常见问题

Size: px

Start display at page:

Download "常见问题"

涴埋暨
4 years ago
Views:

1 数据加密服务常见问题文档版本 31 发布日期华为技术有限公司

2 版权所有华为技术有限公司 2019 保留一切权利非经本公司书面许可, 任何单位和个人不得擅自摘抄复制本文档内容的部分或全部, 并不得以任何形式传播商标声明和其他华为商标均为华为技术有限公司的商标本文档提及的其他所有商标或注册商标, 由各自的所有人拥有注意您购买的产品服务或特性等应受华为公司商业合同和条款的约束, 本文档中描述的全部或部分产品服务或特性可能不在您的购买或使用范围之内除非合同另有约定, 华为公司对本文档内容不做任何明示或默示的声明或保证由于产品版本升级或其他原因, 本文档内容会不定期进行更新除非另有约定, 本文档仅作为使用指导, 本文档中的所有陈述信息和建议不构成任何明示或暗示的担保文档版本 31 ( ) 版权所有华为技术有限公司 i

3 目录目录 1 密钥管理类什么是密钥管理? 什么是用户主密钥? 自定义密钥与默认主密钥有什么区别? 什么是数据加密密钥? 哪些区域提供 KMS 服务? 密钥被禁用后是否还计费? 计划删除的密钥是否还计费? 为什么不能立即删除用户主密钥? 哪些云服务使用 KMS 加密数据? 华为云服务如何使用 KMS 加密数据? 信封加密方式有什么优势? 在 KMS 中创建的用户主密钥的个数是否有限制? 是否可以从 KMS 中导出用户主密钥? 如果用户主密钥被彻底删除, 用户数据是否还可以解密? 如何使用在线工具加解密数据? 是否可以更新 KMS 管理的密钥? 在什么场景下推荐使用导入的密钥? 密钥材料被意外删除时如何处理? 密钥对管理类哪些区域提供 KPS 服务? 如何创建密钥对? 导入通过 PuTTYgen 工具创建的密钥对失败如何处理? 使用 IE9 浏览器无法导入密钥对如何处理? 如何使用私钥登录 Linux 弹性云服务器? 如何通过私钥获取 Windows 弹性云服务器的登录密码? 绑定密钥对失败如何处理? 替换密钥对失败如何处理? 重置密钥对失败如何处理? 解绑密钥对失败如何处理? 关闭弹性云服务器的密码登录方式后如何重新开启? 解绑密钥对后用户无法登录 ECS 时如何处理? 私钥不慎遗失怎么办? 文档版本 31 ( ) 版权所有华为技术有限公司 ii

4 目录 2.14 如何转换私钥文件格式? 专属加密类哪些区域提供专属加密服务? 什么是专属加密? 如何获取身份识别卡 (Ukey)? 用户本地部署的加密机如何迁移到云上专属加密服务? 专属加密如何保障密钥生成的安全性? 机房管理员是否有超级管理权限, 在机房插入特权 Ukey 窃取信息? 计费类如何收费和计费? 续费退订通用类 DEW 服务提供了哪些功能? DEW 采用的是什么加解密算法? 什么是配额? 什么是区域和可用区? 文档版本 31 ( ) 版权所有华为技术有限公司 iii

5 1 密钥管理类 1 密钥管理类 1.1 什么是密钥管理? 密钥管理, 即密钥管理服务 (Key Management Service,KMS), 是一种安全可靠简单易用的密钥托管服务, 帮助您轻松创建和管理密钥, 保护密钥的安全 KMS 通过使用硬件安全模块 HSM(Hardware Security Module) 保护密钥的安全, 所有的用户密钥都由 HSM 中的根密钥保护, 避免密钥泄露 KMS 对密钥的所有操作都会进行访问控制及日志跟踪, 提供所有密钥的使用记录, 满足审计和合规性要求 1.2 什么是用户主密钥? 用户主密钥 (Customer Master Key,CMK), 是用户或云服务通过密钥管理创建的密钥, 是一种密钥加密密钥, 主要用于加密并保护数据加密密钥一个用户主密钥可以加密多个数据加密密钥用户主密钥分为自定义密钥和默认密钥自定义密钥用户通过密钥管理界面自行创建或导入的密钥默认密钥在用户第一次通过对应云服务使用 KMS 加密时, 云服务自动通过密钥管理为用户创建的密钥, 其别名后缀为 /default 默认主密钥可通过密钥管理界面进行查询, 不支持禁用计划删除操作表 1-1 默认主密钥列表密钥别名 obs/default evs/default ims/default 对应云服务对象存储服务 (Object Storage Service,OBS) 云硬盘 (Elastic Volume Service,EVS) 镜像服务 (Image Management Service,IMS) 文档版本 31 ( ) 版权所有华为技术有限公司 1

6 1 密钥管理类密钥别名 sfs/default 对应云服务弹性文件服务 (Scalable File Service,SFS) 1.3 自定义密钥与默认主密钥有什么区别? 自定义密钥和默认主密钥的区别, 如表 1-2 所示表 1-2 自定义密钥和默认主密钥的区别名称概念区别自定义密钥默认主密钥是用户自行通过 KMS 创建或导入的密钥, 是一种密钥加密密钥, 主要用于加密并保护 DEK 一个用户主密钥可以加密多个 DEK 是用户第一次通过对应云服务使用 KMS 加密时, 系统自动生成的, 其名称后缀为 /default 例如 :evs/default 支持禁用计划删除等操作不支持禁用计划删除等操作 1.4 什么是数据加密密钥? 数据加密密钥是用于加密数据的密钥您可以通过 KMS 创建加密和解密数据加密密钥 KMS 不会存储管理跟踪您的数据加密密钥, 也不会使用数据加密密钥执行加解密操作创建数据加密密钥使用数据加密密钥加密数据 KMS 仅支持通过调用 API 接口的方式创建加密和解密数据加密密钥创建数据加密密钥有两种方式, 如下 : 调用 create-datakey 接口, 返回数据加密密钥的明文和使用您指定的 CMK 加密后的数据加密密钥的密文调用 create-datakey-without-plaintext 接口, 返回使用您指定的 CMK 加密后的数据加密密钥的密文当您需要获取数据加密密钥的明文时, 请调用 decrypt-datakey 接口对该密文进行解密 KMS 无法使用数据加密密钥加密数据您可以利用 KMS 之外的加密库 ( 例如 : OpenSSL), 使用数据加密密钥对数据进行加密文档版本 31 ( ) 版权所有华为技术有限公司 2

