Adatok titkosítása az Azure Cosmos DB-ben

  • Cikk
  • 3 perc alatt elolvasható

A KÖVETKEZŐKRE VONATKOZIK: SQL API Cassandra API Gremlin API Table API MongoDB-hez készült Azure Cosmos DB API

Az inaktív adatok titkosítása olyan kifejezés, amely általában nemvolatilis tárolóeszközökön, például SSD-meghajtókon és merevlemez-meghajtókon (HDD-k) történő adattitkosításra utal. A Cosmos DB az elsődleges adatbázisait SSD-kben tárolja. A médiamellékletek és a biztonsági másolatok tárolása az Azure Blob Storage-ban történik, amelyről általában a HDD-k biztonsági másolatot készítenek. Mivel a Cosmos DB inaktív állapotban van, az összes adatbázis, médiamelléklet és biztonsági másolat titkosítva lesz. Az adatok átvitel közben (a hálózaton keresztül) és inaktív állapotban (nemvolatile storage) titkosítva vannak, így teljes körű titkosítást kap.

PaaS-szolgáltatásként az Azure Cosmos DB nagyon könnyen használható. Mivel az Azure Cosmos DB-ben tárolt összes felhasználói adat titkosítva van inaktív állapotban és átvitel közben, nem kell semmilyen műveletet elvégeznie. Ezt úgy is megteheti, hogy az inaktív adatok titkosítása alapértelmezés szerint be van kapcsolva. Nincs ki- vagy bekapcsolható vezérlő. Az Azure Cosmos DB AES-256 titkosítást használ minden olyan régióban, ahol a fiók fut. Ezt a funkciót addig biztosítjuk, amíg továbbra is teljesítjük a rendelkezésre állási és teljesítmény-SLA-kat. Az Azure Cosmos-fiókban tárolt adatok automatikusan és zökkenőmentesen titkosítva lesznek a Microsoft által kezelt kulcsokkal (szolgáltatás által felügyelt kulcsokkal). Másik lehetőségként hozzáadhat egy második titkosítási réteget a saját kulcsaival, az ügyfél által felügyelt kulcsokkal foglalkozó cikkben leírtak szerint.

Inaktív állapotú titkosítás megvalósítása az Azure Cosmos DB-ben

Az inaktív adatok titkosítása számos biztonsági technológiával valósítható meg, beleértve a biztonságos kulcstároló rendszereket, a titkosított hálózatokat és a titkosítási API-kat. Az adatokat visszafejtő és feldolgozó rendszereknek kommunikálniuk kell a kulcsokat kezelő rendszerekkel. Az ábra a titkosított adatok tárolásának és a kulcsok kezelésének elkülönítését mutatja be.

Design diagram

A felhasználói kérések alapvető folyamata a következő:

  • A felhasználói adatbázisfiók készen áll, és a tárolási kulcsok lekérése a felügyeleti szolgáltatás erőforrás-szolgáltatójának küldött kérésen keresztül történik.
  • A felhasználó HTTPS/biztonságos átvitelen keresztül hoz létre kapcsolatot a Cosmos DB-hez. (Az SDK-k elvonják a részleteket.)
  • A felhasználó egy JSON-dokumentumot küld a korábban létrehozott biztonságos kapcsolaton keresztüli tároláshoz.
  • A JSON-dokumentum indexelve van, kivéve, ha a felhasználó kikapcsolta az indexelést.
  • A JSON-dokumentum és az index adatai is biztonságos tárolóba vannak írva.
  • A rendszer rendszeres időközönként beolvassa az adatokat a biztonságos tárolóból, és biztonsági másolatot készít az Azure Encrypted Blob Store-ba.

Gyakori kérdések

K: Mennyibe kerül az Azure Storage, ha Storage Service Encryption engedélyezve van?

Válasz: Nincs további költség.

K: Who kezeli a titkosítási kulcsokat?

Válasz: Az Azure Cosmos-fiókban tárolt adatok automatikusan és zökkenőmentesen titkosítva lesznek a Microsoft által szolgáltatás által kezelt kulcsokkal. Másik lehetőségként hozzáadhat egy második titkosítási réteget is, amelynek kulcsait az ügyfél által felügyelt kulcsokkal vagy CMK-val kezelheti.

K: Milyen gyakran forgatják el a titkosítási kulcsokat?

Válasz: A Microsoft rendelkezik a titkosítási kulcsok rotálására vonatkozó belső irányelvekkel, amelyeket a Cosmos DB követ. A konkrét irányelvek nem kerülnek közzétételre. A Microsoft közzéteszi a biztonsági fejlesztési életciklust (SDL), amely a belső útmutatók részhalmaza, és hasznos gyakorlati tanácsokkal rendelkezik a fejlesztők számára.

K: Használhatom a saját titkosítási kulcsaimat?

Válasz: Igen, ez a funkció már elérhető az új Azure Cosmos DB-fiókokhoz, és ezt a fiók létrehozásakor kell elvégezni. További információért tekintse át az ügyfél által kezelt kulcsok dokumentumát.

K: Mely régiókban van bekapcsolva a titkosítás?

Válasz: Minden Azure Cosmos DB-régióban be van kapcsolva a titkosítás az összes felhasználói adathoz.

K: Befolyásolja a titkosítás a teljesítménykésés és az átviteli sebesség SLA-it?

Válasz: A teljesítmény-SLA-k nincsenek hatással vagy módosulnak, mivel az inaktív adatok titkosítása minden meglévő és új fiók esetében engedélyezve van. A cosmos DB-hez készült SLA oldalán további információt talál a legújabb garanciákról.

K: Támogatja a helyi emulátor az inaktív adatok titkosítását?

Válasz: Az emulátor egy különálló fejlesztési/tesztelési eszköz, és nem használja a felügyelt Cosmos DB szolgáltatás által használt kulcskezelési szolgáltatásokat. Javasoljuk, hogy engedélyezze a BitLockert olyan meghajtókon, amelyeken bizalmas emulátor tesztadatokat tárol. Az emulátor támogatja az alapértelmezett adatkönyvtár módosítását , valamint egy jól ismert hely használatát.

Következő lépések