使用密钥进行OBS服务端加密
数据加密服务（Data Encryption Workshop）是一个综合的云上数据加密服务。它提供的密钥管理（Key Management Service，KMS）是一种安全、可靠、简单易用的密钥托管服务，帮助用户集中管理密钥，保护密钥安全。
您可以通过KMS创建密钥，并使用创建的密钥将OBS服务端中上传的文件进行加密。
操作流程
|
操作步骤 |
说明 |
|---|---|
|
注册华为账号、开通华为云，为账户充值、赋予KMS操作权限。 |
|
|
桶是对象存储中存储对象的容器。您需要先创建一个桶，然后才能在桶中存储数据。 |
|
|
通过KMS创建密钥，并使用创建的密钥将OBS服务端中上传的文件进行加密。 |
|
|
上传文件到OBS桶，并使用KMS密钥对桶文件进行加密。 |
准备工作
- 在开始操作前，请先注册华为账号并开通华为云。具体操作详见注册华为账号并开通华为云、实名认证。
如果您已开通华为云并进行实名认证，请忽略此步骤。
- 请保证账户有足够的资金，才能正常使用OBS等相关资源。具体操作请参见账户充值。
- 请确保已为账号拥有KMS CMKFullAccess及以上权限。具体操作请参见创建用户组并授权使用DEW。
表1 表1 KMS系统角色 角色名称
描述
类别
依赖关系
KMS Administrator
密钥管理服务(KMS)管理员，拥有该服务下的所有权限。
系统角色
无
KMS CMKFullAccess
密钥管理服务(KMS)的加密密钥所有权限。拥有该权限的用户可以完成基于策略授权的所有操作。
系统策略
无
KMS CMKReadOnlyAccess
密钥管理服务(KMS)的加密密钥只读权限。拥有该权限的用户可以完成基于策略授权的所有操作。
系统策略
无
步骤二：创建密钥
以创建“AES-256”对称密钥为例进行介绍。
创建的密钥只能在当前选择的区域使用，如需在其它区域使用，请切换到对应区域进行创建或者使用区域性密钥。
- 登录管理控制台。
- 单击页面左侧
，选择，默认进入“密钥管理”界面。 - 单击界面右上角“创建密钥”。
- 进入“创建密钥”页面，完成如下必要参数配置，其余参数保持默认值即可，参数说明请参见表2。
图1 创建密钥
表2 必要参数说明 参数
示例
说明
密钥名称
KMS-335c
自定义密钥名称，不可为空。
密钥算法
AES-256
KMS支持的密钥算法类型及算法描述，详见KMS支持的密钥算法类型。
密钥用途
ENCRYPT_DECRYPT
该值配置后不支持修改。
对于AES_256对称密钥，默认值“ENCRYPT_DECRYPT”。
密钥材料来源
密钥管理
KMS支持两种密钥材料来源：
- 密钥管理：由KMS生成密钥材料。
- 外部：支持将本地的密钥材料导入到KMS。
- 单击“确定”，在页面右上角弹出“创建密钥成功”，则说明密钥创建完成。用户可在密钥列表上查看已完成创建的密钥，密钥默认状态为“启用”。
步骤三：上传文件到OBS桶
上传文件到OBS桶，并使用KMS密钥对桶文件进行加密。
- 单击页面左侧
，在控制台页面中选择。 - 单击步骤一：创建桶中创建的桶的名称，进入桶的详细信息页面。
- 在“对象”页面，单击“上传对象”，在上传对象页面完成如图2配置，参数说明如表3所示。
表3 必要参数说明 参数
示例
说明
存储类别
继承桶类别
指定对象的存储类别。如果不指定，默认与桶的存储类别一致。
- 标准存储：适用于有大量热点文件或小文件，且需要频繁访问（平均一个月多次）并快速获取数据的业务场景。
- 低频访问存储：适用于不频繁访问（平均一年少于12次），但需要快速获取数据的业务场景。
- 归档存储：适用于很少访问（平均一年一次），且对数据获取速率要求不高的业务场景。
- 深度归档存储：适用于很少访问，访问频率低于归档存储，且对数据获取速率要求不高的业务场景。
上传对象
-
拖拽本地文件或文件夹至“上传对象”区域框内添加待上传的文件。
也可以通过单击“上传对象”区域框内的“添加文件”，选择本地文件进行添加。
服务端加密
开启服务端加密后，上传到当前桶的对象会被加密。
加密模式
SSE-KMS
KMS服务生成和保管密钥，OBS使用密钥加密对象。
加密密钥类型
自定义密钥
AES256/KMS-335c
选择加密密钥类型。
此处，选择步骤二：创建密钥中创建的密钥类型。
- 单击“确定”。