7 1 密钥管理类使用数据加密密钥解密数据 1. 根据创建数据加密密钥获取数据加密密钥的明文 2. 使用数据加密密钥的明文加密数据 3. 删除数据加密密钥的明文, 将数据加密密钥的密文和加密后的数据一起存储到安全的存储设备 KMS 无法使用数据加密密钥解密数据您可以利用 KMS 之外的加密库 ( 例如 : OpenSSL), 使用数据加密密钥对数据进行解密 1. 获取您已加密的数据和加密该数据时使用的数据加密密钥的密文 2. 调用 decrypt-datakey 接口, 获取您加密该数据时使用的数据加密密钥的明文 3. 使用数据加密密钥的明文解密数据 4. 删除数据加密密钥的明文 1.5 哪些区域提供 KMS 服务? 以下区域提供 KMS 服务华北 - 北京一华东 - 上海二华南 - 广州 1.6 密钥被禁用后是否还计费? 计费密钥被禁用后, 仍然会存储在 KMS 中, 您可以根据需要随时启用该密钥因此密钥被禁用后, 仍然会计费只有删除密钥, 才会停止计费 1.7 计划删除的密钥是否还计费? 不计费计划删除的密钥, 从计划删除日期开始, 直至密钥彻底被删除, 密钥不会计费但是, 如果您在密钥被彻底删除前的等待期内取消删除密钥, 该密钥将恢复计费, 并收取从计划删除开始到取消删除期间的费用 1.8 为什么不能立即删除用户主密钥? 删除密钥是一个需要非常谨慎的操作操作前, 用户需确保使用该密钥加密的相关数据都已完成迁移因为密钥一旦被删除, 所有使用该密钥加密的相关数据都无法解密因此在删除密钥时,KMS 会将该操作推迟 7 天到 1096 天执行, 推迟时间由用户指定超过推迟时间, 密钥才会被真正删除在密钥被真正删除之前, 如果用户发现该密钥仍然有用, 可取消删除操作 KMS 通过这种方式来减少用户误操作所带来的损失文档版本 31 ( ) 版权所有华为技术有限公司 3

8 1 密钥管理类 1.9 哪些云服务使用 KMS 加密数据? 对象存储服务云硬盘镜像服务弹性文件服务和关系型数据库借助 KMS 实现了加密特性表 1-3 使用 KMS 加密的云服务列表服务名称对象存储服务云硬盘如何使用对象存储服务支持普通方式和服务端加密方式上传和下载对象当用户使用服务端加密方式上传对象时, 数据会在服务端加密成密文后安全地存储在对象存储服务中 ; 用户下载加密对象时, 存储的密文会先在服务端解密为明文, 再提供给用户对象存储服务支持 KMS 托管密钥的服务端加密方式 ( 即 SSE-KMS 加密方式 ), 该加密方式是通过 KMS 提供密钥的方式进行服务端加密用户如何使用对象存储服务的 SSE-KMS 加密方式上传对象, 具体操作请参见对象存储服务控制台指南在购买云硬盘时, 用户启用云硬盘的加密功能, 选择 KMS 提供的用户主密钥对云硬盘进行加密, 则在使用该云硬盘时, 存储到云硬盘的数据将会自动加密用户如何使用云硬盘加密功能, 具体操作请参见云硬盘用户指南镜像服务用户通过外部镜像文件创建私有镜像时, 可启用私有镜像加密功能, 选择 KMS 提供的用户主密钥对镜像进行加密用户如何使用镜像服务的私有镜像加密功能, 具体操作请参见镜像服务用户指南弹性文件服务关系型数据库用户通过弹性文件服务创建文件系统时, 选择 KMS 提供的用户主密钥对文件系统进行加密, 当使用该文件系统时, 存储到文件系统的文件将会自动加密用户如何使用弹性文件服务的文件系统加密功能, 具体操作请参见弹性文件服务用户指南在购买数据库实例时, 用户启用数据库实例的磁盘加密功能, 选择 KMS 提供的用户主密钥对数据库实例的磁盘进行加密, 选择磁盘加密后会提高数据的安全性用户如何使用关系型数据库的磁盘加密功能, 具体操作请参见关系型数据库用户指南 1.10 华为云服务如何使用 KMS 加密数据? 华为云服务 ( 包含 OBS IMS EVS SFS 和 RDS) 使用 KMS 提供的信封加密方式来保护用户的数据信封加密方式, 是一种加密手段, 将加密数据的数据密钥封入信封中存储传递和使用, 不再使用用户主密钥直接加解密数据文档版本 31 ( ) 版权所有华为技术有限公司 4

9 1 密钥管理类用户通过华为云服务加密数据时, 需要指定一个 KMS 用户主密钥华为云服务会生成一个明文的数据加密密钥和一个密文的数据加密密钥, 其中密文的数据加密密钥是由指定的用户主密钥加密明文的数据加密密钥生成的华为云服务使用明文的数据加密密钥来加密数据, 然后将加密后的密文数据与密文的数据加密密钥一同存储在华为云服务中, 如下图所示图 1-1 华为云服务使用 KMS 加密原理用户通过华为云服务下载数据时, 华为云服务通过 KMS 指定的用户主密钥对密文的数据加密密钥进行解密, 并使用解密得到的明文的数据加密密钥来解密密文数据, 然后将解密后的明文数据提供给用户下载 1.11 信封加密方式有什么优势? 信封加密方式相对于使用 KMS 用户主密钥直接加密的优势如下 : 使用 KMS 用户主密钥直接加解密数据仅适用于不大于 4KB 的小数据加解密场景 ; 而信封加密方式可以在本地对大量数据进行加解密信封加密方式加解密数据, 只需要传输数据加密密钥到 KMS 服务端, 无需通过网络传输大量数据 1.12 在 KMS 中创建的用户主密钥的个数是否有限制? 有文档版本 31 ( ) 版权所有华为技术有限公司 5

10 1 密钥管理类基础版的密钥管理中最多可创建或导入 2 个用户主密钥, 不包含默认主密钥专业版的密钥管理中最多可创建或导入 20 个用户主密钥, 不包含默认主密钥 1.13 是否可以从 KMS 中导出用户主密钥? 不可以为确保用户主密钥的安全, 用户只能在 KMS 中创建和使用用户主密钥, 无法导出用户主密钥 1.14 如果用户主密钥被彻底删除, 用户数据是否还可以解密? 不可以若用户主密钥被彻底删除,KMS 将不再保留任何该密钥的数据, 使用该密钥加密的数据将无法解密 ; 若用户主密钥没有被彻底删除, 则可以通过 KMS 界面取消删除用户主密钥若用户主密钥是通过 KMS 导入的密钥, 且仅删除了密钥材料, 则可以将本地备份的密钥材料再次导入原来的空密钥, 回收用户数据若密钥材料没有在本地备份, 则无法回收用户数据 1.15 如何使用在线工具加解密数据? 加密数据使用在线工具加解密小数据的操作步骤如下所示 : 步骤 1 登录管理控制台步骤 2 单击管理控制台左上角, 选择区域或项目步骤 3 步骤 4 步骤 5 单击页面上方的服务列表, 选择安全 > 数据加密服务, 默认进入数据加密服务的密钥管理界面单击目标用户主密钥的别名, 进入密钥详细信息在线工具加密数据页面在加密文本框中输入待加密的数据, 如图 1-2 所示图 1-2 加密数据文档版本 31 ( ) 版权所有华为技术有限公司 6

