Szyfrowanie S3, EBS i RDS w spoczynku

Szyfrowanie danych w spoczynku chroni dane przechowywane na dysku, aby skradzione nośniki lub migawki były nieczytelne.

Usługi pamięci masowej AWS integrują się z KMS, aby w sposób przejrzysty szyfrować dane. Aplikacja widzi zwykłe dane, a szyfrowanie odbywa się automatycznie w warstwie znajdującej się pod nią.

Amazon S3 oferuje kilka opcji szyfrowania po stronie serwera (SSE):

• SSE-S3: klucze są w pełni zarządzane przez S3 (AES-256), obecnie jest to opcja domyślna.
• SSE-KMS: klucze znajdują się w KMS, co zapewnia audyt i kontrolę dostępu.
• SSE-C: klucz jest dostarczany przez Państwa przy każdym żądaniu.

Tryb SSE należy wybrać zgodnie z wymaganym poziomem kontroli:

• SSE-KMS, gdy potrzebują Państwo audytowania i kontroli dostępu do kluczy za pośrednictwem CloudTrail i zasad kluczy.
• SSE-S3 do prostego, automatycznego szyfrowania.
• SSE-C, gdy klucze muszą być przechowywane i zarządzane przez Państwa.

SSE-KMS wykonuje wywołanie KMS dla każdego obiektu, co przy dużej skali może być kosztowne. Klucze zasobnika S3 znacznie ograniczają ten problem.

Krótkotrwały klucz danych na poziomie zasobnika obsługuje wiele obiektów, zmniejszając liczbę żądań do KMS (i koszty) nawet o 99%, przy zachowaniu szyfrowania opartego na KMS.

Woluminy EBS (Elastic Block Store) można szyfrować za pomocą KMS.

• Szyfrowanie obejmuje wolumin, jego migawki oraz dane przesyłane między woluminem a instancją.
• Jest ono przejrzyste dla instancji EC2 i ma znikomy wpływ na wydajność.

Istniejącego, nieszyfrowanego woluminu EBS nie można bezpośrednio zaszyfrować. Zamiast tego należy:

• Utworzyć migawkę, skopiować ją z włączonym szyfrowaniem, a następnie utworzyć nowy wolumin z zaszyfrowanej kopii.

Włączenie domyślnego szyfrowania EBS na poziomie konta/regionu zapobiega tworzeniu nowych, nieszyfrowanych woluminów.

RDS (Relational Database Service) szyfruje za pomocą KMS pamięć masową bazy danych, automatyczne kopie zapasowe, repliki tylko do odczytu oraz migawki.

• Szyfrowanie należy ustawić podczas tworzenia.
• Aby zaszyfrować istniejącą, nieszyfrowaną instancję, należy odtworzyć zaszyfrowaną kopię z migawki.

Ważna kwestia egzaminacyjna: status szyfrowania jest dziedziczony przez migawki.

• Migawki zaszyfrowanego woluminu lub bazy danych są szyfrowane przy użyciu tego samego klucza.
• Aby udostępnić zaszyfrowaną migawkę między kontami, należy udostępnić również klucz KMS.

Większość usług przechowywania danych i baz danych obsługuje szyfrowanie w spoczynku za pomocą KMS, w tym:

• DynamoDB, EFS, Redshift, SQS, SNS i Secrets Manager.

Schemat jest spójny: wybierają Państwo klucz KMS, a usługa transparentnie obsługuje szyfrowanie kopertowe.

Częstą obawą jest to, że szyfrowanie spowalnia działanie. W praktyce szyfrowanie EBS, S3 i RDS z użyciem KMS jest transparentne i ma pomijalny wpływ na wydajność.

Aplikacje nie wymagają zmian w kodzie — odczytują i zapisują dane normalnie, podczas gdy usługa szyfruje je w tle. Eliminuje to wszelkie uzasadnienie dla pozostawiania danych bez szyfrowania ze względów wydajnościowych.

Szyfrowanie można weryfikować i wymuszać za pomocą:

• Reguł AWS Config, takich jak s3-bucket-server-side-encryption-enabled i encrypted-volumes.
• Standardów Security Hub, które oznaczają niezaszyfrowane zasoby.

Mechanizmy te stale wykrywają każdy zasób, który został utworzony bez szyfrowania.

Proszę wybrać właściwą opcję S3.

Dowiedzieli się Państwo, czym jest szyfrowanie w spoczynku.

• S3 oferuje SSE-S3, SSE-KMS i SSE-C; klucze bucketów obniżają koszty KMS.
• EBS i RDS używają KMS; szyfrowanie jest ustawiane podczas tworzenia zasobu i jest dziedziczone przez migawki.
• Reguły Config i Security Hub weryfikują szyfrowanie wszystkich zasobów.