数据加密

数据加密机制

日志服务支持如下两种加密类型机制。

通过日志服务自带的服务密钥加密

特点：

• 简便性：用户无需额外操作，加密和密钥管理完全由日志服务负责，可以减轻用户的管理负担。

• 密钥独立性：为每个Logstore生成独立的数据加密密钥，从而增强了数据安全性。

• 持久性：这种数据加密密钥永不过期，确保了数据加密的稳定性和持久性。

• 支持的数据加密算法：AES算法（默认）、国密算法SM4。

使用场景：

• 当用户希望快速部署数据加密而无需自行管理密钥时。

• 用户对密钥管理没有特定要求，更倾向于让服务提供商管理密钥。

• 需要确保数据加密密钥的长期有效性和稳定性。

适用群体：

小型企业或个人用户，不希望处理复杂的密钥管理任务，只希望使用安全、简单的日志加密方式。

通过用户自带密钥（BYOK）加密

特点：

• 控制性：用户完全控制密钥的生命周期，包括创建、轮转和删除等。

• 灵活性：用户可以根据需要轻松更新或更换密钥，增强了安全性和灵活性。

• 主动性：用户需要主动管理密钥，包括在KMS控制台上创建和授权主密钥（CMK）使用权限。

使用场景：

• 当组织有严格的安全合规要求，需要自主控制加密密钥时。

• 用户希望能主动管理和轮转加密密钥，以满足更高安全标准的场景。

• 用户希望在密钥被泄露或有其他安全风险时，可以迅速更换或删除密钥，以保护数据安全。

适用群体：

大型企业或金融机构，对数据保护和合规性有严格要求，需要使用自己的密钥管理策略，并且有专门的团队来管理相关密钥。

使用限制

配置数据加密时，您第一次选定加密机制后，后续您无法修改数据加密机制。也不支持修改加密算法和加密类型，您只能通过enable参数开启或者关闭加密功能，且后续更新Logstore时，需每次携带完整encrypt_conf参数。

例如，您第一次选择的是通过日志服务自带的服务密钥加密机制，后续您无法修改为通过用户自带密钥（BYOK）加密方式。

通过日志服务自带的服务密钥加密

在调用CreateLogStore API创建Logstore或UpdateLogStore API修改Logstore时，添加如下encrypt_conf（配置数据加密字段）参数完成加密设置。

encrypt_conf字段的数据结构如下表所示。其中，user_cmk_info字段不填。

通过密钥管理的用户自带密钥（BYOK）加密

前提条件

已开通密钥管理服务。更多信息，请参见开通密钥管理服务。

步骤一：BYOK授权

如果使用BYOK加密，则需先完成RAM授权。

1. 登录RAM控制台。

2. 创建可信实体为阿里云服务的RAM角色，按下图配置。

   

3. 为RAM角色授权AliyunKMSReadOnlyAccess、AliyunKMSCryptoUserAccess权限。更多信息，请参见为RAM角色授权。

   

4. 如果使用RAM用户操作BYOK加密，还需为RAM用户授予PassRole权限，仅允许该RAM用户使用指定的RAM角色。更多信息，请参见创建自定义权限策略、为RAM用户授权。

   下述策略中的Resource值，需要替换为上述步骤中创建的RAM角色的ARN。关于如何查看角色ARN，请参见如何查看RAM角色的ARN？。

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": "ram:PassRole",
               "Resource": "acs:ram::<account-id>:role/<role-name>"  
           }
       ]
   }

步骤二：配置数据加密

encrypt_conf = {
    "enable" : True,                 # 是否启用加密。
    "encrypt_type" : "default"       # 加密算法，只支持default和m4。
    "user_cmk_info" :                # 可选字段。如果设置该字段，则表示使用自带密钥（BYOK），否则使用日志服务的服务密钥。
    {
          "cmk_key_id" : ""          # BYOK的主密钥ID，例如f5136b95-2420-ab31-xxxxxxxxx。
          "arn" :  ""                # RAM角色的ARN。
          "region_id" : ""           # 主密钥所在的地域ID。
    }
}

相关文档

涉及日志服务的API如下：

• CreateLogStore

• UpdateLogStore

• GetLogStore