Enkripsi data di Azure Cosmos DB

BERLAKU UNTUK: Nosql MongoDB Cassandra Gremlin Meja

Enkripsi saat tidak aktif adalah frasa yang biasanya merujuk pada enkripsi data pada perangkat penyimpanan nonvolatile, seperti solid state drive (SSD) dan hard disk drive (HDD). Azure Cosmos DB menyimpan database utamanya di SSD. Lampiran dan cadangan medianya disimpan dalam penyimpanan Azure Blob, yang umumnya didukung oleh HDD. Dengan rilis enkripsi saat tidak aktif untuk Azure Cosmos DB, semua database, lampiran media, dan cadangan Anda dienkripsi. Data Anda sekarang dienkripsi saat transit (melalui jaringan) dan saat tidak aktif (penyimpanan nonvolatile), yang memberi Anda enkripsi menyeluruh.

Sebagai layanan PaaS, Azure Cosmos DB sangat mudah digunakan. Karena semua data pengguna yang disimpan di Cosmos DB dienkripsi saat tidak aktif dan dalam transportasi, Anda tidak perlu mengambil tindakan apa pun. Cara lain untuk memahami hal ini adalah enkripsi saat tidak aktif berstatus "on" secara default. Tidak ada kontrol untuk mematikan atau menyalakannya. Azure Cosmos DB menggunakan enkripsi AES-256 di semua region tempat akun dijalankan. Kami menyediakan fitur ini sambil terus memenuhi SLA ketersediaan dan kinerja kami. Data yang disimpan di akun Azure Cosmos DB Anda dienkripsi secara otomatis dan mulus dengan kunci yang dikelola oleh Microsoft (kunci yang dikelola layanan). Secara opsional, Anda dapat memilih untuk menambahkan enkripsi lapisan kedua dengan kunci Anda sendiri seperti yang dijelaskan dalam artikel kunci yang dikelola pelanggan.

Implementasi enkripsi saat tidak aktif untuk Azure Cosmos DB

Enkripsi saat tidak aktif diterapkan dengan menggunakan sejumlah teknologi keamanan, termasuk sistem penyimpanan kunci yang aman, jaringan terenkripsi, dan API kriptografi. Sistem yang mendekripsi dan memproses data harus berkomunikasi dengan sistem yang mengelola kunci. Diagram menunjukkan bagaimana penyimpanan data terenkripsi dan manajemen kunci dipisahkan.

Diagram desain

Alur dasar permintaan pengguna adalah sebagai berikut:

  • Akun database pengguna disiapkan, dan kunci penyimpanan diambil melalui permintaan ke Penyedia Sumber Daya Layanan Manajemen.
  • Pengguna membuat koneksi ke Azure Cosmos DB melalui HTTPS/transportasi aman. (SDK mengabstraksi rincian.)
  • Pengguna mengirim dokumen JSON untuk disimpan melalui koneksi aman yang dibuat sebelumnya.
  • Dokumen JSON diindeks kecuali pengguna telah mematikan pengindeksan.
  • Baik data dokumen maupun indeks JSON ditulis untuk mengamankan penyimpanan.
  • Secara berkala, data dibaca dari penyimpanan aman dan dicadangkan ke Azure Encrypted Blob Store.

Tanya jawab umum

T: Berapa biaya Penyimpanan Azure jika Enkripsi Layanan Penyimpanan diaktifkan?

J: Tidak ada biaya tambahan.

T: Siapa yang mengelola kunci enkripsi?

A: Data yang disimpan di akun Azure Cosmos DB Anda dienkripsi secara otomatis dan lancar dengan kunci yang dikelola oleh Microsoft menggunakan kunci yang dikelola layanan. Secara opsional, Anda dapat memilih untuk menambahkan lapisan enkripsi kedua dengan kunci yang Anda kelola menggunakan kunci yang dikelola pelanggan atau CMK.

T: Seberapa sering kunci enkripsi diputar?

J: Microsoft memiliki serangkaian panduan internal untuk rotasi kunci enkripsi, yang diikuti Azure Cosmos DB. Pedoman khusus tidak dipublikasikan. Microsoft memang menerbitkan Security Development Lifecycle (SDL),yang dipandang sebagai subset panduan internal dan memiliki praktik terbaik yang berguna bagi pengembang.

T: Apakah saya dapat menggunakan kunci enkripsi saya sendiri?

J: Ya, fitur ini sekarang tersedia untuk akun DB Azure Cosmos baru dan ini harus dilakukan pada saat pembuatan akun. Silakan menuju dokumen Kunci yang dikelola pelanggan untuk informasi selengkapnya.

T: Region mana yang mengaktifkan enkripsi?

J: Semua region DB Azure Cosmos mengaktifkan enkripsi untuk semua data pengguna.

T: Apakah enkripsi memengaruhi latensi kinerja dan SLA throughput?

J: Tidak ada dampak atau perubahan pada SLA kinerja saat ini sehingga enkripsi tidak aktif diaktifkan untuk semua akun yang ada dan baru. Anda dapat membaca selengkapnya di halaman SLA untuk Azure Cosmos DB untuk melihat jaminan terbaru.

T: Apakah emulator lokal mendukung enkripsi saat tidak aktif?

A: Emulator adalah alat dev/test mandiri dan tidak menggunakan layanan manajemen utama yang digunakan layanan Azure Cosmos DB terkelola. Rekomendasi kami adalah mengaktifkan BitLocker di drive tempat Anda menyimpan data pengujian emulator sensitif. Emulator mendukung perubahan direktori data default serta menggunakan lokasi yang terkenal.

Langkah berikutnya