Bulutta güvenli ve güvenilir anahtar yaşam döngüsü yönetimi
Alibaba Cloud Key Management Service (KMS), hassas veri varlıklarınızı şifrelemenize ve korumanıza yardımcı olmak için güvenli ve uyumlu anahtar yönetimi ile kriptografi hizmetleri sunar. KMS, bulut genelinde verilerinizi şifrelemenize ve dağıtık ortamınızı kontrol etmenize olanak tanımak üzere çok çeşitli Alibaba Cloud hizmetleriyle entegre edilmiştir. KMS, ActionTrail aracılığıyla anahtar kullanım günlükleri sağlar, özel anahtar rotasyonunu destekler ve düzenleyici ile uyumluluk gereksinimlerinizi karşılamanıza yardımcı olmak için FIPS 140-2 Seviye 3 veya diğer ilgili doğrulamaları geçmiş HSM'ler sunar.
Tamamen Yönetilen
KMS anahtar yönetimi ve kriptografi hizmetleri sunar. Anahtarların yaşam döngüsünü ve izinlerini siz yönetirsiniz; şifreleme ve imzalama için bunları kullanırsınız. Alibaba Cloud ise kriptografik altyapıyı tamamen yönetir; hizmetin kullanılabilirliğini, güvenliğini ve güvenilirliğini garanti eder.
Kullanılabilirlik, Güvenilirlik ve Esneklik
KMS, her bölgedeki kullanılabilirlik alanları arasında yedekli kriptografik modüller aracılığıyla isteklerinizi düşük gecikmeyle işler. İhtiyacınıza göre dilediğiniz sayıda anahtar oluşturacak şekilde ölçeklenir. Daha yüksek dayanıklılık için kendi anahtarınızı KMS'ye getirebilir ve çevrimdışı bir kopyasını saklayabilirsiniz.
Güvenlik ve Uyumluluk
KMS, güvenli tasarım ve inceleme süreçleriyle Alibaba Cloud üzerindeki anahtarlarınızın sıkı bir şekilde korunmasını sağlar. KMS; FIPS 140-2 Seviye 3 veya ilgili diğer doğrulamaları geçen yönetilen HSM'ler sunarak, özel anahtar rotasyon politikaları yapılandırmanıza, RAM'de izinleri yönetmenize ve ActionTrail'de anahtar kullanımını izlemenize olanak tanıyarak düzenleyici ve uyumluluk gereksinimlerini hızla karşılamanıza yardımcı olur. Daha fazla analiz ve tehdit algılama amacıyla SIEM çözümünüzle entegre etmek için ActionTrail olaylarını OSS veya Log Service'e aktarabilirsiniz.
Entegre Bulut Hizmetleri İçin Veri Şifreleme
KMS; ECS, RDS, OSS, NAS ve MaxCompute gibi çok sayıda Alibaba Cloud hizmetiyle entegredir. Minimum Key yönetimi maliyetiyle KMS kullanarak bu hizmetlerdeki verileri şifreleyebilir, dağıtık bilişim ve depolama ortamlarınız üzerinde kontrolünüzü sürdürebilirsiniz. OSS SSE veya Veritabanı TDE gibi sunucu tarafı şifreleme yöntemlerinde şifreleme davranışını KMS ve RAM aracılığıyla siz yönetirsiniz. Alibaba Cloud ise karmaşıklığı üstlenir ve şifreleme iş yükünün yürütme maliyetini sizin adınıza karşılar.
Özel Şifreleme ve Dijital İmzalar
KMS, entegre güvenlik ve uyumluluk için uygulamanızdaki verileri kolayca şifrelemeniz adına basitleştirilmiş kriptografi ve HSM API'leri sunar. Bu sayede hassas verilere yönelik saldırı yüzeyi daha da azalır. Kritik verilerin bütünlüğünü sağlamak için dijital imzalama amacıyla asimetrik anahtarları da kullanabilirsiniz.
Maliyet Etkinliği
KMS ile yalnızca kullandığınız kaynaklar için ödeme yaparsınız. HSM satın alma ve sürekli donanım işletimi, yama ve değiştirme maliyetlerine gerek kalmaz. Kendi anahtar yönetimi altyapınızı oluşturma ve bakımını yapma maliyetini azaltırsınız.
Features
Kapsamlı Yönetim Özellikleri
KMS, tüm ihtiyaçlarınızı karşılamak için zengin anahtar yönetimi özellikleri sunar.
KMS'de Oluşturulan veya Harici Kaynaklardan İçe Aktarılan Anahtarlar
KMS'de anahtar oluşturabilir veya yönetilen HSM'lere Bring Your Own Key (BYOK) aktarabilirsiniz. BYOK, ek Offline anahtar kopyalarını saklamanıza olanak tanır. Yönetilen HSM'ler, içe aktarılan anahtarların dışa aktarılmamasını sağlar.
