Tablestore:Data encryption

Uso del cifrado basado en CMK de KMS

Con el cifrado basado en CMK de KMS, no es necesario adquirir una instancia de KMS. Active el interruptor Encryption y seleccione CMK of KMS como Encryption Type al crear una tabla.

1. Inicie sesión en la consola de Tablestore.

2. En la parte superior de la página, seleccione una región.

3. En la página Overview, haga clic en el nombre de la instancia o en Manage Instance dentro de la columna Actions.

4. En la pestaña Instance Details, haga clic en Create Table.

5. En el cuadro de diálogo Create Table, configure los parámetros.

   1. Introduzca un nombre de tabla y configure la clave principal.

   2. Active el interruptor Encryption y seleccione CMK of KMS en el parámetro Encryption Type. Tablestore usa la CMK predeterminada para generar una clave de servicio, por lo que no se requiere ninguna instancia adicional de KMS.

6. Haga clic en Create.

Para comprobar que el cifrado está habilitado, haga clic en el nombre de la tabla y verifique que el campo Encryption, ubicado en la sección Description de la pestaña Basic Information, muestre Yes-CMK of KMS.

Uso del cifrado basado en BYOK

El cifrado basado en BYOK requiere un ID de clave y un ARN de rol de RAM antes de crear la tabla. Complete primero los siguientes requisitos previos.

Requisitos previos

1. Obtención del ID de clave: Tablestore utiliza esta clave para cifrar y descifrar sus datos.

   1. Inicie sesión en la consola de KMS.

   2. Haga clic en Keys en el panel de navegación izquierdo, seleccione una clave protegida por software existente en la lista y copie su ID de clave. Para crear una nueva clave, consulte Manage keys.

2. Obtención del ARN del rol de RAM: Tablestore invoca a KMS asumiendo un rol de RAM. Cree un rol y otórguele los permisos necesarios.

   1. Cree un rol de RAM.

      1. Inicie sesión en la consola de RAM.

      2. Vaya a Identities > Roles. En la página Roles, haga clic en Create Role.

      3. Establezca Principal Type en Cloud Service y Principal Name en Tablestore / OTS. Haga clic en OK.

      4. En el cuadro de diálogo Create Role, introduzca un nombre de rol en el campo Role Name, por ejemplo, TablestoreBYOK, y haga clic en OK. Siga las instrucciones en pantalla para completar la verificación y crear el rol.

   2. Cree una política personalizada.

      1. Inicie sesión en la consola de RAM.

      2. Vaya a Permissions > Policies. En la página Policies, haga clic en Create Policy.

      3. Seleccione la pestaña JSON, introduzca el siguiente contenido de política y haga clic en OK.

         {
             "Version": "1",
             "Statement": [
                 {
                     "Effect": "Allow",
                     "Action": [
                         "kms:Decrypt",
                         "kms:GenerateDataKey"
                     ],
                     "Resource": [
                         "*"
                     ]
                 }
             ]
         }

      4. En el cuadro de diálogo Create Policy, introduzca un nombre de política en el campo Policy Name, por ejemplo, TablestoreBYOKPolicy, y haga clic en OK.

   3. Adjunte la política personalizada al rol de RAM.

      1. Inicie sesión en la consola de RAM.

      2. Vaya a Identities > Roles y haga clic en Grant Permission en la columna Actions del rol de RAM.

      3. En el panel Grant Permission, busque el nombre de la política en la sección Policy, seleccione la política personalizada y haga clic en Grant permissions.

         Tras una autorización exitosa, la política personalizada TablestoreBYOKPolicy se adjunta al rol de RAM TablestoreBYOK, y el estado de ejecución muestra completado.

   4. Copie el ARN del rol de RAM.

      1. Inicie sesión en la consola de RAM.

      2. Vaya a Identities > Roles. En la página Roles, haga clic en el nombre del rol.

      3. Copie el ARN de la sección Basic Information.

Creación de una tabla cifrada

Una vez que cuente con el ID de clave y el ARN del rol de RAM, cree una tabla cifrada con BYOK en la consola de Tablestore.

1. Inicie sesión en la consola de Tablestore.

2. En la parte superior de la página, seleccione una región.

3. En la página Overview, haga clic en el nombre de la instancia o en Manage Instance dentro de la columna Actions.

4. En la pestaña Instance Details, haga clic en Create Table.

5. En el cuadro de diálogo Create Table, configure los parámetros.

   1. Introduzca un nombre de tabla y configure la clave principal.

   2. Active el interruptor Encryption, seleccione BYOK-based Key en el parámetro Encryption Type e introduzca el ID de clave y el ARN del rol de RAM obtenidos en los requisitos previos.

6. Haga clic en Create.

Para comprobar que el cifrado está habilitado, haga clic en el nombre de la tabla y verifique que el campo Encryption, ubicado en la sección Description de la pestaña Basic Information, muestre Yes-BYOK-based Key.