VIP20
本课程属于：022-对象存储加密密钥边界蓝图 密码学工程与数据安全 · 共 20 门相关课程，组合学习更完整。
查看所属VIP全部课程 →
← 返回所属目录 咨询 / 购买

从零搭建对象存储加密密钥边界项目

共计 30 章节
点击此处阅读海量试读课程：100+行业、1000+细分领域
01
项目概述
什么是对象存储加密密钥边界？应用场景…
项目概述什么是对象存储加…
02
技术选型
对象存储方案（MinIO/S3兼容） · 加密算法（AES-GCM） · 密钥管理（KMS）
技术选型MinIO/S3
03
环境准备
Linux服务器配置 · Docker安装 · Python 3.10+及依赖安装
环境准备Linux
04
MinIO快速搭建
单机部署 · 访问控制 · Bucket创建
MinIO快速搭建
05
对称加密基础
AES-GCM原理 · IV与认证标签 · Python实现加密/解密
对称加密基础AES-GCM
06
非对称加密基础
RSA与ECC · 密钥对生成 · 数字信封概念
非对称加密基础RSA
07
密钥生成与存储
使用Python生成AES-256密… · 安全存储到本地文件系统
密钥生成存储
08
密钥生命周期管理
密钥轮换 · 废弃 · 安全删除策略
密钥生命周期管理密钥轮换
09
本地密钥保护
使用操作系统的密钥链（Keychai…
本地密钥保护Keychai
10
远程密钥服务（KMS）
搭建简易KMS（使用Flask +… · 提供密钥生成/获取API
KMS远程密钥服务
11
KMS认证与授权
HMAC签名 · JWT令牌 · 管理
KMS认证
12
客户端加密模式
客户端生成数据密钥（DEK） · 用KMS主密钥（KEK）加密DEK
客户端加密模式DEK
13
上传流程
加密文件内容 -> 将加密后的DEK…
上传流程DEK
14
下载流程
从MinIO获取文件及加密DEK -…
下载流程MinIO
15
边界安全概念
为什么需要“加密密钥边界”？数据平面…
边界安全概念为什么需要“加密…
16
边界网络隔离
使用Docker网络命名空间 · iptables规则限制KMS访问来…
边界网络隔离Docker
17
边界身份与访问管理（IAM）
基于角色的访问控制（RBAC）设计
IAM边界身份
18
审计日志
记录密钥操作（生成 · 解密 · 轮换）并集中存储到Elasticse…
审计日志记录密钥操作
19
密钥使用配额
限制每个客户端每小时可调用KMS解密… · 防止滥用
密钥使用配额KMS
20
多租户隔离
为不同租户分配不同的KMS主密钥 · 数据加密密钥互不可见
多租户隔离KMS
21
端到端加密
客户端加密后再上传 · 服务端仅做存储和解密代理
端到端加密客户端加密后再上…
22
零信任架构
每次操作都需要验证身份与权限 · 不使用隐式信任
零信任架构每次操作都需要验…
23
性能优化
加密/解密线程池 · 缓存常用密钥减少KMS调用
性能优化加密
24
高可用与容错
MinIO多节点集群 · KMS主从复制
高可用容错
25
灾难恢复
密钥备份（Shamir秘密分享） · 跨区域灾备方案
灾难恢复Shamir
26
安全审计与合规
使用OWASP ZAP扫描 · PCI DSS要求检查
安全审计合规
27
测试策略
单元测试（pytest） · 集成测试（MinIO Mock） · 渗透测试
测试策略pytest
28
CI/CD流水线
GitHub Actions自动化构… · 部署 · 安全扫描
CI/CD流水线
29
生产环境部署
Kubernetes编排 · Helm Chart · Ingress配置
生产环境部署Kubernetes
30
项目总结与展望
经验教训 · 可能的改进方向 · 扩展思考
项目总结经验教训