Podwójne szyfrowanie infrastruktury usługi Azure Database for PostgreSQL
DOTYCZY:
Azure Database for PostgreSQL — pojedynczy serwer
Ważne
Usługa Azure Database for PostgreSQL — pojedynczy serwer znajduje się na ścieżce wycofania. Zdecydowanie zalecamy uaktualnienie do usługi Azure Database for PostgreSQL — serwer elastyczny. Aby uzyskać więcej informacji na temat migracji do usługi Azure Database for PostgreSQL — serwer elastyczny, zobacz Co się dzieje z usługą Azure Database for PostgreSQL — pojedynczy serwer?.
Usługa Azure Database for PostgreSQL używa szyfrowania magazynu danych magazynowanych na potrzeby danych przy użyciu kluczy zarządzanych przez firmę Microsoft. Dane, w tym kopie zapasowe, są szyfrowane na dysku, a to szyfrowanie jest zawsze włączone i nie można ich wyłączyć. Szyfrowanie używa zweryfikowanego modułu kryptograficznego FIPS 140-2 oraz 256-bitowego szyfru AES na potrzeby szyfrowania usługi Azure Storage.
Podwójne szyfrowanie infrastruktury dodaje drugą warstwę szyfrowania przy użyciu kluczy zarządzanych przez usługę. Używa modułu kryptograficznego zweryfikowanego ze standardem FIPS 140-2, ale z innym algorytmem szyfrowania. Zapewnia to dodatkową warstwę ochrony danych magazynowanych. Klucz używany w podwójnej infrastrukturze szyfrowania jest również zarządzany przez usługę Azure Database for PostgreSQL. Podwójne szyfrowanie infrastruktury nie jest domyślnie włączone, ponieważ dodatkowa warstwa szyfrowania może mieć wpływ na wydajność.
Uwaga
Ta funkcja jest obsługiwana tylko w przypadku warstw cenowych "Ogólnego przeznaczenia" i "Zoptymalizowane pod kątem pamięci" w usłudze Azure Database for PostgreSQL.
Szyfrowanie warstwy infrastruktury ma korzyść implementacji w warstwie znajdującej się najbliżej urządzenia magazynowego lub przewodów sieciowych. Usługa Azure Database for PostgreSQL implementuje dwie warstwy szyfrowania przy użyciu kluczy zarządzanych przez usługę. Mimo że nadal technicznie w warstwie usługi, jest bardzo blisko sprzętu, który przechowuje dane magazynowane. Nadal możesz opcjonalnie włączyć szyfrowanie danych magazynowanych przy użyciu klucza zarządzanego przez klienta dla aprowizowanego serwera PostgreSQL.
Implementacja w warstwach infrastruktury obsługuje również różnorodność kluczy. Infrastruktura musi być świadoma różnych klastrów maszyn i sieci. W związku z tym różne klucze służą do minimalizowania promienia wybuchu ataków infrastruktury oraz różnych awarii sprzętu i sieci.
Uwaga
Użycie podwójnego szyfrowania infrastruktury będzie miało wpływ na wydajność serwera usługi Azure Database for PostgreSQL ze względu na dodatkowy proces szyfrowania.
Świadczenia
Podwójne szyfrowanie infrastruktury dla usługi Azure Database for PostgreSQL zapewnia następujące korzyści:
- Dodatkowa różnorodność implementacji kryptograficznej — planowana przeprowadzka do szyfrowania opartego na sprzęcie będzie dodatkowo zdywersyfikować implementacje oparte na sprzęcie, zapewniając implementację opartą na sprzęcie oprócz implementacji opartej na oprogramowaniu.
- Błędy implementacji — dwie warstwy szyfrowania w warstwie infrastruktury chronią przed wszelkimi błędami buforowania lub zarządzania pamięcią w wyższych warstwach, które uwidaczniają dane w postaci zwykłego tekstu. Ponadto obie warstwy zapewniają również błędy podczas implementacji szyfrowania.
Połączenie tych funkcji zapewnia silną ochronę przed typowymi zagrożeniami i słabościami używanymi do ataku na kryptografię.
Obsługiwane scenariusze z podwójnym szyfrowaniem infrastruktury
Możliwości szyfrowania udostępniane przez usługę Azure Database for PostgreSQL mogą być używane razem. Poniżej przedstawiono podsumowanie różnych scenariuszy, których można użyć:
| ## | Szyfrowanie domyślne | Podwójne szyfrowanie infrastruktury | Szyfrowanie danych przy użyciu kluczy zarządzanych przez klienta |
|---|---|---|---|
| 1 | Tak | Nie | Nie |
| 2 | Tak | Tak | Nie |
| 3 | Tak | Nie | Tak |
| 100 | Tak | Tak | Tak |
Ważne
- Scenariusz 2 i 4 będą miały wpływ na wydajność serwera usługi Azure Database for PostgreSQL ze względu na dodatkową warstwę szyfrowania infrastruktury.
- Konfigurowanie podwójnego szyfrowania infrastruktury dla usługi Azure Database for PostgreSQL jest dozwolone tylko podczas tworzenia serwera. Po aprowizacji serwera nie można zmienić szyfrowania magazynu. Jednak nadal można włączyć szyfrowanie danych przy użyciu kluczy zarządzanych przez klienta dla serwera utworzonego z użyciem/bez podwójnego szyfrowania infrastruktury.
Ograniczenia
W przypadku usługi Azure Database for PostgreSQL obsługa podwójnego szyfrowania infrastruktury przy użyciu klucza zarządzanego przez usługę ma następujące ograniczenia:
Obsługa tej funkcji jest ograniczona do warstw cenowych Ogólnego przeznaczenia i Zoptymalizowane pod kątem pamięci.
Ta funkcja jest obsługiwana tylko w regionach i serwerach, które obsługują magazyn do 16 TB. Aby uzyskać listę regionów świadczenia usługi Azure obsługujących magazyn do 16 TB, zapoznaj się z dokumentacją magazynu.
Uwaga
- Wszystkie nowe serwery PostgreSQL utworzone w wymienionych powyżej regionach obsługują również szyfrowanie danych przy użyciu kluczy menedżera klienta. W takim przypadku serwery utworzone za pomocą przywracania do punktu w czasie (PITR) lub repliki do odczytu nie kwalifikują się jako "nowe".
- Aby sprawdzić, czy aprowizowany serwer obsługuje maksymalnie 16 TB, możesz przejść do bloku warstwy cenowej w portalu i sprawdzić, czy suwak magazynu można przenieść do 16 TB. Jeśli suwak można przenosić tylko do 4 TB, serwer może nie obsługiwać szyfrowania za pomocą kluczy zarządzanych przez klienta; jednak dane są szyfrowane przy użyciu kluczy zarządzanych przez usługę przez cały czas. Skontaktuj się z tobą, AskAzureDBforPostgreSQL@service.microsoft.com jeśli masz jakiekolwiek pytania.
Następne kroki
Dowiedz się, jak skonfigurować podwójne szyfrowanie infrastruktury dla usługi Azure Database for PostgreSQL.