混合云架构中的数据加密

混合云架构融合了公有云与私有云，是近几年来云计算的主要模式及发展方向。一方面企业希望获取大型云服务厂商的计算资源，降低计算和运维成本；另一方面企业出于政策限制、数据安全等原因，又不愿将关键数据保存在公有云环境中。目前很多大型公有云厂商也陆续推出了一系列数据加密的服务帮助用户解决公有云中数据安全的问题，并且也宣称作为公有云厂商不会越权触碰用户的数据，但对于企业来说，在某些方面对于公有云中数据的安全性还存在担忧。但是，混合云架构中数据在公有云环境中的流转、使用等不可避免，所以在混合云建设中也需要考虑：

1. 数据在公有云与私有云之间传输的安全性；
2. 密钥的安全性（包括密钥的存储和调用）；
3. 混合云架构中密钥的统一管理问题；

针对混合云环境中的数据保护，可参考如下方案进行建设：

1. 为保证公有云与私有云整体环境的安全性，私有云环境和公有云环境的打通可通过专线/VPN的形式。
2. 整个架构中所有的密钥，统一由私有云端的KMS系统进行统一的管理和保护，并且私有云端业务系统通过调用KMS API获取密钥，为保证加密运算的效率及安全性，业务系统可通过调用密码机/云密码机的接口，在硬件的密码设备内完成数据的加解密，同时也可以释放业务系统端的计算资源。
3. 私有云端将数据加密完成后，将加密数据通过安全的通信通道传输到公有云端，公有云端只需存储加密后的数据即可。
4. 若公有云端业务系统需使用这些数据，那么可以在私有云端KMS（密钥管理系统）为公有云端业务系统开通权限，并规定该业务系统可获取或可调用的密钥。另外，业务系统与KMS通信需基于数字证书的认证，并且在密钥调用的过程中通过SSL通道进行传输。业务系统将获取到的密钥导入专属加密服务中，通过专属加密服务保证密钥的安全性，并为业务系统提供高性能的密码运算能力。

数据加密的实现：

数据加密的实现方式有两种，一种是密码设备（包括密码机、KMS（密钥管理系统）、专属加密服务等）提供各种密码功能的接口，业务系统集成这些接口来实现数据加解密等功能；另外一种是加密厂商也提供了一系列透明加解密的产品，可以帮助用户更简单、快速地实现数据加密保护建设的落地。