Elastic Compute Service:Disk Encryption

Funcionamiento

Los discos cifrados utilizan un sistema de claves de dos niveles:

• Clave de datos: cifra y descifra los datos de un disco.

• Clave de KMS: se almacena en KMS. Cifra y descifra la clave de datos.

Al crear un disco cifrado, ECS almacena junto a él una clave de datos cifrada por KMS. Cuando la instancia inicia, ECS solicita a KMS que descifre la clave de datos y carga la clave en texto plano en la memoria para cifrar y descifrar los datos.

Creación de un disco cifrado

1. Cree un disco cifrado.

   Importante

   El cifrado es irreversible. Un disco cifrado no se puede volver a convertir a un estado sin cifrar.

   Consola

   Es posible crear un disco cifrado en los siguientes escenarios:

   • Crear un disco a partir de una instantánea cifrada no compartida: de forma predeterminada, el disco utiliza la misma clave que la instantánea. También puede seleccionar una clave de KMS distinta.

   • Crear un disco a partir de una instantánea cifrada compartida: el disco usa una clave de servicio de manera predeterminada. Si lo requiere, seleccione otra clave de KMS.

   • Crear un disco en una región donde está habilitado el cifrado predeterminado a nivel de cuenta para Elastic Block Storage: el disco emplea la clave especificada a nivel de cuenta de forma predeterminada. Usted tiene la opción de elegir una clave de KMS diferente.

   • Otros escenarios: active la casilla Encryption y seleccione una clave de KMS. De forma predeterminada, se utiliza una clave de servicio.

   KMS proporciona dos tipos de claves:

   • Clave de servicio: el servicio en la nube la crea y gestiona automáticamente. Su alias es alias/acs/ecs. Estas claves no requieren gestión de ciclo de vida y cubren las necesidades básicas de cifrado.

   • Clave maestra del cliente (CMK): clave que usted crea o importa en KMS. Las CMK le otorgan control total sobre el ciclo de vida de la clave, incluida su rotación, deshabilitación y eliminación.

   La primera vez que utilice una CMK para cifrar, siga las instrucciones en pantalla para otorgar el rol AliyunECSDiskEncryptDefaultRole a ECS y permitirle acceder a los recursos de KMS.

   API

   • Cifre el disco del sistema y los discos de datos al crear una instancia de ECS.

     Llame a la operación RunInstances y establezca los parámetros Encrypted y KMSKeyId.

   • Cree un disco de datos cifrado independiente.

     Llame a la operación CreateDisk y establezca los parámetros Encrypted y KMSKeyId.

2. Complete los pasos posteriores a la creación.

   • Disco del sistema: listo para usarse.

   • Disco de datos:

     • Creado junto con una instancia:

       • Windows: listo para usarse.

       • Linux: Initialize the disk antes de usarlo.

     • Creado por separado: Attach the disk to an ECS instance y después initialize the disk.

Conversión de un disco sin cifrar a un disco cifrado

No es posible cifrar directamente un disco existente sin cifrar. Cree una copia cifrada mediante una imagen o instantánea personalizada cifrada y, a continuación, reemplace el sistema operativo o conecte el nuevo disco.

• Disco del sistema

  1. Create a custom image from the target instance.

  2. Copy the custom image y seleccione el cifrado para crear una copia cifrada.

  3. Cree un disco del sistema cifrado con uno de los métodos siguientes:

     • Replace the operating system de la instancia original con la imagen cifrada.

     • Create a new instance a partir de la imagen cifrada.

• Disco de datos

  1. Create a snapshot del disco de datos.

  2. Copy the snapshot to create an encrypted snapshot.

  3. Create a new data disk from the encrypted snapshot.

  4. Attach el disco cifrado recién creado a la instancia de ECS original.

Aplicación en producción

• No elimine ni deshabilite claves sin necesidad.

  Si elimina o deshabilita una clave, todos los recursos cifrados que la usan (discos en la nube, instantáneas e imágenes) quedarán imposibles de descifrar. Esto provocará una pérdida de datos irrecuperable. Antes de continuar, check for resources associated with the key.

  Importante

  Usted es responsable de cualquier pérdida de datos ocasionada por deshabilitar o eliminar una clave.

• Restrinja a los usuarios de RAM para que solo creen discos cifrados.

  Para evitar filtraciones de datos por discos sin cifrar, configure una directiva personalizada para los usuarios de Resource Access Management (RAM) y así restrict them to creating only encrypted disks.

• Impida que los usuarios de RAM gestionen claves.

  Para evitar que se eliminen o deshabiliten claves por accidente, conceda a los usuarios de RAM permisos de solo lectura en KMS mediante la directiva AliyunKMSReadOnlyAccess.

• Cifre varios discos del sistema existentes de forma masiva

  Utilice la plantilla pública de OOS ACS-ECS-BulkyEncryptSystemDisk para encrypt system disks of multiple ECS instances mediante el reemplazo de sus sistemas operativos.

Facturación

• Tarifas de discos: los discos cifrados y sin cifrar comparten las mismas reglas de facturación. El cifrado no genera costos adicionales. Consulte Block Storage billing.

• Tarifas de claves: el uso de claves es gratuito.

Límites

• Tipos de instancia

  Los discos del sistema cifrados y los discos de datos cifrados creados a partir de instantáneas no se pueden conectar a los siguientes tipos de instancia: ecs.ebmg5, ecs.ebmgn5t, ecs.ebmi3, ecs.sccg5, ecs.scch5, ecs.ebmc4 y ecs.ebmhfg5.

• Tipos de disco

  Solo los discos de la serie ESSD admiten cifrado: unidades SSD empresariales (ESSD), discos ESSD Entry, discos ESSD AutoPL y discos ESSD regionales.

• Regiones

  • Regiones donde no se pueden crear discos cifrados: China (Nanjing - Local Region - Closing Down), South Korea (Seoul).

  • Regiones donde no se pueden usar CMK: China (Fuzhou - Local Region - Closing Down), Thailand (Bangkok).

Preguntas frecuentes

¿Cómo compruebo que los datos están cifrados en reposo?

1. Al adquirir una instancia de prueba, cree un system disk that is encrypted with a CMK.

2. Disable the CMK.

   1. Inicie sesión en la consola de Key Management Service. En la barra de navegación superior, seleccione una región. En el panel de navegación izquierdo, elija Resources > Keys.

   2. En la pestaña Customer Master Keys o Default Keys, busque la clave objetivo y haga clic en Disable dentro de la columna Actions.

   3. En el cuadro de diálogo Disable Key, confirme la acción y haga clic en Confirm.

      Importante

      Antes de deshabilitar una CMK, compruebe los recursos en la nube asociados para evitar interrupciones del servicio.

3. Verify the encryption.

   Connect to the ECS instance and run sudo reboot. Because the KMS key is disabled, the system cannot decrypt data, causing an I/O hang. If you connect via VNC, a black screen confirms that data is encrypted at rest.

4. Enable the CMK and release the test instance.

Referencias

• Consulte Key types that support cloud service encryption.

• Consulte Overview of KMS integration for cloud service encryption.