产品介绍

Size: px

Start display at page:

Download "产品介绍"

槽蓝
5 years ago
Views:

1 数据加密服务产品介绍文档版本 21 发布日期华为技术有限公司

2 版权所有华为技术有限公司 2018 保留一切权利非经本公司书面许可, 任何单位和个人不得擅自摘抄复制本文档内容的部分或全部, 并不得以任何形式传播商标声明和其他华为商标均为华为技术有限公司的商标本文档提及的其他所有商标或注册商标, 由各自的所有人拥有注意您购买的产品服务或特性等应受华为公司商业合同和条款的约束, 本文档中描述的全部或部分产品服务或特性可能不在您的购买或使用范围之内除非合同另有约定, 华为公司对本文档内容不做任何明示或默示的声明或保证由于产品版本升级或其他原因, 本文档内容会不定期进行更新除非另有约定, 本文档仅作为使用指导, 本文档中的所有陈述信息和建议不构成任何明示或暗示的担保文档版本 21 ( ) 版权所有华为技术有限公司 i

3 目录目录 1 数据加密服务密钥管理密钥对管理专属加密区域和可用分区项目产品优势功能介绍使用场景小数据加密大量数据加密 OBS 服务端加密 EVS 服务端加密 IMS 服务端加密 SFS 服务端加密 RDS 服务端加密登录 Linux 操作系统的弹性云服务器获取 Windows 操作系统弹性云服务器的登录密码用户业务系统使用专属加密实例加密访问与使用如何访问如何使用与其他云服务的关系用户权限文档版本 21 ( ) 版权所有华为技术有限公司 ii

4 1 数据加密服务 1 数据加密服务数据加密服务 (Data Encryption Workshop) 是一个综合的云上数据加密服务它可以提供专属加密密钥管理密钥对管理等功能其密钥由硬件安全模块 (Hardware Security Module,HSM) 保护, 并与许多华为云服务集成用户也可以借此服务开发自己的加密应用密钥管理一种安全可靠简单易用的密钥托管服务, 帮助用户集中管理密钥, 保护密钥的安全 KMS 通过使用硬件安全模块 HSM 保护密钥安全, 帮助用户轻松创建和管理密钥, 所有的用户密钥都由 HSM 中的根密钥保护, 避免密钥泄露 KMS 对密钥的所有操作都会进行访问控制及日志跟踪, 提供所有密钥的使用记录, 满足审计和合规性要求密钥对管理一种安全可靠简单易用 SSH 密钥对托管服务, 帮助用户集中管理 SSH 密钥对, 保护 SSH 密钥对的安全 KPS 是利用 HSM 产生的硬件真随机数来生成密钥对, 并提供了一套完善和可靠的密钥对的管理方案, 帮助用户轻松创建导入和管理 SSH 密钥对生成的 SSH 密钥对的公钥文件均保存在华为云中, 私钥文件由用户自己下载保存在本地, 从而保障了 SSH 密钥对的私有性和安全性专属加密专属加密服务为用户提供经国家密码管理局检测认证的专属加密实例, 帮助用户保护弹性云服务器上数据的安全性和隐私性要求, 满足监管合规要求同时, 用户能够对专属加密实例生成的密钥进行安全可靠的管理, 也能使用多种加密算法来对数据进行可靠的加解密运算文档版本 21 ( ) 版权所有华为技术有限公司 1

5 2 密钥管理 2 密钥管理密钥管理, 即密钥管理服务 (Key Management Service,KMS), 是一种安全可靠简单易用的密钥托管服务, 帮助用户集中管理密钥, 保护密钥的安全 KMS 通过使用硬件安全模块 HSM(Hardware Security Module) 保护密钥安全, 帮助用户轻松创建和管理密钥, 所有的用户密钥都由 HSM 中的根密钥保护, 避免密钥泄露 KMS 对密钥的所有操作都会进行访问控制及日志跟踪, 提供所有密钥的使用记录, 满足审计和合规性要求文档版本 21 ( ) 版权所有华为技术有限公司 2

