传输中
- 外部连接使用 TLS 1.2+。 采集器到摄取的流量与仪表盘访问使用 TLS 1.2 或更高版本；负载均衡器监听器强制采用 TLS 1.2/1.3 策略。内部服务间流量在您的私有 VPC/VNet 内传输——流式缓冲（Kafka）与仪表盘数据库使用 TLS，其余内部链路依赖该私有网络的隔离。
- 私有网络。 在 AWS、Azure 和阿里云上，采集器遥测走私有链路（PrivateLink 或等效服务）。GCP v1 中，采集器通过 HTTPS Gateway 访问
{name}-ingest.hilt.ai。参见架构与数据流和 GCP。 - 采集器到摄取。 采集器通过 HTTPS 走 TCP/443 连接到摄取端点。端点出示一张针对您私有区域签发的证书，采集器据您的 CA 证书链对其进行校验。参见网络与安全。
证书
证书使用各云的原生证书服务管理：AWS 上的 ACM、GCP 上的 Certificate Manager，以及 Azure 和阿里云上的等效服务。摄取证书针对与您 VPC 关联的私有 DNS 区域签发，因此名称解析和 TLS 校验都在您的账户内完成。静态
持久化存储使用您云提供商的原生能力进行静态加密：
静态加密使用您云提供商在这些存储层上的默认/托管密钥；客户托管密钥（CMK）为可选——参见下方的密钥归属部分。
密钥归属
由于部署运行在您的云账户中，加密密钥位于您账户的密钥管理服务（AWS KMS、Cloud KMS、Azure Key Vault 或阿里云 KMS）中。Hilt 不会在您账户之外持有或托管您的密钥。 存储使用提供商托管密钥还是客户托管密钥（CMK），可能因云和您的配置而异。若要使用由您定义轮换和访问策略的 CMK，请在预配时提出，并向您的 Hilt 代表确认各资源的支持情况。在您的 KMS 中撤销或限制某个密钥，会影响平台对其所保护数据的访问，因为这些密钥归您所有。请与您的 Hilt 代表协调密钥策略变更，以免中断部署。