# 租户加密 创建租户时，Qlik Cloud 使用多层安全保护来保护您的数据。默认情况下，每个租户通过一组唯一生成的加密密钥与其他租户分开，加密密钥由 Qlik 加密服务管理，以加密租户中的内容。每个租户的密钥与 Qlik 用于保护服务间通信的密钥是分开的。 Qlik Cloud 使用以下加密标准： * 进行中—TLS 1.2 加密 * 静止—AES-256-GCM 加密 * 在平台内（使用指定的IdP进行身份验证后）- 签名的 JSON Web 令牌 (JWT)，以确保完整性、真实性和不可否认性 信息注释如果您的组织拥有 Qlik Talend Cloud 高级版或企业版订阅，则加密设置适用于您的 Qlik Cloud 和 Talend Cloud 租户。 ## 客户管理的秘钥 (CMK) Qlik Cloud 提供 客户管理的秘钥 功能，可自带加密密钥 (BYOK) 以保护租户数据在租户内部的静态安全。 租户管理员配置租户加密以使用 CMK。Qlik Cloud 支持以下密钥管理服务 (KMS) 提供程序： * Qlik 内部 KMS（默认） * Amazon Web Services (AWS) KMS 信息注释 * CMK 加密存储在租户上的数据。它不加密在 Qlik Sense Mobile SaaS、数据网关 - 直接访问 或 数据网关 - 数据移动 产品中的数据。 * CMK 加密静态数据，而非传输中的数据。 * CMK 不可用于 Qlik Sense Business。 ### 客户管理的秘钥 和 HIPAA 客户管理的秘钥 在运行个人健康信息 (PHI) 工作负载的 Qlik Cloud 租户中是强制性的。有关详细信息，请参阅[在 Qlik 的信任和安全](https://www.qlik.com/us/trust)。客户必须同意将其客户管理的密钥应用于其租户，并签署 HIPAA 业务伙伴协议 (BAA) 才能运行 PHI 工作负载。Qlik Cloud 可以在这些条件下托管受 1996 年美国 医疗保险可携性和责任法案 法规 (HIPAA) 约束的个人健康信息 (PHI)。虽然 Qlik Cloud 可以通过其 HIPAA 法规要求为客户提供支持，但客户有责任遵守 HIPAA。 ## Qlik Cloud 加密体系结构的概述 下图概述了加密租户中数据的 Qlik Cloud 加密服务。默认情况下，Qlik Cloud 租户使用由 Qlik Cloud 的 KMS 生成的加密密钥加密和解密数据。通过 客户管理的秘钥，AWS KMS 生成供租户使用的加密密钥。每当 Qlik Cloud 中的服务加密或解密数据时，加密服务会调用 AWS KMS 并使用客户管理的密钥。 Qlik Cloud 使用 CMK 加密体系结构 Qlik Cloud 使用 CMK 加密体系结构 Qlik CloudQlik Cloud 使用 CMKCMK 加密体系结构 ![租户加密体系结构，具有自带密钥](https://help.qlik.com/zh-CN/cloud-services/Subsystems/Hub/Content/Resources/Images/ex_BYOK_architecture2.png) ## 对于 客户管理的秘钥 的客户责任 通过 CMK，客户可以完全控制他们的密钥。客户组织负责创建、维护和管理关键生命周期的各个方面，包括以下方面： ### AWS KMS 中的密钥设置 * 创建 AWS 帐户以及使用 KMS。 * 围绕身份和访问管理 (IAM) 权限和角色创建密钥并建立 AWS KMS 密钥管理策略，以及谁可以执行创建、禁用和删除密钥等功能。 ### AWS KMS 中的密钥管理 一旦您将租户配置为使用 AWS KMS 密钥加密静止数据，就由您负责管理密钥。保护您的 AWS KMS 密钥不被意外删除或禁用非常重要。Qlik 建议您围绕这些关键管理职能和其他职能建立一个流程。由于这些是客户控制的密钥，Qlik Cloud 无法阻止您禁用或停用您的 CMK。 * 禁用 AWS KMS 密钥。此操作暂时阻止 Qlik Cloud 对 AWS KMS 进行 API 调用以生成数据密钥（用于加密）和进行解密操作。例如，在 Qlik Cloud 中后台运行并需要数据加密或解密的计划重新加载或任务将在禁用密钥（或访问密钥）时失败。重新启用密钥将重新建立对租户的访问。 * 删除 AWS KMS 密钥。此操作将永久禁用 Qlik Cloud 租户。当您计划删除密钥时，租户将立即进入禁用模式。这将阻止访问密钥并锁定租户。AWS KMS 有一个关于删除密钥的广泛控制过程，您可以自定义这些密钥以满足您的需要。