检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
当您使用应用程序访问数据库时，凭据管理服务会去查询步骤1所创建的凭据存储的内容。 凭据管理服务检索并解密凭据密文，将凭据中保存的信息通过凭据管理API安全地返回到应用程序中。 应用程序获取到解密后的凭据明文信息，使用这些安全的信息访问数据库。 创建凭据和查询凭据API 您可以调用以下API，通过API创建凭据保存相关内容并且查询相关凭据信息。
存造成权限不生效。建议重新登录控制台。 客户使用对象存储服务OBS等具有权限缓存的服务。权限具体生效时间取决于对应服务权限缓存时长。 客户编程调用APIG网关，权限生效时间取决于统一身份认证服务IAM广播权限变化到网关的时间。 父主题： 通用类
用户在业务系统中使用KMS密钥管理时，可灵活调用API实现更多功能，例如签名数据、验证签名等。 云服务集成KMS加解密 图2 云服务集成KMS原理 用户在使用KMS加解密功能时，无需额外开发，具体操作可参见使用KMS加密的云服务。 针对大量数据的加解密场景，操作可参见加解密大量数据。
以分发给需要使用的业务主体，业务主体对关键数据进行验签。密钥管理服务提供获取公钥的接口get-publickey。 本示例使用RSA_3072主密钥，密钥用途为SIGN_VERIFY。通过调用密钥管理服务sign接口。请求体如下： { "key_id": "key_id_value"
功能名称 功能描述 阶段 相关文档 1 新增最佳实践 云服务与KMS集成后，您只需在决定加密云服务数据时，选择一个KMS管理的用户主密钥，就可以轻松使用您选择的用户主密钥加解密您存储在这些云服务内的数据。 -- 加解密小数据 云服务使用KMS加解密数据 2018年9月 序号 功能名称
S界面使用在线工具加解密数据，或者调用KMS的API接口使用指定的用户主密钥直接加密、解密数据。当前支持不大于4KB的小数据加解密。 以保护服务器HTTPS证书为例，采用调用KMS的API接口方式进行说明，如图1所示。 图1 保护服务器HTTPS证书 流程说明如下： 用户需要在KMS中创建一个用户主密钥。
对象存储服务支持普通方式和服务端加密方式上传和下载对象。当用户使用服务端加密方式上传对象时，数据会在服务端加密成密文后安全地存储在对象存储服务中；用户下载加密对象时，存储的密文会先在服务端解密为明文，再提供给用户。对象存储服务支持KMS托管密钥的服务端加密方式（即SSE-KMS加密方式）
行验证。具体API的使用可参见《密钥管理服务API参考》 例如授权目标用户使用创建数据密钥功能，撤销授权成功后，该用户调用API进行创建数据密钥时会产生报错。 父主题： 管理授权
密钥别名 别名是为用户为密钥设置的简称，是密钥的一种标识。您可以在API接口的调用中使用别名代替密钥ID。原有密钥别名修改为密钥名称。 该任务指导用户为密钥添加、删除别名。 约束条件 一个别名仅支持关联一个密钥，但一个密钥可以关联多个别名。 别名在区域中拥有唯一性，不同区域下的别名可以相同。
见《弹性云服务器用户指南》。 用户也可以通过调用API接口的方式获取Windows弹性云服务器的初始密码，请参考《弹性云服务器API参考》。 前提条件 已获取登录弹性云服务器的私钥文件（“.pem”格式）。 获取密码 登录管理控制台。 单击管理控制台左上角的，选择区域或项目。 单击，选择“计算
默认密钥，是对象存储服务（Object Storage Service，OBS）等其他云服务自动通过密钥管理为用户创建的密钥，其别名后缀为“/default”。 默认密钥可通过密钥管理界面进行查询，不支持禁用、计划删除操作。 默认密钥托管不计费，仅收取API请求次数费用，超出免费请求次数后，超出部分会进行计费。
默认密钥是自动生成的。 在用户第一次通过对应云服务使用KMS加密时，云服务自动通过密钥管理为用户创建的密钥，其别名后缀为“/default”。 默认密钥可通过密钥管理界面进行查询，不支持禁用、计划删除操作。 默认密钥托管不计费，仅收取API请求次数费用，超出免费请求次数后，超出部分会进行计费。
没有被篡改。 云服务使用KMS加密 ECS服务端加密 KMS支持对ECS服务进行一键加密，弹性云服务器资源加密包括镜像加密和数据盘加密。 在创建弹性云服务器时，用户如果选择加密镜像，弹性云服务器的系统盘会自动开启加密功能，加密方式与镜像保持一致。 在创建弹性云服务器时，用户也可以对添加的数据盘进行加密。
输入策略名称。 策略配置方式 选择“可视化视图”。 策略内容 允许：选择“允许”。 云服务：选择“凭据管理服务CSMS”以及“数据加密服务KMS”。 说明： 仅添加CSMS服务权限时，可能会导致接口调用KMS失败。 操作：选择您的读写权限。 选择资源（可选）：选择访问的资源范围。 特定资源：访问特定的凭据。
xx refused。 可能原因 用户在IAM服务中设置了访问控制。 IAM控制策略默认范围为全地址访问，如果用户设置了允许访问的IP地址或者网段，则未允许的IP地址/网段均无法访问KMS，或无法使用云服务加密特性。 解决方法 通过云服务控制台访问KMS（如OBS加密）：需要开放10
如果直接调用API接口进行解密，得到的解密结果是进行了base64编码的内容。需再进行一次base64解码才能得到与控制台输入明文一致的内容。 调用API接口加解密 以保护服务器HTTPS证书为例，采用调用KMS的API接口方式进行说明，如图3所示。 图3 保护服务器HTTPS证书
CCE服务端使用凭据管理服务 简介 CCE提供了多种类型的插件，用于管理集群的扩展功能，以支持选择性扩展满足特性需求的功能。CCE服务的dew-provider插件对接了凭据管理服务，通过该插件将凭据挂载至业务Pod内，从而将敏感信息与集群环境解耦，有效避免程序硬编码或明文配置等问题导致的敏感信息泄密。
在调用API接口时Token中的租户ID 否 是，租户ID是用户的身份标识信息 存储方式 租户ID不属于敏感数据，明文存储。 访问权限控制 用户只能查看自己业务的相关日志。 日志记录 用户个人数据的所有操作，包括修改、查询和删除等，DEW都会记录审计日志并上传至云审计服务（CTS
文保存在DWS服务中。 DEK用于加密数据库中的数据，DEK明文保存在DWS集群内存中，密文保存在DWS服务中。 密钥使用流程如下： 用户选择主密钥。 DWS随机生成CEK和DEK明文。 KMS使用用户所选的主密钥加密CEK明文并将加密后的CEK密文导入到DWS服务中。 DWS使
PREVIOUS的凭据版本，保证密码重置切换的瞬间，程序访问不被中断。在轮转时先将新版本的凭据改为SYSPENDING状态，通过调用RDS接口重置密码，重置完成后新版本凭据的SYSPENDING状态会改为SYSCURRENT，之前SYSCURRENT状态的凭据变为SYSPREVIOUS，即视为完成整个轮转流程。
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