11 1 密钥管理类步骤 6 单击执行, 右侧文本框显示加密后的密文数据加密数据时, 使用当前指定的密钥加密数据用户可单击清除, 清除已输入的数据用户可单击复制到剪切板拷贝加密后的密文数据, 并保存到本地文件中 ---- 结束解密数据步骤 1 登录管理控制台步骤 2 单击管理控制台左上角, 选择区域或项目步骤 3 步骤 4 步骤 5 单击页面上方的服务列表, 选择安全 > 数据加密服务, 默认进入数据加密服务的密钥管理界面解密数据时, 可单击任意启用状态的非默认主密钥别名, 进入该密钥的在线工具页面单击解密, 在左侧文本框中数据待解密的密文数据, 如图 1-3 所示在线工具自动识别并使用数据被加密时使用的密钥解密数据若该密钥已被删除, 会导致解密失败图 1-3 解密数据步骤 6 单击执行, 右侧文本框中显示解密后的明文数据 ---- 结束用户可直接单击复制到剪切板拷贝解密后的明文数据, 并保存到本地文件中 1.16 是否可以更新 KMS 管理的密钥? 不可以通过 KMS 创建的密钥无法更新, 用户只能通过 KMS 创建新密钥, 使用新的密钥加解密数据文档版本 31 ( ) 版权所有华为技术有限公司 7

12 1 密钥管理类 1.17 在什么场景下推荐使用导入的密钥? 如果用户不想使用 KMS 中创建的密钥材料, 而使用自己的密钥材料, 并且可以随时删除密钥材料, 或者密钥材料被意外删除, 用户可以重新导入相同的密钥材料的情况下, 推荐用户使用导入的密钥当用户把本地的加密数据迁移到云上时, 想在云上云下共用一个密钥材料时, 可以把云下的密钥材料导入到 KMS 1.18 密钥材料被意外删除时如何处理? 如果密钥材料被意外删除, 用户可以在原用户主密钥下将备份的密钥材料重新导入 KMS 导入密钥材料时需要及时备份, 重新导入的密钥材料必须与被意外删除的密钥材料保持一致, 否则导入会失败文档版本 31 ( ) 版权所有华为技术有限公司 8

13 2 密钥对管理类 2 密钥对管理类 2.1 哪些区域提供 KPS 服务? 以下区域提供 KPS 服务华北 - 北京一华北 - 北京四华东 - 上海二华南 - 广州亚太 - 香港 2.2 如何创建密钥对? 通过管理控制台创建密钥对步骤 1 登录管理控制台步骤 2 单击管理控制台左上角, 选择区域或项目步骤 3 步骤 4 单击页面上方的服务列表, 选择安全 > 数据加密服务, 默认进入数据加密服务的密钥管理界面在左侧导航树中, 选择密钥对管理, 进入密钥对列表页面步骤 5 单击创建密钥对步骤 6 在弹出的创建密钥对对话框中, 输入密钥对名称, 如图 2-1 所示文档版本 31 ( ) 版权所有华为技术有限公司 9

14 2 密钥对管理类图 2-1 创建密钥对步骤 7 若需要托管私钥, 请阅读并勾选我同意将密钥对私钥托管到华为云在 KMS 加密下拉列表中选择加密密钥若不需要托管私钥, 请跳过此步骤 KPS 采用 KMS 提供的加密密钥对私钥进行加密, 用户使用密钥对的 KMS 加密功能时,KMS 会自动为密钥对创建一个默认主密钥 kps/default 用户在选择加密密钥时, 可选择已有的加密密钥, 或者单击查看密钥列表, 创建新的加密密钥图 2-2 托管私钥步骤 8 步骤 9 步骤 10 请阅读密钥对管理服务免责声明并勾选我已阅读并同意密钥对管理服务免责声明单击确定, 浏览器自动执行下载任务, 下载私钥文件, 并弹出提示对话框用户需要根据提示对话框的提示信息, 保存私钥文件文档版本 31 ( ) 版权所有华为技术有限公司 10

15 2 密钥对管理类若用户没有进行私钥托管, 为保证安全, 私钥只能下载一次, 请妥善保管若不慎遗失, 您可以通过重置密码或重置密钥对的方式, 重新给弹性云服务器绑定密钥对, 具体可参照解绑密钥对后用户无法登录 ECS 时如何处理? 进行处理若用户已授权华为云托管私钥, 可根据需要将托管的私钥导出使用步骤 11 私钥保存完成后, 单击确定, 密钥对创建成功密钥对创建成功后, 用户可以在密钥对列表里看到新创建的密钥对信息, 包括密钥对的名称指纹私钥以及使用数量等 ---- 结束通过 PuTTYgen 工具创建密钥对步骤 1 生成公钥和私钥文件, 双击 PUTTYGEN.exe, 打开 PuTTY Key Generator 如图 2-3 所示图 2-3 PuTTY Key Generator 步骤 2 请根据表 2-1 设置参数文档版本 31 ( ) 版权所有华为技术有限公司 11

16 2 密钥对管理类表 2-1 生成密钥对参数参数 Type of key to generate Number of bits in a generated key 参数当前导入管理控制台的密钥对的加解密算法, 仅支持 SSH-2 RSA 当前支持导入管理控制台的密钥对的算法长度为 : 步骤 3 单击 Generate, 生成一个公钥和一个私钥, 如图 2-4 所示蓝框中标记的内容为生成的公钥内容图 2-4 生成公钥和私钥文件步骤 4 复制蓝框中的公钥内容, 并将其粘贴在文本文档中, 以.txt 格式保存在本地请勿直接单击 Save public key 保存公钥文件若用户使用 Save public key 保存公钥, 公钥内容的格式会发生变化, 不能直接导入管理控制台使用步骤 5 根据以下方式, 选择保存私钥的格式, 可保存为.ppk 或者.pem 格式的私钥文档版本 31 ( ) 版权所有华为技术有限公司 12

17 2 密钥对管理类为保证安全, 私钥只能下载一次, 请妥善保管表 2-2 私钥文件格式私钥文件格式.pem 格式.ppk 私钥使用场景使用 Xshell 工具登录 Linux 操作系统云服务器将私钥托管在管理控制台获取 Windows 操作系统云服务器的密码使用 PuTTY 工具登录 Linux 操作系统云服务器保存方法 1. 选择 Conversions > Export OpenSSH key 2. 保存私钥到本地例如 : kp-123.pem 1. 选择 Conversions > Export OpenSSH key 请勿填写 Key passphrase 信息, 否则会导致获取密码失败 2. 保存私钥到本地例如 : kp-123.pem 1. 在 PuTTY Key Generator 界面, 选择 File > Save private key 2. 保存私钥到本地例如 : kp-123.ppk 根据需要正确保存公钥和私钥文件后, 可将密钥对导入管理控制台使用 ---- 结束 2.3 导入通过 PuTTYgen 工具创建的密钥对失败如何处理? 问题描述可能原因处理方法通过 PuTTYgen 工具创建的密钥对, 在导入管理控制台使用时, 系统提示导入公钥文件失败公钥内容的格式不符合系统要求 : 当用户使用 PuTTYgen 工具创建密钥对时, 使用 PuTTYgen 工具的 Save public key 保存公钥, 公钥内容的格式会发生变化当用户将公钥内容导入管理控制台时, 系统会校对公钥内容的格式, 若校对不成功, 则会导致导入失败使用本地保存的私钥文件, 在 PuTTY Key Generator 中恢复内容格式正确的公钥文件, 然后再将该公钥文件导入管理控制台文档版本 31 ( ) 版权所有华为技术有限公司 13

