Enkripsi ganda Azure Database for MySQL Infrastructure

BERLAKU UNTUKAzure Database for MySQL - Server Tunggal

Azure Database for MySQL menggunakan enkripsi penyimpanan data saat istirahat untuk data menggunakan kunci terkelola Microsoft. Data, termasuk cadangan, dienkripsi pada disk dan enkripsi ini selalu menyala dan tidak dapat dinonaktifkan. Enkripsi menggunakan modul kriptografi tervalidasi FIPS 140-2 dan cipher AES 256-bit untuk enkripsi penyimpanan Azure.

Enkripsi ganda infrastruktur menambahkan enkripsi lapisan kedua menggunakan kunci yang dikelola layanan. Ini menggunakan modul kriptografi yang divalidasi FIPS 140-2, tetapi dengan algoritma enkripsi yang berbeda. Ini memberikan lapisan perlindungan tambahan untuk data tidak aktif Anda. Kunci yang digunakan dalam enkripsi ganda Infrastruktur juga dikelola oleh layanan Azure Database for MySQL. Enkripsi ganda infrastruktur tidak diaktifkan secara default karena lapisan enkripsi tambahan dapat memiliki dampak performa.

Catatan

Seperti enkripsi data saat tidak aktif, fitur ini hanya didukung pada penyimpanan "Penyimpanan Tujuan Umum v2 (dukungan hingga 16 TB)" yang tersedia dalam tingkatan harga Tujuan Umum dan Memori Dioptimalkan. Lihat Konsep penyimpanan untuk detail selengkapnya. Untuk batasan lainnya, lihat bagian batasan.

Enkripsi Lapisan Infrastruktur memiliki manfaat diimplementasikan pada lapisan yang paling dekat dengan perangkat penyimpanan atau kabel jaringan. Azure Database for MySQL mengimplementasikan dua lapisan enkripsi menggunakan kunci yang dikelola layanan. Meskipun masih secara teknis di lapisan layanan, sangat dekat dengan perangkat keras yang menyimpan data tidak aktif. Anda masih dapat mengaktifkan enkripsi data tidak aktif secara opsional menggunakan kunci terkelola pelanggan untuk server MySQL yang disediakan.

Implementasi pada lapisan infrastruktur juga mendukung keragaman kunci. Infrastruktur harus menyadari berbagai kluster mesin dan jaringan. Dengan demikian, kunci yang berbeda digunakan untuk meminimalkan radius ledakan serangan infrastruktur dan berbagai kegagalan perangkat keras dan jaringan.

Catatan

Menggunakan enkripsi ganda Infrastruktur akan memiliki dampak 5-10% pada throughput server Azure Database for MySQL Anda karena proses enkripsi tambahan.

Keuntungan

Enkripsi ganda infrastruktur untuk Azure Database for MySQL memberikan manfaat berikut:

  1. Keragaman tambahan implementasi kripto - Rencana perpindahan ke enkripsi berbasis perangkat keras akan semakin mendiversifikasi implementasi dengan menyediakan implementasi berbasis perangkat keras selain implementasi berbasis perangkat lunak.
  2. Kesalahan implementasi - Dua lapisan enkripsi pada lapisan infrastruktur melindungi terhadap kesalahan dalam penembolokan atau manajemen memori dalam lapisan yang lebih tinggi yang memaparkan data teksbersih. Selain itu, kedua lapisan juga memastikan terhadap kesalahan dalam implementasi enkripsi secara umum.

Kombinasi ini memberikan perlindungan yang kuat terhadap ancaman umum dan kelemahan yang digunakan untuk menyerang kriptografi.

Skenario yang didukung dengan enkripsi ganda infrastruktur

Kemampuan enkripsi yang disediakan oleh Azure Database for MySQL dapat digunakan bersamaan. Di bawah ini adalah ringkasan dari berbagai skenario yang dapat Anda gunakan:

## Enkripsi default Enkripsi ganda infrastruktur Enkripsi data menggunakan kunci yang dikelola pelanggan
1 Ya Tidak Tidak
2 Ya Ya Tidak
3 Ya Tidak Ya
4 Ya Ya Ya

Penting

  • Skenario 2 dan 4 dapat memperkenalkan penurunan keluaran 5-10 persen berdasarkan jenis beban kerja untuk Server Azure Database for MySQL karena lapisan enkripsi infrastruktur tambahan.
  • Mengonfigurasi enkripsi ganda Infrastruktur untuk Azure Database for MySQL hanya diperbolehkan selama membuat server. Setelah server disediakan, Anda tidak dapat mengubah enkripsi penyimpanan. Namun, Anda masih dapat mengaktifkan Enkripsi Data menggunakan kunci yang dikelola pelanggan untuk server yang dibuat dengan/tanpa enkripsi ganda infrastruktur.

Batasan

Untuk Azure Database for MySQL, dukungan untuk enkripsi ganda infrastruktur memiliki beberapa batasan -

  • Dukungan untuk fungsi ini terbatas pada tingkat harga Tujuan Umum dan Memori Dioptimalkan.

  • Fitur ini hanya didukung di wilayah dan server, yang mendukung penyimpanan tujuan umum v2 (hingga 16 TB). Untuk daftar wilayah Azure yang mendukung penyimpanan hingga 16 TB, lihat bagian penyimpanan dalam dokumentasi di sini

    Catatan

    • Semua server MySQL baru dibuat di wilayah Azure yang mendukung penyimpanan tujuan umum v2, dukungan untuk enkripsi dengan kunci manajer pelanggan tersedia. Server Point In Time Restored (PITR) atau replika baca tidak akan memenuhi syarat meskipun secara teori mereka 'baru'.
    • Untuk memvalidasi apakah server yang disediakan mendukung penyimpanan tujuan umum v2, Anda dapat membuka blade tingkat harga di portal dan melihat ukuran penyimpanan maksimum yang didukung oleh server yang disediakan. Jika Anda dapat memindahkan penggeser hingga 4 TB, server Anda berarti menggunakan penyimpanan tujuan umum v1 dan tidak akan mendukung enkripsi dengan kunci yang dikelola pelanggan. Namun, data dienkripsi menggunakan kunci yang dikelola layanan setiap saat. Silakan hubungi AskAzureDBforMySQL@service.microsoft.com jika Anda memiliki pertanyaan.

Langkah berikutnya

Pelajari cara menyiapkan enkripsi ganda Infrastruktur untuk database Azure for MySQL.