文档

服务器端加密

更新时间:

文件存储NAS支持服务器端加密功能。当您对文件存储有高安全性或者合规性要求时,建议您开启服务器端加密功能。开启该功能后,NAS会对存储在文件系统中的数据进行加密,访问数据时,NAS自动将加密数据解密后返回给用户。本文介绍服务器端加密的工作原理、支持的地域及相关操作。

使用限制

  • 仅支持在创建文件系统时开启数据加密功能。

  • 已开启数据加密功能的文件系统不能关闭此功能。

加密方式

当您对文件存储有高安全性或者合规性要求时,建议您开启服务器端加密功能。服务器端加密密钥采用行业标准AES-256加密算法,保护文件系统静态数据,并通过信封加密机制防止未经授权的数据访问。服务器端加密密钥依托于KMS服务生成和管理。KMS服务能最大程度保障密钥的保密性、完整性和可用性。更多信息,请参见使用KMS信封加密在本地加密和解密数据

NAS针对不同使用场景提供了以下两种服务器端加密方式。

说明

使用NAS托管密钥免费。使用用户管理密钥会产生少量的KMS密钥使用费用。更多信息,请参见KMS计费说明

  • NAS托管密钥

    使用NAS完全托管的密钥加密每个文件系统。该密钥由NAS在KMS(Key Management Service)服务中进行创建和管理,您可以查看密钥并审计密钥的使用权限,但无法删除、禁用该密钥。

  • 用户管理密钥

    使用您托管给KMS服务的用户管理密钥对文件系统进行加解密操作。当该密钥被禁用或者删除后,使用该密钥进行加密的NAS文件系统将不可访问。用户管理密钥有以下两种来源:

    • 在KMS服务中创建的密钥:您可以在KMS服务中创建用户主密钥CMK(Customer Master Key),并对CMK进行配置和管理,包括启用、禁用、删除、密钥轮转等操作。

    • 自带密钥BYOK(Bring Your Own Key):为了满足一些特定的安全需求,您可以将本地或其他途径生成的自带密钥BYOK导入KMS,作为用户主密钥CMK。具体操作,请参见导入密钥材料

操作方式

NAS控制台创建文件系统时,根据使用场景配置加密方式为NAS托管密钥用户管理密钥。具体操作,请参见通过控制台创建通用型NAS文件系统通过控制台创建极速型NAS文件系统

支持地域

  • NAS托管密钥加密

    • 通用型NAS:西南1(成都)、华东1(杭州)、华东2(上海)、华北1(青岛)、华北2(北京)、华北3(张家口)、华北5(呼和浩特)、华北6(乌兰察布)、华南2(河源)、华南1(深圳)、华南3(广州)、中国香港、菲律宾(马尼拉)、泰国(曼谷)、马来西亚(吉隆坡)、美国(硅谷)、印度尼西亚(雅加达)、日本(东京)、英国(伦敦)、新加坡、美国(弗吉尼亚)、德国(法兰克福)、澳大利亚(悉尼)关停中。

    • 极速型NAS:所有地域。

  • 用户管理密钥加密

    • 通用型NAS:西南1(成都)、华北1(青岛)、华北5(呼和浩特)、华北6(乌兰察布)、华南2(河源)、华东1(杭州)、华东2(上海)、华北2(北京)、华北3(张家口)、华南1(深圳)、华南3(广州)、中国香港、日本(东京)、菲律宾(马尼拉)、泰国(曼谷)、马来西亚(吉隆坡)、美国(硅谷)、印度尼西亚(雅加达)、英国(伦敦)、新加坡、美国(弗吉尼亚)、德国(法兰克福)、澳大利亚(悉尼)关停中、华东1 金融云。

    • 极速型NAS:所有地域。

相关问题

相关文档

如果您想对传输中的数据进行加密,可以在挂载文件系统时开启传输加密,确保数据在传输过程中不被窃取或篡改。具体操作,请参见NFS协议文件系统传输加密SMB协议文件系统传输加密