Key Lifecycle Management ve Otomatik Key Rotation
Anahtarları etkinleştirebilir veya devre dışı bırakabilir ya da silmek için düzenli bir döngü planlayabilirsiniz. BYOK için anahtarları istediğiniz zaman silebilir veya otomatik son kullanma politikası belirleyebilirsiniz. KMS, şifreleme anahtarlarını periyodik olarak otomatik döndürmek ve böylece anahtarların güvenliğini artırmak için özel Key Rotation politikaları yapılandırmanıza olanak tanır.
Kimlik Doğrulama, Yetkilendirme ve Denetim (AAA)
RAM üzerinden KMS kullanıcı Authentication ve Authorization politikalarını yönetebilirsiniz. Uzun süreli depolama, veri analizi ve SIEM entegrasyonu gibi çeşitli senaryolar için ActionTrail ile anahtar kullanımını izleyip denetleyebilir veya kullanım günlüklerini OSS ya da Log Service'te saklayabilirsiniz.
Tamamen Yönetilen HSM'ler
Yönetilen HSM'ler, anahtarlar için yüksek Security Protection mekanizması sağlar.
HSM Sertifikasyonu ve Uyumluluk
KMS, FIPS 140-2 Level 3 doğrulamasını geçmiş, FIPS onaylı Level 3 çalışma modunda çalışan HSM'ler sağlar veya yerel yasal gerekliliklere uymak için ilgili doğrulamayı geçmiş HSM'ler sunar.
Anahtarların Güvenli Oluşturulması
Yönetilen HSM'ler güvenli ve lisanslı bir rastgele sayı üretme algoritması kullanır. Algoritma, anahtar materyallerini oluşturmak için yüksek entropili tohumlar kullanır. Bu sayede anahtarlar kötü niyetli taraflarca kurtarılamaz veya tahmin edilemez.
Anahtarların Hardware Koruması
Yönetilen HSM'ler, donanım mekanizmaları aracılığıyla KMS'deki anahtarları korur. Anahtarların Plaintext'i, anahtar işlemleri için yalnızca HSM'lerin içinde işlenir. HSM'lerin donanım güvenlik sınırları içinde tutulur.
Diğer Alibaba Cloud Hizmetleriyle Entegrasyon
KMS, yerel şifreleme deneyimi ve gelişmiş güvenlik yetenekleri sunmak için birden fazla Alibaba Cloud hizmetiyle entegre edilebilir.
Giriş Seviyesi Default Şifreleme
KMS, her bulut hizmetinin Dedicated Encryption Key'i otomatik olarak yönetmesini sağlar. Varsayılan olarak bulut hizmetleri, Lifecycle ve Authorization Policy'lerini dikkate almadan bu anahtarı kullanabilir.
Şifreleme Anahtarları İçin İsteğe Bağlı Kaynaklar
KMS içinde anahtar oluşturabilir veya dış anahtar materyallerini içe aktarabilirsiniz. Bulut hizmetlerini, kullanıcı tarafından yönetilen anahtarları veri şifreleme koruması için kullanmaya yetkilendirebilirsiniz. Böylece izinlerini ve yaşam döngüsünü yöneterek anahtarlar üzerinde tam kontrol elde edersiniz.
Bulut Hizmetleri Tarafından Anahtar Kullanımını Denetleme
Hizmet tarafından yönetilen veya kullanıcı tarafından yönetilen anahtarlar fark etmeksizin, KMS API işlemlerini sizin adınıza çağırarak bulut hizmetlerinin anahtar kullanımını denetleyebilirsiniz.
Basit ve Etkili Kriptografik İşlemler
KMS, soyut kriptografik kavramları kullanır ve basit Cryptographic Operations API'leri sunar.
Envelope Encryption
KMS'de yerleşik Envelope Encryption ile Secondary Key oluşturabilir ve tek bir Api Call ile Customer Master Key (CMK)'i şifreleyebilirsiniz.
AEAD
KMS, Authenticated Encryption With Associated Data (AEAD) özelliğini içerir. Şifrelenmiş veriler için ek Integrity ve özgünlük sağlamak amacıyla Encryption Context kullanabilirsiniz.
Digital Signature Verification
KMS, asimetrik anahtarları barındırabilir ve asimetrik anahtarlara dayalı Digital Signature Verification algoritmaları sağlayabilir. KMS; Identity Verification, kod imzalama ve Blockchain gibi çok çeşitli senaryolarda kullanılabilir.
