General-purpose NAS et Extreme NAS prennent tous deux en charge le chiffrement côté serveur. Si vos données sont soumises à des exigences élevées en matière de sécurité ou de conformité, activez cette fonctionnalité. Une fois activée, NAS chiffre les données lors de leur écriture sur votre système de fichiers et les déchiffre de manière transparente lorsqu'elles sont consultées. Cette rubrique explique le fonctionnement du chiffrement côté serveur, les régions prises en charge ainsi que les opérations associées.
Limites
Vous ne pouvez activer le chiffrement qu'à la création d'un système de fichiers.
Une fois la fonctionnalité activée, vous ne pouvez pas désactiver le chiffrement d'un système de fichiers.
Options de chiffrement
NAS utilise l'algorithme standard AES-256 pour chiffrer vos données au repos. Cette fonctionnalité s'appuie sur un mécanisme de chiffrement par enveloppe afin de prévenir tout accès non autorisé. Le service Key Management Service (KMS) génère et gère les clés de chiffrement, garantissant ainsi leur confidentialité, leur intégrité et leur disponibilité. Pour plus d'informations, consultez la page Utiliser le chiffrement par enveloppe pour chiffrer et déchiffrer des données localement.
NAS propose deux options de chiffrement côté serveur adaptées à différents cas d'utilisation.
L'utilisation d'une clé gérée par NAS est gratuite. L'utilisation d'une clé gérée par le client entraîne des frais minimes liés à l'utilisation des clés KMS. Pour plus d'informations, consultez la page Facturation de KMS 1.0.
-
Clé gérée par NAS
Avec cette option, chaque système de fichiers est chiffré à l'aide d'une clé entièrement gérée par NAS pour votre compte. NAS crée et gère cette clé dans le service Key Management Service (KMS). Vous pouvez consulter la clé et auditer son utilisation, mais vous ne pouvez ni la supprimer ni la désactiver.
-
Clé gérée par le client
Cette option vous offre un contrôle total sur la clé de chiffrement. Vous utilisez une clé gérée par le client dans KMS pour chiffrer et déchiffrer votre système de fichiers. Si vous désactivez ou supprimez cette clé, le système de fichiers qu'elle protège devient inaccessible. Vous pouvez obtenir une clé gérée par le client de l'une des deux manières suivantes :
Créer une clé dans KMS : vous pouvez créer directement une clé maître cliente (CMK) dans KMS. Cela vous permet de gérer le cycle de vie de la clé, notamment son activation, sa désactivation, sa suppression et sa rotation.
Utiliser la méthode Bring Your Own Key (BYOK) : pour répondre à des exigences spécifiques en matière de sécurité et de conformité, vous pouvez importer une clé depuis votre environnement local ou une autre source vers KMS afin de l'utiliser comme CMK. Pour plus d'informations, consultez la page Importer du matériel de clé.
Procédure
Lorsque vous créez un système de fichiers dans la console NAS, définissez le paramètre Encryption Type sur NAS-managed Key ou customer-managed key selon votre cas d'utilisation. Pour des instructions détaillées, consultez les pages Créer un système de fichiers General-purpose NAS et Créer un système de fichiers Extreme NAS.
Régions prises en charge
General-purpose NAS : disponible dans toutes les régions.
Extreme NAS : disponible dans toutes les régions, à l'exception de China East 1 Finance.
FAQ
Rubriques connexes
General-purpose NAS prend également en charge le chiffrement en transit pour protéger vos données lors de leurs échanges entre vos clients et le système de fichiers. Vous pouvez activer cette fonctionnalité lors du montage d'un système de fichiers afin d'éviter toute interception ou altération pendant la transmission. Pour plus d'informations, consultez les pages Chiffrement en transit pour les systèmes de fichiers NFS ou Chiffrement en transit pour les systèmes de fichiers SMB.