华为云首页用户手册

数据加密服务 DEW-密钥轮换概述:密钥轮换的两种方法

数据加密服务 DEW-密钥轮换概述:密钥轮换的两种方法

时间：2023-11-07 17:38:02

数据加密服务 DEW 轮换密钥

密钥轮换的两种方法

华为云服务提供了两种密钥轮换方法：

手动轮换密钥
 方式一：创建一个新的密钥B，使用密钥B替换当前正在使用的密钥A。

方式二：对密钥A的密钥材料进行更改，继续使用密钥A。

示例：

以OBS服务为例：需要手动轮换密钥时，用户先在KMS界面创建一个新的自定义密钥，后在OBS界面将原自定义密钥替换为新的自定义密钥。

图1 手动轮换密钥工作原理
自动轮换密钥
 KMS会根据设置的轮换周期（默认365天）自动轮换密钥，系统自动生成一个新的密钥B，并替换当前使用的密钥A。自动轮换密钥只会更改主密钥的密钥材料，即加密操作中所使用的加密材料。不管密钥材料有没有变更或变更了多少次，该主密钥仍是相同的逻辑资源。主密钥的属性（密钥ID、别名、描述、权限）不会发生变化。

自动密钥轮换具有以下特点：
1. 为现有的自定义密钥开启密钥轮换后，KMS自动为该自定义密钥生成新的密钥材料。
2. 自动密钥轮换对主密钥所保护的数据无效。它不会轮换主密钥生成的数据密钥，也不会对任何受主密钥保护的数据重新加密，并且它无法减轻数据密钥泄露的影响。
图2 自动密钥轮换工作原理

KMS会保留与该自定义密钥关联的所有版本的自定义密钥。这使得KMS可以解密使用该自定义密钥加密的任何密文。

加密数据时，KMS会自动使用当前最新版本的自定义密钥来执行加密操作。
解密数据时，KMS会自动使用加密时所使用的自定义密钥来执行解密操作。

上一篇：数据加密服务 DEW-密钥轮换概述:密钥支持的轮换方式

下一篇：数据加密服务 DEW-密钥轮换概述:密钥支持的轮换方式

数据加密服务 DEW-密钥轮换概述:密钥轮换的两种方法

意见反馈

0/200

提交成功！非常感谢您的反馈，我们会继续努力做到更好反馈提交失败！请稍后重试！

推荐文章

解决方案
相关专题