Todos os produtos
Search

Este produto

    Elastic Compute Service:Garantir a segurança dos dados

    Central de documentação

    Elastic Compute Service:Garantir a segurança dos dados

    Última atualização: Jun 23, 2026

    Proteja os dados em instâncias do ECS por meio de verificação de integridade, criptografia para confidencialidade e backup para disponibilidade.

    Integridade dos dados

    A integridade dos dados previne adulterações acidentais ou mal-intencionadas durante a transmissão e o armazenamento.

    O ECS utiliza armazenamento triplicado para confiabilidade, apagamento seguro de dados para exclusão completa e Verificação de Redundância Cíclica (CRC) para proteção de dados de ponta a ponta.

    • Armazenamento triplicado

      • Descrição do recurso: os dados do disco em nuvem são replicados em três cópias de chunk armazenadas em diferentes nós de dados em um cluster de armazenamento. Isso garante a confiabilidade e a estabilidade dos dados durante as operações de leitura e gravação. Consulte Confiabilidade de dados de disco em nuvem ESSD.

      • Método de configuração: por padrão, os discos em nuvem oferecem suporte a esse recurso.

    • Mecanismo de apagamento de dados

      • Descrição do recurso: os dados excluídos no sistema de armazenamento de blocos distribuído são completamente apagados e não podem ser acessados nem restaurados.

        • Os discos em nuvem utilizam gravação sequencial por append na camada subjacente. Esse design aproveita a alta largura de banda e a baixa latência das gravações sequenciais em discos físicos. Devido ao recurso de gravação por append, uma operação de exclusão de um espaço lógico em um disco em nuvem é registrada apenas como metadados. Ao tentar ler esse espaço lógico, o sistema de armazenamento retorna apenas zeros. Da mesma forma, a sobrescrita de um espaço lógico não sobrescreve imediatamente o espaço correspondente no disco físico. Em vez disso, o sistema de armazenamento modifica o mapeamento entre os espaços lógico e físico para realizar a sobrescrita. Isso garante que os dados originais não possam ser lidos. Os dados residuais no disco físico de operações de exclusão ou sobrescrita são posteriormente excluídos de forma permanente.

        • Ao liberar um dispositivo de bloco, como um disco em nuvem, o sistema de armazenamento destrói imediatamente seus metadados para tornar os dados inacessíveis. O espaço de armazenamento físico que o disco em nuvem ocupava também é recuperado. Esse espaço físico é limpo antes de ser realocado. Todos os discos em nuvem recém-criados retornam zeros para todas as operações de leitura antes da primeira gravação.

      • Método de configuração: por padrão, os discos em nuvem oferecem suporte a esse recurso.

    • CRC

      • Descrição do recurso: os discos em nuvem oferecem suporte a CRC para verificação de dados de ponta a ponta durante a transmissão e o armazenamento:

        • O CRC de link completo é executado em todas as operações de leitura e gravação.

        • O sistema de armazenamento de blocos realiza periodicamente verificações de CRC e redundância na mídia persistente.

      • Método de configuração: por padrão, os discos em nuvem oferecem suporte a esse recurso.

    Confidencialidade dos dados

    A criptografia impede o acesso não autorizado e a divulgação de dados. Mesmo que os dados sejam interceptados durante a transmissão ou acessados ilegalmente no armazenamento, o conteúdo não pode ser descriptografado.

    O ECS garante a confidencialidade dos dados em ambientes de armazenamento, transmissão de rede e computação.

    Criptografia de armazenamento

    • Criptografia de disco

      • Descrição do recurso: ative a opção encryption ao criar um disco de sistema ou disco de dados. Os dados são automaticamente criptografados na gravação e descriptografados na leitura, de forma transparente para o sistema operacional. Nenhuma infraestrutura de gerenciamento de chaves é necessária. A criptografia de disco protege a privacidade dos dados e fornece um limite de segurança para dados corporativos.

      • Método de configuração: consulte Visão geral da criptografia de disco em nuvem.

      null

      Para empresas com altos requisitos de conformidade de segurança, o ECS permite configurar políticas personalizadas para que os usuários RAM possam criar apenas discos criptografados. Consulte a seção Restringir a criação de discos em nuvem não criptografados do tópico "Políticas personalizadas para o ECS".

    • Criptografia de snapshot

      Os snapshots de discos em nuvem criptografados (discos de sistema e discos de dados) herdam o atributo de criptografia do disco. Os dados do snapshot permanecem criptografados durante o armazenamento, a transmissão, a cópia entre regiões e a restauração do disco.

    • Criptografia de imagem

      A criptografia de imagem protege os dados armazenados em imagens contra acesso não autorizado. Mesmo que um usuário não autorizado acesse os dados da imagem, eles não podem ser lidos ou descriptografados. Crie uma imagem criptografada a partir de uma instância com um disco de sistema criptografado, a partir de um snapshot criptografado ou copiando uma imagem não criptografada para uma imagem criptografada.

    Criptografia na transmissão de rede

    O ECS oferece suporte a diversos métodos para criptografar dados em trânsito: acesso a metadados no modo security hardening mode, VPN Gateway para conectividade segura e HTTPS para acesso a recursos do ECS.

    • Acessar metadados da instância no modo security hardening

      • Descrição do recurso: no modo normal, o Metadata Service retorna metadados da instância sem autenticação. Se os metadados contiverem informações confidenciais, eles podem ser interceptados ou vazados. Uma vulnerabilidade de server-side request forgery (SSRF) pode permitir que invasores obtenham tokens do Security Token Service (STS) a partir do Metadata Service, causando riscos semelhantes a vazamentos de AccessKey. O modo security hardening mitiga ataques SSRF ao exigir autenticação baseada em token para acesso aos metadados.

      • Método de configuração: selecione security hardening mode para acessar o Metadata Service. Consulte Metadados da instância.

    • Acesso seguro com VPN Gateway

      • Descrição do recurso: o VPN Gateway (VPN) estabelece túneis criptografados entre redes locais, redes de escritório ou clientes de Internet e ambientes de Virtual Private Cloud (VPC) da Alibaba Cloud. Ele oferece suporte a dois métodos de conexão: IPsec-VPN e SSL-VPN. Os dados são criptografados com os protocolos Internet Key Exchange (IKE) e IPsec.

        • IPsec-VPN: cada pacote de dados é criptografado pelo IPsec antes da transmissão. O IPsec fornece criptografia e autenticação de dados para garantir a integridade dos dados.

        • SSL-VPN: um certificado de cliente SSL é instalado no cliente para estabelecer uma conexão criptografada com o VPN Gateway. O SSL criptografa o tráfego para proteção de dados, autenticação de identidade e integridade dos dados.

        Consulte O que é o VPN Gateway?

      • Método de configuração: por padrão, há suporte a esse recurso.

    • Acessar recursos do ECS com HTTPS

      null

      A Alibaba Cloud fornece a chave de condição acs:SecureTransport. Configure uma política personalizada que referencie essa chave de condição e a associe a usuários RAM para restringir o acesso a recursos do ECS exclusivamente via HTTPS. Consulte Políticas personalizadas.

    Ambiente de computação em tempo de execução

    Disponibilidade dos dados

    • Descrição do recurso: a disponibilidade dos dados mantém os dados completos, consistentes e precisos ao longo de todo o ciclo de vida. O ECS oferece suporte a backup baseado em snapshot, backup baseado em imagem, restauração de partição de disco de dados e deploy em múltiplas zonas para recuperação de desastres.

    • Métodos de configuração: consulte Soluções de recuperação de desastres do ECS.