Key Management Service:Servicios en la nube integrados con KMS

Servicio

Descripción

Documentación relacionada

Elastic Compute Service (ECS)

El cifrado de discos en la nube de ECS utiliza una clave de servicio de forma predeterminada, o bien una CMK que usted especifique. Cada disco en la nube se asocia con una CMK y una clave de datos para el cifrado de sobre.

Los datos transferidos entre una instancia de ECS y su disco en la nube se cifran y descifran automáticamente en el host, con un impacto insignificante en el rendimiento.

Encryption overview

Container Service for Kubernetes (ACK)

ACK admite el cifrado del lado del servidor basado en KMS para dos tipos de datos de carga de trabajo:

• Secrets de Kubernetes

  Los Secrets de Kubernetes almacenan datos confidenciales, como contraseñas, certificados TLS y credenciales de extracción de imágenes, en el etcd del clúster.

• Volúmenes

  Los volúmenes (discos en la nube, buckets de OSS o sistemas de archivos NAS) pueden utilizar su propio método de cifrado de KMS.

Use KMS to encrypt secrets at rest

Container Registry (ACR)

ACR admite la firma automática de imágenes a nivel de namespace para prevenir ataques de intermediario y el uso no autorizado de imágenes. Las imágenes cargadas se firman según reglas coincidentes, lo que garantiza su integridad desde la distribución hasta el despliegue.

Use Container Image Signing

Elastic Container Instance (ECI)

Cada Pod de ECI cuenta con un espacio de almacenamiento temporal de 30 GiB (ampliable) para imágenes de contenedor y datos de tiempo de ejecución. Habilite el cifrado de este espacio para proteger los datos confidenciales.

Encrypt temporary storage spaces

Servicio

Descripción

Documentación relacionada

Object Storage Service (OSS)

• OSS admite el cifrado del lado del servidor para los datos cargados:

  • Carga: OSS cifra los datos recibidos antes de persistirlos.

  • Descarga: OSS descifra los datos almacenados y devuelve texto sin formato. El encabezado de respuesta indica que se aplicó el cifrado del lado del servidor.

• OSS proporciona dos métodos de cifrado del lado del servidor:

  • Cifrado del lado del servidor con claves administradas por OSS (SSE-OSS)

    Un método anterior que utiliza claves internas de OSS. Es sencillo de configurar y no requiere operaciones adicionales.

    Importante

    Las claves administradas por OSS no se pueden rastrear ni auditar en ActionTrail.

  • Cifrado del lado del servidor con KMS (SSE-KMS)

    Se integra con KMS para la generación y gestión de claves, lo que ofrece mayor seguridad y cumplimiento normativo.

    • SSE-KMS admite dos tipos de claves:

      • Claves de servicio: Claves predeterminadas que KMS crea y administra automáticamente para OSS. No requieren creación manual.

      • CMK: Claves que usted crea y administra en KMS. Usted controla todo el ciclo de vida de la clave (creación, deshabilitación, rotación) y puede rastrear su uso en ActionTrail para fines de cumplimiento.

        Nota

        Las claves de una instancia de KMS compartida a través de Resource Directory también pueden cifrar datos de OSS. Share KMS resources among multiple accounts.

    • Métodos de configuración

      SSE-KMS admite configuraciones de cifrado flexibles:

      • Nivel de bucket: Establezca una CMK predeterminada para todo un bucket.

      • Nivel de objeto: Especifique una CMK por cada carga de objeto para anular los valores predeterminados del bucket.

• Server-side encryption

• SDK reference

File Storage NAS

El cifrado de NAS utiliza una clave de servicio de forma predeterminada. A cada volumen se le asigna una CMK y una clave de datos únicas para el cifrado de sobre.

Server-side encryption

Tablestore

El cifrado de Tablestore utiliza una clave de servicio de forma predeterminada, o bien una clave que usted seleccione. A cada tabla se le asigna una CMK y una clave de datos únicas para el cifrado de sobre.

Ninguna

Cloud Storage Gateway (CSG)

Cifra los datos mediante el cifrado de OSS.

Manage shares

Microservices Engine (MSE)

MSE se integra con KMS para cifrar datos de configuración confidenciales (orígenes de datos, tokens, nombres de usuario y contraseñas), lo que reduce el riesgo de fugas de texto sin formato.

