Use encrypted disks - Elastic Compute Service - Alibaba Cloud Dokümantasyon Merkezi

Uyumluluk gereksinimlerini karşılamak için disk şifrelemeyi etkinleştirin; şifreleme algoritmalarını, anahtar döndürmeyi ve anahtar yaşam döngüsünü kontrol etmek için bir müşteri anahtarı (CMK) kullanın.

Güvenlik riskleri

Ticari sırlar, kişisel bilgiler veya finansal kayıtlar gibi şifrelenmemiş disk verileri düz metin olarak depolanır. Fiziksel cihazların çalınması, bir İşletim ve Bakım mühendisinin hata yapması veya kötü niyetli davranması ya da bir saldırganın hipervizör güvenlik açığından yararlanması durumunda hassas veriler doğrudan ifşa olabilir.

Disk şifreleme, depolama sırasında verilere yetkisiz müdahaleyi önleyerek veri bütünlüğünü korur. Bir diske fiziksel katmanda veya hipervizör katmanında saldırı düzenlense bile veriler okunamaz durumda kalır.

En iyi uygulamalar

Bir örnek veya veri diski oluştururken diski bir hizmet anahtarı veya müşteri anahtarı (CMK) ile şifreleyin:

Hizmet anahtarı: Alibaba Cloud KMS, sunucu tarafı şifreleme için ücretsiz bir varsayılan anahtar sağlar. KMS örneği satın almanız gerekmez. Temel veri şifreleme sunar.
Müşteri anahtarı: Anahtar oluşturma, depolama, döndürme ve imha işlemleri dahil olmak üzere anahtar yaşam döngüsünü cloud hizmeti sağlayıcısından bağımsız olarak kontrol etmek için bir KMS örneği satın alın.

Konsol

Bir örnek oluştururken, Encrypt seçeneğini işaretleyin ve System Disk ile Data Disk ayarlarında bir anahtar seçin.
Bir veri diski oluştururken, Disks bölümünde Encrypt seçeneğini işaretleyin ve bir anahtar seçin.

API

RunInstances veya CreateInstance çağrısı yaparken disk şifrelemeyi etkinleştirmek için Encrypted parametresini ve şifreleme anahtarını belirtmek için KMSKeyId parametresini ayarlayın.
CreateDisk çağrısı yaparken disk şifrelemeyi etkinleştirmek için Encrypted parametresini ve şifreleme anahtarını belirtmek için KMSKeyId parametresini ayarlayın.

Uyumluluk

Şifrelenmemiş diskleri bulma

ECS Insight

ECS Insight sayfasına gidin.
Security sekmesinde, şifrelenmemiş diskleri görüntülemek için Use Disk Encryption to Improve Data Security seçeneğine tıklayın.

Security Center

Security Center konsolu sayfasına gidin.
Sol gezinme bölmesinde Risk Governance > CSPM yolunu izleyin ve ardından Cloud Service Configuration Risk sekmesini seçin. Ensure attached disks are encrypted ve Unattached disks are encrypted adlı kontrolleri bulun ve Actions sütununda Scan seçeneğine tıklayın.

Durum Başarısız ise şifrelenmemiş diskler mevcuttur. Bunları görüntülemek için Details seçeneğine tıklayın.

İlke 1: Şifrelenmemiş disk oluşturmayı engelleme

Kuruluş veya hesap düzeyinde şifreleme olmadan örnek ve disk oluşturulmasını reddetmek için bir RAM ilkesi kullanın.

Bölge bazında Elastic Block Storage için hesap düzeyinde varsayılan şifrelemeyi etkinleştirebilirsiniz. Etkinleştirildikten sonra belirtilen bölgedeki tüm yeni diskler, kopyalanan anlık görüntüler ve kopyalanan görüntüler varsayılan olarak şifrelenir.

Kurumsal kullanıcılar için:

Resource Directory konsoluna giriş yapın. Sol gezinme bölmesinde Control Policies seçeneğine tıklayın. Aşağıdaki JSON içeriğine sahip özel bir ilke oluşturun.

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "ecs:RunInstances",
        "ecs:CreateInstance"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "ecs:IsDiskEncrypted": "*false*"
        }
      },
      "Effect": "Deny"
    },
    {
      "Action": [
        "ecs:RunInstances",
        "ecs:CreateInstance"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ecs:IsSystemDiskEncrypted": "false"
        }
      },
      "Effect": "Deny"
    },
    {
      "Action": "ecs:CreateDisk",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "ecs:IsDiskEncrypted": "*false*"
        }
      },
      "Effect": "Deny"
    }
  ]
}

Resource Directory'de uygun bir düğüm seçin ve ilkeyi ekleyin. Bu ilke, dizindeki tüm hesaplar için belirtilen eylemleri engeller.

Bireysel kullanıcılar için:
1. RAM konsoluna giriş yapın. Sol gezinme bölmesinde Permission Policy seçeneğine tıklayın ve yukarıda gösterilen içerikle özel bir ilke oluşturun.
2. İlkeyi bir RAM kullanıcısına, kullanıcı grubuna veya role atayın. Bkz. İlke kullanarak izin verme.

İlke 2: CMK şifrelemesi olmayan diskleri engelleme

Kuruluş veya hesap düzeyinde CMK şifrelemesi olmadan örnek ve disk oluşturulmasını reddetmek için bir RAM ilkesi kullanın.

Kurumsal kullanıcılar için:

Resource Directory konsoluna giriş yapın. Sol gezinme bölmesinde Control Policies seçeneğine tıklayın. Aşağıdaki JSON içeriğine sahip özel bir ilke oluşturun.

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "ecs:RunInstances",
        "ecs:CreateInstance"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "ecs:IsDiskByokEncrypted": "*false*"
        }
      },
      "Effect": "Deny"
    },
    {
      "Action": [
        "ecs:RunInstances",
        "ecs:CreateInstance"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ecs:IsSystemDiskByokEncrypted": "false"
        }
      },
      "Effect": "Deny"
    },
    {
      "Action": "ecs:CreateDisk",
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "ecs:IsDiskByokEncrypted": "*false*"
        }
      },
      "Effect": "Deny"
    }
  ]
}

Resource Directory'de uygun bir düğüm seçin ve ilkeyi ekleyin. Bu ilke, dizindeki tüm hesaplar için belirtilen eylemleri engeller.

Bireysel kullanıcılar için:
1. RAM konsoluna giriş yapın. Sol gezinme bölmesinde Permission Policy seçeneğine tıklayın ve yukarıda gösterilen içerikle özel bir ilke oluşturun.
2. İlkeyi bir RAM kullanıcısına, kullanıcı grubuna veya role atayın. Bkz. İlke kullanarak izin verme.

Mevcut diskleri şifreleme

Bu şablon yalnızca ESSD serisi diskleri (ESSD PL0, PL1, PL2, PL3, ESSD Entry, ESSD AutoPL ve ESSD bölgesel çoğaltmalı depolama) destekler. İndirimli satın alınan abonelik diskleri bu şablonla şifrelenemez. Ek ücretler uygulanır.

CloudOps Orchestration Service (OOS) ile diskleri toplu olarak şifrelemek için bkz. ACS-ECS-BulkyEncryptDisks.