18 步骤 1 恢复内容格式正确的公钥文件 1. 双击 PUTTYGEN.exe, 打开 PuTTY Key Generator, 如图 2-5 所示 2 密钥对管理类图 2-5 PuTTY Key Generator 主界面 2. 单击 Load, 并在本地选择该密钥对的私钥文件系统将自动加载该私钥文件, 并在 PuTTY Key Generator 中恢复格式正确的公钥文件内容, 如图 2-6 所示, 蓝框中的内容即为符合系统要求的公钥文件文档版本 31 ( ) 版权所有华为技术有限公司 14

19 2 密钥对管理类图 2-6 恢复公钥文件内容 3. 复制蓝框中的公钥内容, 并将其粘贴在文本文档中, 以.txt 格式保存在本地请勿直接单击 Save public key 保存公钥文件若用户使用 Save public key 保存公钥, 公钥内容的格式会发生变化, 不能直接导入管理控制台使用步骤 2 将内容格式正确的公钥文件导入管理控制台 1. 登录管理控制台 2. 选择安全 > 数据加密服务 3. 在左侧导航树中, 选择密钥对管理 4. 在密钥对列表页面, 单击导入密钥对 5. 单击选择文件, 选择保存的.txt 格式的公钥文件, 或将公钥内容复制并粘贴至公钥内容文本框中 6. 单击确定, 导入公钥文件 ---- 结束文档版本 31 ( ) 版权所有华为技术有限公司 15

20 2 密钥对管理类 2.4 使用 IE9 浏览器无法导入密钥对如何处理? 问题描述处理方法当使用的是 IE9 浏览器时, 无法导入密钥对步骤 1 在浏览器主界面, 单击步骤 2 选择 Internet 选项步骤 3 在 Inernet 选项对话框中, 单击安全步骤 4 单击 Internet 步骤 5 如果安全级别显示为自定义, 单击默认级别, 把设置还原为默认级别步骤 6 滑动安全级别滑块, 把安全级别调至中, 单击应用步骤 7 选择自定义级别步骤 8 将对未标记为可安全执行脚本的 ActiveX 控件初始化并执行脚本设置为提示步骤 9 单击确定 ---- 结束 2.5 如何使用私钥登录 Linux 弹性云服务器? 操作场景用户通过管理控制台创建或者导入密钥对后, 在购买弹性云服务器时, 登录方式选择密钥对, 并选择创建或者导入的密钥对用户购买弹性云服务器成功后, 可使用密钥对的私钥登录弹性云服务器前提条件使用的登录工具 ( 如 PuTTY Xshell) 与待登录的弹性云服务器之间网络连通弹性云服务器已经绑定弹性 IP 地址已获取该弹性云服务器的私钥文件, 需要的格式如下 : 表 2-3 选择私钥文件格式本地使用的操作系统登录 Linux 弹性云服务器使用的工具私钥文件格式 Windows 操作系统 Xshell.pem PuTTY.ppk 文档版本 31 ( ) 版权所有华为技术有限公司 16

21 2 密钥对管理类本地使用的操作系统登录 Linux 弹性云服务器使用的工具私钥文件格式 Linux 操作系统 -.pem 或.ppk 本地使用 Windows 系统若私钥文件格式不满足要求, 请参考如何转换私钥文件格式? 进行转换如果您本地使用 Windows 操作系统登录 Linux 弹性云服务器, 可以按照以下方式登录弹性云服务器方式一 : 使用 PuTTY 登录以 PuTTY 为例介绍如何登录弹性云服务器, 使用 PuTTY 登录弹性云服务器前, 需要获取.ppk 格式的私钥文件步骤 1 双击 PuTTY.EXE, 打开 PuTTY Configuration 步骤 2 选择 Connection > data, 在 Auto-login username 处输入镜像的用户名若是 CoreOS 的公共镜像, 镜像的用户名为 core 若是非 CoreOS 的公共镜像, 镜像的用户名为 root 步骤 3 步骤 4 选择 Connection > SSH > Auth, 在 Private key file forauthentication 配置项中, 单击 Browse, 选择私钥文件 (.ppk 格式 ) 单击 Session, 在 Host Name (or IP address) 下的输入框中输入弹性云服务器的弹性 IP 地址文档版本 31 ( ) 版权所有华为技术有限公司 17

22 2 密钥对管理类图 2-7 配置弹性 IP 步骤 5 单击 Open, 登录弹性云服务器 ---- 结束方式二 : 使用 Xshell 登录步骤 1 步骤 2 打开 Xshell 工具执行以下命令,SSH 远程连接弹性云服务器 ssh 弹性 IP 示例 : ssh root@ 步骤 3 ( 可选 ) 如果系统弹窗提示 SSH 安全警告, 此时, 需要单击接受并保存步骤 4 选择 Public Key, 并单击用户密钥 (K) 栏的浏览步骤 5 在用户密钥窗口中, 单击导入步骤 6 选择本地保存的私钥文件 (.pem 格式 ), 并单击打开步骤 7 单击确定, 登录弹性云服务器 ---- 结束文档版本 31 ( ) 版权所有华为技术有限公司 18

23 2 密钥对管理类本地使用 Linux 操作系统如果您是在 Linux 操作系统上登录 Linux 弹性云服务器, 可以按照下面方式登录下面步骤以私钥文件是 kp-123.ppk 为例进行介绍步骤 1 在您的 Linux 计算机的命令行中执行以下命令, 变更权限 chmod 600 /path/kp-123.ppk path 为密钥文件的存放路径步骤 2 执行以下命令登录弹性云服务器 ssh -i /path/kp-123 root@ 弹性 IP 地址 path 为密钥文件的存放路径弹性 IP 地址为弹性云服务器绑定的弹性 IP 地址 ---- 结束 2.6 如何通过私钥获取 Windows 弹性云服务器的登录密码? 操作场景登录 Windows 操作系统的弹性云服务器时, 需要使用密码方式登录此时, 用户需要先根据购买弹性云服务器时下载的私钥文件, 获取该弹性云服务器初始安装时系统生成的管理员密码 (Administrator 帐户或 Cloudbase-init 设置的帐户 ) 该密码为随机密码, 安全性高, 请放心使用用户可以通过管理控制台获取 Windows 弹性云服务器的登录密码前提条件为安全起见, 建议用户获取初始密码后, 执行清除密码操作, 清除系统中记录的初始密码信息该操作不会影响弹性云服务器的正常登录与运行清除密码后, 系统不能恢复获取密码功能, 因此, 请在执行清除密码操作前, 记录弹性云服务器密码信息详细信息请参见弹性云服务器用户指南用户也可以通过调用 API 接口的方式获取 Windows 弹性云服务器的初始密码, 请参考弹性云服务器 API 参考已获取登录弹性云服务器的私钥文件 (.pem 格式 ) 若是.ppk 格式文件, 请参考如何将.ppk 格式的私钥文件转化为.pem 格式进行转换获取密码步骤 1 登录管理控制台步骤 2 选择计算 > 弹性云服务器文档版本 31 ( ) 版权所有华为技术有限公司 19

