备份ECS整机
使用指定KMS密钥加密前，您需要提前创建阿里云 密钥管理服务 的KMS加密密钥。更多信息，请参见 创建密钥。应用一致性备份 如果您选择单台ECS实例时，可以打开 应用一致性备份 开关，开启应用一致性备份功能。如何操作，请参见 开启应用一致...
0005-00000212
问题描述 OSS使用KMS密钥加密后上传、下载、访问文件时提示密钥不存在。问题原因 数据加密场景下，使用KMS托管密钥进行加解密，如果请求携带的KMS密钥不存在，会返回404。问题示例 当您在设置了服务器端加密的存储空间（Bucket）中上传文件...
使用RSA密钥无法登录ECS实例问题
当您使用Ubuntu、CentOS Stream 9等操作系统的ECS实例，且通过RSA密钥在FinalShell、nuoshell等部分SSH客户端连接ECS实例时，可能出现登录失败的问题，您可以参考本文的操作进行解决。背景信息 RSA加密算法是一种非对称加密算法，在公开...
0005-00000221
问题描述 数据加密场景下，KMS用户处于欠费状态。问题原因 数据加密场景下，使用...如果KMS服务已欠费，将出现该问题。解决方案 请查询KMS服务欠费状态，及时续费。更多信息，请参见 KMS计费说明。相关文档 数据加密 客户端加密 服务器端加密
云产品集成KMS加密概述
降低自研数据加密带来的研发成本 在自研数据加密时通常需要解决如下问题，云产品服务端集成KMS加密为您解决了这些复杂的工程和安全问题，降低了研发成本。设计合理的密钥层次结构和数据划分方式，以平衡加密性能和安全性。需要考虑密钥轮转...
仓库加密
仓库加密类型 阿里云密钥管理服务（KMS）加密 云效自管理密钥加密 阿里云密钥管理服务（KMS）加密 说明 支持使用 什么是密钥管理服务（KMS）进行数据加解密，KMS密钥服务每月针对服务密钥提供2万次免费调用额度，超额可能产生少量密钥API...
API概览
API 描述 AdvanceEncrypt 用于将明文数据通过KMS密钥加密为密文。重要 如果密钥开启了自动轮转，请您使用AdvanceEncrypt、AdvanceDecrypt和AdvanceGenerateDataKey接口，以避免轮转功能不生效。关于密钥轮转的相关内容，请参见 密钥轮转。...
应用接入常见问题
创建凭据时需要选择同一个KMS实例下的密钥加密凭据值。应用程序向KMS请求获取凭据时，需要使用对应的密钥解密凭据值，因此应用程序不仅要具有使用凭据的权限，还需要具有使用对应密钥进行解密的权限。解决方案 场景一：通过应用接入点AAP...
使用KMS密钥进行信封加密
数据密钥密文是由 GenerateDataKey 接口中传入的密钥加密数据密钥明文生成的，其中加密模式为GCM。应用程序使用数据密钥明文在本地对数据进行加密得到数据密文。重要 使用数据密钥明文在本地对数据进行加密、解密时，您可根据应用程序语言...
入门概述
创建密钥 使用密钥 使用密钥加密云服务，保护云上数据安全。使用KMS加密云服务 数据加密代码开发示例 管理和使用凭据 创建凭据 在密钥管理服务中创建凭据。创建凭据 使用凭据 使用凭据存储受保护数据，避免敏感信息泄露。凭据管家代码开发...
删除密钥材料
当您导入密钥材料后，可以直接删除密钥材料，此时密钥将无法继续使用，由该密钥加密的密文也无法被解密。本文为您介绍如何删除密钥材料。前提条件 请确保您已经导入密钥材料。具体操作，请参见 导入密钥材料。背景信息 当您导入密钥材料后...
OSS使用KMS密钥加密后上传、下载、访问文件时提示...
问题描述 阿里云对象存储OSS使用KMS密钥加密后，在上传、下载、访问文件时提示“This request is forbidden by kms”错误。问题原因 没有KMS使用权限。解决方案 请确保对指定的CMK ID具有使用权限。详情请参见 服务器端加密。适用于 对象...
密钥轮转概述
实现安全目标 您可以通过周期性轮转密钥，达成以下安全目标：减少每个密钥加密的数据量 一个密钥的安全性与被它加密的数据量呈反相关。数据量通常是指同一个密钥加密的数据总字节数或总消息数。例如，NIST将GCM模式下一个密钥的安全生命...
