与云服务配合使用

云服务基于信封加密技术，通过调用KMS的接口来加密云服务资源。由用户管理自己的用户主密钥，云服务在拥有用户授权的情况下，使用用户指定的用户主密钥对数据进行加密。

加密流程说明如下：

1. 用户需要在KMS中创建一个用户主密钥。
2. 云服务调用KMS的“create-datakey”接口创建数据加密密钥。得到一个明文的数据加密密钥和一个密文的数据加密密钥。

说明

密文的数据加密密钥是由指定的用户主密钥加密明文的数据加密密钥生成的。

3. 云服务使用明文的数据加密密钥来加密明文文件，得到密文文件。
4. 云服务将密文的数据加密密钥和密文文件一同存储到持久化存储设备或服务中。

说明

用户通过云服务下载数据时，云服务通过KMS指定的用户主密钥对密文的数据加密密钥进行解密，并使用解密得到的明文的数据加密密钥来解密密文数据，然后将解密后的明文数据提供给用户下载。

使用KMS加密的云服务列表

与用户的应用程序配合使用

当您的应用程序需要对明文数据进行加密时，可通过调用KMS的接口来创建数据加密密钥，再使用数据加密密钥将明文数据进行加密，得到密文数据并进行存储。同时，用户的应用程序调用KMS的接口创建对应用户主密钥，对数据加密密钥进行加密，得到密文的数据加密密钥并进行存储。

基于信封加密技术，用户主密钥存储在KMS中，用户的应用程序只存储密文的数据加密密钥，仅在需要使用时调用KMS解密数据加密密钥。

加密流程说明如下：

1. 应用程序调用KMS的“create-key”接口创建一个用户主密钥。

2.应用程序调用KMS的“create-datakey”接口创建数据加密密钥。得到一个明文的数据加密密钥和一个密文的数据加密密钥。

说明

密文的数据加密密钥是由1创建的用户主密钥加密明文的数据加密密钥生成的。

3.应用程序使用明文的数据加密密钥来加密明文文件，生成密文文件。

4.应用程序将密文的数据加密密钥和密文文件一同存储到持久化存储设备或服务中。

具体操作请参见《数据加密服务接口参考》。