6 3 密钥对管理 3 密钥对管理密钥对管理, 即密钥对管理服务 (Key Pair Service), 是一种安全可靠简单易用的 SSH 密钥对托管服务, 帮助用户集中管理 SSH 密钥对, 保护 SSH 密钥对的安全 SSH 密钥对, 简称为密钥对, 是为用户提供的远程登录 Linux 云服务器的认证方式, 是一种区别于传统的用户名和密码登录的认证方式密钥对是通过加密算法生成的一对密钥, 包含一个公钥和一个私钥, 公钥自动保存在华为云中, 私钥由用户保存在本地用户也可以根据自己的需要将私钥托管在华为云中, 由华为云统一管理若用户将公钥配置在 Linux 云服务器中, 则可以使用私钥登录 Linux 云服务器, 而不需要输入密码由于密钥对可以让用户无需输入密码登录到 Linux 云服务器, 因此, 可以防止由于密码被拦截破解造成的帐户密码泄露, 从而提高 Linux 云服务器的安全性文档版本 21 ( ) 版权所有华为技术有限公司 3

7 4 专属加密 4 专属加密专属加密 (Dedicated Hardware Security Module,Dedicated HSM) 是华为云为用户提供的云上数据加密的服务, 可处理加解密签名验签产生密钥和密钥安全存储等操作 Dedicated HSM 旨在满足用户将线下加密设备能力转移到云上的要求, 提供可独占高性能安全合规的加密域计算资源用户作为设备使用者完全控制密钥的产生存储和访问授权华为云只负责监控和管理设备及其相关网络设施同时,Dedicated HSM 可提供认证合规的金融数据加密机服务器加密机以及签名验签服务器等, 灵活支撑用户业务场景能够帮助用户满足数据安全方面的监管要求, 以及云上业务数据的隐私性要求功能介绍支持的密码算法 Dedicated HSM 提供以下功能 : 生成存储导入导出和管理加密密钥, 包括对称密钥和非对称密钥使用对称和非对称算法加密和解密数据使用加密哈希函数计算消息摘要和基于哈希的消息身份验证代码对数据进行加密签名 ( 包括代码签名 ) 并验证签名以加密方式生成安全随机数据对称密码算法非对称密码算法摘要算法 SM1 SM4 DES 3DES AES SM7 SM2 RSA( ) SM3 SHA1 SHA256 SHA384 权限认证专属加密实例设备管理与内容 ( 敏感信息 ) 管理权限分离, 即使华为云的运维人员也无法获取到用户的密钥可对敏感指令支持分类授权控制, 有效防止越权行为文档版本 21 ( ) 版权所有华为技术有限公司 4

9 5 区域和可用分区 5 区域和可用分区区域指 DEW 所在的物理位置同一区域内可用分区间内网互通, 不同区域间内网不互通华为云在中国不同地区有数据中心与此相应, 华为云 DEW 可用于不同地区通过在不同地区开启 DEW 服务, 可以将应用程序设计的更接近特定客户的要求, 或满足不同地区的法律或其他要求每个区域包含许多不同的称为可用分区的位置, 即在同一区域下, 电力网络隔离的物理区域, 可用分区之间内网互通, 不同可用分区之间物理隔离每个可用分区都被设计成不受其他可用分区故障的影响, 并提供低价低延迟的网络连接, 以连接到同一地区其他可用分区通过使用独立可用分区内的 DEW, 可以保护您的应用程序不受单一位置故障的影响文档版本 21 ( ) 版权所有华为技术有限公司 6