Configuration encryption

Cloud Backup

Cloud Backup admite el cifrado del lado del servidor para datos de copia de seguridad mediante claves de KMS. Puede usar claves de servicio de KMS o claves administradas por el cliente (CMK) para cifrar datos de copias de seguridad de instancias de ECS, sistemas de archivos NAS, buckets de OSS y otros orígenes de datos, y así reducir el riesgo de fugas de información.

KMS encryption

Servicio

Descripción

Documentación relacionada

ApsaraDB RDS

RDS proporciona los siguientes dos métodos de cifrado de datos:

• Cifrado de disco en la nube

  Gratuito para instancias de RDS con discos en la nube. Cifra todo el disco de datos a nivel de block storage. La clave de cifrado está protegida por KMS y solo se recupera al iniciar o migrar la instancia.

• Cifrado de datos transparente (TDE)

  Disponible para MySQL y SQL Server. La clave TDE está protegida por KMS y solo se recupera al iniciar o migrar la instancia. Usted especifica qué bases de datos o tablas cifrar. Los datos se cifran antes de llegar a cualquier dispositivo o servicio de almacenamiento, lo que garantiza que los archivos de datos y las copias de seguridad permanezcan como texto cifrado.

• MySQL: Cloud disk encryption, Configure TDE

• SQL Server: Cloud disk encryption, Configure TDE

• PostgreSQL: Cloud disk encryption

ApsaraDB for MongoDB

Proporciona TDE. El método de cifrado es similar al de RDS.

Configure TDE

PolarDB

• PolarDB for MySQL: Configure TDE

• PolarDB for Oracle: Configure TDE Configure TDE

• PolarDB for PostgreSQL: Configure TDE

OceanBase

Enable TDE

Tair (Redis OSS-compatible)

Enable TDE

Tair

Enable TDE

AnalyticDB

Cifra todo el disco de datos a nivel de block storage, lo que garantiza que las copias de seguridad filtradas no puedan descifrarse.

• Para MySQL: Cloud disk encryption

• Para PostgreSQL: Cloud disk encryption

ApsaraDB for ClickHouse

Cloud disk encryption

Servicio

Descripción

Documentación relacionada

ActionTrail

Cifre los eventos operativos entregados a OSS cuando cree un rastro de cuenta única o de cuentas múltiples.

• Create a single-account trail

• Create a multi-account trail

Simple Log Service (SLS)

SLS utiliza KMS para cifrar los datos en reposo.

Data encryption

Servicio

Descripción

Documentación relacionada

MaxCompute

MaxCompute admite el cifrado de datos mediante una clave de servicio o una CMK.

Data encryption

Platform for AI

Los servicios en la nube en cada etapa del flujo de datos de PAI (motores de cómputo, servicios de contenedores, almacenamiento de datos) admiten el cifrado del lado del servidor.

Ninguna

E-MapReduce

El cifrado de disco de datos protege tanto los datos en tránsito como los datos en reposo, lo que ayuda a cumplir con los requisitos de seguridad y normativos.

Enable data disk encryption

Servicio

Descripción

Documentación relacionada

CDN

Admite el cifrado del lado del servidor de OSS cuando se utiliza un bucket de OSS como origen.

Redirect requests to a private OSS bucket

ApsaraVideo Media Processing (MPS)

MPS admite dos métodos para proteger contenido de video con KMS: cifrado propietario y cifrado HLS estándar.

Ninguna

ApsaraVideo VOD

VOD admite dos métodos para proteger contenido de video con KMS: cifrado de video de Alibaba Cloud y cifrado HLS estándar.

• Alibaba Cloud video encryption (proprietary)

• HLS encryption

Hologres

Hologres utiliza KMS para cifrar los datos en reposo, lo que ayuda a cumplir con los requisitos normativos y de seguridad.

Data storage encryption

ApsaraVideo Live

Cifra los datos de video para que los videos descargados permanezcan cifrados y no puedan redistribuirse. Previene fugas y hotlinking no autorizado de contenido con derechos de autor, como educación en línea, finanzas, capacitación industrial y series dramáticas exclusivas.

Alibaba Cloud video encryption

Wuying Workspace Enterprise Edition

Habilite el cifrado de disco para los discos del sistema y de datos al crear una computadora en la nube.

Create a cloud computer