Geo Key Manager 提供了对您的私有 SSL/TLS 密钥（Cloudflare 用来解密您的 HTTPS 流量的加密密钥）存储位置的增强控制。通过限制这些密钥的存储位置，您可以确保符合区域数据法规和安全要求。
默认情况下，您的私有密钥会被加密并安全地分发到每个 Cloudflare 数据中心，并在那里用于本地 TLS 终止（解密传入 HTTPS 流量的过程）。Geo Key Manager 允许您选择要将私有密钥存储在哪里。
Geo Key Manager 曾仅限于美国、欧盟和高安全级别数据中心，但在 封闭测试版 ↗ 的新版本 Geo Key Manager 中，您现在可以创建存储私有密钥的国家的“允许列表”（allowlists）和“阻止列表”（blocklists）。这意味着您将能够定义存储密钥的特定地理位置，例如您可以专门将私有密钥存储在澳大利亚，或将私有密钥存储限制在欧盟和英国。
Geo Key Manager 使用自己的基于国家的存储模型，独立于 Regional Services 区域。有关每个 Data Localization Suite 功能支持的区域，请参阅 区域支持。
下图显示了当最终用户连接到不持有您私有密钥的 Cloudflare 数据中心时会发生什么。因为 TLS 终止需要私有密钥，所以本地数据中心必须从授权区域内的数据中心请求临时会话密钥（短期的对称加密密钥）。一旦建立会话密钥，本地数据中心就可以在连接的剩余时间内解密流量，而无需再次联系持有密钥的数据中心。这个额外步骤会在第一个请求中增加延迟，如果持有密钥的数据中心地理位置较远，这可能长达一秒。
sequenceDiagram
participant User as End user
participant CloudflarePoP as Closest data center without TLS Key
participant CloudflarePoPwTLS as Data center with TLS Key
User->>CloudflarePoP: Initial request
Note right of CloudflarePoP: Closest data center cannot decrypt
CloudflarePoP-->>CloudflarePoPwTLS: Requests TLS Signature
CloudflarePoPwTLS-->>CloudflarePoP: Sends TLS Signature in order to establish Session Key
Note right of CloudflarePoP: Decrypts and performs business logic (for example, WAF, Configuration Rules, Load Balancing)
CloudflarePoP-->>User: Subsequent requests use the Session Key
User-->>CloudflarePoP: Subsequent requests use the Session Key
有关设置和受支持选项的详细信息，请参阅 Geo Key Manager 文档。