11 7 产品优势 7 产品优势数据加密服务 (Data Encryption Workshop) 是一个综合的云上数据加密服务, 为用户提供专属加密密钥管理密钥对管理等功能功能丰富提供的专属加密密钥管理密钥对管理功能, 安全可靠的为用户解决了数据安全密钥安全密钥管理复杂等问题服务集成广泛与 OBS EVS IMS 等服务集成, 用户可以通过 KMS 管理这些服务的密钥, 还可以通过 KMS API 完成用户本地数据的加解密登录安全增强无需密码登录到 Linux 云服务器, 可以有效防止密码被拦截破解造成的帐户密码泄露, 从而提高 Linux 云服务器的安全性专属加密基于国家密码局认证或 FIPS 第 3 级验证的硬件加密机, 对高安全性要求的用户提供高性能专属加密服务合规遵循密钥和随机数由经过安全认证的第三方硬件安全模块 (HSM) 产生, 对密钥的所有操作都会进行访问控制及日志跟踪, 符合国内和国际法律合规的要求文档版本 21 ( ) 版权所有华为技术有限公司 8

12 8 功能介绍 8 功能介绍密钥管理用户可通过密钥管理界面, 对用户主密钥进行以下操作 : 基础版创建查看启用禁用计划删除取消删除用户主密钥修改用户主密钥的别名和描述导入密钥删除密钥材料在线工具加解密小数据添加搜索编辑删除标签专业版包含基础版所有功能开启修改关闭密钥轮换周期创建撤销查询授权用户可通过密钥管理的接口执行以下操作 : 对数据加密密钥进行创建加密或解密操作对授予的权限进行退役授权操作具体请参见数据加密服务 API 参考生成硬件真随机数用户可通过密钥管理的接口生成 512bit 的随机数, 为加密系统提供基于硬件真随机数的密钥材料和加密参数, 具体请参见数据加密服务 API 参考密钥对管理用户可通过密钥对管理界面或接口, 对密钥对进行以下操作 : 创建导入查看删除密钥对重置替换绑定解绑密钥对托管导入导出清除私钥文档版本 21 ( ) 版权所有华为技术有限公司 9

14 9 使用场景 9 使用场景 9.1 小数据加密当有少量数据 ( 例如 : 口令证书电话号码等 ) 需要加解密时, 用户可以通过 KMS 界面使用在线工具加解密数据, 或者调用 KMS 的 API 接口使用指定的用户主密钥直接加密解密数据当前支持不大于 4KB 的小数据加解密以保护服务器 HTTPS 证书为例, 采用调用 KMS 的 API 接口方式进行说明, 如图 9-1 所示图 9-1 保护服务器 HTTPS 证书流程说明如下 : 1. 用户需要在 KMS 中创建一个用户主密钥 2. 用户调用 KMS 的 encrypt-data 接口, 使用指定的用户主密钥将明文证书加密为密文证书文档版本 21 ( ) 版权所有华为技术有限公司 11

15 9 使用场景 3. 用户在服务器上部署密文证书 4. 当服务器需要使用证书时, 调用 KMS 的 decrypt-data 接口, 将密文证书解密为明文证书 9.2 大量数据加密加密本地文件当有大量数据 ( 例如 : 照片视频或者数据库文件等 ) 需要加解密时, 用户可采用信封加密方式加解密数据, 无需通过网络传输大量数据即可完成数据加解密加密本地文件流程, 如图 9-2 所示图 9-2 加密本地文件解密本地文件流程说明如下 : 1. 用户需要在 KMS 中创建一个用户主密钥 2. 用户调用 KMS 的 create-datakey 接口创建数据加密密钥用户得到一个明文的数据加密密钥和一个密文的数据加密密钥其中密文的数据加密密钥是由指定的用户主密钥加密明文的数据加密密钥生成的 3. 用户使用明文的数据加密密钥来加密明文文件, 生成密文文件 4. 用户将密文的数据加密密钥和密文文件一同存储到持久化存储设备或服务中解密本地文件流程, 如图 9-3 所示文档版本 21 ( ) 版权所有华为技术有限公司 12

