Dubbele versleuteling voor Azure Database for PostgreSQL-infrastructuur
VAN TOEPASSING OP:
Azure Database for PostgreSQL - enkele server
Belangrijk
Azure Database for PostgreSQL - Enkele server bevindt zich op het buitengebruikstellingspad. We raden u ten zeerste aan om een upgrade uit te voeren naar Azure Database for PostgreSQL - Flexible Server. Zie Wat gebeurt er met Azure Database for PostgreSQL Enkele server voor meer informatie over migreren naar Azure Database for PostgreSQL - Flexible Server.
Azure Database for PostgreSQL maakt gebruik van opslagversleuteling van data-at-rest voor gegevens met behulp van de beheerde sleutels van Microsoft. Gegevens, inclusief back-ups, worden versleuteld op schijf en deze versleuteling is altijd ingeschakeld en kan niet worden uitgeschakeld. De versleuteling maakt gebruik van door FIPS 140-2 gevalideerde cryptografische module en een AES 256-bits codering voor de Azure-opslagversleuteling.
Dubbele infrastructuurversleuteling voegt een tweede versleutelingslaag toe met behulp van door de service beheerde sleutels. Er wordt gebruikgemaakt van een door FIPS 140-2 gevalideerde cryptografische module, maar met een ander versleutelingsalgoritmen. Dit biedt een extra beveiligingslaag voor uw data-at-rest. De sleutel die wordt gebruikt in dubbele infrastructuurversleuteling, wordt ook beheerd door de Azure Database for PostgreSQL-service. Dubbele infrastructuurversleuteling is niet standaard ingeschakeld omdat de extra versleutelingslaag invloed kan hebben op de prestaties.
Notitie
Deze functie wordt alleen ondersteund voor de prijscategorieën Algemeen gebruik en Geoptimaliseerd voor geheugen in Azure Database for PostgreSQL.
Infrastructuurlaagversleuteling heeft het voordeel dat deze wordt geïmplementeerd op de laag die zich het dichtst bij het opslagapparaat of netwerkkabels bevindt. Azure Database for PostgreSQL implementeert de twee versleutelingslagen met behulp van door de service beheerde sleutels. Hoewel het technisch gezien nog steeds in de servicelaag ligt, is het zeer dicht bij hardware waarmee de data-at-rest worden opgeslagen. U kunt gegevensversleuteling in rust nog steeds inschakelen met behulp van de door de klant beheerde sleutel voor de ingerichte PostgreSQL-server.
Implementatie op de infrastructuurlagen ondersteunt ook een verscheidenheid aan sleutels. Infrastructuur moet rekening houden met verschillende clusters van computers en netwerken. Daarom worden verschillende sleutels gebruikt om de straalstraal van infrastructuuraanvallen en diverse hardware- en netwerkfouten te minimaliseren.
Notitie
Het gebruik van dubbele infrastructuurversleuteling heeft gevolgen voor de prestaties van de Azure Database for PostgreSQL-server vanwege het extra versleutelingsproces.
Vergoedingen
Dubbele infrastructuurversleuteling voor Azure Database for PostgreSQL biedt de volgende voordelen:
- Extra diversiteit aan crypto-implementatie : de geplande overstap naar hardwaregebaseerde versleuteling zal de implementaties verder diversifiëren door een implementatie op basis van hardware te bieden, naast de implementatie op basis van software.
- Implementatiefouten : twee lagen versleuteling op de infrastructuurlaag worden beschermd tegen fouten in cache- of geheugenbeheer in hogere lagen die gegevens zonder opmaak beschikbaar maken. Daarnaast zorgt de twee lagen ook voor fouten in de implementatie van de versleuteling in het algemeen.
De combinatie hiervan biedt sterke bescherming tegen veelvoorkomende bedreigingen en zwakke punten die worden gebruikt om cryptografie aan te vallen.
Ondersteunde scenario's met dubbele infrastructuurversleuteling
De versleutelingsmogelijkheden die worden geleverd door Azure Database for PostgreSQL, kunnen samen worden gebruikt. Hieronder ziet u een overzicht van de verschillende scenario's die u kunt gebruiken:
| ## | Standaardversleuteling | Dubbele infrastructuurversleuteling | Gegevensversleuteling met door de klant beheerde sleutels |
|---|---|---|---|
| 1 | Ja | Nee | Nee |
| 2 | Ja | Ja | Nee |
| 3 | Ja | Nee | Ja |
| 4 | Ja | Ja | Ja |
Belangrijk
- Scenario 2 en 4 hebben invloed op de prestaties van de Azure Database for PostgreSQL-server vanwege de extra laag infrastructuurversleuteling.
- Het configureren van dubbele infrastructuurversleuteling voor Azure Database for PostgreSQL is alleen toegestaan tijdens het maken van de server. Zodra de server is ingericht, kunt u de opslagversleuteling niet meer wijzigen. U kunt echter nog steeds gegevensversleuteling inschakelen met behulp van door de klant beheerde sleutels voor de server die is gemaakt met/zonder dubbele infrastructuurversleuteling.
Beperkingen
Voor Azure Database for PostgreSQL heeft de ondersteuning voor dubbele versleuteling van infrastructuur met behulp van een door de service beheerde sleutel de volgende beperkingen:
Ondersteuning voor deze functionaliteit is beperkt tot prijscategorieën Algemeen gebruik en Geoptimaliseerd voor geheugen.
Deze functie wordt alleen ondersteund in regio's en servers, die opslag tot 16 TB ondersteunen. Raadpleeg de opslagdocumentatie voor de lijst met Azure-regio's die ondersteuning bieden voor opslag tot 16 TB.
Notitie
- Alle nieuwe PostgreSQL-servers die zijn gemaakt in de hierboven genoemde regio's ondersteunen ook gegevensversleuteling met customer manager-sleutels. In dit geval komen servers die zijn gemaakt via herstel naar een bepaald tijdstip (PITR) of leesreplica's, niet in aanmerking als 'nieuw'.
- Als u wilt controleren of uw ingerichte server maximaal 16 TB ondersteunt, gaat u naar de blade met de prijscategorie in de portal en controleert u of de schuifregelaar voor opslag kan worden verplaatst tot 16 TB. Als u de schuifregelaar alleen tot 4 TB kunt verplaatsen, biedt uw server mogelijk geen ondersteuning voor versleuteling met door de klant beheerde sleutels; De gegevens worden echter altijd versleuteld met door de service beheerde sleutels. Neem contact AskAzureDBforPostgreSQL@service.microsoft.com op met als u vragen hebt.
Volgende stappen
Meer informatie over het instellen van dubbele infrastructuurversleuteling voor Azure Database for PostgreSQL.