การเข้ารหัส S3, EBS และ RDS ขณะจัดเก็บ

การเข้ารหัสข้อมูลขณะจัดเก็บช่วยปกป้องข้อมูลที่เก็บอยู่บนดิสก์ เพื่อให้สื่อจัดเก็บหรือสแนปช็อตที่ถูกขโมยไปไม่สามารถอ่านได้

บริการพื้นที่จัดเก็บของ AWS ทำงานร่วมกับ KMS เพื่อเข้ารหัสข้อมูลอย่างโปร่งใส แอปพลิเคชันจะเห็นข้อมูลตามปกติ ส่วนการเข้ารหัสจะเกิดขึ้นโดยอัตโนมัติอยู่เบื้องหลัง

Amazon S3 มีตัวเลือกการเข้ารหัสฝั่งเซิร์ฟเวอร์ (SSE) หลายแบบ:

• SSE-S3: S3 จัดการคีย์ทั้งหมด (AES-256) ปัจจุบันเป็นค่าเริ่มต้น
• SSE-KMS: คีย์อยู่ใน KMS พร้อมการตรวจสอบและการควบคุมการเข้าถึง
• SSE-C: คุณจัดเตรียมคีย์พร้อมคำขอแต่ละครั้ง

เลือกโหมด SSE ตามความต้องการด้านการควบคุม:

• SSE-KMS เมื่อคุณต้องการการตรวจสอบและการควบคุมการเข้าถึงคีย์ผ่าน CloudTrail และนโยบายคีย์
• SSE-S3 สำหรับการเข้ารหัสที่เรียบง่ายและทำงานโดยอัตโนมัติ
• SSE-C เมื่อคุณต้องเก็บคีย์ไว้กับตนเอง

SSE-KMS เรียก KMS ต่อออบเจ็กต์หนึ่งรายการ ซึ่งอาจมีค่าใช้จ่ายสูงเมื่อใช้งานในระดับใหญ่ คีย์บักเก็ต S3ช่วยลดจำนวนนี้ได้อย่างมาก

คีย์ข้อมูลระดับบักเก็ตที่มีอายุสั้นจะจัดการออบเจ็กต์จำนวนมาก ช่วยลดคำขอ KMS (และค่าใช้จ่าย) ได้สูงสุด 99% พร้อมคงการเข้ารหัสที่มี KMS รองรับ

โวลุม EBS (Elastic Block Store) สามารถเข้ารหัสด้วย KMS ได้

• การเข้ารหัสครอบคลุมโวลุมสแนปช็อตของโวลุม และข้อมูลที่ส่งระหว่างโวลุมกับอินสแตนซ์
• การเข้ารหัสทำงานอย่างโปร่งใสต่ออินสแตนซ์ EC2 และแทบไม่ส่งผลต่อประสิทธิภาพ

คุณไม่สามารถเข้ารหัสโวลุม EBS ที่ไม่ได้เข้ารหัสอยู่เดิมได้โดยตรง แต่ให้ดำเนินการดังนี้:

• สร้างสแนปช็อต คัดลอกโดยเปิดใช้การเข้ารหัส แล้วสร้างโวลุมใหม่จากสำเนาที่เข้ารหัสแล้ว

การเปิดใช้การเข้ารหัส EBS เป็นค่าเริ่มต้นในระดับบัญชีหรือภูมิภาคจะป้องกันการสร้างโวลุมใหม่ที่ไม่ได้เข้ารหัส

RDS (Relational Database Service) เข้ารหัสพื้นที่จัดเก็บฐานข้อมูล ข้อมูลสำรองอัตโนมัติ รีดเรพลิกา และสแนปช็อตด้วย KMS

• ต้องกำหนดการเข้ารหัสขณะสร้าง
• หากต้องการเข้ารหัสอินสแตนซ์ที่ไม่ได้เข้ารหัสอยู่เดิม ให้กู้คืนสำเนาที่เข้ารหัสแล้วจากสแนปช็อต

ประเด็นสำคัญในการสอบคือ สถานะการเข้ารหัสจะติดตามไปกับสแนปช็อต

• สแนปช็อตของวอลุ่มหรือฐานข้อมูลที่เข้ารหัสจะถูกเข้ารหัสด้วยคีย์เดียวกัน
• หากต้องการแชร์สแนปช็อตที่เข้ารหัสระหว่างบัญชี คุณต้องแชร์ KMS key ด้วย

บริการจัดเก็บข้อมูลและฐานข้อมูลส่วนใหญ่รองรับการเข้ารหัสขณะจัดเก็บด้วย KMS ซึ่งรวมถึง:

• DynamoDB, EFS, Redshift, SQS, SNS และ Secrets Manager

รูปแบบการทำงานสอดคล้องกัน คือเลือกคีย์ KMS แล้วบริการจะจัดการการเข้ารหัสแบบซองจดหมายอย่างโปร่งใส

ข้อกังวลที่พบบ่อยคือการเข้ารหัสจะทำให้ระบบช้าลง ในทางปฏิบัติ การเข้ารหัสที่ใช้ KMS บน EBS, S3 และ RDS ทำงานอย่างโปร่งใสและมีผลกระทบต่อประสิทธิภาพน้อยมาก

แอปพลิเคชันไม่จำเป็นต้องแก้ไขโค้ด โดยยังอ่านและเขียนข้อมูลตามปกติ ขณะที่บริการเข้ารหัสข้อมูลอยู่เบื้องหลัง เหตุผลด้านประสิทธิภาพจึงไม่ใช่ข้ออ้างที่จะปล่อยให้ข้อมูลไม่ได้เข้ารหัส

ตรวจสอบและบังคับใช้การเข้ารหัสด้วย:

• กฎ AWS Config เช่น s3-bucket-server-side-encryption-enabled และ encrypted-volumes
• มาตรฐาน Security Hub ที่แจ้งเตือนทรัพยากรที่ไม่ได้เข้ารหัส

กฎเหล่านี้จะตรวจจับทรัพยากรที่หลุดรอดและไม่ได้เข้ารหัสอย่างต่อเนื่อง

เลือกตัวเลือก S3 ที่เหมาะสม

คุณได้เรียนรู้เรื่องการเข้ารหัสขณะจัดเก็บ

• S3 รองรับ SSE-S3, SSE-KMS และ SSE-C ส่วนคีย์ระดับบักเก็ตช่วยลดค่าใช้จ่าย KMS
• EBS และ RDS ใช้ KMS โดยกำหนดการเข้ารหัสเมื่อสร้าง และการเข้ารหัสจะติดตามไปกับสแนปช็อต
• กฎ Config และ Security Hub ใช้ตรวจสอบการเข้ารหัสในทุกส่วน