一、功能简介
谁能操作：超级管理员或拥有部署与加密权限的管理员
Lark 使用密钥来保障企业的数据安全，客户数据经过密钥加密后存储到云数据库中，实现在云端的安全存储。
Lark 提供自主密钥服务，将密钥的管理权交给企业。企业可以使用自己提供的密钥代替 Lark 默认的密钥，从而提高企业对密钥系统的自主掌控能力。
自主密钥支持企业按照业务线导入，业务线包括：消息、在线文档、视频会议、日程、邮件和其他。企业可以自主选择全部业务线用同一密钥加密，也可以选择不同业务线用不同密钥加密（推荐）。
企业管理员可以更换密钥，更换后产生的数据将采用新密钥加密，旧密钥仅用于历史数据解密。
二、操作流程
- 导入密钥
1.1 进入导入流程
进入 Lark 管理后台 > 安全 > 部署与加密 > 自主密钥高级版。
250px|700px|reset
1.2 选择公钥算法
在步骤一，选择公钥算法，确认后点击 下一步。（推荐使用 RSA2048_RSAES_OAEP_SHA256）
250px|700px|reset
1.3 下载公钥文件
在步骤二，可以选择复制公钥或者下载公钥的方式获取公钥。推荐使用下载公钥方式，直接在本地保存名为 PublicKey_base64.txt 的文件。确认后点击 下一步。
250px|700px|reset
注：公钥过期时间为“公钥生成时间 + 24h”。
1.4 本地生成并加密自主密钥
- 本地新建文件夹 KeyImport，并进入该文件夹
- 根据使用者的 Windows系统类型，下载对应脚本至文件夹 KeyImport 中
- 将步骤 1.3 中下载的公钥文件 PublicKey_base64.txt，放入文件夹 KeyImport 中
- 打开终端，进入到 KeyImport 目录下
- 进入 KeyImport 目录的方式：输入 cd 后，再输入空格，然后鼠标选中文件夹 KeyImport，并拖入命令行工具，点击回车后就可以进入 KeyImport 目录。
- 生成自主密钥，并使用公钥对自主密钥进行加密
- 在终端输入加密命令。用户需要根据步骤 1.3 中选择的公钥算法，选择密钥类型后，输入对应的命令。目前 Lark 支持 AES_256_GCM（推荐使用）、SM4_128_GCM 两种密钥类型，用户可自行选择。公钥算法、密钥类型和输入命令的对应关系如下表所示：
- 文件夹 KeyImport 下将会生成文件 MasterKey_hex（自主密钥明文）和 PublicEncryptedMasterKey_base64.txt（自主密钥密文）两个文件。PublicEncryptedMasterKey_base64.txt 即为需要上传的自主密钥密文。
250px|700px|reset
注：请务必保管好密钥 ID（导入后展示）、自主密钥明文文件（内含自主密钥明文），便于特殊情况下查看与密钥 ID 对应的相关信息和密钥明文。
1.5 密钥上传
在步骤三，需输入密钥名称，选择与上一步对应的密钥类型，选择需要加密的对应业务，将加密好的自主密钥密文件 PublicEncryptedMasterKey_base64.txt 的内容复制粘贴至密钥上传框内。推荐不同业务线导入不同密钥加密。
250px|700px|reset
250px|700px|reset
点击 导入密钥，出现弹窗，确认无误后，点击 导入新密钥。
250px|700px|reset
1.6 导入成功
用户确认导入密钥后，系统会判断用户提交的密钥名称、自主密钥密文是否合法、判断密钥长度是否与密钥算法相符，不同的算法所需初始密钥长度不一致。若各项参数合法，自主密钥将会上传成功，收到自主密钥导入成功的提示。
若用户完成全部业务线的加密，将会出现以下提示页面。
250px|700px|reset
若用户还有其他业务线没有导入自主密钥加密，则自主密钥导入成功的提示页面会提醒还未设置自主密钥的业务线。用户需点击 继续导入密钥，对其他未加密的业务线导入密钥加密。下图为用户仅导入消息业务线密钥后页面提示：
250px|700px|reset
- 查看与更换密钥
- 导入成功后返回列表，新上传的密钥将出现在列表中。
- 原导入自主密钥按钮移至界面右上角，更名为更换密钥，位置移动前后点进去操作流程完全一致。
- 密钥列表将会出现该密钥记录，状态标记为启用中 。
250px|700px|reset
注：由于实际情况中，导入或更换的密钥不会立即生效，需要在 5 分钟内刷新缓存才能生效。因此规定 10 分钟内，若用户再次点击 导入自主密钥 或 更换密钥，将不进入导入步骤。
三、常见问题