0005-00000214
问题描述 OSS使用KMS密钥加密后上传、下载、访问文件时提示密钥被禁用。问题原因 数据加密场景下，使用KMS托管密钥进行加解密，如果请求携带的KMS密钥已被禁用，则会返回409。问题示例 当您在设置了服务器端加密的存储空间（Bucket）中上传...
数据加密
表格存储 提供基于密钥管理服务（Key Management Service，简称KMS）密钥加密和基于自带密钥（Bring Your Own Key，简称BYOK）自定义密钥加密两种加密方式。两种加密方式的加密密钥均需在KMS获取，请根据实际需要选择。密钥管理服务KMS是一...
密钥管理服务如何删除密钥
详细信息 密钥管理服务主密钥一旦删除，将无法恢复，使用该主密钥加密的内容及产生的数据密钥也将无法解密。因此，对于主密钥的删除，KMS只提供计划删除密钥的方式（周期为7~30天），而不提供直接删除的方式，详情请参见 计划删除密钥。...
0005-00000211
问题描述 OSS使用KMS密钥加密后上传、下载、访问文件时提示请求被拒绝。问题原因 数据加密场景下，OSS使用KMS密钥加密后上传、下载、访问文件，请求被KMS拒绝，报无权限。问题示例 当您在设置了服务器端加密的存储空间（Bucket）中上传文件...
密钥服务概述
API 描述 AdvanceEncrypt 用于将明文数据通过KMS密钥加密为密文。重要 如果密钥开启了自动轮转，请您使用AdvanceEncrypt、AdvanceDecrypt和AdvanceGenerateDataKey接口，以避免轮转功能不生效。关于密钥轮转的相关内容，请参见 密钥轮转。...
产品优势
同时集成加密解决了其他云产品中原生数据的加密保护问题。更多信息，请参见 服务端集成加密概述 和 支持服务端集成加密的云服务。易使用 轻松实现加密 KMS提供简单的密码运算API，简化和抽象了密码学概念，让您可以轻松的使用API完成数据的...
数据安全
服务器端加密 文件存储支持如下两种加密类型机制：NAS托管密钥加密 使用NAS完全托管的密钥加密每个文件系统。该密钥由NAS在KMS（Key Management Service）服务中进行创建和管理，您可以查看密钥并审计密钥的使用权限，但无法删除、禁用该...
敏感数据加密
信封加密使用一个独立的数据加密密钥，并将其加密后封入信封中传递使用，业务侧的敏感信息可以在本地实现离线的加解密，避免上传云端传输过程中的泄露，同时解决了云服务商不信任问题。同时，对于数据量较大的加解密场景，离线的计算过程也...
数据加密和密钥管理
信封加密使用一个独立的数据加密密钥，并将其加密后封入信封中传递使用，业务侧的敏感信息可以在本地实现离线的加解密，避免上传云端传输过程中的泄露，同时解决了云服务商不信任问题。同时，对于数据量较大的加解密场景，离线的计算过程也...
使用KMS进行Secret落盘加密
当一个业务密钥需要通过Kubernetes Secret API存储时，数据会首先被API Server生成的一个随机的数据加密密钥加密，然后该数据密钥会被指定的KMS密钥加密为一个密文密钥存储在etcd中。解密Kubernetes Secret密钥时，系统会首先调用KMS的解密...
镜像生命周期问题
ECS系统盘支持通过KMS的默认密钥或者BYOK密钥加密。更多信息，请参见 加密系统盘。Packer中通过参数 image_encrypted 指定。更多信息，请参见 Alicloud Image Builder。Terraform中通过参数 encrypted 指定。更多信息，请参见 alicloud_...
常见问题
密钥管理常见问题 KMS是否支持删除密钥 用户主密钥（CMK）删除后，使用该密钥加密的用户数据及产生的数据密钥是否还可以解密 KMS如何保障密钥的安全性 KMS是否支持导入密钥材料 密钥状态为不可用或调用密钥相关API时返回“Rejected....
管理密钥
计划删除密钥 警告 系统会在预删除周期后删除密钥，使用该密钥加密的内容及产生的数据密钥也将无法解密。删除密钥前，请确认该密钥已不再使用，否则会导致您的业务不可用。密钥删除后将无法恢复，使用该密钥加密的内容及产生的数据密钥也将...
使用阿里云KMS进行Secret的落盘加密
在 ACK Pro集群 中，您可以使用在阿里云密钥管理服务KMS（Key Management Service）中创建的密钥加密Kubernetes Secret密钥。本文主要介绍如何使用KMS管理的密钥对ACK Pro集群中的Kubernetes Secret密钥数据进行落盘加密。索引 前提条件 ...
