数据加密服务 DEW-华为云

数据加密服务 DEW-绑定密钥对:前提条件

前提条件弹性云服务器的状态处于“运行中”或者“关机”状态。弹性云服务器未绑定密钥对。待重置密钥对的弹性云服务器使用的是华为云提供的公共镜像。执行密钥对绑定操作是通过修改服务器的“/root/.ssh/authorized_keys”文件的方式来写入用户公钥。请确保重置密钥对前，该文件没有被修改过，否则，绑定密钥对会失败。弹性云服务器安全组SSH端口（默认22）需对网段100.125.0.0/16提前放通。

数据加密服务 DEW

数据加密服务 DEW-解绑密钥对:约束条件

约束条件如果用户未设置登录弹性云服务器的密码，或者忘记登录密码，可以到弹性云服务器管理控制台重置该弹性云服务器的登录密码，详细信息请参见《弹性云服务器用户指南》。当用户创建弹性云服务器使用的是“密钥对方式”登录时，用户解绑密钥对后，如果需要重新绑定密钥对，需要关机重新绑定密钥对。为了能正常登录弹性云服务器，解绑密钥对后，请在弹性云服务器界面及时重置密码，详细信息请参见《弹性云服务器用户指南》。

数据加密服务 DEW 使用密钥对

数据加密服务 DEW-共享

共享基于资源访问管理（Resource Access Manager，简称RAM）服务，资源所有者可以依据最小权限原则和不同的使用诉求，选择不同的共享权限，资源使用者只能对资源进行权限内的访问，保证共享资源在满足资源使用者业务诉求的同时，提升资源管理的安全性。关于RAM服务的更多信息请参见什么是资源访问管理。当您的账号由华为云组织管理时，您还可以利用此优势更轻松地共享资源。如果您的账号在组织中，则您可以与单个账号共享，也可以与组织或OU中的所有账号共享，而不必枚举每个账号，具体请参见启用与组织共享资源。共享VPC 更新共享退出共享

数据加密服务 DEW

数据加密服务 DEW-使用场景

使用场景以最基础的数据库用户名及密码管理为示例，为您介绍凭据管理服务基本的使用场景。使用场景：管理员角色负责存入、更新凭据值的操作，使用者通过第三方应用服务获取所需的凭据值，具体使用流程如图凭据登录流程所示。图1 凭据登录流程流程说明如下：您首先需要在凭据管理服务中使用控制台或者API创建一个凭据，用来存储数据库的相关信息（例如：数据库地址、端口、密码）。当您使用应用程序访问数据库时，凭据管理服务会去查询管理员通过步骤1所创建的凭据内存储的内容。凭据管理服务检索并解密凭据密文，将凭据中保存的信息通过凭据管理API安全地返回到应用程序中。应用程序获取到解密后的凭据明文信息，使用这些安全的信息访问数据库。父主题：凭据管理

数据加密服务 DEW 凭据管理

数据加密服务 DEW-OBS服务端加密

OBS服务端加密用户使用OBS（Object Storage Service，OBS）服务端加密方式上传时，可以选择“SEE-KMS加密”，从而使用KMS提供的密钥来加密上传的文件，如图1所示。更多信息请参见《对象存储服务控制台指南》。图1 OBS服务端加密可供选择的用户主密钥包含以下两种： KMS为使用OBS的用户创建一个默认密钥“obs/default”。用户通过KMS界面创建的自定义密钥。 SM4加密算法仅支持华北-乌兰察布一区域。用户也可以通过调用OBS API接口，选择服务端加密SSE-KMS方式（SSE-KMS方式是指OBS使用KMS提供的密钥进行服务端加密）上传文件，详情请参考《对象存储服务API参考》。父主题：使用KMS加密的云服务

