> ## Documentation Index
> Fetch the complete documentation index at: https://hilt.ai/docs/llms.txt
> Use this file to discover all available pages before exploring further.

# 加密与密钥管理

> Hilt 如何对传输中和静态的数据加密、如何处理证书，以及密钥由谁持有。

Hilt 使用您云提供商的原生能力对传输中和静态的数据进行加密。由于平台运行在您的账户中，加密密钥也保存在您的账户内。

***

## 传输中

* **外部连接使用 TLS 1.2+。** 采集器到摄取的流量与仪表盘访问使用 TLS 1.2 或更高版本；负载均衡器监听器强制采用 TLS 1.2/1.3 策略。内部服务间流量在您的私有 VPC/VNet 内传输——流式缓冲（Kafka）与仪表盘数据库使用 TLS，其余内部链路依赖该私有网络的隔离。
* **私有网络。** 在 AWS、Azure 和阿里云上，采集器遥测走私有链路（PrivateLink 或等效服务）。GCP v1 中，采集器通过 HTTPS Gateway 访问 `{name}-ingest.hilt.ai`。参见[架构与数据流](https://hilt.ai/docs/zh/trust-security/architecture.md)和 [GCP](https://hilt.ai/docs/zh/deployment/gcp.md)。
* **采集器到摄取。** 采集器通过 HTTPS 走 TCP/443 连接到摄取端点。端点出示一张针对您私有区域签发的证书，采集器据您的 CA 证书链对其进行校验。参见[网络与安全](https://hilt.ai/docs/zh/linux-collector/networking-security.md)。

***

## 证书

证书使用各云的原生证书服务管理：AWS 上的 ACM、GCP 上的 Certificate Manager，以及 Azure 和阿里云上的等效服务。摄取证书针对与您 VPC 关联的私有 DNS 区域签发，因此名称解析和 TLS 校验都在您的账户内完成。

***

## 静态

持久化存储使用您云提供商的原生能力进行静态加密：

| 存储层 | 加密 |
| :- | :- |
| 分析数据库（ClickHouse） | 在底层云卷上使用提供商卷加密 |
| 流式缓冲（Kafka 或 Event Hubs） | 提供商托管的静态加密 |
| 仪表盘数据库（PostgreSQL） | 提供商托管的 KMS 加密（RDS、Cloud SQL 或等效服务） |
| 对象存储（S3、Cloud Storage、Blob、OSS） | 提供商托管的服务端加密（例如 SSE-S3 / AES-256） |

静态加密使用您云提供商在这些存储层上的默认/托管密钥；客户托管密钥（CMK）为可选——参见下方的**密钥归属**部分。

***

## 密钥归属

由于部署运行在您的云账户中，加密密钥位于您账户的密钥管理服务（AWS KMS、Cloud KMS、Azure Key Vault 或阿里云 KMS）中。Hilt 不会在您账户之外持有或托管您的密钥。

存储使用提供商托管密钥还是客户托管密钥（CMK），可能因云和您的配置而异。若要使用由您定义轮换和访问策略的 CMK，请在预配时提出，并向您的 Hilt 代表确认各资源的支持情况。

> [!NOTE]
>
> 在您的 KMS 中撤销或限制某个密钥，会影响平台对其所保护数据的访问，因为这些密钥归您所有。请与您的 Hilt 代表协调密钥策略变更，以免中断部署。

***

## 部署中的密钥与凭据

平台密钥与凭据（数据库凭据和服务身份）由 Terraform 预配到您云的原生密钥与身份服务中，并限定在该部署范围内。在平台支持的情况下，服务间认证使用云原生的工作负载身份（AWS 上的 IAM 角色、GCP 上的 Workload Identity、Azure 上的 Managed Identity、阿里云上的 RAM 角色），而非长期的共享凭据。参见部署指南：[AWS](https://hilt.ai/docs/zh/deployment/aws.md)、[GCP](https://hilt.ai/docs/zh/deployment/gcp.md)、[Azure](https://hilt.ai/docs/zh/deployment/azure.md) 和 [阿里云](https://hilt.ai/docs/zh/deployment/ali-cloud.md)。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.