24 2 密钥对管理类步骤 3 在弹性云服务器列表, 选择待获取密码的弹性云服务器步骤 4 选择操作 > 更多, 单击获取密码步骤 5 通过密钥文件获取密码, 有以下两种方式 : 单击选择文件, 从本地上传密钥文件将密钥文件内容复制粘贴在空白文本框中步骤 6 单击获取密码, 获取随机密码 ---- 结束 2.7 绑定密钥对失败如何处理? 问题描述当对弹性云服务器执行绑定密钥对操作时失败管理控制台上密钥对执行失败记录对话框中的失败记录只记录了弹性云服务器的操作历史, 不会影响弹性云服务器的状态及后续操作, 可单击失败记录所在行的删除, 直接删除失败记录, 或者单击删除所有失败记录, 删除所有执行失败的记录可能原因用户提供了错误或者失效的密码用户修改了弹性云服务器的 SSH 配置弹性云服务器安全组 22 端口入方向未对所有 IP 开放在弹性云服务器执行密钥对绑定期间, 用户对弹性云服务器进行关机开启或者卸载磁盘等操作网络发生故障处理方法步骤 1 步骤 2 步骤 3 步骤 4 查看弹性云服务器的状态运行中, 请执行步骤 2 关机, 请执行步骤 4 使用密码登录弹性云服务器, 检查密码是否正确正确, 请执行步骤 3 错误, 请使用正确的密码再次执行绑定密钥对操作检查弹性云服务器的 /root/.ssh/authorized_keys 文件是否被修改过是, 请根据实际情况恢复 /root/.ssh/authorized_keys 文件的原始内容否, 请执行步骤 4 检查 ECS 安全组 22 端口入方向是否对所有 IP 开放, 即允许所有 IP 地址通过 SSH 远程连接到 Linux 弹性云服务器是, 请执行步骤 5 文档版本 31 ( ) 版权所有华为技术有限公司 20

25 2 密钥对管理类否, 请添加如下安全组规则后再次执行绑定密钥对操作添加安全组规则具体操作请参见添加安全组规则方向协议 / 应用端口源地址入方向 SSH(22) /0 步骤 5 步骤 6 请检查执行密钥对绑定操作的弹性云服务器是否可以正常开机关机和登录使用等操作是, 请再次执行绑定密钥对操作否, 请执行步骤 6 检查网络是否发生故障是, 请联系技术支持工程师查看并定位原因否, 请再次执行绑定密钥对操作 ---- 结束 2.8 替换密钥对失败如何处理? 问题描述当对弹性云服务器执行替换密钥对操作时失败管理控制台上密钥对执行失败记录对话框中的失败记录只记录了弹性云服务器的操作历史, 不会影响弹性云服务器的状态及后续操作, 可单击失败记录所在行的删除, 直接删除失败记录, 或者单击删除所有失败记录, 删除所有执行失败的记录可能原因用户提供了错误或者失效的私钥 ECS 安全组 22 端口入方向未对所有 IP 开放用户修改了服务器的 SSH 配置在弹性云服务器执行密钥对替换操作期间, 用户对弹性云服务器进行关机开启或者卸载磁盘等操作网络发生故障处理方法步骤 1 步骤 2 使用 SSH 密钥对登录弹性云服务器, 检查私钥是否正确正确, 请执行步骤 2 错误, 请使用正确的私钥再次执行替换密钥对操作检查弹性云服务器的 /root/.ssh/authorized_keys 文件是否被修改过是, 请根据实际情况恢复 /root/.ssh/authorized_keys 文件的原始内容否, 请执行步骤 3 文档版本 31 ( ) 版权所有华为技术有限公司 21

26 2 密钥对管理类步骤 3 查看 ECS 安全组 22 端口入方向是否对所有 IP 开放, 即允许所有 IP 地址通过 SSH 远程连接到 Linux 弹性云服务器是, 请执行步骤 4 否, 请添加如下安全组规则后再次执行替换密钥对操作方向协议 / 应用端口源地址入方向 SSH(22) /0 步骤 4 步骤 5 请检查执行密钥对替换操作的弹性云服务器是否可以正常开机关机和登录使用等操作是, 请再次执行替换密钥对操作否, 请执行步骤 5 检查网络是否发生故障是, 请联系技术支持工程师查看并定位原因否, 请再次执行替换密钥对操作 ---- 结束 2.9 重置密钥对失败如何处理? 问题描述当对弹性云服务器执行重置密钥对操作时失败管理控制台上密钥对执行失败记录对话框中的失败记录只记录了弹性云服务器的操作历史, 不会影响弹性云服务器的状态及后续操作, 可单击失败记录所在行的删除, 直接删除失败记录, 或者单击删除所有失败记录, 删除所有执行失败的记录可能原因 ECS 安全组 22 端口入方向未对所有 IP 开放在弹性云服务器执行密钥对重置操作期间, 用户对弹性云服务器进行关机开启或者卸载磁盘等操作网络发生故障处理方法步骤 1 查看 ECS 安全组 22 端口入方向是否对所有 IP 开放, 即允许所有 IP 地址通过 SSH 远程连接到 Linux 弹性云服务器是, 请执行步骤 2 否, 请添加如下安全组规则后再次执行重置密钥对操作方向协议 / 应用端口源地址入方向 SSH(22) /0 文档版本 31 ( ) 版权所有华为技术有限公司 22

27 2 密钥对管理类步骤 2 请检查执行密钥对重置操作的弹性云服务器是否可以正常开机关机和登录使用等操作是, 请再次执行重置密钥对操作否, 请执行步骤 3 步骤 3 检查网络是否发生故障是, 请联系技术支持工程师查看并定位原因否, 请再次执行重置密钥对操作 ---- 结束 2.10 解绑密钥对失败如何处理? 问题描述当对弹性云服务器执行解绑密钥对操作时失败管理控制台上密钥对执行失败记录对话框中的失败记录只记录了弹性云服务器的操作历史, 不会影响弹性云服务器的状态及后续操作, 可单击失败记录所在行的删除, 直接删除失败记录, 或者单击删除所有失败记录, 删除所有执行失败的记录可能原因用户提供了错误或者失效的私钥 ECS 安全组 22 端口入方向未对所有 IP 开放用户修改了服务器的 SSH 配置在弹性云服务器执行密钥对解绑期间, 用户对弹性云服务器进行关机开启或者卸载磁盘等操作网络发生故障处理方法步骤 1 步骤 2 步骤 3 步骤 4 查看弹性云服务器的状态运行中, 请执行步骤 2 关机, 请执行步骤 4 使用 SSH 密钥对登录弹性云服务器, 检查私钥是否正确正确, 请执行步骤 4 错误, 请使用正确的私钥再次执行解绑密钥对操作检查弹性云服务器的 /root/.ssh/authorized_keys 文件是否被修改过是, 请恢复 /root/.ssh/authorized_keys 文件的原始内容否, 请执行步骤 4 查看 ECS 安全组 22 端口入方向是否对所有 IP 开放, 即允许所有 IP 地址通过 SSH 远程连接到 Linux 弹性云服务器是, 请执行步骤 5 文档版本 31 ( ) 版权所有华为技术有限公司 23

