应配置kms实现服务端加密：一、为s3兼容存储启用sse-kms；二、为数据库启用tde；三、对本地导出文件用信封加密；四、用kms托管应用凭证；五、为dbfs根目录配置双重kms加密。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在使用WorkBuddy平台处理员工档案、薪资信息、身份证号等敏感数据时，发现其存储未启用加密保护，则可能存在静态数据泄露风险。以下是通过KMS实现服务端加密的具体操作路径：
一、配置S3兼容对象存储的KMS服务端加密
WorkBuddy若将附件、日志或备份文件存于S3协议兼容的对象存储（如阿里云OSS、AWS S3），需在存储桶级别启用KMS驱动的服务器端加密（SSE-KMS），确保数据写入磁盘前自动加密。
1、登录对应云服务商控制台，进入对象存储服务管理页面。
2、定位至WorkBuddy所用的存储桶，点击“属性”或“加密设置”选项卡。
3、启用“服务器端加密”，选择加密类型为SSE-KMS。
4、在密钥选择栏中，指定已创建的客户主密钥（CMK），该密钥必须具备kms:Encrypt和kms:Decrypt权限。
5、保存配置，新上传对象将自动使用该KMS密钥加密，已有对象需手动触发重写（Replicate）以应用加密。
二、为WorkBuddy数据库启用KMS透明数据加密（TDE）
当WorkBuddy后端使用RDS、PolarDB或自建MySQL/PostgreSQL时，可通过云平台提供的TDE功能，利用KMS托管密钥对数据文件、redo日志、临时表空间实施块级加密，无需修改应用代码。
1、进入云数据库控制台，选中WorkBuddy关联的实例。
2、在“参数设置”或“安全设置”中查找Transparent Data Encryption或TDE开关。
3、开启TDE并绑定已授权的KMS CMK，确认密钥策略中包含数据库服务角色的使用权限。
4、重启数据库实例使TDE生效，系统将自动加密现有数据文件及后续所有写入数据。
三、通过KMS信封加密保护本地导出的敏感文件
针对运维人员导出的CSV、Excel等含PII字段的离线文件，应避免明文存储，采用KMS信封加密模式：使用KMS生成短期有效的数据密钥（DEK），仅用该DEK加密文件，再用KMS主密钥（CMK）加密DEK本身，实现密钥与数据分离。
1、调用KMS API GenerateDataKey，指定CMK ID，获取明文DEK和密文DEK。
使用 draw.io（.drawio 格式）和 SVG 生成兼容 Microsoft Visio 的架构图。当用户需要以下任一场景时触发： - 用于 Visio 或技术文档的架构/系统/网络图 - 带连接标注的分层控制系统图 - 将 draw.io XML 转换为稳定、可嵌入的 SVG - 修复 Visio 或 draw.io 无法打开的故障排查类图表 - 任何需专业级布局且文本可编辑的图表
2、使用明文DEK通过AES-256-GCM算法加密本地导出文件，生成加密后文件。
3、将密文DEK与加密文件一同保存，删除内存中明文DEK。
4、解密时，先调用KMS Decrypt接口解密密文DEK，再用还原出的明文DEK解密文件。
四、为WorkBuddy应用凭证启用KMS凭据管理
WorkBuddy连接LDAP、HR系统或支付网关所需的API Key、数据库密码等凭证，禁止硬编码于配置文件或环境变量中，应交由KMS凭据管理模块统一托管，并启用自动轮转机制。
1、在KMS控制台进入“凭据管理”，点击“创建凭据”。
2、选择凭据类型为API密钥或数据库密码，填入对应敏感值。
3、设置自动轮转周期（如90天），并指定轮转时调用的目标服务（如RDS、自定义Lambda函数）。
4、在WorkBuddy应用中集成KMS SDK，通过GetSecretValue动态拉取最新凭据，避免本地缓存明文。
五、配置DBFS根目录KMS双重加密（适用于Databricks集成场景）
若WorkBuddy通过Azure Databricks或类似分析平台访问S3路径中的员工行为日志，需确保DBFS挂载点启用KMS加密，并叠加Unity Catalog的客户托管密钥（CMK）策略，形成双重加密层。
1、在Databricks工作区中，导航至Admin Console > Security > Encryption。
2、启用DBFS Root Encryption with Customer-Managed Key，输入KMS CMK ARN。
3、在Unity Catalog中创建外部位置（External Location），指定s3a://路径，并在加密配置中声明SSE-KMS算法及CMK ID。
4、验证查询语句执行时，请求头自动携带x-amz-server-side-encryption: aws:kms及x-amz-server-side-encryption-aws-kms-key-id字段。
