为了确保如数据源、Token、用户名、密码等敏感配置的安全性,SAE 提供了创建加密配置的功能。

背景信息

SAE 提供的配置加密方法有KMS 加密和 KMS AES-128 加密。
  • KMS 加密:配置内容禁止超过 6 KB。
  • KMS AES-128 加密:配置内容允许超过 6 KB,建议不超过 10 KB,最大不超过 100 KB。配置内容的明文数据不会传输到 KMS 系统,安全性更高。

前提条件

创建加密配置

在控制台创建加密配置。
  1. 登录 SAE 控制台
  2. 在左侧导航栏选择配置管理 > 配置列表,并在页面右侧单击新建配置
  3. 新建配置页面上打开数据加密开关。
    注意 首次使用此功能时,须开通密钥管理服务,并授权 ACM 使用您的密钥管理服务进行加解密,因为 ACM 数据加密功能依赖密钥管理服务,并为配置加密。
  4. 数据加密所在行选择加密方式, KMS 加密KMS AES-128 加密,并在配置内容中输入配置内容,填写完成后单击发布

    注意
    • 如果选择 KMS 加密,则直接调用 KMS 服务对配置进行加解密, KMS 加解密数据须小于等于 6 KB。
    • 如果选择 KMS AES-128 加密,则使用 KMS 的信封加解密方法,配置内容允许超过 6 KB,禁止超过100 KB。

    为方便您管理配置,控制台上均显示明文,实际均为加密存储。

使用加密配置

加密配置创建完成后,可以在控制台获取加密所需的AccessKey、SecretKey等初始化参数。
  1. 配置列表页面单击列表右侧操作列的示例代码,即可获取示例代码。
    说明 Java、Python 的 SDK 已经整合 KMS-SDK,您可以添加解密过滤器来自动解密。其他语言解密,请参考 Decrypt
  2. 单击列表上方的详情,并在命名空间详情对话框中单击获取来获取初始化参数。
    命名空间详情
    说明 使用主账号的 AccessKey/SecretKey 可直接获取配置数据,建议您填写 RAM 用户的 AccessKey/SecretKey。如果使用 RAM 用户的 AccessKey/SecretKey,则必须提前为其授予 AliyunACMFullAccess 和 AliyunKMSCryptoAccess 权限。如需了解更多,请参见子账号管理