Управление зашифрованными EVS дисками

EVS позволяет шифровать данные на вновь создаваемых дисках по требованию. Ключи, используемые для шифрования дисков EVS, предоставляются сервисом Key Management Service (KMS) из Data Encryption Workshop (DEW), который является безопасным и удобным. Вам не требуется создавать и поддерживать инфраструктуру управления ключами.

Система шифрования использует двухуровневую структуру ключей. Ключ первого уровня — ключ мастера клиента (CMK), а ключ второго уровня — ключ данных (DK). CMK шифрует и расшифровывает DK, обеспечивая их безопасность при передаче и в состоянии покоя. DK шифрует и расшифровывает служебные данные. Подробности приведены ниже:

1. Шифрование DK

Прежде чем использоваться для шифрования служебных данных, DK сначала шифруется CMK. Только зашифрованные DK могут храниться или передаваться. Если злоумышленник получит доступ к зашифрованному DK и служебным данным, он не сможет расшифровать данные из‑за отсутствия CMK.

2. Шифрование данных при передаче и в состоянии покоя

Для чтения зашифрованных данных сначала отправляется запрос на расшифровку в KMS, чтобы получить DK в открытом виде. KMS проверяет действительность запроса, затем использует CMK для расшифровки DK и возвращает DK в открытом виде. Расшифровка выполняется в памяти, поэтому открытый DK не сохраняется постоянно ни на каком носителе. Затем система использует открытый DK в памяти для расшифровки данных ввода‑вывода диска, обеспечивая безопасность данных при передаче и в состоянии покоя.

Ключи, предоставляемые KMS, включают Default Master Key и Customer Master Keys (CMK).

• Default Master Key: Ключ, автоматически создаваемый EVS через KMS и названный evs/default.

  Его нельзя отключить, и он не поддерживает запланированное удаление.

• CMK: Ключи, создаваемые пользователями. Вы можете использовать существующие ключи или создавать новые для шифрования дисков. Подробности см. в разделе "Key Management Service" \u003e "Creating a CMK" в Data Encryption Workshop User Guide.

Когда зашифрованный диск подключается, EVS обращается к KMS, и KMS передаёт DK в память хоста для использования. EVS использует открытый DK для шифрования и расшифровки операций ввода‑вывода диска. Открытый DK хранится только в памяти хоста, где размещён ECS, и не сохраняется постоянно на носителе. Если CMK отключён или удалён в KMS, диск, зашифрованный с использованием этого CMK, всё равно может использовать открытый DK, хранящийся в памяти хоста. Если такой диск позже отсоединяется, открытый DK будет удалён из памяти, и данные более нельзя будет читать или записывать на диск. Прежде чем повторно подключать этот зашифрованный диск, убедитесь, что CMK включён.

Если вы используете CMK для шифрования дисков, и этот CMK затем отключён или запланировано его удаление, данные не могут быть прочитаны с этих дисков или записаны на них, либо их может никогда не восстановить. См. Table 1 для получения дополнительной информации.

• Шифрование системного диска

  Системные диски создаются вместе с servers и не могут быть созданы отдельно. Поэтому то, зашифрован ли системный диск, зависит от образа, который вы выбираете при создании server.

  Table 2 Связь между образами и шифрованием системного диска

  Создание сервера из зашифрованного образа	Будет ли зашифрован системный диск	Описание
  Да	Да	Для получения подробной информации см. "Managing Private Images" \u003e "Encrypting Images" в Image Management Service User Guide.
  Нет	Нет	-

• Шифрование диска с данными

  Диски с данными могут быть созданы вместе с серверами или отдельно. То, зашифрованы ли диски с данными, зависит от их источников данных. Подробности см. в таблице ниже.

  Table 3 Связь между резервными копиями, снимками, образами и шифрованием диска с данными

  Создать диск на	Метод создания	Будет ли Data Disk зашифрован	Описание
  ECS console	Создание вместе с сервером	Yes/No	Когда Data Disk создаётся вместе с сервером, вы можете выбрать, зашифровать диск или нет. Для получения подробной информации см. «Getting Started» > «Creating an ECS» > «Step 1: Configure Basic Settings» в Elastic Cloud Server User Guide.
  EVS console	Не выбран источник данных	Yes/No	Когда создаётся пустой диск, вы можете выбрать, зашифровать диск или нет. Атрибут шифрования диска нельзя изменить после создания диска.
  	Создание из Бэкапа	Yes/No	Когда диск создаётся из Бэкапа, вы можете выбрать, зашифровать диск или нет. Атрибуты шифрования диска и Бэкапа не обязаны совпадать. При создании Бэкапа для системного или Data Disk атрибут шифрования Бэкапа будет совпадать с атрибутом диска.
  	Создание из Снапшота (Исходный диск снимка зашифрован.)	Yes	Снимок, созданный из зашифрованного диска, также зашифрован.
  	Создание из снимка (Исходный диск снимка не зашифрован.)	No	Снимок, созданный из незашифрованного диска, не зашифрован.
  	Создание из образа (Исходный диск образа зашифрован.)	Yes	-
  	Создание из образа (Исходный диск образа не зашифрован.)	No	-

Before you use the encryption function, KMS access rights need to be granted to EVS. If you have the Security Administrator permissions, предоставьте KMS доступ к EVS напрямую. If you do not have this permission, contact a user with the security administrator permissions to grant KMS access rights to EVS, а затем выберите encryption option для создания зашифрованного диска.

Для получения подробной информации о том, как создать зашифрованный диск, см. Creating an EVS Disk.

Прежде чем отсоединять диск, зашифрованный CMK, проверьте, отключён ли CMK или запланировано его удаление.

• Если CMK доступен, диск можно отсоединить и повторно присоединить, и данные на диске не будут потеряны.
• Если CMK недоступен, диск всё ещё можно использовать, но нет гарантии, как долго он будет пригоден. Если диск будет отсоединён, позже его невозможно будет повторно присоединить. В этом случае не отсоединяйте диск без работающего CMK.

Метод восстановления зависит от статуса CMK. Для получения подробной информации см. Keys Used for Disk Encryption.

Для получения подробной информации о том, как отсоединить зашифрованный диск, см. Detaching an EVS Disk.