使用阿里云KMS进行Secret的落盘加密
在 ACK Serverless Pro集群 中，您可以使用在阿里云密钥管理服务KMS（Key Management Service）中创建的密钥加密Kubernetes Secret密钥。本文主要介绍如何使用KMS管理的密钥对ACK Pro集群中的Kubernetes Secret密钥数据进行落盘加密。索引 ...
媒体处理常见问题
加密转码失败常见错误原因如下：自定义密钥 加密的明文密钥必须使用 GenerateDataKey 生成，不能使用自定义字符串生成加密密钥，否则加密转码失败。加密失败 标准加密转码失败或没有任何加密文件生成，请确认 GenerateDataKey 生成的密钥...
0005-00000219
问题原因 数据加密场景下，OSS使用KMS密钥加密后上传、下载、访问文件时，请求的用户因风控规则被禁止访问，返回403。问题示例 当您在设置了服务器端加密的存储空间（Bucket）中上传文件（Object）时，并且加密方式为使用KMS托管密钥进行加...
创建加密表
表格存储提供基于密钥管理服务（Key Management Service，简称KMS）密钥加密和基于自带密钥（Bring Your Own Key，简称BYOK）自定义密钥加密两种加密方式，请根据实际需要选择。前提条件 已通过表格存储控制台创建实例。具体操作，请参见 ...
TDE透明数据加密
两层密钥的详细介绍如下：密钥加密密钥（KEK），以及KEK的校验值HMACK：通过运行 polar_cluster_passphrase_command 参数中命令并计算SHA-512后得到64字节的数据，其中前32字节为顶层加密密钥KEK，后32字节为HMACK。表数据加密密钥（TDEK）...
TDE透明数据加密
两层密钥的详细介绍如下：密钥加密密钥（KEK），以及KEK的校验值HMACK：通过运行 polar_cluster_passphrase_command 参数中命令并计算SHA-512后得到64字节的数据，其中前32字节为顶层加密密钥KEK，后32字节为HMACK。表数据加密密钥（TDEK）...
概述
每一个密钥加密密钥（KEK）都有唯一的标识符（16字节），密钥加密密钥（KEK）和数据密钥（DEK）在加密后都会存储在文件的元数据中。数据解密 在数据解密过程中，高性能版Spark全密态计算引擎会从应用配置中提取用户主密钥（MEK），再从文件...
API概览
GenerateDataKeyWithoutPlaintext 产生一个随机数，并用指定的用户主密钥加密后，返回随机数的密文。随机数可被用作数据密钥，在本地做大量数据加密或解密。ExportDataKey 使用传入的公钥加密导出数据密钥。GenerateAndExportDataKey 随机...
数据安全
表格存储 提供基于密钥管理服务（Key Management Service，简称KMS）密钥加密和基于自带密钥（Bring Your Own Key，简称BYOK）自定义密钥加密两种加密方式。两种加密方式的加密密钥均需在KMS获取，请根据实际需要选择。加密方式 使用方式 ...
0005-00000215
问题描述 OSS使用KMS密钥加密后上传、下载、访问文件时提示密钥状态为PendingDeletion。问题原因 数据加密场景下，使用KMS托管密钥进行加解密，如果请求携带的KMS密钥处于待删除（PendingDeletion）状态，将会返回该错误，错误码为409。...
0005-00000216
问题描述 OSS使用KMS密钥加密后上传、下载、访问文件时提示密钥状态为PendingImport。问题原因 数据加密场景下，使用KMS托管密钥进行加解密，如果请求携带的KMS密钥处于待导入（PendingImport）状态，将会返回该错误，错误码为409。问题...
0005-00000213
问题描述 OSS使用KMS密钥加密后上传、下载、访问文件时提示密钥不合法。问题原因 数据加密场景下，使用KMS托管密钥进行加解密，如果请求携带的KMS密钥不合法，会返回400。问题示例 当您在设置了服务器端加密的存储空间（Bucket）中上传文件...
基本概念
信封加密（Envelope Encryption）当您需要加密业务数据时，您可以调用 GenerateDataKey 或 GenerateDataKeyWithoutPlaintext 生成一个对称密钥，同时使用指定的用户主密钥加密该对称密钥（被密封的信封保护）。在传输或存储等非安全的通信...
- 产品推荐
- 这些文档可能帮助您