> ## Documentation Index
> Fetch the complete documentation index at: https://docs.kasoftware.com/llms.txt
> Use this file to discover all available pages before exploring further.

# 靜態加密

> 知行之橋如何使用 AES-256 加密靜態訊息資料，包括 EncryptionAtRestMode 設定、各模式及運維注意事項。

知行之橋 支援對[訊息資料](https://docs.kasoftware.com/26.4/self-hosted/zh-Hant/getting-started/administration/activity.md#訊息日誌)進行應用程式級靜態加密。啟用後，知行之橋 內部儲存目錄中的所有資料檔案都會使用流式 AES-256-GCM 自動加密，無需更改現有工作流程。靜態加密有助於滿足 PCI DSS、HIPAA、GDPR 和 SOX 等標準的資料保護要求。

加密適用於所有端口內部儲存位置（Send、Receive、Logs、Pending 和臨時目錄）中的訊息資料。

> [!WARNING]
>
> 靜態加密的訊息資料只能使用主要金鑰解密。如果配置了[自定義主要金鑰](https://docs.kasoftware.com/26.4/self-hosted/zh-Hant/getting-started/installation/custom-master-key.md)但丟失了該金鑰，加密的訊息資料將**無法恢復**。啟用前請實施安全的金鑰備份和恢復流程。

以下物件不受此功能加密：

* 配置檔案：敏感配置值由 知行之橋 的現有機制單獨加密。
* 應用程式資料庫。

在**系統設定 > 安全**的**附加設定**部分配置加密。預設停用。可選擇以下模式：

| 模式 | 寫入行為 | 讀取行為 |
| - | - | - |
| **Disabled** | 僅寫入明文 | 僅讀取明文 |
| **Compatibility** | 寫入明文 | 可讀取加密檔案和明文檔案 |
| **Standard** | 寫入加密檔案 | 可讀取加密檔案和明文檔案 |
| **Strict** | 寫入加密檔案 | 僅讀取加密檔案；遇到明文檔案時報錯 |

* **Disabled** 是預設值，必須顯式啟用加密。
* **Standard** 適合大多數使用者：加密新檔案，同時繼續接受現有明文檔案。
* **Compatibility** 寫入明文但可以讀取加密檔案和明文檔案，是在其他模式之間安全切換的過渡模式。它不會主動加密；要開始加密，請使用 **Standard**。
* **Strict** 適用於絕不允許接受明文檔案的高安全性或合規環境。

> [!NOTE]
>
> 更改加密模式後必須重新啟動 知行之橋 才會生效。

## 移轉現有資料

啟用加密不會追溯加密磁碟上的現有檔案。在 **Compatibility** 和 **Standard** 模式下，知行之橋 會自動識別檔案是否加密，並讀取現有明文檔案而不做修改；只有在下次寫入檔案時才會加密。

**Strict** 會拒絕所有明文檔案，因此在儲存目錄中仍有明文訊息檔案時不要切換到該模式。典型移轉路徑如下：

1. 選擇 **Standard**，使新檔案以加密形式寫入，同時接受現有明文檔案。
2. 透過正常執行，讓 Send、Receive、Pending、Logs 和臨時目錄中的現有明文檔案被處理並清除。
3. 只剩加密檔案後，切換到 **Strict** 強制只讀取加密檔案。

叢集部署請遵循[在叢集環境中切換模式](#在叢集環境中切換模式)。

> [!NOTE]
>
> 如果仍存在明文檔案，或外部系統仍在向 FTP/SFTP Server 根目錄寫入明文，就切換到 **Strict**，這些檔案將報錯。請參閱 [FTP Server 和 SFTP Server 注意事項](#ftp-server-和-sftp-server-注意事項)。

## 在叢集環境中切換模式

在[叢集](https://docs.kasoftware.com/26.4/self-hosted/zh-Hant/getting-started/administration/clustering.md)部署中，所有節點共享配置和訊息儲存。模式更改僅在重新啟動後生效，因此滾動重啟期間各節點會短暫執行不同模式。若節點遇到當前模式無法讀取的檔案（Disabled 節點讀取加密檔案，或 Strict 節點讀取明文檔案），會產生硬錯誤。

請按 **Disabled → Compatibility → Standard → Strict** 的順序逐級切換，並在每一步完成所有節點的完整重啟，不要跳過中間模式。

**啟用加密：**

1. 設定為 **Compatibility** 並重啟所有節點。所有節點均可讀取加密檔案，但仍寫入明文。
2. 設定為 **Standard** 並重啟所有節點。節點開始寫入加密檔案，而所有節點已經能夠讀取。
3. 等待所有明文檔案清除。
4. 設定為 **Strict** 並重啟所有節點。

**停用加密：**

1. 設定為 **Standard** 並重啟所有節點。
2. 設定為 **Compatibility** 並重啟所有節點。節點重新寫入明文，同時繼續讀取積壓的加密檔案。
3. 等待所有加密檔案清除。
4. 設定為 **Disabled** 並重啟所有節點。

> [!NOTE]
>
> 單節點部署沒有滾動視窗，可以直接切換到目標模式，但仍不能在存在明文檔案時選擇 **Strict**，或在存在加密檔案時選擇 **Disabled**。

## 透明執行

* 加密和解密自動進行，使用者和現有工作流程無需更改。
* 檔案在 知行之橋 內部靜態儲存時加密，傳遞給下游端口和交易夥伴時為明文。
* 加密使用 知行之橋 現有的[主要金鑰](https://docs.kasoftware.com/26.4/self-hosted/zh-Hant/getting-started/installation/custom-master-key.md)機制，無需額外配置金鑰。
* 啟用加密可能影響效能，但檔案大小開銷可忽略不計。

## FTP Server 和 SFTP Server 注意事項

靜態加密適用於 [FTP Server](https://docs.kasoftware.com/26.4/self-hosted/zh-Hant/connectors/ftp-server.md) 和 [SFTP Server](https://docs.kasoftware.com/26.4/self-hosted/zh-Hant/connectors/sftp-server.md) 端口使用的根目錄。

* 在 **Compatibility** 或 **Standard** 模式下，外部 SFTP 和 FTP 用戶端仍可向根目錄寫入明文檔案，知行之橋 會正常接受並處理。
* 在 **Strict** 模式下，僅接受加密檔案；直接寫入明文的外部系統會遇到錯誤。

如果外部系統直接寫入 FTP 或 SFTP Server 根目錄，請避免使用 **Strict**。

## 金鑰管理

靜態加密使用 知行之橋 現有的主要金鑰（該金鑰也用於保護敏感設定值），無需單獨設定。有關詳情，請參閱[自定義主要金鑰](https://docs.kasoftware.com/26.4/self-hosted/zh-Hant/getting-started/installation/custom-master-key.md)。

### 輪換主要金鑰

輪換主要金鑰不會重新加密訊息資料，也不會使現有加密檔案無法讀取。靜態加密採用金鑰層次結構：主要金鑰保護內部資料金鑰，內部資料金鑰再保護每個檔案的加密金鑰。因此，輪換隻會重新封裝內部金鑰，不會重寫所有檔案。輪換前加密的檔案仍可讀取，無需批次重新加密。

請按照[自定義主要金鑰](https://docs.kasoftware.com/26.4/self-hosted/zh-Hant/getting-started/installation/custom-master-key.md)中的流程輪換主要金鑰。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.