16 9 使用场景图 9-3 解密本地文件流程说明如下 : 1. 用户从持久化存储设备或服务中读取密文的数据加密密钥和密文文件 2. 用户调用 KMS 的 decrypt-datakey 接口, 使用对应的用户主密钥 ( 即生成密文的数据加密密钥时所使用的用户主密钥 ) 来解密密文的数据加密密钥, 取得明文的数据加密密钥若对应的用户主密钥被误删除, 会导致解密失败因此, 需要妥善管理好用户主密钥 3. 用户使用明文的数据加密密钥来解密密文文件 9.3 OBS 服务端加密用户使用 OBS(Object Storage Service,OBS) 服务端加密方式上传文件时, 可以选择 KMS 加密, 从而使用 KMS 提供的密钥来加密上传的文件, 如图 9-4 所示更多信息请参见对象存储服务控制台指南图 9-4 OBS 服务端加密文档版本 21 ( ) 版权所有华为技术有限公司 13

17 9 使用场景可供选择的用户主密钥包含以下两种 : KMS 为使用 OBS 的用户创建一个默认主密钥 obs/default 用户通过 KMS 界面创建的非默认主密钥用户也可以通过调用 OBS API 接口, 选择服务端加密 SSE-KMS 方式 (SSE-KMS 方式是指 OBS 使用 KMS 提供的密钥进行服务端加密 ) 上传文件, 详情请参考对象存储服务 API 参考 9.4 EVS 服务端加密用户购买磁盘时, 可以选择高级配置 > 现在配置 > 加密, 使用 KMS 提供的密钥来加密磁盘上的数据, 如图 9-5 所示更多信息请参见云硬盘用户指南说明当用户需要使用磁盘加密功能时, 需要授权云硬盘访问密钥管理如果用户有授权资格, 则可直接授权如果权限不足, 需先联系 Security Administrator 权限用户添加 Security Administrator 权限, 然后重新操作详细信息请参见云硬盘用户指南图 9-5 EVS 服务端加密可供选择的用户主密钥包含以下两种 : KMS 为使用 EVS(Elastic Volume Service,EVS) 的用户创建一个默认主密钥 evs/default 用户通过 KMS 界面创建的非默认主密钥用户也可以通过调用 EVS API 接口购买加密磁盘, 详情请参考云硬盘 API 参考 9.5 IMS 服务端加密用户上传镜像文件时, 可以选择 KMS 加密, 使用 KMS 提供的密钥来加密上传的文件, 如图 9-6 所示, 更多信息请参见镜像服务用户指南文档版本 21 ( ) 版权所有华为技术有限公司 14

18 9 使用场景图 9-6 IMS 服务端加密可供选择的用户主密钥包含以下两种 : KMS 为使用 IMS(Image Management Service,IMS) 的用户创建一个默认主密钥 ims/default 用户通过 KMS 界面创建的非默认主密钥用户也可以通过调用 IMS API 接口创建加密镜像, 详情请参考镜像服务 API 参考 9.6 SFS 服务端加密用户通过弹性文件服务 (Scalable File Service,SFS) 创建文件系统时, 可以选择 KMS 加密, 使用 KMS 提供的密钥来加密文件系统, 如图 9-7 所示更多信息请参见弹性文件服务用户指南图 9-7 SFS 服务端加密可供选择的用户主密钥包含以下两种 : KMS 为使用 SFS(Scalable File Service,SFS) 的用户创建一个默认主密钥 sfs/default 用户通过 KMS 界面创建的非默认主密钥用户也可以通过调用 SFS API 接口创建加密的文件系统, 详情请参考弹性文件服务 API 参考 9.7 RDS 服务端加密用户在通过关系型数据库 (Relational Database Service,RDS) 购买数据库实例时, 可以选择磁盘加密, 使用 KMS 提供的密钥来加密数据库实例的磁盘, 更多信息请参见关系型数据库用户指南可供选择的用户主密钥需要用户通过 KMS 界面购买专业版密钥管理, 并在专业版密钥管理中创建用户主密钥, 如图 9-8 所示文档版本 21 ( ) 版权所有华为技术有限公司 15