28 2 密钥对管理类否, 请添加如下安全组规则后再次执行解绑密钥对操作方向协议 / 应用端口源地址入方向 SSH(22) /0 步骤 5 步骤 6 请检查执行密钥对解绑操作的弹性云服务器是否可以正常开机关机和登录使用等操作是, 请再次执行解绑密钥对操作否, 请执行步骤 6 检查网络是否发生故障是, 请联系技术支持工程师查看并定位原因否, 请再次执行解绑密钥对操作 ---- 结束 2.11 关闭弹性云服务器的密码登录方式后如何重新开启? 操作步骤当用户将密钥对绑定到弹性云服务器时, 关闭了密码登录方式, 若仍然需要使用密码登录弹性云服务器, 可重新开启密码登录方式如下以 PuTTY 方式登录弹性云服务器开启密码登录方式为例进行步骤 1 双击 PuTTY.EXE, 打开 PuTTY Configuration 步骤 2 选择 Connection > data, 在 Auto-login username 处输入镜像的用户名若是 CoreOS 的公共镜像, 镜像的用户名为 core 若是非 CoreOS 的公共镜像, 镜像的用户名为 root 步骤 3 选择 Connection > SSH > Auth, 在 Private key file forauthentication 配置项中, 单击 Browse, 选择私钥文件 (.ppk 格式 ) 若是.pem 格式文件, 请参考将.pem 格式的私钥文件转化为.ppk 格式进行转换步骤 4 单击 Session, 在 Host Name (or IP address) 下的输入框中输入弹性云服务器的弹性 IP 地址文档版本 31 ( ) 版权所有华为技术有限公司 24

2 密钥对管理类图 2-8 配置弹性 IP 步骤 5 步骤 6 单击 Open, 登录弹性云服务器执行以下命令, 打开 /etc/ssh/sshd_config 文件 vi /etc/ssh/sshd_config 步骤 7 按 i 进入编辑模式, 开启密码方式登录非 SUSE 操作系统, 将 PasswordAuthentication 字段值修改为 yes

29 2 密钥对管理类图 2-8 配置弹性 IP 步骤 5 步骤 6 单击 Open, 登录弹性云服务器执行以下命令, 打开 /etc/ssh/sshd_config 文件 vi /etc/ssh/sshd_config 步骤 7 按 i 进入编辑模式, 开启密码方式登录非 SUSE 操作系统, 将 PasswordAuthentication 字段值修改为 yes PasswordAuthentication yes SUSE 操作系统, 将 PasswordAuthentication 和 UsePAM 字段值修改为 yes PasswordAuthentication yes UsePAM yes 非 SUSE 操作系统关闭密码方式登录需要将 PasswordAuthentication 字段值修改为 no 若 /etc/ssh/ sshd_config 文件中没有 PasswordAuthentication 参数, 新增该参数并配置为 no SUSE 操作系统关闭密码登录需要将 PasswordAuthentication 和 UsePAM 字段值均修改为 no 若文件中没有 PasswordAuthentication 和 UsePAM 参数, 新增该参数并配置为 no 步骤 8 步骤 9 步骤 10 按 Esc, 退出编辑模式输入 :wq, 按 Enter, 保存退出执行以下命令, 重启 SSH 服务, 使配置生效文档版本 31 ( ) 版权所有华为技术有限公司 25

30 2 密钥对管理类非 Ubuntu14.xx 版本的操作系统 service sshd restart Ubuntu14.xx 版本的操作系统 service ssh restart ---- 结束 2.12 解绑密钥对后用户无法登录 ECS 时如何处理? 问题描述用户购买弹性云服务器时, 选择的是密钥对方式登录弹性云服务器, 解绑初始密钥对后, 用户没有密码和密钥对, 无法登录弹性云服务器用户在 KPS 管理控制台给弹性云服务器绑定密钥对时, 勾选了关闭密码登录方式, 解绑密钥对后, 用户没有密码和密钥对, 无法登录弹性云服务器处理方法方式一 : 重置密码通过弹性云服务器界面重置密码, 使用密码登录弹性云服务器, 详细信息请参见弹性云服务器用户指南方式二 : 重置密钥对将弹性云服务器关机, 然后通过 KPS 管理控制台重新绑定密钥对, 使用密钥对登录弹性云服务器, 操作步骤如下 : 步骤 1 登录管理控制台步骤 2 单击管理控制台左上角, 选择区域或项目步骤 3 步骤 4 步骤 5 单击页面上方的服务列表, 选择安全 > 数据加密服务, 默认进入数据加密服务的密钥管理界面在左侧导航树中, 选择密钥对管理, 进入密钥对列表页面单击云服务器列表, 显示云服务器列表页面, 如图 2-9 所示图 2-9 弹性云服务器列表步骤 6 步骤 7 单击目标弹性云服务器的名称, 进入弹性云服务器详细信息界面单击右上角关机, 将弹性云服务器关机文档版本 31 ( ) 版权所有华为技术有限公司 26

31 2 密钥对管理类步骤 8 步骤 9 步骤 10 参照步骤 3~ 步骤 5, 回到云服务器列表页面单击目标弹性云服务器所在行的绑定, 弹出绑定密钥对的对话框在新密钥对下拉列表中, 选择新的密钥对图 2-10 绑定密钥对步骤 11 用户可根据自己的需要选择是否勾选关闭密码登录方式, 默认勾选关闭密码登录方式若不关闭密码登录方式, 用户既可使用密码登录弹性云服务器, 也可以使用密钥对登录弹性云服务器若关闭了密码登录方式, 用户只能使用密钥对登录弹性云服务器, 若用户仍然需要使用密码登录弹性云服务器, 可再次开启密码登录方式, 具体操作请参见关闭弹性云服务器的密码登录方式后如何重新开启? 步骤 12 请阅读并勾选我已阅读并同意密钥对管理服务免责声明步骤 13 单击确定, 完成密钥对绑定操作, 绑定完成后, 可使用密钥对登录弹性云服务器 ---- 结束 2.13 私钥不慎遗失怎么办? 私钥托管在 KPS 私钥托管在 KPS, 您可根据需要将私钥多次导出使用文档版本 31 ( ) 版权所有华为技术有限公司 27

2 密钥对管理类私钥未托管在 KPS 私钥未托管在 KPS, 私钥遗失后, 将无法找回您可以通过重置密码或重置密钥对的方式, 重新给弹性云服务器绑定密钥对, 可参照解绑密钥对后用户无法登录 ECS 时如何处理? 进行处理 2.14 如何转换私钥文件格式? 将.ppk 格式的私钥文件转化为.pem 格式上传或者拷贝至文本框的私钥必须是.pem 格式文件, 若是.

