Elastic Compute Service:Disk Encryption

Çalışma mantığı

Şifrelenmiş diskler iki aşamalı bir anahtar sistemi kullanır:

• Veri anahtarı: Diskteki verileri şifreler ve şifresini çözer.

• KMS anahtarı: KMS içinde saklanır. Veri anahtarını şifreler ve şifresini çözer.

Şifrelenmiş bir disk oluşturduğunuzda ECS, diskle birlikte KMS tarafından şifrelenmiş bir veri anahtarı saklar. Örnek başlatıldığında ECS, KMS'den veri anahtarının şifresini çözmesini ister ve düz metin anahtarını veri şifreleme ve şifre çözme işlemleri için belleğe yükler.

Şifrelenmiş bir disk oluşturma

1. Şifrelenmiş bir disk oluşturun.

   Önemli

   Şifreleme geri alınamaz. Şifrelenmiş bir disk tekrar şifrelenmemiş duruma dönüştürülemez.

   Konsol

   Aşağıdaki senaryolarda şifrelenmiş bir disk oluşturabilirsiniz:

   • Paylaşılmayan şifrelenmiş bir anlık görüntüden disk oluşturma: Disk varsayılan olarak anlık görüntüyle aynı anahtarı kullanır. Farklı bir KMS anahtarı seçebilirsiniz.

   • Paylaşılan şifrelenmiş bir anlık görüntüden disk oluşturma: Disk varsayılan olarak bir hizmet anahtarı kullanır. Farklı bir KMS anahtarı seçebilirsiniz.

   • Elastic Block Storage için hesap düzeyinde varsayılan şifrelemenin etkinleştirildiği bir bölgede disk oluşturma: Disk varsayılan olarak belirtilen hesap düzeyindeki anahtarı kullanır. Farklı bir KMS anahtarı seçebilirsiniz.

   • Diğer senaryolar: Encryption onay kutusunu işaretleyin ve bir KMS anahtarı seçin. Varsayılan olarak bir hizmet anahtarı kullanılır.

   KMS iki tür anahtar sağlar:

   • Hizmet anahtarı: Cloud hizmeti tarafından otomatik olarak oluşturulur ve yönetilir. Anahtar takma adı alias/acs/ecs şeklindedir. Hizmet anahtarları yaşam döngüsü yönetimi gerektirmez ve temel şifreleme ihtiyaçlarını karşılar.

   • Müşteri ana master anahtarı (CMK): KMS'de oluşturduğunuz veya KMS'e aktardığınız bir anahtardır. CMK'ler, anahtar rotasyonu, devre dışı bırakma ve silme dahil olmak üzere anahtar yaşam döngüsü üzerinde tam kontrol sağlar.

   İlk kez şifreleme için bir CMK kullandığınızda ECS'nin KMS kaynaklarına erişebilmesi için ekrandaki talimatları izleyerek AliyunECSDiskEncryptDefaultRole rolünü ECS'ye atayın.

   API

   • Bir ECS örneği oluştururken sistem diskini ve veri disklerini şifreleyin.

     RunInstances işlemini çağırın ve Encrypted ile KMSKeyId parametrelerini ayarlayın.

   • Bağımsız şifrelenmiş bir veri diski oluşturun.

     CreateDisk işlemini çağırın ve Encrypted ile KMSKeyId parametrelerini ayarlayın.

2. Oluşturma sonrası adımları tamamlayın.

   • Sistem diski: Kullanıma hazır.

   • Veri diski:

     • Bir örnek ile oluşturulduysa:

       • Windows: Kullanıma hazır.

       • Linux: Kullanmadan önce diski başlatın.

     • Ayrı olarak oluşturulduysa: Diski bir ECS örneğine takın, ardından diski başlatın.

Şifrelenmemiş bir diski şifrelenmiş diske dönüştürme

Mevcut şifrelenmemiş bir diski doğrudan şifreleyemezsiniz. Şifrelenmiş özel bir görüntü veya anlık görüntü kullanarak şifrelenmiş bir kopya oluşturun, ardından işletim sistemini değiştirin veya yeni diski takın.

• Sistem diski

  1. Hedef örnekten özel bir görüntü oluşturun.

  2. Özel görüntüyü kopyalayın ve şifrelenmiş bir kopya oluşturmak için şifrelemeyi seçin.

  3. Aşağıdaki yöntemlerden birini kullanarak şifrelenmiş bir sistem diski oluşturun:

     • Orijinal örneğin işletim sistemini şifrelenmiş görüntüyle değiştirin.

     • Şifrelenmiş görüntüden yeni bir örnek oluşturun.

• Veri diski

  1. Veri diskinin anlık görüntüsünü oluşturun.

  2. Şifrelenmiş bir anlık görüntü oluşturmak için anlık görüntüyü kopyalayın.