数据加密服务 DEW 使用KMS加密的云服务

数据加密服务 DEW-如何使用:与华为云服务配合使用

与华为云服务配合使用华为云服务基于信封加密技术，通过调用KMS的接口来加密云服务资源。由用户管理自己的自定义密钥，华为云服务在拥有用户授权的情况下，使用用户指定的自定义密钥对数据进行加密。图1 华为云服务使用KMS加密原理加密流程说明如下：用户需要在KMS中创建一个自定义密钥。华为云服务调用KMS的“create-datakey”接口创建数据加密密钥。得到一个明文的数据加密密钥和一个密文的数据加密密钥。密文的数据加密密钥是由指定的用户主密钥加密明文的数据加密密钥生成的。华为云服务使用明文的数据加密密钥来加密明文文件，得到密文文件。华为云服务将密文的数据加密密钥和密文文件一同存储到持久化存储设备或服务中。用户通过华为云服务下载数据时，华为云服务通过KMS指定的自定义密钥对密文的数据加密密钥进行解密，并使用解密得到的明文的数据加密密钥来解密密文数据，然后将解密后的明文数据提供给用户下载。表1 使用KMS加密的云服务列表服务名称如何使用对象存储服务对象存储服务支持普通方式和服务端加密方式上传和下载对象。当用户使用服务端加密方式上传对象时，数据会在服务端加密成密文后安全地存储在对象存储服务中；用户下载加密对象时，存储的密文会先在服务端解密为明文，再提供给用户。对象存储服务支持KMS托管密钥的服务端加密方式（即SSE-KMS加密方式），该加密方式是通过KMS提供密钥的方式进行服务端加密。用户如何使用对象存储服务的SSE-KMS加密方式上传对象，具体操作请参见《对象存储服务控制台指南》。云硬盘在创建云硬盘时，用户启用云硬盘的加密功能，系统将使用用户主密钥产生的数据密钥对磁盘进行加密，则在使用该云硬盘时，存储到云硬盘的数据将会自动加密。用户如何使用云硬盘加密功能，具体操作请参见《云硬盘用户指南》。镜像服务用户通过外部镜像文件创建私有镜像时，可启用私有镜像加密功能，选择KMS提供的用户主密钥对镜像进行加密。用户如何使用镜像服务的私有镜像加密功能，具体操作请参见《镜像服务用户指南》。弹性文件服务用户通过弹性文件服务创建文件系统时，选择KMS提供的用户主密钥对文件系统进行加密，当使用该文件系统时，存储到文件系统的文件将会自动加密。用户如何使用弹性文件服务的文件系统加密功能，具体操作请参见《弹性文件服务用户指南》。云数据库RDS 在购买数据库实例时，用户启用数据库实例的磁盘加密功能，选择KMS提供的用户主密钥对数据库实例的磁盘进行加密，选择磁盘加密后会提高数据的安全性。用户如何使用云数据库RDS的磁盘加密功能，具体操作请参见《云数据库RDS用户指南》。文档数据库服务在购买文档数据库实例时，用户启用文档数据库实例的磁盘加密功能，选择KMS提供的用户主密钥对文档数据库实例的磁盘进行加密，选择磁盘加密后会提高数据的安全性。用户如何使用文档数据库的磁盘加密功能，具体操作请参见《文档数据库服务快速入门》。

数据加密服务 DEW 密钥管理

数据加密服务 DEW-如何使用:与用户的应用程序配合使用

与用户的应用程序配合使用当您的应用程序需要对明文数据进行加密时，可通过调用KMS的接口来创建数据加密密钥，再使用数据加密密钥将明文数据进行加密，得到密文数据并进行存储。同时，用户的应用程序调用KMS的接口创建对应用户主密钥，对数据加密密钥进行加密，得到密文的数据加密密钥并进行存储。基于信封加密技术，用户主密钥存储在KMS中，用户的应用程序只存储密文的数据加密密钥，仅在需要使用时调用KMS解密数据加密密钥。加密流程说明如下：应用程序调用KMS的“create-key”接口创建一个自定义密钥。应用程序调用KMS的“create-datakey”接口创建数据加密密钥。得到一个明文的数据加密密钥和一个密文的数据加密密钥。密文的数据加密密钥是由1创建的用户主密钥加密明文的数据加密密钥生成的。应用程序使用明文的数据加密密钥来加密明文文件，生成密文文件。应用程序将密文的数据加密密钥和密文文件一同存储到持久化存储设备或服务中。具体操作请参见《数据加密服务API参考》。

数据加密服务 DEW 密钥管理

数据加密服务 DEW-使用场景:获取Windows操作系统弹性云服务器的登录密码

获取Windows操作系统弹性云服务器的登录密码如果用户购买的是Windows操作系统的弹性云服务器，需要使用密钥对的私钥获取登录密码，详细信息请参见《弹性云服务器用户指南》。购买弹性云服务器时，可供选择的密钥对包含以下两种：用户通过云服务器控制台界面创建或者导入密钥对。用户通过密钥对管理服务（Key Pair Service, KPS）界面创建或者导入密钥对。两种密钥对没有区别，只是导入的渠道不同。

数据加密服务 DEW 密钥对管理

数据加密服务 DEW-与其他云服务的关系:与统一身份认证服务的关系

与统一身份认证服务的关系统一身份认证服务（Identity and Access Management, IAM）为数据加密服务供了权限管理的功能。需要拥有KMS Administrator权限的用户才能使用DEW服务。需要同时拥有KMS Administrator和Server Administrator权限的用户才能使用密钥对管理功能。如需开通该权限，请联系拥有Security Administrator权限的用户，详细内容请参考《统一身份认证服务用户指南》。

