Criptografia de dados no EVS

Visão geral

Caso seus serviços exijam criptografia para os dados armazenados em discos no Elastic Volume Service (EVS), o EVS fornece a função de criptografia. Você pode criptografar discos do EVS recém-criados. As chaves usadas por discos do EVS criptografados são fornecidas pelo KMS do DEW, seguras e convenientes. Portanto, você não precisa estabelecer e manter a infraestrutura de gerenciamento de chaves.

A criptografia de disco é usada apenas para discos de dados. A criptografia de disco do sistema depende da imagem. Para mais detalhes, consulte Criptografia de dados no IMS.

Quem pode usar a função de criptografia de disco?

• Os administradores de segurança (usuários com direitos de Administrador de segurança) podem conceder os direitos de acesso do KMS ao EVS para usar a criptografia de disco.
• Quando um usuário comum que não tem os direitos de Administrador de segurança precisa usar o recurso de criptografia de disco, a condição varia dependendo se o usuário é o primeiro na região ou projeto atual a usar esse recurso.
  • Se o usuário for o primeiro, ele deverá entrar em contato com um usuário que tenha os direitos de Administrador de segurança para conceder os direitos de acesso do KMS ao EVS. Em seguida, o usuário pode usar o recurso de criptografia de disco.
  • Se o usuário não é o primeiro, o usuário pode usar a função de criptografia de disco diretamente.

Do ponto de vista de um locatário, desde que os direitos de acesso do KMS tenham sido concedidos ao EVS em uma região, todos os usuários na mesma região podem usar diretamente o recurso de criptografia de disco.

Se houver vários projetos na região atual, os direitos de acesso do KMS precisam ser concedidos a cada projeto nessa região.

Chaves usadas para criptografia de disco do EVS

As chaves fornecidas pelo KMS para criptografia de disco incluem uma Chave mestra padrão e Chaves mestras do cliente (CMKs).

• Chave mestra padrão: uma chave que é criada automaticamente pelo EVS por meio do KMS e denominada evs/default.

  A Chave mestra padrão não pode ser desativada e não oferece suporte à exclusão agendada.

• CMKs: chaves criadas pelos usuários. Você pode usar CMKs existentes ou criar uma. Para obter detalhes, consulte Criação de uma CMK.

Se os discos forem criptografados usando uma CMK, que é desativada ou agendada para exclusão, os discos não poderão mais ser lidos ou gravados, e os dados nesses discos talvez nunca sejam restaurados. Consulte Tabela 1 para obter mais informações.

Tabela 1 Impacto em discos criptografados depois que uma CMK se torna indisponível

Status da CMK	Impacto em discos criptografados	Método de restauração
Disabled	Se um disco criptografado for anexado a um ECS, o disco ainda poderá ser usado, mas as operações normais de leitura/gravação não serão garantidas permanentemente. Se um disco criptografado for desanexado, a reanexação do disco falhará.	Ative a CMK. Para obter detalhes, consulte Ativação de um ou mais CMKs.
Pending deletion		Cancele a exclusão programada para a CMK. Para obter detalhes, consulte Cancelamento da exclusão programada de um ou mais CMKs.
Deleted		Os dados nos discos nunca podem ser restaurados.

Você será cobrado pelas CMKs que usar. Se forem usadas chaves básicas, verifique se o saldo de sua conta é suficiente. Se forem usadas chaves profissionais, renove seu pedido em tempo hábil. Caso contrário, seus serviços podem ser interrompidos e seus dados podem nunca ser restaurados, pois os discos criptografados se tornam ilegíveis e não graváveis.

Uso do KMS para criptografar um disco (no console)

1. No console de gerenciamento do EVS, clique em Buy Disk.
2. Selecione a caixa de seleção Encryption.
   1. Clique em More. A caixa de seleção Encryption é exibida.
      Figura 1 Mais
      
   2. Crie uma agência.

      Selecione Encrypt. Se o EVS não estiver autorizado a acessar o KMS, a caixa de diálogo Create Agency será exibida. Nesse caso, clique em Yes para autorizá-lo. Após a autorização, o EVS pode obter chaves do KMS para criptografar e descriptografar discos.

      

      Antes de usar a função de criptografia de disco, os direitos de acesso do KMS precisam ser concedidos ao EVS. Se você tem o direito de conceder, conceda os direitos de acesso do KMS diretamente ao EVS. Se você não tiver o direito, entre em contato com um usuário com os direitos de Administrador de segurança para conceder os direitos de acesso do KMS ao EVS e repita as operações anteriores.

   3. Defina parâmetros de criptografia.
      Selecione Encrypt. Se a autorização for bem-sucedida, a caixa de diálogo de configuração de criptografia será exibida.

      Figura 2 Configurações de criptografia
      

      Selecione um dos seguintes tipos de chaves na lista suspensa KMS Key Name:

      • Chave mestra padrão. Depois que os direitos de acesso do KMS forem concedidos ao EVS, o sistema criará automaticamente uma Chave mestra padrão chamada evs/default.
      • Uma CMK existente ou nova. Para obter detalhes sobre como criar uma, consulte Criação de uma CMK.

3. Configure outros parâmetros para o disco. Para obter detalhes sobre os parâmetros, consulte Comprar um disco do EVS.

Uso do KMS para criptografar um disco (por meio de uma API)

Você pode chamar a API necessária do EVS para comprar um disco do EVS criptografado. Para obter detalhes, consulte Referência de API do Elastic Volume Service.