Kullanım Önerileri
|
Alibaba Cloud Hizmetlerinde Depolanan Verilerin Şifrelenmesi/Transparent Data Encryption
|
Veri Alanı Şifreleme
|
AK/SK Secret Yönetimi
|
Key Yedekleme ve Geri Yükleme
|
Donanım KMS
|
|
|---|---|---|---|---|---|
| Kullanım Senaryosu | Elastic Compute Service (ECS), ApsaraDB RDS ve Object Storage Service (OSS) dahil olmak üzere 90'dan fazla Alibaba Cloud hizmeti için geçerlidir. | Dosyaların, Data Field alanlarının ve sertifika zincirlerinin şifrelenmesi için uygundur. | AK ve SK gizli verilerinin, tokenların, veritabanı hesabı parolalarının ve diğer gizli verilerin yönetimi için uygundur. | Dünya genelindeki bölgelerde anahtarların ve gizli verilerin yedeklenmesi için uygundur. | Federal Information Processing Standards (FIPS) 140-2 Level 3 tarafından doğrulanmış donanım anahtar yönetimi hizmeti için uygundur. |
| Şifreleme Yöntemi | Alibaba Cloud hizmetlerinde depolanan verilerin şifrelenmesi veya Transparent Data Encryption. | Uygulama şifrelemesi. | Uygulama şifreleme | N/A | Application şifrelemesi, Alibaba Cloud hizmetlerinde depolanan verilerin şifrelenmesi veya Transparent Data Encryption. |
| Veri Erişim Özellikleri | Real-Time erişim, bulut hizmetleri tarafından çağrılır. | Real-Time erişim, Cache erişimi. | Gerçek zamanlı erişim | Arşivlendikten sonra Real-Time erişim. | Real-Time erişim. |
| İşleme Performansı | Sınırsız | 100.000+ QPS | 100.000+ QPS | N/A | 100.000+ QPS |
| SDK entegrasyonunun gerekip gerekmediği. | Hayır | Evet | Evet | Hayır | Evet |
| Desteklenen SDK Geliştirme Dilleri | N/A | Java, Go, PHP, Python... | Java, Go、PHP、Python... | N/A | Java, Go、PHP、Python... |
| Terraform desteği | Evet | Evet | Evet | Hayır | Hayır |
| SLA | Belirli bulut hizmetlerinin hizmet seviyesi anlaşmalarına (SLA) tabidir. | 99.95% | 99.95% | 99.9999% | 99.95% |
| Faturalandırma Kalemi | Ücretsiz | QPS, Key sayısı, VPCs sayısı... | Customer Master Key (CMK) tabanlı şifrelemeden sonra Secret sayısına ve QPS değerine göre ücretlendirilir. | Backup süresi | QPS, VPC sayısı, donanım güvenlik modülü (HSM) sayısı... |
| Fiyatlandırma | Aylık 0,0 USD | Aylık 500,0 USD'den başlayan fiyatlarla | Aylık 550,0 USD'den başlayan fiyatlarla |
0-6 gün arası ücretsiz 7 gün ve üzeri için aylık 12,5 USD'den başlayan fiyatlarla |
Aylık 1.799,00 USD'den başlayan fiyatlarla |
| Satın Alma Bağlantısı | Ücretsiz | Yazılım Anahtarı | Credential Butler | Key Backup | Donanım Anahtar Yönetimi |
Senaryolar
CMK Şifreleme Yapılandırması
Bulut Uygulama Dağıtımı için DevSecOps Best Practices
ECS, Container Service ve Function Compute gibi hizmetlerde dağıtılan uygulamalar; parolalar, Oauth Secret'ları ve Server Certificate anahtarları gibi Sensitive Data içerir. KMS, verileri dağıtımdan önce Encrypt eder ve dağıtımdan sonra veya kullanım sırasında Decrypt eder. Bu sayede işletme, bakım, Transfer ve depolama süreçlerinde Sensitive Data güvenliği sağlanır.
Avantajlar
Devops'un Sensitive Data'ya Erişmesini Engelleyin
İşletme ve Bakım sistemi, Ar-Ge personeline yalnızca bulut Production Environment'ında gereken Sensitive Data Ciphertext'ini sağlar. Ar-GE personeli, veri sızıntısı risklerini kontrol etmek için Ciphertext'i bir Profile'a paketler veya Function Compute için Environment Variable olarak kullanır.
