Elastic Compute Service:Ensure data security

Chiffrement du stockage

• Chiffrement des disques

  • Description de la fonctionnalité : activez l'option encryption lors de la création d'un disque système ou d'un disque de données. Les données sont automatiquement chiffrées lors de l'écriture et déchiffrées lors de la lecture, de manière transparente pour le système d'exploitation. Aucune infrastructure de gestion des clés n'est requise. Le chiffrement des disques protège la confidentialité des données et établit un périmètre de sécurité pour les données métier.

  • Méthode de configuration : consultez la rubrique Présentation du chiffrement des disques cloud.

  Important

  Pour les entreprises soumises à des exigences strictes en matière de conformité sécuritaire, ECS vous permet de configurer des politiques personnalisées afin que les utilisateurs RAM ne puissent créer que des disques chiffrés. Consultez la section Restrict creating unencrypted cloud disks de la rubrique « Custom policies for ECS ».

• Chiffrement des snapshots

  Les snapshots des disques cloud chiffrés (disques système et disques de données) héritent de l'attribut de chiffrement du disque. Les données du snapshot restent chiffrées pendant le stockage, la transmission, la copie interrégionale et la restauration du disque.

• Chiffrement des images

  Le chiffrement des images protège les données stockées dans les images contre tout accès non autorisé. Même si un utilisateur non autorisé accède aux données de l'image, celles-ci ne peuvent ni être lues ni déchiffrées. Créez une image chiffrée à partir d'une instance dotée d'un disque système chiffré, à partir d'un snapshot chiffré ou en copiant une image non chiffrée vers une image chiffrée.

Chiffrement de la transmission réseau

ECS propose plusieurs méthodes pour chiffrer les données en transit : l'accès aux métadonnées en security hardening mode, VPN Gateway pour une connectivité sécurisée et HTTPS pour l'accès aux ressources ECS.

• Accéder aux métadonnées de l'instance en security hardening mode

  • Description de la fonctionnalité : en mode normal, Metadata Service renvoie les métadonnées de l'instance sans authentification. Si les métadonnées contiennent des informations sensibles, elles risquent d'être interceptées ou divulguées. Une vulnérabilité de type SSRF (Server-Side Request Forgery) peut permettre aux attaquants d'obtenir des jetons Security Token Service (STS) depuis Metadata Service, engendrant des risques similaires à ceux d'une fuite d'AccessKey. Le security hardening mode atténue les attaques SSRF en exigeant une authentification par jeton pour l'accès aux métadonnées.

  • Méthode de configuration : sélectionnez le security hardening mode pour accéder à Metadata Service. Consultez la rubrique Instance metadata.

• Accès sécurisé avec VPN Gateway

  • Description de la fonctionnalité : VPN Gateway (VPN) établit des tunnels chiffrés entre les réseaux sur site, les réseaux d'entreprise ou les clients Internet et les environnements Alibaba Cloud Virtual Private Cloud (VPC). Il prend en charge deux méthodes de connexion : IPsec-VPN et SSL-VPN. Les données sont chiffrées à l'aide des protocoles Internet Key Exchange (IKE) et IPsec.

    • IPsec-VPN : chaque paquet de données est chiffré par IPsec avant la transmission. IPsec assure le chiffrement et l'authentification des données pour garantir leur intégrité.

    • SSL-VPN : un certificat client SSL est installé sur le client pour établir une connexion chiffrée avec la passerelle VPN. SSL chiffre le trafic afin de protéger les données, d'authentifier les identités et de garantir l'intégrité des données.

    Consultez la rubrique What is VPN Gateway?

  • Méthode de configuration : cette fonctionnalité est prise en charge par défaut.

• Accéder aux ressources ECS via HTTPS

  • Description de la fonctionnalité : HTTPS chiffre les données en transit grâce aux protocoles Transport Layer Security (TLS) et SSL, empêchant ainsi la surveillance, l'interception et l'altération par des tiers. ECS prend en charge le chiffrement HTTPS 256 bits. TLS 1.2 est utilisé lorsque vous vous connectez à une instance via Session Manager, vous connectez à une instance à l'aide d'un mot de passe ou d'une clé ou utilisez Cloud Assistant pour accéder aux instances.

  • Méthode de configuration : cette fonctionnalité est prise en charge par défaut.

  Important

  Alibaba Cloud fournit la clé de condition acs:SecureTransport. Configurez une politique personnalisée faisant référence à cette clé de condition et associez-la aux utilisateurs RAM pour restreindre l'accès aux ressources ECS exclusivement via HTTPS. Consultez la rubrique Custom policies.

Environnement de calcul en temps d'exécution

• Description de la fonctionnalité : les instances ECS optimisées pour le calcul et la sécurité utilisent des techniques telles que le chiffrement matériel, l'isolation et des capacités d'audit pour fournir des environnements de calcul sécurisés et isolés. Ces types d'instances prennent en charge le chiffrement de la mémoire hôte, le trusted computing et le confidential computing. Consultez la rubrique Security capabilities overview.

• Méthodes de configuration : consultez les rubriques Trusted computing, Confidential computing et Best practices.