相关角色
在这个ＱｉｎｇＴｉａｎ Ｅｎｃｌａｖｅ使用场景里，涉及到了以下几个角色：
安全员：拥有对机密数据和华为云ＫＭＳ密钥的控制权限。作为华为云账号的所有者，他具有更高权限，例如他可以创建ＩＡＭ用户并为其设置最小权限，创建加密密钥和加密敏感数据等。在本场景中，我们还假设安全员同时承担了Ｅｎｃｌａｖｅ镜像构建的工作，他获得预期的Ｅｎｃｌａｖｅ镜像度量值ＰＣＲ０和ＰＣＲ８，并在ＩＡＭ授权策略中使用这些度量值作为条件键。
父虚拟机管理员：作为被安全员授权的运维人员，他拥有父虚拟机实例的访问权限，并能管理ＱｉｎｇＴｉａｎ Ｅｎｃｌａｖｅ实例的生命周期。他使用安全员构建好的ＱｉｎｇＴｉａｎ Ｅｎｃｌａｖｅ镜像文件来启动ＱｉｎｇＴｉａｎ Ｅｎｃｌａｖｅ实例。
ＱｉｎｇＴｉａｎ Ｅｎｃｌａｖｅ应用程序开发人员：开发在ＱｉｎｇＴｉａｎ Ｅｎｃｌａｖｅ中运行的应用程序。在该案例中，该应用程序需要从华为ＯＢＳ服务的Ｂｕｃｋｅｔ１获取密文对象，然后调用ｋｍｓ－ｄｅｃｒｙｐｔ接口对密文进行解密，进行数据处理后，最后将结果输出到Ｂｕｃｋｅｔ２。
数据和环境准备
接下来，我们将概述一下关于数据加密、证明设置和ＱｉｎｇＴｉａｎ Ｅｎｃｌａｖｅ实例创建的相关流程。
安全员在华为云数据加密服务的密钥管理子服务中创建ＫＭＳ密钥。
安全员使用ＫＭＳ密钥加密一段敏感数据（例如银行卡信息）。详细信息可以参考华为云数据加密服务帮助文档中ＡＰＩ参考章节中的应用示例：加解密小量数据。
安全员使用ｏｂｓｕｔｉｌ命令行工具将加密后的密文上传到华为云对象存储服务（ＯＢＳ）的一个桶中。详细信息可以参考华为云对象存储服务帮助文档工具指南章节： 上传对象。
安全员编写并打包ＱｉｎｇＴｉａｎ Ｅｎｃｌａｖｅ开发程序：制作Ｄｏｃｋｅｒ镜像，然后使用ｑｔ命令行工具将Ｄｏｃｋｅｒ镜像转换成ＱｉｎｇＴｉａｎ Ｅｎｃｌａｖｅ镜像文件。可以参考ＱｉｎｇＴｉａｎ Ｅｎｃｌａｖｅ镜像文件制作。并记录创建ＱｉｎｇＴｉａｎ Ｅｎｃｌａｖｅ镜像文件时生成的ＰＣＲ０和ＰＣＲ８。
安全员将ＰＣＲ０和ＰＣＲ８设置为ＩＡＭ访问控制策略的条件键（控制ｋｍｓ－ｄｅｃｒｙｐｔ ＡＰＩ）。
父虚拟机管理员：启动父虚拟机并设置启动ｑｔ－ｐｒｏｘｙ服务，然后使用ＱｉｎｇＴｉａｎ Ｅｎｃｌａｖｅ镜像启动ＱｉｎｇＴｉａｎ Ｅｎｃｌａｖｅ。
远程证明和数据解密
下面我们将概述在ＱｉｎｇＴｉａｎ Ｅｎｃｌａｖｅ应用程序的执行流程。
通过ｑｔ－ｐｒｏｘｙ服务，ＱｉｎｇＴｉａｎ Ｅｎｃｌａｖｅ应用程序将密文从华为ＯＢＳ桶中下载到ＱｉｎｇＴｉａｎ Ｅｎｃｌａｖｅ实例中。
Ｅｎｃｌａｖｅ应用程序产生一对ＲＳＡ公私钥（ｐｕｂＫｅｙ， ｐｒｉＫｅｙ），用于建立与ＫＭＳ服务之间的端到端数据加密（它并不需要依赖ＨＴＴＰＳ）。然后使用ＱｉｎｇＴｉａｎ Ｅｎｃｌａｖｅ ＳＤＫ调用ＫＭＳ提供的支持ＡｔｔｅｓｔａｔｉｏｎＤｏｃｕｍｅｎｔ（证明文档）作为入参的ｋｍｓ－ｄｅｃｒｙｐｔ ＡＰＩ。证明文档中包括ＱｉｎｇＴｉａｎ Ｅｎｃｌａｖｅ的ＰＣＲ值和应用程序产生的加密公钥（ｐｕｂＫｅｙ）。
华为云ＫＭＳ接收并验证证明文档是否由ＱｉｎｇＴｉａｎＡｔｔｅｓｔａｔｉｏｎ ＰＫＩ签发。在ｋｍｓ－ｄｅｃｒｙｐｔ ＡＰＩ的访问控制检查中，会将证明文档中的ＰＣＲ值与ＩＡＭ授权策略中的ＰＣＲ值进行比较，如果匹配成功则允许调用该接口，否则拒绝访问。
ＫＭＳ将数据解密后，然后用ＡｔｔｅｓｔａｔｉｏｎＤｏｃｕｍｅｎｔ提供的ｐｕｂＫｅｙ对数据进行重新加密后发送回ＱｉｎｇＴｉａｎ Ｅｎｃｌａｖｅ应用程序。ＱｉｎｇＴｉａｎ Ｅｎｃｌａｖｅ应用程序使用ｐｒｉＫｅｙ对接收到的密文数据进行解密。
华为云共建智能世界云底座[52] 华为公有云专属云主机DeH服务[51] 华为云场景化解决方案[49] 华为公有云产品[44] 华为云云主机[43] 华为云产品服务[43] 华为云服务器应用[43] 华为弹性云服务器[39] 华为公有云架构解决方案[38] 华为云提供的服务[37] 华为虚拟私有云vpc[37] 华为公有云介绍[32] 华为公有云提供哪些计算服务[30] 华为云漏洞扫描[27] 华为云软件开发服务[27] 华为公有云和私有云区别[27] 华为云域名注册[26] 华为云官网登陆[26] 华为公有云解决方案[26] 华为私有云产品有哪些[26] 华为私有云服务[25] 华为云数据库[23] 华为云安全[22] 华为公有云官网[22] 华为私有云的搭建方案[22] 