日志服务支持对数据进行加密存储，以及使用火山引擎的密钥管理系统 KMS 对日志主题级别数据进行加密存储，本章节介绍使用用户密钥（SSE-KMS）方式对日志服务数据进行加密的操作步骤。

数据加密介绍

使用限制

• 当主密钥被删除或禁用后，用户密钥失效。主密钥失效后，对应日志主题的所有读写请求都会失败。
• 配置数据加密时，选定加密机制后，不支持修改数据加密机制。只能通过在 API 接口中，配置EncryptConf参数的enable参数开启或者关闭加密功能，且后续更新日志主题时，需每次携带完整EncryptConf参数。
  例如第一次选择的是通过日志服务自带的服务密钥加密机制，后续无法修改为用户密钥加密方式。

计费说明

适用场景

配置加密步骤

使用日志服务的服务密钥（SSE-TLS）加密时，直接在调用 API 时，在请求中添加EncryptConf结构参数完成加密设置。
使用用户密钥（SSE-KMS）加密时，需参考如下步骤配置密钥管理系统。

1. 配置密钥管理系统

1. 开通密钥管理系统 KMS，且与日志服务属于同一地域。
2. 创建用户主密钥，并获取密钥 ID，详情请参考密钥管理快速入门，自带密钥。

2. 配置日志服务

1. 配置日志服务跨服务访问 KMS，详情请参考跨服务访问授权。

2. 授权用户角色 KMS 加解密操作权限、KMS 只读权限，配置日志服务信任关系，并记录角色 TRN 。

   1. 登录访问控制 IAM 控制台。

   2. 在左侧导航栏中，单击角色管理。

   3. 搜索待授权的角色，在操作列单击添加权限。

   4. 在所属服务中搜索密钥管理系统，勾选KMSCryptoUserAccess、KMSReadOnlyAccess策略，单击提交。

   5. 单击待授权的角色名称，在信任关系页签，单击编辑信任策略，新增如下内容，单击保存。

      {
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": [
                      "sts:AssumeRole"
                  ],
                  "Principal": {
                      "Service": [
                          "TLS"
                      ]
                  }
              }
          ]
      }
      

   6. 在基本信息中记录角色 TRN。
      

3. 配置数据加密。
   仅支持通过调用 API 实现。调用 API 时，在请求中添加EncryptConf结构参数完成加密设置。支持如下 API：

   API 名称	API 说明
   CreateTopic	创建日志主题，详情请参考 CreateTopic。
   ModifyTopic	修改日志主题信息，详情请参考 ModifyTopic。

请求参数

EncryptConf

EncryptUserCmkConf

接口示例

以使用用户密钥（SSE-KMS）加密为例。

EncryptConf = {
    "enable" : true,            
    "encrypt_type" : "default"  
    "user_cmk_info" :           
    {
          "trn" :  "trn:iam::123456789:role/service_role_for_tls"         
          "region_id" : "ap-southeast-1"      
          "user_cmk_id" : "fc227edb-3682-4577-a3b5xxxxxxxxx"     
    }
}