Use encrypted disks - Elastic Compute Service - Centre de documentation Alibaba Cloud

Activez le chiffrement des disques pour répondre aux exigences de conformité et utilisez une clé maître client (CMK) afin de contrôler les algorithmes de chiffrement, la rotation des clés et leur cycle de vie.

Risques liés à la sécurité

Les données stockées sur des disques non chiffrés, telles que les secrets commerciaux, les informations personnelles ou les registres financiers, sont conservées en texte clair. Dans des cas extrêmes, ces données sensibles peuvent être directement exposées en cas de vol de matériel physique, d'erreur ou d'action malveillante de la part d'un ingénieur O&M, ou encore si un pirate exploite une vulnérabilité de l'hyperviseur.

Le chiffrement des disques garantit l'intégrité des données en empêchant toute altération pendant le stockage. Même si un disque est attaqué au niveau physique ou de l'hyperviseur, les données restent illisibles.

Bonnes pratiques

Lorsque vous créez une instance ou un disque de données, chiffrez le disque à l'aide d'une clé de service ou d'une clé maître client (CMK) :

Clé de service : Alibaba Cloud KMS fournit une clé par défaut gratuite pour le chiffrement côté serveur. Aucun achat d'instance KMS n'est requis. Cette option offre un chiffrement de base des données.
Clé maître client : Pour contrôler indépendamment du fournisseur de services cloud le cycle de vie des clés, y compris leur génération, leur stockage, leur rotation et leur destruction, achetez une instance KMS.

Console

Lorsque vous créez une instance, sélectionnez Encrypt et choisissez une clé dans les paramètres System Disk et Data Disk.
Lorsque vous créez un disque de données, dans la section Disks, sélectionnez Encrypt et choisissez une clé.

API

Lorsque vous appelez RunInstances ou CreateInstance, définissez Encrypted pour activer le chiffrement des disques et KMSKeyId pour spécifier la clé de chiffrement.
Lorsque vous appelez CreateDisk, définissez Encrypted pour activer le chiffrement des disques et KMSKeyId pour spécifier la clé de chiffrement.

Conformité

Identifier les disques non chiffrés

ECS Insight

Accédez à ECS Insight.
Dans l'onglet Security, cliquez sur Use Disk Encryption to Improve Data Security pour afficher les disques non chiffrés.

Security Center

Accédez à la console Security Center.
Dans le volet de navigation de gauche, sélectionnez Risk Governance > CSPM, puis sélectionnez l'onglet Cloud Service Configuration Risk. Recherchez les vérifications nommées Ensure attached disks are encrypted et Unattached disks are encrypted, puis dans la colonne Actions, cliquez sur Scan.

Si le statut est Échec, des disques non chiffrés existent. Cliquez sur Details pour les afficher.

Politique 1 : Bloquer la création de disques non chiffrés

Utilisez une politique RAM pour refuser la création d'instances et de disques sans chiffrement au niveau de l'organisation ou du compte.

Vous pouvez activer le chiffrement par défaut au niveau du compte pour Elastic Block Storage par région. Une fois activé, tous les nouveaux disques, snapshots copiés et images copiés dans la région spécifiée sont chiffrés par défaut.

Pour les utilisateurs professionnels :

Connectez-vous à la console Resource Directory. Dans le volet de navigation de gauche, cliquez sur Control Policies. Créez une politique personnalisée avec le contenu JSON suivant.

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "ecs:RunInstances",
        "ecs:CreateInstance"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "ecs:IsDiskEncrypted": "*false*"
        }
      },
      "Effect": "Deny"
    },
    {
      "Action": [
        "ecs:RunInstances",
        "ecs:CreateInstance"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ecs:IsSystemDiskEncrypted": "false"
        }
      },
      "Effect": "Deny"
    },
    {
      "Action": "ecs:CreateDisk",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "ecs:IsDiskEncrypted": "*false*"
        }
      },
      "Effect": "Deny"
    }
  ]
}

Dans Resource Directory, sélectionnez un nœud approprié et attachez la politique. La politique bloque les actions spécifiées pour tous les comptes du répertoire.

Pour les utilisateurs individuels :
1. Connectez-vous à la console RAM. Dans le volet de navigation de gauche, cliquez sur Permission Policy et créez une politique personnalisée avec le contenu indiqué ci-dessus.
2. Accordez la politique à un utilisateur RAM, un groupe d'utilisateurs ou un rôle. Consultez la rubrique Accorder des autorisations à l'aide d'une politique.

Politique 2 : Bloquer les disques sans chiffrement CMK

Utilisez une politique RAM pour refuser la création d'instances et de disques sans chiffrement CMK au niveau de l'organisation ou du compte.

Pour les utilisateurs professionnels :

Connectez-vous à la console Resource Directory. Dans le volet de navigation de gauche, cliquez sur Control Policies. Créez une politique personnalisée avec le contenu JSON suivant.

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "ecs:RunInstances",
        "ecs:CreateInstance"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "ecs:IsDiskByokEncrypted": "*false*"
        }
      },
      "Effect": "Deny"
    },
    {
      "Action": [
        "ecs:RunInstances",
        "ecs:CreateInstance"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ecs:IsSystemDiskByokEncrypted": "false"
        }
      },
      "Effect": "Deny"
    },
    {
      "Action": "ecs:CreateDisk",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "ecs:IsDiskByokEncrypted": "*false*"
        }
      },
      "Effect": "Deny"
    }
  ]
}

Dans Resource Directory, sélectionnez un nœud approprié et attachez la politique. La politique bloque les actions spécifiées pour tous les comptes du répertoire.

Pour les utilisateurs individuels :
1. Connectez-vous à la console RAM. Dans le volet de navigation de gauche, cliquez sur Permission Policy et créez une politique personnalisée avec le contenu indiqué ci-dessus.
2. Accordez la politique à un utilisateur RAM, un groupe d'utilisateurs ou un rôle. Consultez la rubrique Accorder des autorisations à l'aide d'une politique.

Chiffrer les disques existants

Ce modèle prend en charge uniquement les disques de la série ESSD (ESSD PL0, PL1, PL2, PL3, ESSD Entry, ESSD AutoPL et ESSD zone-redundant storage). Les disques sous abonnement achetés avec une réduction ne peuvent pas être chiffrés à l'aide de ce modèle. Des frais supplémentaires s'appliquent.

Pour chiffrer des disques en masse avec CloudOps Orchestration Service (OOS), consultez ACS-ECS-BulkyEncryptDisks.