Elastic Compute Service:Chiffrement des disques

Fonctionnement

Les disques chiffrés utilisent un système de clés à deux niveaux :

• Clé de données : chiffre et déchiffre les données sur un disque.

• Clé KMS : stockée dans KMS. Chiffre et déchiffre la clé de données.

Lorsque vous créez un disque chiffré, ECS stocke une clé de données chiffrée par KMS avec le disque. Au démarrage de l'instance, ECS demande à KMS de déchiffrer la clé de données et charge la clé en clair en mémoire pour le chiffrement et le déchiffrement des données.

Créer un disque chiffré

1. Créez un disque chiffré.

   Important

   Le chiffrement est irréversible. Un disque chiffré ne peut pas être reconverti dans un état non chiffré.

   Console

   Vous pouvez créer un disque chiffré dans les scénarios suivants :

   • Créer un disque à partir d'un snapshot chiffré non partagé : le disque utilise par défaut la même clé que le snapshot. Vous pouvez sélectionner une autre clé KMS.

   • Créer un disque à partir d'un snapshot chiffré partagé : le disque utilise par défaut une clé de service. Vous pouvez sélectionner une autre clé KMS.

   • Créer un disque dans une région où le chiffrement par défaut au niveau du compte pour Elastic Block Storage est activé : le disque utilise par défaut la clé spécifiée au niveau du compte. Vous pouvez sélectionner une autre clé KMS.

   • Autres scénarios : cochez la case Encryption et sélectionnez une clé KMS. Une clé de service est utilisée par défaut.

   KMS propose deux types de clés :

   • Clé de service : créée et gérée automatiquement par le service cloud. L'alias de la clé est alias/acs/ecs. Les clés de service ne nécessitent aucune gestion du cycle de vie et répondent aux besoins de chiffrement de base.

   • Customer master key (CMK) : clé que vous créez ou importez dans KMS. Les CMK vous offrent un contrôle total sur le cycle de vie de la clé, y compris la rotation, la désactivation et la suppression.

   Lors de votre première utilisation d'une CMK pour le chiffrement, suivez les instructions à l'écran pour accorder le rôle AliyunECSDiskEncryptDefaultRole à ECS afin qu'il puisse accéder aux ressources KMS.

   API

   • Chiffrez le disque système et les disques de données lors de la création d'une instance ECS.

     Appelez l'opération RunInstances et définissez les paramètres Encrypted et KMSKeyId.

   • Créez un disque de données chiffré autonome.

     Appelez l'opération CreateDisk et définissez les paramètres Encrypted et KMSKeyId.

2. Effectuez les étapes post-création.

   • Disque système : prêt à l'emploi.

   • Disque de données :

     • Créé avec une instance :

       • Windows : prêt à l'emploi.

       • Linux : Initialisez le disque avant utilisation.

     • Créé séparément : Attachez le disque à une instance ECS, puis initialisez le disque.

Convertir un disque non chiffré en disque chiffré

Vous ne pouvez pas chiffrer directement un disque non chiffré existant. Créez une copie chiffrée en utilisant une image personnalisée ou un snapshot chiffré, puis remplacez le système d'exploitation ou attachez le nouveau disque.

• Disque système

  1. Créez une image personnalisée à partir de l'instance cible.

  2. Copiez l'image personnalisée et activez le chiffrement pour créer une copie chiffrée.

  3. Créez un disque système chiffré en utilisant l'une des méthodes suivantes :

     • Remplacez le système d'exploitation de l'instance d'origine par l'image chiffrée.

     • Créez une nouvelle instance à partir de l'image chiffrée.

• Disque de données

  1. Créez un snapshot du disque de données.

  2. Copiez le snapshot pour créer un snapshot chiffré.

  3. Créez un nouveau disque de données à partir du snapshot chiffré.

  4. Attachez le disque chiffré nouvellement créé à l'instance ECS d'origine.

Application en production

• Ne supprimez ni ne désactivez pas les clés inutilement.

  La suppression ou la désactivation d'une clé rend toutes les ressources chiffrées qui l'utilisent — disques cloud, snapshots et images — indéchiffrables, entraînant une perte de données irrécupérable. Avant de procéder, vérifiez les ressources associées à la clé.

  Important

  Vous êtes responsable de toute perte de données causée par la désactivation ou la suppression d'une clé.

• Limitez les utilisateurs RAM à la création de disques uniquement chiffrés.

  Pour prévenir les violations de données dues à des disques non chiffrés, configurez une politique personnalisée pour les utilisateurs Resource Access Management (RAM) afin de les restreindre à la création de disques uniquement chiffrés.

• Empêchez les utilisateurs RAM de gérer les clés.

  Pour éviter la suppression ou la désactivation accidentelle des clés, accordez aux utilisateurs RAM des autorisations KMS en lecture seule en attachant la stratégie AliyunKMSReadOnlyAccess.

• Chiffrez les disques système existants en masse

  Utilisez le modèle public OOS ACS-ECS-BulkyEncryptSystemDisk pour chiffrer les disques système de plusieurs instances ECS en remplaçant leurs systèmes d'exploitation.

Facturation

• Frais de disque : les disques chiffrés et non chiffrés suivent les mêmes règles de facturation. Le chiffrement n'entraîne aucun frais supplémentaire. Consultez la section Facturation du stockage par blocs.

• Frais de clé : l'utilisation des clés est gratuite.

Limitations

• Types d'instance

  Les disques système chiffrés et les disques de données chiffrés créés à partir de snapshots ne peuvent pas être attachés aux types d'instance suivants : ecs.ebmg5, ecs.ebmgn5t, ecs.ebmi3, ecs.sccg5, ecs.scch5, ecs.ebmc4 et ecs.ebmhfg5.

• Types de disque

  Seuls les disques de la série ESSD prennent en charge le chiffrement : disques SSD d'entreprise (ESSD), disques ESSD Entry, disques ESSD AutoPL et disques ESSD régionaux.

• Régions

  • Régions où vous ne pouvez pas créer de disques chiffrés : Chine (Nanjing - Région locale - Fermeture), Corée du Sud (Séoul).

  • Régions où vous ne pouvez pas utiliser de CMK : Chine (Fuzhou - Région locale - Fermeture), Thaïlande (Bangkok).

FAQ

Comment puis-je vérifier que les données sont chiffrées au repos ?

1. Lors de l'achat d'une instance de test, créez un disque système chiffré avec une CMK.

2. Désactivez la CMK.

   1. Connectez-vous à la console Key Management Service. Dans la barre de navigation supérieure, sélectionnez une région. Dans le volet de navigation de gauche, choisissez Resources > Keys.

   2. Dans l'onglet Customer Master Keys ou Default Keys, recherchez la clé cible et cliquez sur Disable dans la colonne Actions.

   3. Dans la boîte de dialogue Disable Key, confirmez l'action et cliquez sur Confirm.

      Important

      Avant de désactiver une CMK, vérifiez les ressources cloud associées pour éviter les interruptions de service.

3. Vérifiez le chiffrement.

   Connectez-vous à l'instance ECS et exécutez sudo reboot. Étant donné que la clé KMS est désactivée, le système ne peut pas déchiffrer les données, ce qui provoque un blocage des E/S. Si vous vous connectez via VNC, un écran noir confirme que les données sont chiffrées au repos.

4. Activez la CMK et libérez l'instance de test.

Références

• Consultez la section Types de clés prenant en charge le chiffrement des services cloud.

• Consultez la section Présentation de l'intégration de KMS pour le chiffrement des services cloud.