Двойное шифрование инфраструктуры для службы "База данных Azure для PostgreSQL"

База данных Azure для PostgreSQL использует технологию шифрования неактивных данных применением управляемых ключей Майкрософт. Данные, включая резервные копии, шифруются на диске, это шифрование всегда включено и не отключается. Для шифрования службы хранилища Azure используются сертифицированный на соответствие FIPS 140-2 криптографический модуль и шифр AES 256 бит.

Двойное шифрование инфраструктуры позволяет добавить второй уровень шифрования с использованием управляемых службой ключей. При этом используется сертифицированный на соответствие FIPS 140-2 криптографический модуль, но с другим алгоритмом шифрования. Это обеспечивает дополнительный уровень защиты для неактивных данных. Ключ, используемый при двойном шифровании инфраструктуры, также управляется службой "База данных Azure для PostgreSQL". Двойное шифрование инфраструктуры по умолчанию не включено, так как дополнительный уровень шифрования может повлиять на производительность.

Примечание

Эта функция поддерживается только для ценовых категорий "Общего назначения" и "Оптимизировано для операций в памяти" Базы данных Azure для PostgreSQL.

Преимущество шифрования уровня инфраструктуры заключается в том, что шифрование реализуется на уровне, наиболее близком к устройству хранения или сетевому подключению. В Базе данных Azure для PostgreSQL реализованы два уровня шифрования с использованием управляемых службой ключей. Хотя технически шифрование относится к уровню служб, фактически оно осуществляется очень близко к оборудованию, где хранятся неактивные данные. При необходимости можно включить шифрование неактивных данных для подготовленного сервера PostgreSQL с использованием управляемого клиентом ключа.

Реализация на уровнях инфраструктуры также поддерживает использование различных ключей. В инфраструктуре должны учитываться особенности разных кластеров компьютеров и сетей. Таким образом, разные ключи позволяют минимизировать последствия атак на инфраструктуру и различных сбоев оборудования.

Примечание

Двойное шифрование инфраструктуры ведет к снижению производительности на сервере Базы данных Azure для PostgreSQL из-за дополнительного процесса шифрования.

Преимущества

Двойное шифрование инфраструктуры для Базы данных Azure для PostgreSQL предоставляет перечисленные ниже преимущества.

  1. Дополнительное разнообразие в плане реализаций криптографии. Запланированный переход на аппаратное шифрование поспособствует дополнительной диверсификации реализаций за счет добавления аппаратной реализации в дополнение к программной.
  2. Ошибки реализации. Два уровня шифрования на уровне инфраструктуры помогают защититься от ошибок в управлении кэшированием или памятью на более высоких уровнях, где предоставляется доступ к данным в виде открытого текста. Кроме того, эти два уровня также защищают от ошибок в реализации шифрования в целом.

Их сочетание обеспечивает надежную защиту от распространенных угроз и уязвимостей, используемых для атаки на криптографические службы.

Поддерживаемые сценарии применения двойного шифрования инфраструктуры

Различные возможности шифрования, предоставляемые Базой данных Azure для PostgreSQL, можно использовать в комбинации. В таблице ниже обобщены доступные сценарии.

## Шифрование по умолчанию Двойное шифрование инфраструктуры Шифрование данных с использованием управляемых клиентом ключей
1 Да Нет Нет
2 Да Да Нет
3 Да Нет Да
4 Да Да Да

Важно!

  • Сценарий 2 и 4 влияют на производительность сервера Базы данных Azure для PostgreSQL из-за дополнительного уровня шифрования инфраструктуры.
  • Настройка двойного шифрования инфраструктуры для Базы данных Azure для PostgreSQL возможна только на этапе создания сервера. После его подготовки вы не сможете изменить параметры шифрования хранилища. Однако для сервера, созданного как с двойным шифрованиям инфраструктуры, так и без него, можно включить шифрование данных с использованием управляемых клиентом ключей.

Ограничения

Двойное шифрование инфраструктуры с использованием ключа, управляемого службой, для Базы данных Azure для PostgreSQL поддерживается с указанными ниже ограничениями.

  • Поддержка этой функции ограничена ценовыми категориями Общего назначения и Оптимизированная для операций в памяти.

  • Эта функция доступна только в регионах и на серверах, поддерживающих объем хранения до 16 ТБ. Список регионов Azure, поддерживающих хранилище объемом до 16 ТБ, см. в документации по хранилищам.

    Примечание

    • Все новые серверы PostgreSQL, созданные в перечисленных выше регионах, также поддерживают шифрование данных с использованием ключей, управляемых клиентом. В этом контексте серверы, созданные путем восстановления на момент времени (PITR) или с помощью реплик чтения, не считаются новыми.
    • Чтобы проверить, поддерживает ли подготовленный сервер хранилища размером до 16 ТБ, взгляните на колонку ценовой категории на портале и проверьте, можно ли переместить ползунок размера хранилища на 16 ТБ. Если ползунок можно переместить только до 4 ТБ, сервер, вероятно, не поддерживает шифрование с использованием управляемых клиентом ключей, однако при этом данные постоянно шифруются с использованием ключей, управляемых службой. Если у вас возникнут вопросы или вам понадобится помощь, напишите по адресу AskAzureDBforPostgreSQL@service.microsoft.com.

Дальнейшие действия

Узнайте, как настроить двойное шифрование инфраструктуры для Базы данных Azure для PostgreSQL.