32 2 密钥对管理类私钥未托管在 KPS 私钥未托管在 KPS, 私钥遗失后, 将无法找回您可以通过重置密码或重置密钥对的方式, 重新给弹性云服务器绑定密钥对, 可参照解绑密钥对后用户无法登录 ECS 时如何处理? 进行处理 2.14 如何转换私钥文件格式? 将.ppk 格式的私钥文件转化为.pem 格式上传或者拷贝至文本框的私钥必须是.pem 格式文件, 若是.ppk 格式文件, 请执行以下步骤进行转换步骤 1 在以下路径中下载 PuTTY 和 PuTTYgen PuTTYgen 是密钥生成器, 用于创建 SSH 密钥对, 生成一个公钥和私钥供 PuTTY 使用步骤 2 双击 PUTTYGEN.exe, 打开 PuTTY Key Generator, 如图 2-11 所示图 2-11 PuTTY Key Generator 文档版本 31 ( ) 版权所有华为技术有限公司 28

33 2 密钥对管理类步骤 3 步骤 4 步骤 5 选择 Conversions > Import Key 导入格式为.ppk 的私钥文件选择 Conversions > Export OpenSSH Key, 弹出 PuTTYgen Warning 对话框单击是, 将文件保存为.pem 格式文件 ---- 结束将.pem 格式的私钥文件转化为.ppk 格式使用 PuTTY 工具登录 Linux 操作系统云服务器时, 私钥必须是.ppk 格式文件, 若是.pem 格式文件, 请执行以下步骤进行转换步骤 1 在以下路径中下载 PuTTY 和 PuTTYgen PuTTYgen 是密钥生成器, 用于创建 SSH 密钥对, 生成一个公钥和私钥供 PuTTY 使用步骤 2 步骤 3 双击 PUTTYGEN.exe, 打开 PuTTY Key Generator 在 Actions 区域, 单击 Load, 并导入购买弹性云服务器时保存的私钥文件导入时注意确保导入的格式要求为 All files(*.*) 步骤 4 单击 Save private key 步骤 5 保存转化后的私钥到本地例如 :kp-123.ppk ---- 结束文档版本 31 ( ) 版权所有华为技术有限公司 29

34 3 专属加密类 3 专属加密类 3.1 哪些区域提供专属加密服务? 以下区域提供专属加密服务其他区域按需部署, 由于涉及到第三方硬件采购部署, 部署周期约 2 个月华北 - 北京一华东 - 上海二华南 - 广州 3.2 什么是专属加密? 专属加密 (Dedicated Hardware Security Module,Dedicated HSM) 是一种云上数据加密的服务, 可处理加解密签名验签产生密钥和密钥安全存储等操作 Dedicated HSM 为您提供经国家密码管理局检测认证的加密硬件, 帮助您保护弹性云服务器上数据的安全性与完整性, 满足监管合规要求同时, 您能够对专属加密实例生成的密钥进行安全可靠的管理, 也能使用多种加密算法来对数据进行可靠的加解密运算 3.3 如何获取身份识别卡 (Ukey)? 购买专属加密实例后, 需要使用身份识别卡 (Ukey) 来进行实例的管理请在专属加密实例购买界面, 通过提交工单的方式, 反馈 Ukey 邮寄地址专属加密服务专家会尽快将身份识别卡 (USB key) 邮寄给您 3.4 用户本地部署的加密机如何迁移到云上专属加密服务? 用户需要联系专属加密服务专家及本地加密机厂家, 详细核对当前使用的接口功能等规格参数, 制定迁移方案, 确保本地密钥能够批量安全地迁移到云上进行平滑过渡文档版本 31 ( ) 版权所有华为技术有限公司 30

35 3 专属加密类 3.5 专属加密如何保障密钥生成的安全性? 密钥是由用户自己远程创建, 且创建过程需要仅用户持有的 Ukey 参与认证加密机的配置和内部密钥的准备, 都必须要使用这一组 Ukey 作为鉴权凭证才能操作用户作为设备使用者完全控制密钥的产生存储和访问授权,Dedicated HSM 只负责监控和管理设备及其相关网络设施 3.6 机房管理员是否有超级管理权限, 在机房插入特权 Ukey 窃取信息? 机房管理员没有超级管理权限,Ukey 是 Dedicated HSM 提供给您的身份识别卡, 此卡仅购买专属加密实例的用户持有敏感数据 ( 密钥 ) 存储在国家规定的硬件加密卡中, 即使加密机制造商也无法读取内部密钥信息文档版本 31 ( ) 版权所有华为技术有限公司 31

36 4 计费类 4 计费类 4.1 如何收费和计费? 密钥管理详细的服务资费和费率标准, 请参见产品价格详情用户需要为自己创建或导入的所有用户主密钥, 以及超出免费次数的 API 请求支付费用默认主密钥免费基础版密钥管理实行按需计费, 没有最低费用用户创建密钥或导入密钥后, 密钥会按小时计费专业版密钥管理实行包年 / 包月付费密钥对管理密钥对管理的私钥不托管在华为云时, 密钥对管理免费使用私钥托管在华为云时, 导入私钥成功后按照小时收费, 当前阶段免费使用专属加密专属加密根据您购买的专属加密实例版本和设备型号进行包年 / 包月收费 4.2 续费该任务指导用户如何在专业版密钥管理或专属加密实例即将到期时进行续费续费后, 用户可以继续使用专业版密钥管理或专属加密实例自动续费如果在升级密钥管理或购买专属加密实例时, 您已勾选并同意自动续费, 则在服务到期前, 系统会自动按照购买周期生成续费订单并进行续费手动续费服务到期前, 系统会以短信或邮件的形式提醒您服务即将到期, 并提醒您续费文档版本 31 ( ) 版权所有华为技术有限公司 32

37 4 计费类服务到期后, 若您没有及时续费, 资源会进入宽限期 ; 宽限期满, 若您仍未续费, 资源会进入保留期宽限期和保留期时长根据用户等级来定, 具体请参见宽限期和保留期时长限制表 4-1 到期服务版本宽限期保留期密钥管理专业版可正常使用密钥您仅能使用最早创建的两个密钥的基础版功能, 其他密钥被冻结保留期内 : 请通过续费的方式来激活被冻结的密钥保留期满 : 请通过升级的方式来激活被冻结的密钥基础版可正常使用密钥密钥被冻结请通过充值的方式来激活被冻结的密钥专属加密 - 可正常使用专属加密实例保留期内 : 无法使用专属加密实例, 但资源予以保留保留期满 : 专属加密实例的资源将被释放冻结状态的密钥无法用来执行加解密操作, 为了防止造成不必要的损失, 请您及时续费专属加密实例的资源释放后, 您将失去与该实例相关的所有内容, 为了防止造成不必要的损失, 请您及时续费前提条件已获取管理控制台的登录账号 ( 拥有 BSS Administrator 权限与 KMS Administrator 权限 ) 与密码拥有 BSS Administrator 权限的账号, 可以对账号中心费用中心资源中心中的所有菜单项执行任意操作操作步骤步骤 1 步骤 2 登录管理控制台在界面右上方, 单击费用, 进入费用中心界面步骤 3 在左侧导航树上, 选择续费管理关于续费的详细操作, 请参见续费管理 ---- 结束文档版本 31 ( ) 版权所有华为技术有限公司 33

39 5 通用类 5 通用类 5.1 DEW 服务提供了哪些功能? 密钥管理 KMS 提供基础版密钥管理和专业版密钥管理, 具体功能对比如表 5-1 所示仅专业版支持 API 调用, 基础版的功能只能通过控制台使用表 5-1 密钥管理功能服务内容基础版专业版密钥全生命周期管理创建查看启用禁用计划删除取消删除用户主密钥修改用户主密钥的别名和描述用户自带密钥导入密钥删除密钥材料小数据加解密在线工具加解密小数据密钥标签添加搜索编辑删除标签密钥轮换开启修改关闭密钥轮换周期密钥授权创建撤销查询授权退役授权仅支持通过 API 调用云服务加密对象存储服务 OBS 加密文档版本 31 ( ) 版权所有华为技术有限公司 35

