Kryptering af S3, EBS og RDS i hvile

Kryptering af data i hvile beskytter data, der er gemt på disk, så stjålne medier eller snapshots ikke kan læses.

AWS-lagringstjenester integreres med KMS for at kryptere data transparent. Applikationen ser normale data; krypteringen sker automatisk under den.

Amazon S3 tilbyder flere muligheder for serversidekryptering (SSE):

• SSE-S3: Nøgler administreres fuldt ud af S3 (AES-256), og dette er nu standarden.
• SSE-KMS: Nøgler i KMS med revision og adgangskontrol.
• SSE-C: Du leverer nøglen med hver anmodning.

Vælg SSE-tilstand ud fra behovet for kontrol:

• SSE-KMS, når du har brug for revision og adgangskontrol til nøgler via CloudTrail og nøglepolitikker.
• SSE-S3 til enkel, automatisk kryptering.
• SSE-C, når du selv skal opbevare nøglerne.

SSE-KMS foretager et KMS-kald pr. objekt, hvilket kan være dyrt i stor skala. S3 Bucket Keys reducerer dette markant.

En kortvarig datanøgle på bucket-niveau håndterer mange objekter og reducerer KMS-anmodningerne (og omkostningerne) med op til 99 %, samtidig med at krypteringen stadig understøttes af KMS.

EBS (Elastic Block Store)-diskenheder kan krypteres med KMS.

• Krypteringen omfatter diskenheden, dens snapshots og data under overførsel mellem diskenheden og instansen.
• Den er transparent for EC2-instansen og har ubetydelig indvirkning på ydeevnen.

Du kan ikke kryptere en eksisterende ukrypteret EBS-diskenhed direkte. I stedet:

• Tag et snapshot, kopiér det med kryptering aktiveret, og opret en ny diskenhed ud fra den krypterede kopi.

Hvis du aktiverer EBS-kryptering som standard på konto- eller regionsniveau, forhindrer du nye ukrypterede diskenheder.

RDS (Relational Database Service) krypterer databaselageret, automatiske sikkerhedskopier, læsereplikaer og snapshots med KMS.

• Kryptering skal angives ved oprettelsen.
• Hvis du vil kryptere en eksisterende ukrypteret instans, skal du gendanne en krypteret kopi fra et snapshot.

Et vigtigt eksamenspunkt: krypteringsstatus følger snapshots.

• Snapshots af en krypteret diskenhed eller database krypteres med den samme nøgle.
• Hvis du vil dele et krypteret snapshot på tværs af konti, skal du også dele KMS-nøglen.

De fleste lager- og databasetjenester understøtter KMS-kryptering af data i hvile, herunder:

• DynamoDB, EFS, Redshift, SQS, SNS og Secrets Manager.

Mønstret er ensartet: Vælg en KMS-nøgle, så håndterer tjenesten envelope-kryptering transparent.

En almindelig bekymring er, at kryptering gør tingene langsommere. I praksis er KMS-baseret kryptering på EBS, S3 og RDS transparent og har ubetydelig indvirkning på ydeevnen.

Applikationer kræver ingen kodeændringer; de læser og skriver normalt, mens tjenesten krypterer under dem. Det fjerner enhver undskyldning for at lade data være ukrypterede af hensyn til ydeevnen.

Kontrollér og håndhæv kryptering med:

• AWS Config-regler som s3-bucket-server-side-encryption-enabled og encrypted-volumes.
• Security Hub-standarder, der markerer ukrypterede ressourcer.

De registrerer løbende alle ressourcer, der slipper igennem uden kryptering.

Du har lært om kryptering af data i hvile.

• S3 tilbyder SSE-S3, SSE-KMS og SSE-C; bucket-nøgler reducerer KMS-omkostningerne.
• EBS og RDS bruger KMS; kryptering angives ved oprettelsen og følger snapshots.
• Config-regler og Security Hub kontrollerer kryptering overalt.