OSS提供哪些数据加密的方式
网站编辑2020-11-02 14:58:22735
OSS提供哪些数据加密的方式？典名科技本文主要介绍阿里云存储OSS提供服务端加密和客户端加密。您有什么需求的话，可以联系我们。服务器端加密是将数据保存到数据中心的磁盘之前进行加密，并且在下载文件时自动进行解密。OSS提供两种服务器端加密方式：
上传文件时，可以使用指定的CMK ID或者默认KMS托管的CMK进行加解密操作。这种场景适合于大量的数据加解密。数据无需通过网络发送到KMS服务端进行加解密，这是一种低成本的加解密方式。
注意 使用KMS密钥功能时会产生少量的KMS密钥API调用费用，费用详情请参考KMS计费标准。
使用OSS完全托管加密（SSE-OSS）
基于OSS完全托管的加密方式，是Object的一种属性。OSS服务器端加密使用AES256加密每个对象，并为每个对象使用不同的密钥进行加密，作为额外的保护，它将使用定期轮转的主密钥对加密密钥本身进行加密。该方式适合于批量数据的加解密。
客户端加密：客户端加密是指将数据发送到OSS之前在用户本地进行加密，对于数据加密密钥的使用，目前支持如下两种方式：
使用KMS托管用户主密钥
当使用KMS托管用户主密钥用于客户端数据加密时，无需向OSS加密客户端提供任何加密密钥。只需要在上传对象时指定KMS用户主密钥ID（也就是CMK ID）。
使用用户自主管理密钥
使用用户自主管理密钥，需要用户自主生成并保管加密密钥。当用户本地客户端加密时，由用户自主上传加密密钥（对称加密密钥或者非对称加密密钥）至本地加密客户端。
OSS提供了多种权限控制方式，包括ACL、RAM Policy和Bucket Policy。
ACL：OSS为权限控制提供访问控制列表（ACL）。ACL是基于资源的授权策略，可授予Bucket和Object访问权限。您可以在创建Bucket或上传Object时设置ACL，也可以在创建Bucket或上传Object后的任意时间内修改ACL。
RAM Policy：RAM（Resource Access Management）是阿里云提供的资源访问控制服务。RAM Policy是基于用户的授权策略。通过设置RAM Policy，您可以集中管理您的用户（比如员工、系统或应用程序），以及控制用户可以访问您名下哪些资源的权限。比如能够限制您的用户只拥有对某一个 Bucket 的读权限。子账号是从属于主账号的，并且这些账号下不能拥有实际的任何资源，所有资源都属于主账号。
Bucket Policy：Bucket Policy是基于资源的授权策略。相比于RAM Policy，Bucket Policy操作简单，支持在控制台直接进行图形化配置，并且Bucket拥有者直接可以进行访问授权，无需具备RAM操作权限。Bucket Policy支持向其他账号的RAM用户授予访问权限，以及向匿名用户授予带特定IP条件限制的访问权限。
