S3、EBS 和 RDS 静态数据加密

静态加密可以保护存储在磁盘上的数据，使被盗的存储介质或快照无法读取。

AWS 存储服务与 KMS 集成，可以透明地加密数据。应用看到的仍是普通数据；加密会在底层自动完成。

Amazon S3 提供多种服务器端加密（SSE）选项：

• SSE-S3：密钥完全由 S3 管理（AES-256），目前是默认选项。
• SSE-KMS：密钥存储在 KMS 中，并提供审计和访问控制。
• SSE-C：您在每次请求中提供密钥。

请根据控制需求选择 SSE 模式：

• 需要通过 CloudTrail 和密钥策略进行审计和密钥访问控制时，选择 SSE-KMS。
• 需要简单、自动的加密时，选择 SSE-S3。
• 必须自行持有密钥时，选择 SSE-C。

SSE-KMS 会为每个对象调用一次 KMS，在大规模场景下成本可能很高。S3 存储桶密钥可以大幅减少这些调用。

一个短期有效的存储桶级数据密钥可以处理许多对象，在保持 KMS 支持的加密方式的同时，将 KMS 请求次数（以及成本）最多降低 99%。

EBS（弹性块存储）卷可以使用 KMS 加密。

• 加密范围包括卷、卷的快照，以及卷与实例之间传输中的数据。
• 对于 EC2 实例而言，这一过程是透明的，对性能的影响可以忽略不计。

您不能直接加密现有的未加密 EBS 卷。请改为：

• 创建快照，在复制时启用加密，然后从加密副本创建新卷。

在账户或区域级别默认启用 EBS 加密，可以防止创建新的未加密卷。

RDS（关系数据库服务）会使用 KMS 加密数据库存储、自动备份、只读副本和快照。

• 必须在创建时设置加密。
• 要加密现有的未加密实例，请从快照恢复加密副本。

一个重要的考试要点是：加密状态会随快照继承。

• 加密卷或数据库的快照会使用同一个密钥进行加密。
• 要在账户之间共享加密快照，您还必须同时共享 KMS 密钥。

大多数存储和数据库服务都支持使用 KMS 进行静态加密，包括：

• DynamoDB、EFS、Redshift、SQS、SNS 和 Secrets Manager。

其模式是一致的：选择一个 KMS 密钥，然后由服务透明地处理信封加密。

人们常担心加密会拖慢系统。实际上，EBS、S3 和 RDS 中由 KMS 支持的加密是透明的，几乎不会影响性能。

应用程序无需修改代码；它们照常读取和写入数据，而服务会在底层完成加密。因此，不能再以性能为理由让数据保持未加密状态。

您可以通过以下方式验证并强制执行加密：

• 使用 AWS Config 规则，例如 s3-bucket-server-side-encryption-enabled 和 encrypted-volumes。
• 使用会标记未加密资源的 Security Hub 标准。

这些机制会持续发现任何未加密而遗漏的资源。

选择正确的 S3 选项。

您已经学习了静态加密。

• S3 提供 SSE-S3、SSE-KMS 和 SSE-C；存储桶密钥可以降低 KMS 成本。
• EBS 和 RDS 使用 KMS；加密在创建时设置，并会随快照继承。
• Config 规则和 Security Hub 会验证各处是否启用了加密。