新手入门
最佳实践
API中心
自助服务
<p><strong><span style="font-size:18px">使用主密钥进行加解密数据</span></strong></p>
<p>使用主密钥加解密数据主要适用于少量（小于4KB）数据的加解密。用户的数据会通过安全信道传递到KMS服务端，服务端完成加密、解密后，操作结果通过安全信道返回给用户。</p>
<p>关于使用主密钥进行加解密数据的步骤如下图所示。</p>
<p><img src="https://obs-cn-shanghai.yun.pingan.com/pacloud/20192407174309-170283cb9fe1.png" style="height:302px; width:700px" /><br />
<strong>加密：</strong></p>
<p>1. 调用CreateKey API接口或通过控制台创建用户主密钥。</p>
<p>2. 调用Encrypt接口，对敏感信息明文进行加密操作。</p>
<p>3. 返回敏感信息加密后的密文。</p>
<p><strong>解密：</strong></p>
<p>1. 当需要使用敏感信息时，调用Decrypt接口，对密文进行解密；</p>
<p>2. 返回敏感信息明文。</p>
<p>此外，在使用KMS服务时，您还应当确保本地网络和密钥管理服务所在网络是通的，因为加密后的密文和解密后的明文需要在本地和密钥管理服务之间进行传输。</p>
<p> </p>
<p><strong><span style="font-size:18px">使用信封本地加解密数据</span></strong></p>
<p>使用信封加密在本地加解密数据适用于大量数据的加解密。使用KMS创建一个主密钥，使用主密钥生成一个数据密钥，再使用数据密钥在本地加解密数据。数据无需通过网络传输即可实现加解密，在保证安全性的同时降低了成本。</p>
<p>关于使用信封加密进行本地加解密数据的步骤如下图所示。</p>
<p><img src="https://obs-cn-shanghai.yun.pingan.com/pacloud/20192407174332-1062406396b1.png" style="height:278px; width:700px" /></p>
<p><strong>数据信息加密：</strong></p>
<p>1. 调用CreateKey API接口或通过控制台创建用户主密钥。</p>
<p>2. 调用密钥管理服务提供的GenerateDataKey，产生数据密钥，返回结果中包含一个数据密钥明文和数据密钥密文。</p>
<p>3. 利用得到的数据密钥明文对本地业务数据进行加密操作，得到业务数据密文，并删除数据密钥明文。</p>
<p>4. 将业务数据密文和数据密钥密文持久化到本地；</p>
<p><img src="https://obs-cn-shanghai.yun.pingan.com/pacloud/20192407174415-108c989797db.png" style="height:26px; margin:0px; width:65px" />下次进行数据信封加密操作时，可以跳过步骤1和步骤2，可以直接调用Decrypt接口解密步骤4存储的数据密钥密文，得到数据密钥明文，然后按照步骤3操作进行本地业务数据的加密操作。</p>
<p><strong>数据信封解密：</strong></p>
<p>1. 调用KMS的Decrypt接口，将数据密钥密文进行解密，得到数据密钥明文;</p>
<p>2. 返回数据密钥明文；</p>
<p>3. 获取本地业务数据密文；</p>
<p>4. 利用数据密钥明文对本地业务数据密文进行解密操作，得到业务数据明文，并删除数据密钥明文。</p>
<p> </p>
<p><strong><span style="font-size:18px">使用密码保险箱安全储存使用密码</span></strong></p>
<p>用户通过调用ImportKeychain接口或者KMS控制台中的密码保险箱页面将相关敏感信息导入平安金融云密码保险箱中托管。托管后，用户可以通过API接口获取到托管的密码，然后进行本地使用密码。</p>
页面更新不及时
