Enkripsi data di Azure Cosmos DB

BERLAKU UNTUK: NoSQL MongoDB Cassandra Gremlin Meja

"Enkripsi saat tidak aktif" adalah frasa yang umumnya mengacu pada enkripsi data pada perangkat penyimpanan nonvolatile, seperti solid-state drive (SSD) dan hard-disk drive (HDD). Azure Cosmos DB menyimpan database utamanya di SSD. Lampiran media dan cadangannya disimpan di Azure Blob Storage, yang umumnya dicadangkan oleh HDD. Dengan rilis enkripsi tidak aktif untuk Azure Cosmos DB, semua database, lampiran media, dan cadangan Anda dienkripsi. Data Anda sekarang dienkripsi saat transit (melalui jaringan) dan saat tidak aktif (penyimpanan nonvolatile), yang memberi Anda enkripsi menyeluruh.

Sebagai platform as a service (PaaS), Azure Cosmos DB mudah digunakan. Karena semua data pengguna yang disimpan di Cosmos DB dienkripsi saat tidak aktif dan dalam transportasi, Anda tidak perlu mengambil tindakan apa pun. Dengan kata lain, enkripsi saat tidak aktif adalah "aktif" secara default. Tidak ada kontrol untuk mematikan atau menyalakannya. Azure Cosmos DB menggunakan enkripsi AES-256 di semua region tempat akun dijalankan.

Kami menyediakan fitur ini sementara kami terus memenuhi ketersediaan dan perjanjian tingkat layanan performa (SLA) kami. Data yang disimpan di akun Azure Cosmos DB Anda dienkripsi secara otomatis dan lancar dengan kunci yang dikelola oleh Microsoft (kunci yang dikelola layanan). Secara opsional, Anda dapat memilih untuk menambahkan enkripsi lapisan kedua dengan kunci Anda sendiri seperti yang dijelaskan dalam artikel kunci yang dikelola pelanggan.

Implementasi enkripsi saat tidak aktif untuk Azure Cosmos DB

Enkripsi saat tidak aktif diimplementasikan dengan menggunakan beberapa teknologi keamanan, termasuk sistem penyimpanan kunci yang aman, jaringan terenkripsi, dan API kriptografi. Sistem yang mendekripsi dan memproses data harus berkomunikasi dengan sistem yang mengelola kunci. Diagram menunjukkan bagaimana penyimpanan data terenkripsi dan manajemen kunci dipisahkan.

Alur dasar permintaan pengguna adalah:

• Akun database pengguna disiapkan, dan kunci penyimpanan diambil melalui permintaan ke Penyedia Sumber Daya Layanan Manajemen.
• Pengguna membuat koneksi ke Azure Cosmos DB melalui HTTPS/transportasi aman. (SDK mengabstraksi rincian.)
• Pengguna mengirim dokumen JSON untuk disimpan melalui koneksi aman yang dibuat sebelumnya.
• Dokumen JSON diindeks kecuali pengguna telah mematikan pengindeksan.
• Baik data dokumen maupun indeks JSON ditulis untuk mengamankan penyimpanan.
• Secara berkala, data dibaca dari penyimpanan aman dan dicadangkan ke Azure Encrypted Blob Store.

Tanya jawab umum

Temukan jawaban atas pertanyaan umum tentang enkripsi.

Berapa banyak lagi biaya Azure Storage jika Enkripsi Layanan Penyimpanan diaktifkan?

Tidak ada biaya tambahan.

Siapa yang mengelola kunci enkripsi?

Data yang disimpan di akun Azure Cosmos DB Anda dienkripsi secara otomatis dan lancar dengan kunci yang dikelola oleh Microsoft dengan menggunakan kunci yang dikelola layanan. Secara opsional, Anda dapat memilih untuk menambahkan enkripsi lapisan kedua dengan kunci yang Anda kelola dengan menggunakan kunci yang dikelola pelanggan.

Seberapa sering kunci enkripsi diputar?

Microsoft memiliki serangkaian panduan internal untuk rotasi kunci enkripsi, yang diikuti Azure Cosmos DB. Pedoman khusus tidak diterbitkan. Microsoft menerbitkan Siklus Hidup Pengembangan Keamanan, yang dipandang sebagai subset panduan internal dan memiliki praktik terbaik yang berguna bagi pengembang.

Apakah saya dapat menggunakan kunci enkripsi saya sendiri?

Ya, fitur ini tersedia untuk akun Azure Cosmos DB baru. Ini harus disebarkan pada saat pembuatan akun. Untuk informasi selengkapnya, lihat dokumen kunci yang dikelola pelanggan.

Peringatan

Nama bidang berikut dicadangkan pada tabel Cassandra API di akun dengan menggunakan kunci yang dikelola pelanggan:

• id
• ttl
• _ts
• _etag
• _rid
• _self
• _attachments
• _epk

Saat kunci yang dikelola pelanggan tidak diaktifkan, hanya nama bidang yang dimulai dengan __sys_ yang dicadangkan.

Wilayah mana yang mengaktifkan enkripsi?

Semua wilayah Azure Cosmos DB mengaktifkan enkripsi untuk semua data pengguna.

Apakah enkripsi memengaruhi latensi performa dan SLA throughput?

Tidak ada efek atau perubahan pada SLA performa karena enkripsi saat tidak aktif sekarang diaktifkan untuk semua akun yang ada dan baru. Untuk melihat jaminan terbaru, lihat SLA untuk Azure Cosmos DB.

Apakah emulator lokal mendukung enkripsi saat tidak aktif?

Emulator adalah alat dev/test mandiri dan tidak menggunakan layanan manajemen kunci yang digunakan layanan Azure Cosmos DB terkelola. Kami menyarankan agar Anda mengaktifkan BitLocker di drive tempat Anda menyimpan data pengujian emulator sensitif. Emulator mendukung perubahan direktori data default dan menggunakan lokasi terkenal.

Langkah berikutnya

• Untuk mempelajari selengkapnya tentang menambahkan enkripsi lapisan kedua dengan kunci Anda sendiri, lihat artikel kunci yang dikelola pelanggan.
• Untuk informasi selengkapnya tentang sertifikasi Microsoft, lihat Pusat Kepercayaan Azure.