华为云弹性云服务器应用[21] 华为公有云平台[20] 华为公有云行业解决方案[20] 华为私有云解决方案服务定制领导者[20] [19] 华为私有云服务器[19] 华为私有云网格结构[19] 华为公有云视讯解决方案[18] 华为云官网[17] 华为云速建站[17] 华为私有云架构[17] 华为云优势[16] 华为云服务器[16] 华为私有云部署架构[16] 华为云企业邮箱服务 (SAAS[15] 华为云邮箱[15] 华为公有云是什么[15] 华为公有云架构[15] 华为云迁移解决方案[14] 华为公有云解决方案服务定制领导者[14] 华为私有云解决方案[14] 云邮箱）[13] 华为云园区解决方案[13] 华为云服务总代理[13] 华为云速智能客服[13] 华为公有云服务[13] 华为私有云搭建方案[13] 云与计算咨询服务[12] 云与计算培训服务[11] 华为云备份[11] 华为云服务器配置[11] 华为云服务服务中心[11] 华为云服务核心分销商[11] 华为公有云[11] 华为私有云搭建[11] 云迁移与运营支撑服务[10] 公有云私有云混合云[10] 华为云服务器ECS[10] 华为云服务器成功案例[10] 华为云解决方案[10] 华为公有云通用解决方案[9] 华为智慧云课堂解决方案[9] 华为云数据解决方案[8] 华为云是什么[8] 华为私有云平台[8] 云与计算客户支持与运维使能服务[7] 华为云官网网站[7] 华为云智慧教育解决方案[7] 华为云智慧校园解决方案[7] 华为云桌面系统集成商[7] 华为云经销商[7] 华为代理公司有哪些[7] 华为私有云方案[7] 智慧教育云平台解决方案[7] 华为云服务器试用[6] 华为云网站建设服务器[6] 华为手机代理加盟[6] 华为私有云[6] 大数据使能服务[6] 智慧教育云计算解决方案[6] 华为云云主机 [5] 华为云智慧***解决方案[5] 华为云桌面总代理商[5] 云与计算客户支持服务[4] 华为云产品介绍[4] 华为云智慧制造解决方案[4] 华为云场景化解决方案[3] 华为公有云官网[3] 华为公有云通用解决方案[3] 华为弹性云服务器[3] 华为公有云产品 [3] 华为云产品服务[2] 华为云域名注册[2] 华为云数据库[2] 华为云智慧校园解决方案[2] 华为云服务器应用[2] 华为云服务器成功案例[2] 华为云软件开发服务[2] 华为公有云产品[2] 华为公有云介绍[2] 华为公有云和私有云区别[2] 华为公有云服务[2] 华为公有云架构[2] 华为公有云架构解决方案[2] 华为公有云视讯解决方案[2] 华为公有云解决方案[2] 华为私有云产品有哪些[2] 华为私有云服务[2] 华为私有云架构[2] 智慧教育云计算解决方案[2] 云规划设计与实施服务[2] 云邮箱[2] 华为云产品报价[2] 华为公有云通用解决方案 [2] 华为云服务器成功案例[1] 华为云桌面系统集成商[1] 云与计算客户支持与运维使能服务[1] 云迁移与运营支撑服务[1] 云迁移与运营支撑服务 [1] 华为云共建智能世界云底座[1] 华为云备份[1] 华为云安全[1] 华为云官网登陆[1] 华为云弹性云服务器应用[1] 华为云提供的服务[1] 华为云数据解决方案[1] 华为云智慧制造解决方案[1] 华为云服务器[1] 华为云服务核心分销商 [1] 华为云漏洞扫描[1] 华为云迁移解决方案 [1] 华为云速智能客服[1] 华为云邮箱[1] 华为公有云专属云主机DeH服务[1] 华为公有云是什么[1] 华为公有云行业解决方案[1] 华为私有云搭建[1] 华为私有云方案[1] 华为私有云服务.华为公有云专属云主机DeH服务.华为云产品报价[1] 华为私有云的搭建方案[1] 华为私有云网格结构[1] 华为私有云解决方案[1] 华为私有云部署架构[1] 为云产品服务[1] 云与计算咨询服务 [1] 云与计算客户支持与运维使能服务 [1] 云与计算客户支持与运维使能服务 云与计算客户支持服务[1] 华为云是什么 [1] 华为云软件开发服[1] 华为云速智能客服 [1] 华为代理加盟[1] 华为公有云架构解决方案 [1] 华为公有云解决方案服务定制领导者 [1] 华为弹性云[1] 华为弹性云服务器 华为云域名注册 华为云服务器应用[1] 华为私有云搭建 [1] 华为私有云搭建方案 [1] 华为私有云部署架构 [1] 大数据使能服务 [1] 撒[1]