数据加密服务 DEW

数据加密服务 DEW-与其他云服务的关系:与弹性云服务器的关系

与弹性云服务器的关系弹性云服务器（Elastic Cloud Server，ECS）是由CPU、内存、操作系统、云硬盘组成的基础的计算组件。弹性云服务器创建成功后，您就可以像使用自己的本地PC或物理服务器一样，在云上使用弹性云服务器。 KPS为ECS提供密钥对的管理控制能力，应用于用户登录弹性云服务器时，对用户身份认证的功能。 Dedicated HSM提供的专属加密实例可以为部署在弹性云服务器内的业务系统加密敏感数据，用户可完全控制密钥的生成、存储和访问授权，保证数据在传输、存储过程中的完整性、保密性。

数据加密服务 DEW

数据加密服务 DEW-与其他云服务的关系:与云审计服务的关系

与云审计服务的关系云审计服务（Cloud Trace Service，CTS）记录数据加密服务相关的操作事件，方便用户日后的查询、审计和回溯，具体请参见《云审计服务用户指南》。表1 云审计服务支持的KMS操作列表操作名称资源类型事件名称创建密钥 cmk createKey 创建数据密钥 cmk createDataKey 创建不含明文数据密钥 cmk createDataKeyWithoutPlaintext 启用密钥 cmk enableKey 禁用密钥 cmk disableKey 加密数据密钥 cmk encryptDatakey 解密数据密钥 cmk decryptDatakey 计划删除密钥 cmk scheduleKeyDeletion 取消计划删除密钥 cmk cancelKeyDeletion 创建随机数 rng genRandom 修改密钥别名 cmk updateKeyAlias 修改密钥描述 cmk updateKeyDescription 密钥删除风险提示 cmk deleteKeyRiskTips 导入密钥材料 cmk importKeyMaterial 删除密钥材料 cmk deleteImportedKeyMaterial 创建授权 cmk createGrant 退役授权 cmk retireGrant 撤销授权 cmk revokeGrant 加密数据 cmk encryptData 解密数据 cmk decryptData 添加标签 cmk dealUnifiedTags 删除标签 cmk dealUnifiedTags 批量添加标签 cmk dealUnifiedTags 批量删除标签 cmk dealUnifiedTags 开启密钥轮换 cmk enableKeyRotation 修改密钥轮换周期 cmk updateKeyRotationInterval 表2 云审计服务支持的CSMS操作列表操作名称资源类型事件名称创建凭据 secret createSecret 更新凭据 secret updateSecret 删除凭据 secret forceDeleteSecret 计划删除凭据 secret scheduleDelSecret 取消计划删除凭据 secret restoreSecretFromDeletedStatus 创建凭据状态 secret createSecretStage 更新凭据状态 secret updateSecretStage 删除凭据状态 secret deleteSecretStage 创建凭据版本 secret createSecretVersion 下载凭据备份 secret backupSecret 恢复凭证备份 secret restoreSecretFromBackupBlob 更新凭据版本 secret putSecretVersion 凭据轮转 secret rotateSecret 创建凭据事件 secret createSecretEvent 更新凭据事件 secret updateSecretEvent 删除凭据事件 secret deleteSecretEvent 创建资源标签 secret createResourceTag 删除资源标签 secret deleteResourceTag 表3 云审计服务支持的KPS操作列表操作名称资源类型事件名称创建或导入SSH密钥对 keypair createOrImportKeypair 删除SSH密钥对 keypair deleteKeypair 导入私钥 keypair importPrivateKey 导出私钥 keypair exportPrivateKey 绑定SSH密钥对 keypair bindKeypair 解绑SSH密钥对 keypair unbindKeypair 清除私钥 keypair clearPrivateKey 表4 云审计服务支持的DHSM操作列表操作名称资源类型事件名称购买云加密实例 hsm purchaseHsm 实例化云加密实例 hsm createHsm 删除云加密实例 hsm deleteHsm

数据加密服务 DEW

数据加密服务 DEW-计费项:计费示例

计费示例假设您在2023/06/08 9:59:30创建了一个自定义密钥，然后在2023/06/08 10:45:46将其删除。计费周期内使用密钥进行API调用36594次，计费周期如下：第一个计费周期为9:00:00 ~ 10:00:00，在9:59:30 ~ 10:00:00间产生费用，该计费周期内的计费时长为30秒。第二个计费周期为10:00:00 ~ 11:00:00，在10:00:00 ~ 10:45:46间产生费用，该计费周期内的计费时长为2746秒。图按需计费KMS资源生命周期给出了上述示例配置的费用计算过程。图中价格仅为示例，实际计算请以数据加密服务价格详情中的价格为准。图1 按需计费密钥管理费用计算示例按需计费模式下，各计费项的计费示例请参见计费示例。