19 9 使用场景图 9-8 RDS 服务端加密用户也可以通过调用 RDS API 接口购买加密数据库实例, 详情请参考关系型数据库 API 参考 9.8 登录 Linux 操作系统的弹性云服务器若用户购买的是 Linux 操作系统的弹性云服务器, 可以选择密钥对方式登录, 详细信息请参见弹性云服务器用户指南购买弹性云服务器时, 可供选择的密钥对包含以下两种 : 用户通过云服务器控制台界面创建或者导入密钥对用户通过 KPS 界面创建或者导入密钥对 9.9 获取 Windows 操作系统弹性云服务器的登录密码若用户购买的是 Windows 操作系统的弹性云服务器, 需要使用密钥对的私钥获取登录密码, 详细信息请参见弹性云服务器用户指南购买弹性云服务器时, 可供选择的密钥对包含以下两种 : 用户通过云服务器控制台界面创建或者导入密钥对用户通过 KPS 界面创建或者导入密钥对 9.10 用户业务系统使用专属加密实例加密若用户购买了华为云提供的专属加密实例, 可通过华为云提供 Ukey 初始化并管控专属加密实例用户作为设备使用者完全控制密钥的产生存储和访问授权用户可通过专属加密实例加密用户业务系统 ( 包含敏感数据加密金融支付加密以及电子票据加密 ), 帮助用户加密企业自身的敏感数据 ( 如合同交易流水等 ) 以及企业用户的敏感数据 ( 用户身份证号码手机号码等 ), 以防止黑客攻破网络拖库导致数据泄露内部用户非法访问或篡改数据等风险说明用户需要将专属加密实例和业务系统部署在同一个 VPC 组以敏感数据加密场景为例说明, 如图 9-9 所示文档版本 21 ( ) 版权所有华为技术有限公司 16

21 10 访问与使用 10 访问与使用 10.1 如何访问公有云提供了 Web 化的服务管理平台, 即管理控制台管理方式和基于 HTTPS 请求的 API (Application Programming Interface) 管理方式管理控制台方式如果用户已注册公有云, 可直接登录管理控制台, 单击管理控制台左上角的, 选择区域或项目后, 单击页面上方的服务列表, 选择安全 > 数据加密服务 API 方式用户可通过接口方式访问数据加密服务, 具体操作请参见数据加密服务 API 参考 10.2 如何使用与对象存储服务配合使用对象存储服务支持普通方式和服务端加密方式上传和下载对象当用户使用服务端加密方式上传对象时, 数据会在服务端加密成密文后安全地存储在对象存储服务中 ; 用户下载加密对象时, 存储的密文会先在服务端解密为明文, 再提供给用户对象存储服务支持 KMS 托管密钥的服务端加密方式 ( 即 SSE-KMS 加密方式 ), 该加密方式是通过 KMS 提供密钥的方式进行服务端加密用户如何使用对象存储服务的 SSE-KMS 加密方式上传对象, 具体操作请参见对象存储服务控制台指南与云硬盘配合使用在购买云硬盘时, 用户启用云硬盘的加密功能, 选择 KMS 提供的用户主密钥对云硬盘进行加密, 则在使用该云硬盘时, 存储到云硬盘的数据将会自动加密用户如何使用云硬盘加密功能, 具体操作请参见云硬盘用户指南文档版本 21 ( ) 版权所有华为技术有限公司 18

