# 数据加密服务选型 #### 概述 密码学是研究信息安全技术的学科，通过密码算法保护数据的机密性、完整性、真实性和不可否认性。它在数字通信中扮演着关键角色，确保信息在传输、存储和使用过程中不被未授权方获取或篡改。随着AI时代的到来，密码学技术为企业和个人提供了数据安全保障的基础。 华为云提供全面的密码学解决方案，帮助用户构建安全可靠的信息安全体系。通过华为云的密码安全中心，用户可以轻松实现数据加密、身份认证、数字签名等安全功能，无需深入了解密码学原理即可获得专业级的安全保障。其中包括提供密钥管理的密钥管理服务（KMS）、提供SSH密钥对管理的密钥对服务（KPS）、提供凭据管理的云凭据管理服务（CSMS）、提供专属加密的专属加密服务（DHSM）和提供密评合规的密码服务的云平台密码系统服务（CPCS）。正确使用密码技术需要对密码学有深入的理解，同时也需要熟悉安全设计、安全编码和安全管理等方面的知识。 该文档旨在帮助您根据业务场景、安全控制、合规要求与成本预算，快速匹配最优华为云密码服务组合。 #### 场景 选择合适的华为云密码服务需综合考虑您的具体情况、数据安全要求、合规规范及操作偏好。华为云提供多种加密服务，以满足不同用户的需求。如下表所示： 表1服务场景 | 具体服务 | 功能 | 应用场景 | 特点 | 优势 | |:---|:---|:---|:---|:---| | 密钥管理服务（KMS） | 提供安全的密钥管理，支持创建、管理、轮换、保护加密密钥。 | 适用于需要管理加密密钥的用户，支持多种加密算法。 | 与多种华为云服务集成，如 OBS、EVS、RDS 等，全托管、高可用、国密算法支持、与华为云服务深度集成。 | 服务集成广泛、 合规遵循、 高易用性。 | | 密钥对服务（KPS） | 提供 SSH 密钥对管理，支持生成、导入和导出密钥对。 | 适用于需要管理 SSH 密钥对的用户，用于安全登录云服务器。 | 简单易用，支持多种操作系统。 | 登录安全增强 、 合规遵循。 | | 云凭据管理服务（CSMS） | 通过凭据管理服务，创建、检索、更新、删除凭据，轻松实现对敏感凭据的全生命周期的统一管理，有效避免程序硬编码或明文配置等问题导致的敏感信息泄露以及权限失控带来的业务风险。 | 适用于集中管理数据库密码、密钥、AK/SK 等各类敏感凭据，实现自动轮转、动态调用、权限管控与合规审计的全场景安全运维。 | 自动轮换、细粒度权限、安全存储、全链路审计。 | 凭据加密保护、 凭据安全检索、 凭据集中管控、 凭据变更通知、 凭据安全调用。 | | 专属加密服务（DHSM） | 为用户提供独立的加密资源和定制化的加密服务，以满足特定的业务需求和安全要求。 | - 适用于对数据安全性和性能有极高要求的场景，如金融支付、电子签名、证券业务等。 - 常用于满足监管合规要求的企业和机构。 | 物理隔离、国密认证、用户完全掌控密钥。 | 云上使用、 弹性扩容、 安全管理、 权限认证、 可靠性、 安全合规、 应用广泛。 | | 云平台密码系统服务（CPCS） | 提供一站式的密码服务管理平台，支持集群化部署。 | - 适用于需要多种密码服务和快速通过密评的企业和机构。 - 适合电子合同、电子发票、电子病历等需要多种密码服务的场景。 | 合规、池化、弹性、企业级密码服务平台。 | 自动化部署、 集群隔离、 态势感知、 加密场景多样化。 | #### 选择 选择正确的华为云密码服务，需要先明确您的安全、运营和合规需求。华为云提供多种加密服务，每种服务都针对不同的使用场景，包括密钥管理、数据加密和安全通信等。要做出明智的选择，您应根据以下关键标准评估自身需求：使用场景、控制和灵活性要求、合规规范、成本因素，以及与华为云服务的集成需求。这些标准将帮助您将选择与组织的安全目标和运营工作流程保持一致。 按业务场景选择华为云密码服务时，请参考下表。 表2业务场景 | 业务 | 要求 | 推荐服务 | |:---|:---|:---| | 密钥管理 | 需要托管式密钥、易用、低成本 | KMS | | 密钥管理 | 需要 SSH 密钥对、云主机登录密钥 | KPS | | 密钥管理 | 需要独占硬件 HSM、完全控制密钥 | DHSM | | 密钥管理 | 需要国密合规、统一密码平台 | CPCS | | 数据加密 | 云服务透明加密（OBS/RDS/EVS等） | KMS | | 数据加密 | 客户端加密、应用层加密 | KMS + 华为云加密 SDK | | 数据加密 | 高安全硬件加密 | DHSM | | 凭据与敏感信息管理 | 数据库密码、API 密钥等敏感信息托管 | CSMS | | 凭据与敏感信息管理 | 凭据自动轮换、审计、防泄露 | CSMS | | 合规与强监管 | 等保、密评、金融、政务合规 | CPCS + DHSM + KMS | | 合规与强监管 | 国密算法、密码局认证 | CPCS + DHSM + KMS | 各服务的应用场景的异同，请参考下表。 表3各服务应用场景的异同 | 场景 | 专属加密（DHSM） | 密钥管理（KMS） | 密钥对管理（KPS） | 凭据管理（CSMS） | |:---|:---|:---|:---|:---| | **云服务加密** 与 OBS、EVS、VBS、IMS等服务集成，直接创建加密的存储类服务。 | × | ✓推荐 | × | × | | **自建应用加密** 通过调用API，完成上层应用APP的加密。 | ✓推荐 | ✓推荐 | × | × | | **高性能加解密** 满足各种行业应用中的密码运算需求，比如身份认证、数据保护、SSL卸载等。 | ✓推荐 | × | × | × | | **金融密码运算** 满足金融领域密码运算功能需求，比如发卡系统、POS系统。 | ✓推荐 | × | × | × | | **主机登录** 登录主机时，自带私钥进行鉴权替换口令登录方式。 | × | × | ✓推荐 | × | | **应用凭据保管/轮换** 数据库/应用凭据的保管和自动轮换。 | × | × | × | ✓推荐 | #### 使用 现在，您应已清楚了解每种华为云加密服务的用途，以及哪些服务可能最适合您。为了帮助您探索每种可用的华为云密码服务并获取更多相关信息，我们提供了深入了解其工作原理的途径。以下部分提供了指向详细文档、使用教程和其他资源的链接，以助您快速入门。 表4常用链接 | 服务 | 链接 | |:---|:---| | 密钥管理服务（KMS） | - 什么是密钥管理？ 了解什么是密钥管理。详情请参见密钥管理[《产品介绍》](https://support.huaweicloud.com/productdesc-dew/dew_01_0001.html)。 - 使用密钥管理 如何快速地使用密钥管理。详情请参见密钥管理[《用户指南》](https://support.huaweicloud.com/usermanual-dew/dew_01_7775.html)。 - 计费说明 密钥管理如何计费。详情请参见密钥管理[《计费说明》](https://support.huaweicloud.com/price-dew/dew_03_0001.html)。 - 常见问题 与密钥管理相关的常见问题。详情请参见密钥管理[《常见问题》](https://support.huaweicloud.com/dew_faq/dew_01_0048.html)。 | | 密钥对服务（KPS） | - 什么是密钥对？ 了解什么是密钥对。详情请参见密钥对[《产品介绍》](https://support.huaweicloud.com/productdesc-dew/dew_01_0010.html)。 - 使用密钥对 如何快速地使用密钥对。详情请参见密钥对[《用户指南》](https://support.huaweicloud.com/usermanual-dew/dew_01_0035.html)。 - 计费说明 密钥对如何计费。详情请参见密钥对[《计费说明》](https://support.huaweicloud.com/price-dew/dew_03_0001.html)。 - 常见问题 与密钥对相关的常见问题。详情请参见密钥对[《常见问题》](https://support.huaweicloud.com/dew_faq/dew_01_0127.html)。 | | 云凭据管理服务（CSMS） | - 什么是云凭据管理？ 了解什么是云凭据管理。详情请参见云凭据管理[《产品介绍》](https://support.huaweicloud.com/productdesc-dew/dew_01_9997.html)。 - 使用云凭据管理 如何快速地使用云凭据管理。详情请参见云凭据管理[《用户指南》](https://support.huaweicloud.com/usermanual-dew/dew_01_2000.html)。 - 计费说明 云凭据管理如何计费。详情请参见云凭据管理[《计费说明》](https://support.huaweicloud.com/price-dew/dew_03_0001.html)。 - 常见问题 与凭据相关的常见问题。详情请参见凭据[《常见问题》](https://support.huaweicloud.com/dew_faq/dew_01_0194.html)。 | | 专属加密服务（DHSM） | - 什么是专属加密？ 了解什么是专属加密。详情请参见专属加密[《产品介绍》](https://support.huaweicloud.com/productdesc-dew/dew_01_0993.html)。 - 使用专属加密 如何快速地使用专属加密。详情请参见专属加密[《用户指南》](https://support.huaweicloud.com/usermanual-dew/dew_01_0079.html)。 - 计费说明 专属加密如何计费。详情请参见专属加密[《计费说明》](https://support.huaweicloud.com/price-dew/dew_03_0001.html)。 - 常见问题 与专属加密相关的常见问题。详情请参见专属加密[《常见问题》](https://support.huaweicloud.com/dew_faq/dew_01_0132.html)。 | | 云平台密码系统服务（CPCS） | - 什么是云平台密码系统？ 了解什么是云平台密码系统。详情请参见云平台密码系统[《产品介绍》](https://support.huaweicloud.com/productdesc-dew/dew_01_0368.html)。 - 使用云平台密码系统 如何快速地使用云平台密码系统。详情请参见云平台密码系统[《用户指南》](https://support.huaweicloud.com/usermanual-dew/dew_01_0350.html)。 - 计费说明 云平台密码系统如何计费。详情请参见云平台密码系统[《计费说明》](https://support.huaweicloud.com/price-dew/dew_03_0001.html)。 |