例如，您可以在删除密钥之前设置等待期并使用警报，也可以在等待期内取消删除。 * 在 AWS KMS 中轮换密钥。定义密钥时，可以选择AWS KMS自动密钥轮换选项。这将每年为 KMS 密钥生成一次新的加密材料。AWS KMS 保存所有以前版本的加密材料，以便您可以解密使用 KMS 密钥加密的任何数据。在删除 KMS 密钥之前，AWS KMS不会删除任何轮换的密钥材料。由于AWS KMS 使用适当的密钥材料进行透明解密，所以您可以安全地使用轮换的 KMS 密钥，并且不会影响您的 Qlik Cloud客户管理的秘钥 集成。请注意，这与全新的 AWS 密钥不同，并对该新密钥进行 Qlik CMK 密钥提供程序更改，这将强制租户进行完全的重新加密。请参阅[配置租户加密](https://help.qlik.com/zh-CN/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/mc-configure-tenant-encryption.htm)。 * 审核密钥使用情况。考虑使用 KMS 密钥监控工具（如 AWS CloudTrail）来监控加密操作。 * 控制密钥访问。保护密钥策略以防止不必要的访问或更改。 * 确保密钥可用性。维护并确保密钥处于激活状态。防止可能导致访问丢失的操作。与其他 AWS 服务类似，如果对 AWS KMS 的访问中断，租户数据将不可用。AWS KMS 包括通过区域和高可用性区域实现的内置恢复能力，以实现基础设施的冗余。有关 AWS KMS 安全性的更多信息，请参阅 [AWS 密钥管理服务中的弹性](https://docs.aws.amazon.com/kms/latest/developerguide/disaster-recovery-resiliency.html)。 有关详细信息，请参阅 AWS KMS 文档： * [管理密钥](https://docs.aws.amazon.com/kms/latest/developerguide/getting-started.html) * [身份验证和访问控制](https://docs.aws.amazon.com/kms/latest/developerguide/control-access.html) * [安全性](https://docs.aws.amazon.com/kms/latest/developerguide/kms-security.html) ### Qlik Cloud 区域中的 CMK 选项 AWS KMS 为 Qlik Cloud 客户提供两种加密密钥选项：单区域和多区域，具体取决于预置租户的区域。在具有特定数据主权要求（禁止数据外泄，即使是为了灾难恢复目的）的区域中，Qlik Cloud 支持 CMK 使用来自 AWS KMS 的单区域或多区域密钥。 警告注释Qlik Cloud 主权区域不提供灾难恢复服务。因此，对于使用客户管理密钥加密的租户内数据，没有恢复选项。 在没有特定数据主权要求的区域中，从 AWS KMS 预置加密密钥的客户必须生成一个与租户的主区域和灾难恢复区域匹配的多区域密钥。多区域密钥确保在租户主区域发生灾难时业务连续性，并成功故障转移到租户灾难恢复区域。 ### 从单区域关键点过渡到多区域关键点 客户管理的秘钥 支持多区域密钥以支持灾难恢复过程。如果您当前使用的是单一区域密钥，我们建议您创建一个多区域密钥，以便在主区域发生故障时无缝使用备份区域中的租户。 有关如何创建多区域关键点的信息，请参见[用于灾难恢复 (DR) 的 AWS KMS 多区域密钥](https://help.qlik.com/zh-CN/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/mc-configure-tenant-encryption.htm#Multi)。 信息注释如果在关键点旋转过程中使用新关键点，则将强制使用“多区域关键点”设置。 ## CMK 限制和考虑事项 以下部分描述了对于 Qlik Cloud 中 CMK 的限制和注意事项： * 将租户配置为使用您自己的 CMK 后，您可以恢复使用 Qlik 内部 KMS 加密，或者将密钥更改为其他 CMK。 * CMK 仅支持 AWS KMS 作为外部密钥提供程序。 * CMK 仅支持对称加密密钥。 * CMK 支持单区域或多区域密钥，具体取决于租户所在的区域。 * 客户管理的秘钥 不适用于 Qlik Mobile Client、数据网关 - 直接访问 或 Qlik Sense Business。