Elastic Compute Service:Disk Encryption

Como funciona

Discos criptografados utilizam um sistema de chaves de dois níveis:

• Chave de dados: criptografa e descriptografa dados no disco.

• Chave do KMS: armazenada no KMS. Criptografa e descriptografa a chave de dados.

Ao criar um disco criptografado, o ECS armazena uma chave de dados criptografada pelo KMS com o disco. Na inicialização da instância, o ECS solicita que o KMS descriptografe a chave de dados e carrega a chave em texto claro na memória para criptografar e descriptografar dados.

Crie um disco criptografado

1. Crie um disco criptografado.

   Importante

   A criptografia é irreversível. Não é possível reverter um disco criptografado para o estado não criptografado.

   Console

   Crie um disco criptografado nos seguintes cenários:

   • Crie um disco a partir de um snapshot criptografado não compartilhado: o disco usa a mesma chave do snapshot por padrão. Selecione uma chave do KMS diferente.

   • Crie um disco a partir de um snapshot criptografado compartilhado: o disco usa uma service key por padrão. Selecione uma chave do KMS diferente.

   • Crie um disco em uma região onde a criptografia padrão no nível de conta para o Elastic Block Storage está ativada: o disco usa a chave especificada no nível de conta por padrão. Selecione uma chave do KMS diferente.

   • Outros cenários: selecione a caixa de seleção Encryption e escolha uma chave do KMS. O sistema utiliza uma service key por padrão.

   O KMS fornece dois tipos de chaves:

   • Service key: criada e gerenciada automaticamente pelo cloud service. O alias da chave é alias/acs/ecs. As service keys não exigem gerenciamento de ciclo de vida e atendem às necessidades básicas de criptografia.

   • Customer master key (CMK): uma chave que você cria ou importa no KMS. As CMKs oferecem controle total sobre o ciclo de vida da chave, incluindo rotação, desativação e exclusão.

   Ao usar uma CMK para criptografia pela primeira vez, siga as instruções na tela para conceder a função AliyunECSDiskEncryptDefaultRole ao ECS, para que ele acesse os recursos do KMS.

   API

   • Criptografe o disco do sistema e os discos de dados ao criar uma instância do ECS.

     Chame a operação RunInstances e defina os parâmetros Encrypted e KMSKeyId.

   • Crie um disco de dados criptografado independente.

     Chame a operação CreateDisk e defina os parâmetros Encrypted e KMSKeyId.

2. Execute as etapas pós-criação.

   • Disco do sistema: pronto para uso.

   • Disco de dados:

     • Criado com uma instância:

       • Windows: pronto para uso.

       • Linux: Inicialize o disco antes do uso.

     • Criado separadamente: Anexe o disco a uma instância do ECS e, em seguida, inicialize o disco.

Converter um disco não criptografado em um disco criptografado

Não é possível criptografar diretamente um disco não criptografado existente. Crie uma cópia criptografada usando uma imagem personalizada ou um snapshot criptografado e, em seguida, substitua o sistema operacional ou anexe o novo disco.

• Disco do sistema

  1. Crie uma imagem personalizada da instância de destino.

  2. Copie a imagem personalizada e selecione a criptografia para criar uma cópia criptografada.

  3. Crie um disco do sistema criptografado usando um dos seguintes métodos:

     • Substitua o sistema operacional da instância original com a imagem criptografada.

     • Crie uma nova instância a partir da imagem criptografada.

• Disco de dados

  1. Crie um snapshot do disco de dados.

  2. Copie o snapshot para criar um snapshot criptografado.

  3. Crie um novo disco de dados a partir do snapshot criptografado.

  4. Anexe o disco criptografado recém-criado à instância do ECS original.

Aplicar em produção

• Não exclua nem desative chaves desnecessariamente.

  Excluir ou desativar uma chave torna todos os recursos criptografados que a utilizam — cloud disks, snapshots e imagens — indecifráveis, o que causa perda de dados irrecuperável. Antes de prosseguir, verifique os recursos associados à chave.

  Importante

  Você é responsável por qualquer perda de dados causada pela desativação ou exclusão de uma chave.

• Restrinja os usuários do RAM à criação apenas de discos criptografados.

  Para evitar violações de dados em discos não criptografados, configure uma política personalizada para usuários do Resource Access Management (RAM) para restringi-los à criação apenas de discos criptografados.

• Impeça que os usuários do RAM gerenciem chaves.

  Para evitar a exclusão ou desativação acidental de chaves, conceda aos usuários do RAM permissões de somente leitura do KMS ao anexar a política AliyunKMSReadOnlyAccess.

• Criptografe discos do sistema existentes em massa

  Use o modelo público OOS ACS-ECS-BulkyEncryptSystemDisk para criptografar discos do sistema de várias instâncias do ECS ao substituir seus sistemas operacionais.

Faturamento

• Taxas de discos: discos criptografados e não criptografados compartilham as mesmas regras de faturamento. A criptografia não gera taxas adicionais. Consulte Faturamento do Block Storage.

• Taxas de chaves: o uso de chaves é gratuito.

Limitações

• Tipos de instância

  Não é possível anexar discos do sistema criptografados e discos de dados criptografados criados a partir de snapshots aos seguintes tipos de instância: ecs.ebmg5, ecs.ebmgn5t, ecs.ebmi3, ecs.sccg5, ecs.scch5, ecs.ebmc4 e ecs.ebmhfg5.

• Tipos de disco

  Apenas discos da série ESSD suportam criptografia: enterprise SSDs (ESSDs), discos ESSD Entry, discos ESSD AutoPL e ESSDs regionais.

• Regiões

  • Regiões onde não é possível criar discos criptografados: South Korea (Seoul).

  • Regiões onde não é possível usar CMKs: Thailand (Bangkok).

Perguntas frequentes

Como posso verificar se os dados estão criptografados em repouso?

1. Ao comprar uma instância de teste, crie um disco do sistema criptografado com uma CMK.

2. Desative a CMK.

   1. Faça logon no Console do Key Management Service. Na barra de navegação superior, selecione uma região. No painel de navegação à esquerda, escolha Resources > Keys.

   2. Na aba Customer Master Keys ou Default Keys, encontre a chave de destino e clique em Disable na coluna Actions.

   3. Na caixa de diálogo Disable Key, confirme a ação e clique em Confirm.

      Importante

      Antes de desativar uma CMK, verifique os recursos de nuvem associados para evitar interrupções no serviço.

3. Verifique a criptografia.

   Conecte-se à instância do ECS e execute sudo reboot. Como a chave do KMS está desativada, o sistema não consegue descriptografar os dados, o que causa um travamento de I/O. Se você conectar-se via VNC, uma tela preta confirma que os dados estão criptografados em repouso.

4. Ative a CMK e libere a instância de teste.

Referências

• Consulte Tipos de chave que suportam criptografia de serviço em nuvem.

• Consulte Visão geral da integração do KMS para criptografia de serviço em nuvem.