Yüksek Performanslı ve Ölçeklenebilir Envelope Encryption
İki Seviyeli Anahtar Yapısı Büyük Veri Hacmini ve Yüksek Eşzamanlılığı Destekler
Avantajlar
Zarf şifreleme ile KMS iki seviyeli bir anahtar yapısı oluşturur: CMK'lar veri anahtarlarını (DK'lar) şifreler. JCE ve OpenSSL gibi uygulamaların kriptografik kütüphaneleri, yerel iş verilerini şifrelemek için DK'ları kullanır. DK'ların şifreli metni, şifrelenmiş iş verileriyle birlikte saklanır. Şifre çözme aşamasında önce DK'ların şifreli metni çözülür. Elde edilen DK düz metni, iş verilerinin yerel olarak şifresini çözmek için kullanılır.
OSS ile Büyük Miktarda Veriyi Şifreleyin ve Depolayın
Verileri yüklemeden önce büyük miktarda veriyi şifrelemek için OSS istemcisinin şifreleme SDK'sını kullanabilirsiniz. Ayrıca zarf şifreleme gerçekleştirmek için KMS'yi çağırabilirsiniz.
NoSQL ile Encrypted Data Üzerinde Yüksek Eş Zamanlı Okuma/Yazma
Belirli bir uzamsal veya zamansal aralıktaki (örneğin bir tabloda veya her 5 saniyede bir) verileri şifrelemek için aynı DK kullanılır. DK düz metni bellekte önbelleğe alınır ve DK şifreli metni NoSQL depolamasında saklanır.
Güvenli ve Güvenilir Bir Bilişim Ortamı Oluşturun
KMS Güvenli Bir Bilişim Ortamı Oluşturmak İçin ECS Bare Metal Instances ile Çalışır
ECS Bare Metal Instance, güvenli fiziksel yalıtım sağlar ve çip düzeyinde güvenilir yürütme ortamını (Intel® SGX) destekler. Envelope Encryption ile KMS ve diğer hizmetler arasında veri anahtarlarını aktarmak için güvenli bir bilişim ortamı oluşturabilirsiniz. Bu veri anahtarları, sınırdan çıkan hassas iş verilerini şifrelemek ve sınıra giren şifreli verilerin şifresini çözmek amacıyla güvenli bilişim ortamında kullanılır.
Avantajlar
Sensitive Data'yı Güvenli Ortamda Tutma
Hassas iş verilerinin Plaintext'i güvenli ortamda tutulur. Veriler Persistent Storage'a kaydedilmeden önce KMS tarafından Encrypt edilir. Şifreleme aşamasında KMS'ye hiçbir hassas iş verisi iletilmez.
DK'ları Güvenli Bir Ortamda Tutmak
KMS'den elde edilen DK'lar güvenli bilişim ortamında tutulur ve ortam sınırından giren çıkan kalıcı verilerin şifrelenmesi ve şifresinin çözülmesi için kullanılır. Veri anahtarının şifreli metni güvenli ortam dışına aktarılabilir ve şifrelenmiş iş verileriyle birlikte kalıcı olarak saklanabilir.
Sunucu Tarafında Şifreleme
KMS şifrelemesi sunucu tarafında entegre edilmiştir; yalnızca anahtarları ve izinleri yapılandırmanız yeterlidir.
KMS diğer bulut hizmetleriyle entegre edildiğinde, KMS içindeki CMK'ları kullanarak diğer bulut hizmetlerindeki verileri şifreleyebilir ve koruyabilirsiniz. Diğer bulut hizmetlerinin şifreleme yapılandırmasında yalnızca CMK'ları belirtmeniz yeterlidir. CMK'lar üzerindeki izinler RAM aracılığıyla tanımlanır ve diğer bulut hizmetleri tarafından yapılan KMS çağrıları ActionTrail'de denetlenir.
Avantajlar
Dağıtık Bilişim ve Depolama Ortamında Şifreleme ile Riskleri Yönetmek
Bulutta dağıtık ve çok kiracılı bir bilişim ile depolama ortamı kullanılır. Bulut hizmetlerinin şifreleme özelliği, bilişim ve depolama davranışlarını KMS ile birleştirir. Örneğin, bir Ecs Instance başlatmadan önce şifreli bulut disklerini Decrypt etmeniz gerekir. KMS, dağıtık depolama sistemindeki şifreli bulut disklerinin birden fazla yedek kopyasını ve bu disklerden otomatik olarak oluşturulan anlık görüntüleri korur.
Büyük Miktarda Veri için Zahmetsiz Şifreleme
Büyük miktarda verinin şifrelenmesi ve şifresinin çözülmesi ciddi bilişim kaynağı tüketir ve sistem performansını ile aktarım hızını olumsuz etkiler. Alibaba Cloud, bulut hizmetleri için sunucu tarafında şifreleme sunar. Bu sayede verilerin şifrelenme davranışları üzerinde kontrol ve görünürlüğünüzü korurken şifreleme süreçlerini yönetmenize yardımcı olur.
