暗号化されたディスクの使用 - Elastic Compute Service - Alibaba Cloud ドキュメントセンター

コンプライアンスのためにディスク暗号化を有効にし、カスタマーマスターキー (CMK) を使用して暗号化アルゴリズム、キーのローテーション、キーのライフサイクルを制御します。

セキュリティリスク

暗号化されていないディスクデータ (営業秘密、個人情報、財務記録など) は、プレーンテキストで保存されます。極端な場合、物理デバイスの盗難、O&M エンジニアの操作ミスまたは悪意のある行為、またはハイパーバイザーの脆弱性をハッカーが悪用した場合に、機密データが直接漏えいする可能性があります。

ディスク暗号化は、保存中の改ざんを防ぐことでデータ整合性を確保します。ディスクが物理レイヤーまたはハイパーバイザーレイヤーで攻撃を受けた場合でも、データは読み取れません。

ベストプラクティス

インスタンスまたはデータディスクを作成する際は、サービスキーまたはカスタマーマスターキー (CMK) を使用してディスクを暗号化します。

サービスキー：Alibaba Cloud KMS は、サーバー側の暗号化向けに無料のデフォルトキーを提供します。KMS インスタンスを購入する必要はありません。基本的なデータ暗号化を提供します。
カスタマーマスターキー：クラウドサービスプロバイダーとは独立して、生成、保管、キーのローテーション、破棄などのキーライフサイクルを制御するには、KMS インスタンスを購入してください。

コンソール

インスタンスを作成する際に、暗号化 を選択し、システムディスク と データディスク の設定でキーを選択します。
データディスクを作成する際に、ディスク セクションで 暗号化 を選択し、キーを選択します。

API

RunInstances または CreateInstance API を呼び出す際に、Encrypted を設定してディスク暗号化を有効にし、KMSKeyId を設定して暗号化キーを指定します。
CreateDisk API を呼び出す際に、Encrypted を設定してディスク暗号化を有効にし、KMSKeyId を設定して暗号化キーを指定します。

コンプライアンス

暗号化されていないディスクの検出

ECS Insight

ECS Insight に移動します。
[セキュリティ] タブで、[ディスク暗号化の使用状況] をクリックして、暗号化されていないディスクを表示します。

Security Center

Security Center console に移動します。
ナビゲーションペインで、[リスクガバナンス] > [CSPM] を選択します。[クラウドサービス構成リスク] タブで、[アタッチされたディスクが暗号化されていることを確認する] と [アタッチされていないディスクが暗号化されている] を見つけます。操作列で [スキャン] をクリックします。

ステータスが「Failed」の場合、暗号化されていないディスクが存在します。詳細をクリックして表示します。

暗号化されていないディスク作成のブロック

RAM ポリシーを使用して、組織またはアカウントレベルで暗号化なしのインスタンスおよびディスクの作成を拒否します。

リージョンごとに Elastic Block Storage のアカウントレベルのデフォルト暗号化を有効にできます。有効化後、指定したリージョン内で新規作成されるすべてのディスク、コピーされたスナップショット、およびコピーされたイメージは、デフォルトで暗号化されます。

企業ユーザーの場合：

Resource Directory コンソールにログインします。ナビゲーションペインで [コントロールポリシー] をクリックします。次の JSON の内容でカスタムポリシーを作成します。

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "ecs:RunInstances",
        "ecs:CreateInstance"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "ecs:IsDiskEncrypted": "*false*"
        }
      },
      "Effect": "Deny"
    },
    {
      "Action": [
        "ecs:RunInstances",
        "ecs:CreateInstance"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ecs:IsSystemDiskEncrypted": "false"
        }
      },
      "Effect": "Deny"
    },
    {
      "Action": "ecs:CreateDisk",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "ecs:IsDiskEncrypted": "*false*"
        }
      },
      "Effect": "Deny"
    }
  ]
}

Resource Directory で適切なノードを選択し、ポリシーをアタッチします。このポリシーは、ディレクトリ内のすべてのアカウントに対して指定されたアクションをブロックします。

個人ユーザーの場合：
1. RAM コンソールにログインします。ナビゲーションペインで 権限付与ポリシー をクリックし、上記の内容でカスタムポリシーを作成します。
2. RAM ユーザー、ユーザーグループ、またはロールにポリシーを付与します。詳細については、「ポリシーを使用して権限を付与する」をご参照ください。

CMK を使用しないディスク作成のブロック

RAM ポリシーを使用して、組織またはアカウントレベルで CMK 暗号化なしのインスタンスおよびディスクの作成を拒否します。

企業ユーザーの場合：

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "ecs:RunInstances",
        "ecs:CreateInstance"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "ecs:IsDiskByokEncrypted": "*false*"
        }
      },
      "Effect": "Deny"
    },
    {
      "Action": [
        "ecs:RunInstances",
        "ecs:CreateInstance"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ecs:IsSystemDiskByokEncrypted": "false"
        }
      },
      "Effect": "Deny"
    },
    {
      "Action": "ecs:CreateDisk",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "ecs:IsDiskByokEncrypted": "*false*"
        }
      },
      "Effect": "Deny"
    }
  ]
}

Resource Directory で適切なノードを選択し、ポリシーをアタッチします。このポリシーは、ディレクトリ内のすべてのアカウントに対して指定されたアクションをブロックします。

個人ユーザーの場合：
1. RAM コンソールにログインします。ナビゲーションペインで 権限付与ポリシー をクリックし、上記の内容でカスタムポリシーを作成します。
2. RAM ユーザー、ユーザーグループ、またはロールにポリシーを付与します。詳細については、「ポリシーを使用して権限を付与する」をご参照ください。

既存のディスクの暗号化

このテンプレートは ESSD シリーズディスク (ESSD PL0、PL1、PL2、PL3、ESSD Entry、ESSD AutoPL、ESSD ゾーン冗長ストレージ) のみをサポートします。このテンプレートを使用してディスクを暗号化すると追加料金が発生します。ただし、割引で購入したサブスクリプションディスクは、このテンプレートでは暗号化できません。

CloudOps Orchestration Service (OOS) を使用してディスクを一括暗号化するには、ACS-ECS-BulkyEncryptDisks をご参照ください。