本页面讨论了客户端加密，即在数据发送到 Cloud Storage 之前执行的任何数据加密。如需了解其他加密选项，请参阅数据加密选项。
执行客户端加密时，您必须创建和管理自己的加密密钥，并且，在将数据发送到 Cloud Storage 之前，您必须使用您自己的工具对数据进行加密。您在客户端加密的数据将以加密状态到达 Cloud Storage，而 Cloud Storage 不知道您用于加密数据的密钥。
当 Cloud Storage 接收您的数据时，数据会被再次加密。第二次加密被称为服务器端加密，Cloud Storage 负责管理此次加密。检索数据时，Cloud Storage 会移除服务器端加密层，但您必须自行解密客户端加密层。
您可以使用开源加密 SDK Tink 执行客户端加密，然后使用 Cloud Key Management Service 保护您的密钥。如需了解详情，请参阅使用 Tink 和 Cloud Key Management Service 进行客户端加密。