# 专属加密概述 专属加密的核心在于为用户提供**独立的加密资源** 和**定制化的加密服务** ，以满足特定的业务需求和安全要求。它通常包括以下几个关键要素： - **独立的加密资源**：用户可以独享加密硬件（如硬件安全模块HSM）、密钥管理系统（KMS）等资源，确保加密操作的独立性和安全性。 - **定制化的加密策略**：根据用户的具体需求，定制加密算法、密钥管理策略、访问控制策略等。 - **数据隔离**：通过物理或逻辑隔离，确保用户的数据与其他用户的数据完全分开，防止数据泄露。 #### 原理介绍 为进一步提升系统安全与业务可用性，用户可以在同一地域的多个不同可用区部署两台及以上专属密码机，并组建密码机集群。业务应用访问时，依托华为云负载均衡服务智能分发流量，自动选择最优密码机建立连接。同时搭配华为云私网连接（PrivateLink）实现全链路私有网络传输，杜绝公网暴露风险。各密码机采用相互独立的网络路径，具备完善的冗余能力，可有效应对单点故障，大幅提升系统可靠性与故障自愈能力。 以下架构图以用户配置两台密码机为例。 图1架构图 ![](https://support.huaweicloud.com/usermanual-dew/zh-cn_image_0000002617954659.png "点击放大") #### 限制说明 - 专属加密实例需要配合虚拟私有云（VPC）一起使用。购买专属加密实例后，需要在管理控制台实例化专属加密实例（配置VPC网络、安全组、网卡），才能正常使用。 - 您需要将专属加密实例管理工具部署到与专属加密实例同一VPC网络中，才能对专属加密实例进行管理。 #### Dedicated HSM支持的密码算法 支持国密算法以及部分国际通用密码算法，满足用户各种加密算法需求。 表1Dedicated HSM支持的密码算法 | 加密算法分类 | 通用密码算法 | 国密算法 | |:---|:---|:---| | 对称密码算法 | AES | SM1、SM4、SM7 | | 非对称密码算法 | RSA、DSA、ECDSA、DH、ECDH、EdDSA | SM2、SM9 | | 摘要算法 | SHA1、SHA256、SHA384 | SM3 | #### Dedicated HSM支持的密码机类型 表2Dedicated HSM支持的密码机类型 | 密码机类型 | 功能 | 适用场景 | |:---|:---|:---| | 服务器密码机 | - 数据加密/解密 - 数据签名/验签 - 数据摘要 - 支持MAC的生成和验证 | 满足各种行业应用中的基础密码运算需求，比如身份认证、数据保护、SSL密钥和运算卸载等。 | | 金融密码机 | - 支持PIN码的生成/加密/转换/验证 - 支持MAC生成及验证 - 支持CVV生成及验证 - 支持TAC生成及验证 - 支持常用Racal指令集 - 支持PBOC3.0常用指令集 | 满足金融领域密码运算需求，比如发卡系统、POS系统等。 | | 签名验证服务器 | - 签名/验签 - 编码/解码数字信封 - 编码/解码带签名的数字信封 - 证书验证 | 满足签名业务相关需求，比如CA系统、证书验证、大量数据的加密传输和身份认证。 | #### 操作指引 当用户需要在云上使用专属加密服务时，可通过Dedicated HSM界面购买专属加密实例。购买专属加密实例后，用户需要通过Dedicated HSM界面实例化专属加密实例。当用户收到Dedicated HSM邮寄的Ukey后，通过Ukey初始化，并管控专属加密实例。用户通过专属加密实例管理工具授权业务APP，允许业务用户通过业务APP访问专属加密实例。操作指引如[图2]所示。 图2操作指引 ![](https://support.huaweicloud.com/usermanual-dew/zh-cn_image_0000002259682400.png "点击放大") 操作指引说明如[表3]所示。 表3操作指引说明 | 编号 | 操作步骤 | 说明 | 操作角色 | |:---|:---|:---|:---| | 1 | 购买专属加密实例 | 通过Dedicated HSM界面购买专属加密实例，详细操作请参见[购买专属加密实例](https://support.huaweicloud.com/usermanual-dew/dew_01_0143.html)。 | 用户 | | 2 | 激活专属加密实例 | 您购买专属加密实例后，通过Dedicated HSM界面实例化专属加密实例。您需要选择专属加密实例所属的虚拟私有云，以及专属加密实例的功能类型，详细操作请参见[激活专属加密实例](https://support.huaweicloud.com/usermanual-dew/dew_01_0108.html)。 | 用户 | | 3 | 获取UKey、配套初始化文档及软件 | - 安全专家将通过您提供的Ukey收件地址将Ukey邮寄给您。 Ukey是Dedicated HSM提供给您的身份识别卡，此卡仅购买专属加密实例的用户持有，请妥善保管。 - 安全专家将会为您提供初始化专属加密实例的软件及相关指导文档。 如果您对软件或指导文档的使用有疑问，请联系安全专家进行指导。 说明： 可通过提交[提交工单](https://support.huaweicloud.com/usermanual-ticket/zh-cn_topic_0127038618.html)方式提供Ukey收件地址以及联系安全专家指导。 | 专属加密服务安全专家 | | 4 | 初始化、管控（UKey认证） | 1. 在专属加密实例管理节点上安装为您提供的管理工具。 2. 使用Ukey和管理工具初始化专属加密实例，并注册相应的管理员，管控专属加密实例，对密钥进行管理。 详细操作请参见[初始化专属加密实例](https://support.huaweicloud.com/usermanual-dew/dew_01_0140.html#dew_01_0140__section1832742743311)。 | 用户 | | 5 | 安装安全代理软件并授权 | 在业务APP节点上安装为您提供的安全代理软件并执行相关初始化操作。 详细操作请参见[安装安全代理软件并授权](https://support.huaweicloud.com/usermanual-dew/dew_01_0140.html#dew_01_0140__section457054185414)。 | 用户 | | 6 | 访问 | 业务APP通过API或者SDK的方式访问专属加密实例。 | 用户 | #### 专属加密与密码系统服务的关系 专属加密服务（Dedicated HSM）和密码系统服务（CPCS）在云平台中都用于提供加密和安全功能，但它们在功能、应用场景和管理方式上存在一定的区别和联系。具体如[表4]所示。 表4专属加密与密码系统服务的区别和联系 | 服务 | 专属加密服务（Dedicated HSM） | 密码系统服务（CPCS） | |---|---|---| | **功能对比** | - 提供专属的硬件安全模块（HSM），用户可以独占使用加密硬件资源。 - 主要功能包括加解密、签名、验签、密钥生成和安全存储。 - 支持多种加密算法（如SM1、SM2、SM3、SM4等），并符合国家密码管理局认证。 - 适合对安全性和性能要求极高的场景，如金融支付、电子签名等。 | - 提供一站式的密码服务管理平台，支持集群化部署。 - 功能更加广泛，包括加解密、签名验签、密钥管理、时间戳服务、电子签章服务、数据库加密等。 | | **应用场景对比** | - 适用于对数据安全性和性能有极高要求的场景，如金融支付、电子签名、证券业务等。 - 常用于满足监管合规要求的企业和机构。 | - 适用于需要多种密码服务和快速通过密评的企业和机构。 - 适合电子合同、电子发票、电子病历等需要多种密码服务的场景。 | | **管理方式对比** | - 用户通过管理客户端进行初始化和权限管理。 - 提供高安全性的硬件资源，用户完全控制密钥的生成、存储和访问授权。 | - 通过控制台集中管理，支持自动化部署和监控。 - 提供集群化部署能力，支持弹性伸缩和应用级隔离。 | | **联系** | - **共同目标**：两者都旨在提供安全的加密服务，保护数据的安全性和完整性。 - **集成与互补**：在某些场景下，两者可以集成使用。例如，专属加密服务（Dedicated HSM）可以作为密码系统服务（CPCS）的底层加密资源，提供高性能的加密运算支持。 ||