22 10 访问与使用与镜像服务配合使用与弹性文件服务配合使用与关系型数据库配合使用与弹性云服务器配合使用与用户的应用程序配合使用用户通过外部镜像文件创建私有镜像时, 可启用私有镜像加密功能, 选择 KMS 提供的用户主密钥对镜像进行加密用户如何使用镜像服务的私有镜像加密功能, 具体操作请参见镜像服务用户指南用户通过弹性文件服务创建文件系统时, 选择 KMS 提供的用户主密钥对文件系统进行加密, 当使用该文件系统时, 存储到文件系统的文件将会自动加密用户如何使用弹性文件服务的文件系统加密功能, 具体操作请参见弹性文件服务用户指南在购买数据库实例时, 用户启用数据库实例的磁盘加密功能, 选择 KMS 提供的用户主密钥对数据库实例的磁盘进行加密, 选择磁盘加密后会提高数据的安全性用户如何使用关系型数据库的磁盘加密功能, 具体操作请参见关系型数据库用户指南用户在购买弹性云服务器 (Elastic Cloud Server, 简称 ECS) 时, 选择 KPS 提供的 SSH 密钥对对登录弹性云服务器的用户进行身份认证, 或者通过提供的密钥对获取 Windows 操作系统弹性云服务器的登录密码用户如何通过 SSH 密钥对登录弹性云服务器, 或者获取 Windows 操作系统弹性云服务器的登录密钥, 具体操作请参见弹性云服务器用户指南用户可通过购买专属加密实例的方式, 使用专属加密实例生成的密钥加解密部署在弹性云服务器内业务系统的敏感数据当用户的应用程序需要对明文数据进行加密时, 可通过调用 KMS 的接口来产生数据加密密钥, 再使用数据加密密钥将明文数据进行加密, 得到密文并进行存储同时, 用户的应用程序调用密钥管理的接口创建对应用户主密钥, 对数据加密密钥进行加密保护, 得到密文的数据加密密钥并进行存储具体操作请参见数据加密服务 API 参考 10.3 与其他云服务的关系与对象存储服务的关系与云硬盘的关系 KMS 为对象存储服务提供用户主密钥管理控制能力, 应用于对象存储服务的服务端加密功能 (SSE-KMS 加密方式 ) KMS 为云硬盘提供用户主密钥管理控制能力, 应用于云硬盘的加密功能文档版本 21 ( ) 版权所有华为技术有限公司 19

23 10 访问与使用与镜像服务的关系 KMS 为镜像服务提供用户主密钥管理控制能力, 应用于镜像服务的私有镜像加密功能与弹性文件服务的关系 KMS 为弹性文件服务提供用户主密钥管理控制能力, 应用于弹性文件服务的文件系统加密功能与关系型数据库的关系 KMS 为关系型数据库提供用户主密钥管理控制能力, 应用于关系型数据库的磁盘加密功能与弹性云服务器的关系 KPS 为弹性云服务器提供密钥对的管理控制能力, 应用于用户登录弹性云服务器时, 对用户身份认证的功能 Dedicated HSM 提供的专属加密实例可以为部署在弹性云服务器内的业务系统加密敏感数据, 用户可完全控制密钥的生成存储和访问授权, 保证数据在传输存储过程中的完整性保密性与云审计服务的关系云审计服务 (Cloud Trace Service,CTS) 记录数据加密服务相关的操作事件, 方便用户日后的查询审计和回溯, 具体请参见云审计服务用户指南与统一身份认证服务的关系统一身份认证服务 (Identity and Access Management, 简称 IAM) 为数据加密服务提供了权限管理的功能需要拥有 KMS Administrator 权限的用户才能使用 DEW 服务需要同时拥有 KMS Administrator 和 Server Administrator 权限的用户才能使用密钥对管理功能如需开通该权限, 请联系拥有 Security Administrator 权限的用户, 详细内容请参考统一身份认证服务用户指南 10.4 用户权限系统默认提供两种权限 : 用户管理权限和资源管理权限用户管理权限可以管理用户用户组及用户组的权限资源管理权限可以控制用户对云服务资源执行的操作数据加密服务的用户权限请参见权限说明文档版本 21 ( ) 版权所有华为技术有限公司 20