数据加密服务 DEW

数据加密服务 DEW-计费项:计费说明

计费说明数据加密服务的计费项由密钥管理、凭据管理和专属加密等微服务费用组成。具体内容如表数据加密服务计费项所示。具体价格计算请参见数据加密服务价格详情。表1 数据加密服务计费项计费项计费项规格计费项说明适用的计费模式计费公式密钥管理服务自定义密钥自定义密钥是用户自行通过KMS创建或导入的密钥。按需计费密钥实例费用 * 时长+密钥请求API次数 * API请求费用默认密钥默认密钥是对象存储服务（Object Storage Service，OBS）等其他云服务自动通过密钥管理为用户创建的用户主密钥，其别名后缀为“/default”。按需计费密钥请求API次数 * API请求费用凭据管理服务通用凭据通用凭据支持在各场景下进行自定义凭据的全生命周期管理。按需计费凭据实例费用 * 时长+凭据使用的密钥实例费用 * 时长+密钥请求API次数 * API请求费用专属加密实例标准版专属加密（Dedicated Hardware Security Module，Dedicated HSM）是一种云上数据加密的服务，可处理加解密、签名、验签、产生密钥和密钥安全存储等操作。包年/包月实例规格单价 * 台数 * 购买时长铂金版国内包年/包月初装费用 * 台数+实例规格单价 * 台数 * 购买时长

数据加密服务 DEW

数据加密服务 DEW-解绑密钥对失败如何处理？:处理方法

处理方法查看弹性云服务器的状态。运行中，请执行步骤 2。关机，请执行步骤 4。使用SSH密钥对登录弹性云服务器，检查私钥是否正确。正确，请执行步骤 4。错误，请使用正确的私钥再次执行解绑密钥对操作。检查弹性云服务器的“/root/.ssh/authorized_keys”文件是否被修改过。是，请恢复“/root/.ssh/authorized_keys”文件的原始内容。否，请执行步骤 4。查看ECS安全组22端口入方向是否对100.125.0.0/16开放，即允许100.125.0.0/16地址通过SSH远程连接到Linux弹性云服务器。是，请执行步骤 5。否，请添加如下安全组规则后再次执行解绑密钥对操作。方向协议/应用端口源地址入方向 SSH（22） 22 100.125.0.0/16 请检查执行密钥对解绑操作的弹性云服务器是否可以正常开机、关机和登录使用等操作。是，请再次执行解绑密钥对操作。否，请执行步骤 6。检查网络是否发生故障。是，请联系技术支持工程师查看并定位原因。否，请再次执行解绑密钥对操作。

数据加密服务 DEW

数据加密服务 DEW-绑定密钥对失败如何处理？:处理方法

处理方法查看弹性云服务器的状态。运行中，请执行步骤 2。关机，请执行步骤 5。使用密码登录弹性云服务器，检查密码是否正确。正确，请执行步骤 4。错误，请使用正确的密码再次执行绑定密钥对操作。检查弹性云服务器的“/root/.ssh/authorized_keys”文件权限路径和属组是否被修改过。是，请恢复至以下权限：每级属组都是root:root权限。 .ssh权限为700。 authorized_keys权限为600。否，请执行步骤 4。检查弹性云服务器的“/root/.ssh/authorized_keys”文件是否被修改过。是，请根据实际情况恢复“/root/.ssh/authorized_keys”文件的原始内容。否，请执行步骤 5。检查ECS安全组22端口入方向是否对100.125.0.0/16开放，即允许100.125.0.0/16地址通过SSH远程连接到Linux弹性云服务器。是，请执行步骤 6。否，请添加如下安全组规则后再次执行绑定密钥对操作。添加安全组规则具体操作请参见添加安全组规则。方向协议/应用端口源地址入方向 SSH（22） 22 100.125.0.0/16 请检查执行密钥对绑定操作的弹性云服务器是否可以正常开机、关机和登录使用等操作。是，请再次执行绑定密钥对操作。否，请执行步骤 7。检查网络是否发生故障。是，请联系技术支持工程师查看并定位原因。否，请再次执行绑定密钥对操作。

数据加密服务 DEW

云服务器内容精选

数据加密服务 DEW

7*24

备案

专业服务

退订

建议反馈

售前咨询热线