弹性云服务器进行密钥对的绑定操作。 公共镜像上，不支持CoreOS、OpenEuler、FreeBSD（Other）、Kylin V10 64bit和UnionTech OS Server 20 Euler 64bit系统进行密钥对的绑定操作。 绑定密钥对
云服务加密 对象存储服务OBS加密 云硬盘服务EVS加密 镜像服务IMS加密 弹性文件服务SFS加密（SFS文件系统加密） 弹性文件服务SFS加密（SFS Turbo文件系统加密） 云数据库RDS（MySQL、PostgreSQL、SQL Server引擎）加密 文档数据库服务DDS加密
当用户由于业务需求需要对存储在文件系统的数据进行加密时，弹性文件服务为用户提供加密功能，可以使用KMS提供的密钥对新创建的文件系统进行加密。 DWS数据库加密 在DWS服务中，用户可以为集群启用数据库加密，以保护静态数据。当用户为集群启用加密时，该集群及其快照的数据都会得到加密处理。用户可以在创建集群时启用加密。
凭据的SYSPENDING状态会改为SYSCURRENT，之前SYSCURRENT状态的凭据变为SYSPREVIOUS，即视为完成整个轮转流程。 在创建时选择或者新建两个数据库账户作为凭据值储存 两个凭据值交替轮转，用户每次都是去获取的SYSCURRENT的凭据值 父主题： 凭据管理
如何使用在线工具加解密数据？ 是否可以更新KMS管理的密钥？ 在什么场景下推荐使用导入的密钥？ 密钥材料被意外删除时如何处理？ 默认密钥如何生成？ 没有权限操作KMS，该如何处理？ 如何修补OpenSSL以使用-id-aes256-wrap-pad包装非对称密钥？ 如何修补GmSSL以使用
弹性云服务器的私钥文件必须满足以下格式要求： 表1 选择私钥文件格式 本地使用的操作系统 登录Linux弹性云服务器使用的工具 私钥文件格式 Windows操作系统 Xshell “.pem” PuTTY “.ppk” Linux操作系统 - “.pem”或“.ppk” 如果私钥文件格式不满足要求，请参考如何转换私钥文件格式？进行转换。
/etc/ssh/sshd_config 按“i”进入编辑模式，开启密码方式登录。 非SUSE操作系统，将“PasswordAuthentication”字段值修改为“yes”。 PasswordAuthentication yes SUSE操作系统，将“PasswordAuthentication”和“UsePAM”字段值修改为“yes”。
《镜像服务用户指南》 。 弹性文件服务 用户通过弹性文件服务创建文件系统时，选择KMS提供的用户主密钥对文件系统进行加密，当使用该文件系统时，存储到文件系统的文件将会自动加密。 用户如何使用弹性文件服务的文件系统加密功能，具体操作请参见《弹性文件服务用户指南》。 云数据库RDS
性云服务器之间网络连通。 弹性云服务器已经绑定弹性IP地址。 已获取该弹性云服务器的私钥文件。 本地使用Windows系统 如果您本地使用Windows操作系统登录Linux弹性云服务器，可以按照以下方式登录弹性云服务器。 方式一：使用PuTTY登录 以PuTTY为例介绍如何登录
参数说明 名称/ID 专属加密实例的名称和ID。 状态 专属加密实例的状态： 安装中 您支付了初装费用后，系统会对您购买的实例进行安装，专属加密实例处于“安装中”状态。 待激活 系统已安装专属加密实例，您尚未对专属加密实例进行激活，专属加密实例处于“待激活”状态。 待实例化 用户购买
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
