O Simple Log Service (SLS) usa o Key Management Service (KMS) para criptografar dados em repouso e oferece suporte à transmissão criptografada por HTTPS baseada em SSL/TLS, protegendo os dados contra possíveis riscos de segurança na nuvem.
Criptografia do lado do servidor
O SLS oferece suporte aos seguintes mecanismos de criptografia do lado do servidor:
-
Criptografia com chaves de serviço fornecidas pelo SLS
O SLS gera e gerencia automaticamente uma chave de criptografia de dados exclusiva para cada Logstore. A chave não expira.
Algoritmos de criptografia compatíveis: AES (padrão) e SM4.
-
Criptografia com Bring Your Own Key (BYOK)
Crie uma chave mestra do cliente (CMK) no console do KMS e conceda as permissões necessárias ao SLS. O SLS usa a CMK para gerar chaves de criptografia de dados por meio da API do KMS. Se você excluir ou desativar a CMK, a chave BYOK se torna inválida e todas as solicitações de leitura e gravação no Logstore falham.
Importante
Se a CMK gerada pelo KMS BYOK se tornar inválida, todas as solicitações de leitura e gravação no Logstore falharão.
Para mais informações, consulte Criptografia de dados.
Transmissão criptografada por HTTPS baseada em SSL/TLS
O SLS permite acesso via HTTP ou HTTPS. O SSL/TLS garante confidencialidade e integridade para todos os canais de comunicação.
Os seguintes métodos de acesso oferecem suporte à transmissão criptografada:
-
Logtail
O Logtail é o agente de coleta de logs fornecido pelo SLS. Para evitar adulteração durante a transmissão, o Logtail obtém um token privado do servidor por meio de um canal HTTPS e assina todos os pacotes de dados de log antes do envio.
-
SDKs
O SLS fornece SDKs em diversas linguagens de programação, incluindo Java, Python, .NET, PHP e C. Todos os SDKs permitem leitura e gravação no SLS via HTTPS.
-
Envio de dados para o OSS
O envio de dados para o OSS envolve duas etapas. A primeira etapa transfere os dados do armazenamento do SLS para o serviço de envio dentro do cluster do SLS — essa transferência interna conta com proteção contra adulteração. A segunda etapa transmite os dados entre o SLS e o OSS via HTTPS, em que um token privado é obtido do servidor e todos os pacotes de dados de log são assinados.