Simple Log Service (SLS) utilise Key Management Service (KMS) pour chiffrer les données au repos et prend en charge la transmission chiffrée HTTPS basée sur SSL/TLS afin de protéger vos données contre les risques de sécurité potentiels dans le cloud.
Chiffrement côté serveur
SLS prend en charge les mécanismes de chiffrement côté serveur suivants :
-
Chiffrement avec des clés de service fournies par SLS
SLS génère et gère automatiquement une clé de chiffrement de données unique pour chaque Logstore. La clé n'expire jamais.
Algorithmes de chiffrement pris en charge : AES (par défaut) et SM4.
-
Chiffrement avec Bring Your Own Key (BYOK)
Créez une clé maître cliente (CMK) dans la console KMS et accordez à SLS les permissions requises. SLS utilise la CMK pour générer des clés de chiffrement de données via l'API KMS. Si vous supprimez ou désactivez la CMK, la clé BYOK devient invalide et toutes les demandes de lecture et d'écriture vers le Logstore échouent.
Important
Si la CMK générée par KMS BYOK devient invalide, toutes les demandes de lecture et d'écriture vers le Logstore échouent.
Pour plus d'informations, consultez la rubrique Chiffrement des données.
Transmission chiffrée HTTPS basée sur SSL/TLS
SLS permet l'accès via HTTP ou HTTPS. SSL/TLS garantit la confidentialité et l'intégrité de tous les canaux de communication.
Les méthodes d'accès suivantes prennent en charge la transmission chiffrée :
-
Logtail
Logtail est l'agent de collecte de journaux fourni par SLS. Pour empêcher toute falsification pendant la transmission, Logtail récupère un jeton privé depuis le serveur via un canal HTTPS et signe tous les paquets de données de journal avant leur envoi.
-
SDK
SLS propose des SDK dans plusieurs langages de programmation, notamment Java, Python, .NET, PHP et C. Tous les SDK prennent en charge la lecture et l'écriture dans SLS via HTTPS.
-
Expédition des données vers OSS
L'expédition des données vers OSS comporte deux étapes. La première déplace les données du stockage SLS vers le service d'expédition SLS au sein du cluster SLS ; ce transfert interne est protégé contre toute falsification. La seconde transmet les données entre SLS et OSS via HTTPS, où un jeton privé est récupéré depuis le serveur et tous les paquets de données de journal sont signés.