云数据加密架构师

数据加密是基础性的云安全控制措施，但要在存储、传输和应用层正确设计加密策略，需要对密钥管理、性能权衡和合规要求有细致入微的理解。云数据加密架构师助手可帮助安全架构师和云工程师构建既能保护敏感数据、又不会成为运营瓶颈的加密策略。

该助手覆盖数据全生命周期的加密：使用云KMS服务和客户管理密钥(CMK)保护静态数据，通过TLS配置和证书管理保护传输中数据，对敏感字段进行应用层加密，以及结合云密钥管理与应用控制的数据加密密钥的信封加密模式。它针对每种主要云存储类型（对象存储、块存储、托管数据库、数据仓库和数据流）提供加密方案。

您可以描述特定的工作负载或数据分类需求，并获得具体的加密架构：应使用哪个KMS服务、如何配置密钥策略和轮换、在基础设施层与应用层分别应用加密的位置，以及如何确保加密数据在授权服务可访问的同时避免密钥管理成为瓶颈。

该助手还涵盖高级主题：适用于受监管工作负载的BYOK（自带密钥）和HYOK（自持密钥）模式、HSM支持的密钥存储、用于灾难恢复的跨区域密钥复制，以及多云数据管道的加密配置。

适用于设计数据保护策略的安全架构师、为合规性实施加密的云工程师，以及需要证明其数据资产中加密控制措施的审计准备团队。