40 5 通用类功能服务内容基础版专业版云硬盘服务 EVS 加密镜像服务 IMS 加密弹性文件服务 SFS 加密 (SFS 文件系统加密 ) 弹性文件服务 SFS 加密 (SFS Turbo 文件系统加密 ) 关系型数据库 RDS (MySQL PostgreSQL SQL Server 引擎 ) 加密文档数据库服务 DDS 加密数据仓库服务 DWS 加密数据加密密钥管理生成硬件真随机数创建加密解密数据加密密钥仅支持通过 API 调用生成 512bit 的随机数, 为加密系统提供基于硬件真随机数的密钥材料和加密参数仅支持通过 API 调用密钥对管理用户可通过密钥对管理界面或接口, 对密钥对进行以下操作 : 创建导入查看删除密钥对重置替换绑定解绑密钥对托管导入导出清除私钥专属加密用户可通过专属加密界面, 购买专属加密实例实例化专属加密实例和查看专属加密实例信息 5.2 DEW 采用的是什么加解密算法? KMS 支持的密码算法通过 KMS 创建的密钥仅支持 AES-256 加解密算法文档版本 31 ( ) 版权所有华为技术有限公司 36

41 5 通用类通过外部导入的密钥支持的密钥包装加解密算法如表 5-2 所示用户仅能导入 256 位对称密钥表 5-2 密钥包装算法密钥包装算法设置 RSAES_OAEP_S HA_256 RSAES_PKCS1_ V1_5 RSAES_OAEP_S HA_1 具有 SHA-256 哈希函数的 OAEP 的 RSA 加密算法 PKCS#1 v1.5 版本的 RSA 加密算法具有 SHA-1 哈希函数的 OAEP 的 RSA 加密算法请您根据自己的 HSM 功能选择加密算法 1. 如果您的 HSM 支持 RSAES_OAEP_SHA_256 加密算法, 推荐使用 RSAES_OAEP_SHA_256 加密密钥材料 2. 如果您的 HSM 不支持 OAEP 选项, 用户可以使用 RSAES_PKCS1_V1_5 加密密钥材料注意 RSAES_OAEP_SHA_1 加密算法已经不再安全, 请谨慎选择 KPS 支持的密码算法通过管理控制台创建的密钥对仅支持 SSH-2(RSA,2048) 加解密算法通过外部导入的密钥对支持的加解密算法为 : SSH-2(RSA,1024) SSH-2(RSA,2048) SSH-2(RSA,4096) Dedicated HSM 支持的密码算法支持国密算法以及部分国际通用密码算法, 满足用户各种加密算法需求表 5-3 Dedicated HSM 支持的密码算法加密算法分类通用密码算法国密算法对称密码算法 AES DES 3DES SM1 SM4 SM7 非对称密码算法 RSA( ) SM2 摘要算法 SHA1 SHA256 SHA384 SM3 文档版本 31 ( ) 版权所有华为技术有限公司 37

42 5 通用类 5.3 什么是配额? 什么是配额? 为防止资源滥用, 平台限定了各服务资源的配额, 对用户的资源数量和容量做了限制如您最多可以创建多少个用户主密钥如果当前资源配额限制无法满足使用需要, 您可以申请扩大配额怎样查看我的配额? 步骤 1 登录管理控制台步骤 2 单击管理控制台左上角, 选择区域或项目步骤 3 在页面右上角, 选择资源 > 我的配额系统进入服务配额页面图 5-1 我的配额步骤 4 您可以在服务配额页面, 查看各项资源的总配额及使用情况步骤 5 如果当前配额不能满足业务要求, 请单击申请扩大配额 ---- 结束如何申请扩大配额? 步骤 1 登录管理控制台步骤 2 单击管理控制台左上角, 选择区域或项目步骤 3 在页面右上角, 选择资源 > 我的配额系统进入服务配额页面文档版本 31 ( ) 版权所有华为技术有限公司 38

Region, 通用 Region 指面向公共租户提供通用云服务的 Region; 专属 Region 指只承载同一类业务或只面向特定租户提供业务服务的专用 Region 可用区 (AZ,Availability Zone): 一个 AZ 是一个或多个物理数据中心的集合,

43 5 通用类图 5-2 我的配额步骤 4 单击申请扩大配额步骤 5 在新建工单页面, 根据您的需求, 填写相关参数其中, 问题描述请填写需要调整的内容和申请原因步骤 6 填写完毕后, 勾选协议并单击提交 ---- 结束 5.4 什么是区域和可用区? 什么是区域可用区? 我们用区域和可用区来描述数据中心的位置, 您可以在特定的区域可用区创建资源区域 (Region): 从地理位置和网络时延维度划分, 同一个 Region 内共享弹性计算块存储对象存储 VPC 网络弹性公网 IP 镜像等公共服务 Region 分为通用 Region 和专属 Region, 通用 Region 指面向公共租户提供通用云服务的 Region; 专属 Region 指只承载同一类业务或只面向特定租户提供业务服务的专用 Region 可用区 (AZ,Availability Zone): 一个 AZ 是一个或多个物理数据中心的集合, 有独立的风火水电,AZ 内逻辑上再将计算网络存储等资源划分成多个集群一个 Region 中的多个 AZ 间通过高速光纤相连, 以满足用户跨 AZ 构建高可用性系统的需求图 5-3 阐明了区域和可用区之间的关系图 5-3 区域和可用区文档版本 31 ( ) 版权所有华为技术有限公司 39

44 5 通用类如何选择区域? 如何选择可用区? 区域和终端节点目前, 华为云已在全球多个地域开放云服务, 您可以根据需求选择适合自己的区域和可用区更多信息请参见华为云全球站点选择区域时, 您需要考虑以下几个因素 : 地理位置一般情况下, 建议就近选择靠近您或者您的目标用户的区域, 这样可以减少网络时延, 提高访问速度不过, 在基础设施 BGP 网络品质资源的操作与配置等方面, 中国大陆各个区域间区别不大, 如果您或者您的目标用户在中国大陆, 可以不用考虑不同区域造成的网络时延问题香港曼谷等其他地区和国家提供国际带宽, 主要面向非中国大陆地区的用户如果您或者您的目标用户在中国大陆, 使用这些区域会有较长的访问时延, 不建议使用在除中国大陆以外的亚太地区有业务的用户, 可以选择亚太 - 香港亚太 - 曼谷或亚太 - 新加坡区域在非洲地区有业务的用户, 可以选择南非 - 约翰内斯堡区域在欧洲地区有业务的用户, 可以选择欧洲 - 巴黎区域资源的价格不同区域的资源价格可能有差异, 请参见华为云服务价格详情是否将资源放在同一可用区内, 主要取决于您对容灾能力和网络时延的要求如果您的应用需要较高的容灾能力, 建议您将资源部署在同一区域的不同可用区内如果您的应用要求实例之间的网络延时较低, 则建议您将资源创建在同一可用区内当您通过 API 使用资源时, 您必须指定其区域终端节点有关华为云的区域和终端节点的更多信息, 请参阅地区和终端节点文档版本 31 ( ) 版权所有华为技术有限公司 40