  3. Şifrelenmiş anlık görüntüden yeni bir veri diski oluşturun.

  4. Yeni oluşturulan şifrelenmiş diski orijinal ECS örneğine takın.

Üretim ortamında uygulama

• Anahtarları gereksiz yere silmeyin veya devre dışı bırakmayın.

  Bir anahtarı silmek veya devre dışı bırakmak, bu anahtarı kullanan tüm şifrelenmiş kaynakların (cloud diskler, anlık görüntüler ve görüntüler) şifresinin çözülememesine neden olur ve bu durum kurtarılamaz veri kaybına yol açar. İşleme devam etmeden önce anahtarla ilişkili kaynakları kontrol edin.

  Önemli

  Bir anahtarı devre dışı bırakmanızdan veya silmenizden kaynaklanan herhangi bir veri kaybından siz sorumlusunuz.

• RAM kullanıcılarını yalnızca şifrelenmiş diskler oluşturmaya kısıtlayın.

  Şifrelenmemiş disklerden kaynaklanan veri ihlallerini önlemek için Resource Access Management (RAM) kullanıcıları için özel bir ilke yapılandırarak bu kullanıcıları yalnızca şifrelenmiş diskler oluşturmaya kısıtlayın.

• RAM kullanıcılarının anahtarları yönetmesini engelleyin.

  Yanlışlıkla anahtar silinmesini veya devre dışı bırakılmasını önlemek için AliyunKMSReadOnlyAccess ilkesini ekleyerek RAM kullanıcılarına salt okunur KMS izinleri verin.

• Mevcut sistem disklerini toplu olarak şifreleme

  İşletim sistemlerini değiştirerek birden çok ECS örneğinin sistem disklerini şifrelemek için OOS genel şablonu ACS-ECS-BulkyEncryptSystemDisk kullanın.

Faturalama

• Disk ücretleri: Şifrelenmiş ve şifrelenmemiş diskler aynı faturalama kurallarına tabidir. Şifreleme için ek ücret alınmaz. Ayrıntılar için Block Storage faturalamasına bakın.

• Anahtar ücretleri: Anahtar kullanımı ücretsizdir.

Sınırlamalar

• Örnek türleri

  Anlık görüntülerden oluşturulan şifrelenmiş sistem diskleri ve şifrelenmiş veri diskleri aşağıdaki örnek türlerine takılamaz: ecs.ebmg5, ecs.ebmgn5t, ecs.ebmi3, ecs.sccg5, ecs.scch5, ecs.ebmc4 ve ecs.ebmhfg5.

• Disk türleri

  Yalnızca ESSD serisi diskler şifrelemeyi destekler: kurumsal SSD'ler (ESSD'ler), ESSD Entry diskleri, ESSD AutoPL diskleri ve bölgesel ESSD'ler.

• Bölgeler

  • Şifrelenmiş disk oluşturulamayan bölgeler: Çin (Nanjing - Yerel Bölge - Kapanıyor), Güney Kore (Seul).

  • CMK'lerin kullanılamadığı bölgeler: Çin (Fuzhou - Yerel Bölge - Kapanıyor), Tayland (Bangkok).

SSS

Verilerin bekleme durumunda şifrelendiğini nasıl doğrulayabilirim?

1. Bir test örneği satın alırken bir CMK ile şifrelenmiş bir sistem diski oluşturun.

2. CMK'yi devre dışı bırakın.

   1. Key Management Service konsoluna giriş yapın. Üst gezinme çubuğunda bir bölge seçin. Sol gezinme bölmesinde Resources > Keys seçeneğini belirleyin.

   2. Customer Master Keys veya Default Keys sekmesinde hedef anahtarı bulun ve Actions sütunundaki Disable seçeneğine tıklayın.

   3. Disable Key iletişim kutusunda işlemi onaylayın ve Confirm seçeneğine tıklayın.

      Önemli

      Bir CMK'yi devre dışı bırakmadan önce hizmet kesintilerini önlemek için ilişkili cloud kaynaklarını kontrol edin.

3. Şifrelemeyi doğrulayın.

   ECS örneğine bağlanın ve sudo reboot komutunu çalıştırın. KMS anahtarı devre dışı bırakıldığından sistem verilerin şifresini çözemez ve bu durum bir G/Ç askıda kalmasına neden olur. VNC üzerinden bağlanırsanız, siyah ekran verilerin bekleme durumunda şifrelendiğini doğrular.

4. CMK'yi etkinleştirin ve test örneğini serbest bırakın.

Referanslar

• Cloud hizmeti şifrelemesini destekleyen anahtar türlerine bakın.

• Cloud hizmeti şifrelemesi için KMS entegrasyonuna genel bakışa bakın.