ApsaraMQ for RabbitMQ:Chiffrement des données

Chiffrement au repos

Description de la fonctionnalité

ApsaraMQ for RabbitMQ fournit la fonctionnalité de chiffrement au repos pour garantir la sécurité de toutes les données de messages et métadonnées stockées sur les brokers ApsaraMQ for RabbitMQ. Lorsqu'un client envoie des messages à un broker, utilisez la fonctionnalité de chiffrement de disque d'ApsaraMQ for RabbitMQ pour stocker les messages de manière persistante. Lorsqu'un client s'abonne aux messages, ApsaraMQ for RabbitMQ lit les messages déchiffrés depuis les disques et renvoie les données brutes au client abonné.

Limites

• Seules les instances de cluster dédié prennent en charge le chiffrement au repos, y compris les instances Enterprise Platinum Edition et les instances dédiées (réservées + élastiques). Les instances partagées ne prennent pas en charge cette fonctionnalité.

• Seules les clés symétriques dont la spécification est Aliyun_AES_256 ou Aliyun_SM4 et l'utilisation est ENCRYPT/DECRYPT sont prises en charge.

• Une fois l'instance ApsaraMQ for RabbitMQ créée, vous ne pouvez plus modifier la configuration du chiffrement au repos, changer la clé Key Management Service (KMS) utilisée pour le chiffrement ni activer ou désactiver le chiffrement. Vous ne pouvez pas convertir une instance non chiffrée en instance chiffrée, ni l'inverse.

Facturation

Les règles de facturation suivantes s'appliquent au chiffrement au repos d'ApsaraMQ for RabbitMQ :

• ApsaraMQ for RabbitMQ

  Vous êtes facturé uniquement pour l'instance ApsaraMQ for RabbitMQ.

• KMS

  Vous êtes facturé pour les ressources KMS utilisées pour le chiffrement au repos. Vous devez acheter une instance de gestion de clés logicielle ou matérielle. Pour plus d'informations sur la facturation KMS, consultez la rubrique Facturation.

Remarques d'utilisation

• La clé de chiffrement doit être dans l'état Enabling afin d'éviter les échecs de lecture et d'écriture causés par l'expiration de l'instance KMS.

• Si vous figez, libérez ou supprimez la clé de chiffrement, celle-ci devient indisponible. Cela entraîne des échecs de lecture et d'écriture des messages dans l'instance ApsaraMQ for RabbitMQ. Pour éviter les problèmes liés à la perte de clé, vérifiez si une clé est utilisée par des ressources cloud avant de la supprimer ou de la désactiver.

  Avertissement

  Notez que si les clés deviennent invalides en raison des opérations que vous effectuez, vous assumez la responsabilité du risque de perte de données sur les disques cloud associés, qui ne peuvent pas être récupérés.

Rôles liés au service

Si vous activez le chiffrement au repos, ApsaraMQ for RabbitMQ crée automatiquement le rôle lié au service AliyunServiceRoleForAmqpEncrypt.

• Nom du rôle : AliyunServiceRoleForAmqpEncrypt

• Politique d'accès au rôle : AliyunServiceRolePolicyForAmqpEncrypt

• Description des autorisations : ApsaraMQ for RabbitMQ endosse le rôle lié au service pour utiliser vos clés KMS afin de mettre en œuvre le chiffrement au repos.

Pour plus d'informations sur les rôles liés au service, consultez la rubrique Rôles liés au service pour ApsaraMQ for RabbitMQ.

Activer le chiffrement au repos

Vous ne pouvez activer le chiffrement au repos pour une instance ApsaraMQ for RabbitMQ qu'au moment de sa création.

1. Connectez-vous à la console ApsaraMQ for RabbitMQ. Dans le volet de navigation de gauche, cliquez sur Instances.

2. Dans la barre de navigation supérieure, sélectionnez une région. Sur la page Instances, cliquez sur Create Instance.

3. Dans le panneau Create Instance, définissez le paramètre Billing Method sur Subscription.

4. Sur la page d'achat, définissez le paramètre Instance Edition sur Enterprise Platinum Edition, cochez la case Encryption située à côté de Encryption at Rest, saisissez la clé, complétez les autres configurations, puis cliquez sur Buy Now. Pour connaître la procédure de création d'une clé, consultez la rubrique Gérer les clés.

Chiffrement en transit

Limites

Seules les instances serverless et les instances Enterprise Edition et Enterprise Platinum Edition en abonnement prennent en charge le chiffrement en transit. Les instances Professional Edition de la série en abonnement ne prennent pas en charge cette fonctionnalité.

Description de la fonctionnalité

ApsaraMQ for RabbitMQ vous permet d'utiliser Transport Layer Security (TLS) 1,2 pour authentifier les brokers sur les clients. Cela garantit la sécurité de la transmission des données entre les brokers et les clients.