HCP Terraform 现已提供自主密钥（HYOK）选项用于工件加密
内容提要
HashiCorp于2025年7月31日推出HCP Terraform的HYOK支持，客户可完全控制加密密钥，确保敏感数据在离开网络前加密，满足合规要求。HYOK通过轻量级代理和短期加密令牌实现，生成加密状态和计划文件，增强安全性和合规性。目前该功能仅对HCP Terraform高级客户开放。
延伸解读
HYOK的合规性优势
HYOK功能确保敏感数据在离开客户网络前进行加密，这对于需要遵循严格合规要求的行业尤为重要。通过使用客户控制的密钥，组织能够更好地满足数据主权和隐私保护的法律法规，降低合规风险。
与其他平台的比较
虽然许多云服务提供商也支持客户管理加密密钥（CMEK）或HYOK模型，但HashiCorp的HYOK专注于Terraform状态和计划文件的加密，确保在客户网络内完成加密操作。这种独特的实现方式使其在基础设施即代码（IaC）领域中具有竞争优势。
HYOK的实施细节
HYOK的工作流程依赖于轻量级代理和短期加密令牌，这要求客户在网络内进行一定的基础设施配置。组织在实施时需关注代理的部署和密钥管理，以确保加密过程的顺利进行和安全性。
Q&A
HCP Terraform的HYOK功能是什么？
HYOK功能允许客户完全控制用于保护Terraform工件的加密密钥，确保敏感数据在离开客户网络前加密。
HYOK如何增强数据安全性和合规性？
HYOK通过在客户网络内加密工件，确保明文秘密不经过HashiCorp基础设施，从而满足合规要求并提高安全性。
HYOK的工作流程是怎样的？
HYOK工作流程涉及在客户网络内的轻量级代理，使用客户控制的密钥生成加密状态和计划文件，并提供去除敏感信息的版本。
HYOK目前对哪些客户开放？
HYOK功能目前仅对HCP Terraform的高级客户开放。
与其他公司的HYOK实现相比，HashiCorp的HYOK有什么独特之处？
HashiCorp的HYOK专注于Terraform状态和计划文件的加密，支持多云KMS系统，并在工件离开客户网络前进行加密，具有独特性。
HYOK如何支持多云环境？
HYOK支持Vault、AWS KMS、Azure Key Vault和Google Cloud KMS等多种云KMS系统，提供灵活的加密解决方案。
