CSEK（客户端加密密钥）

本页面讨论了客户端加密，即在数据发送到 Cloud Storage 之前执行的任何数据加密。如需了解其他加密选项，请参阅数据加密选项。

执行客户端加密时，您必须创建和管理自己的加密密钥，并且，在将数据发送到 Cloud Storage 之前，您必须使用您自己的工具对数据进行加密。您在客户端加密的数据将以加密状态到达 Cloud Storage，而 Cloud Storage 不知道您用于加密数据的密钥。

当 Cloud Storage 接收您的数据时，数据会被再次加密。第二次加密被称为服务器端加密，Cloud Storage 负责管理此次加密。检索数据时，Cloud Storage 会移除服务器端加密层，但您必须自行解密客户端加密层。

您可以使用开源加密 SDK Tink 执行客户端加密，然后使用 Cloud Key Management Service 保护您的密钥。如需了解详情，请参阅使用 Tink 和 Cloud Key Management Service 进行客户端加密。

警告： Cloud Storage 无法确定您的数据是否已在客户端加密，也无法知晓您的客户端加密密钥。您必须安全地管理客户端密钥并确保它们不会丢失。如果您丢失密钥，您将不再能够读取数据，并且在删除对象之前，您仍然需要为对象的存储付费。