Banco de Dados do Azure para PostgreSQL Criptografia dupla de infraestrutura
APLICA-SE A:
Banco de Dados do Azure para PostgreSQL – Servidor Único
Importante
O Banco de Dados do Azure para PostgreSQL – Servidor Único está prestes a ser desativado. Recomendamos fortemente que você atualize para o Banco de Dados do Azure para PostgreSQL com Servidor Flexível. Para obter mais informações sobre a migração para o Banco de Dados do Azure para PostgreSQL com Servidor Flexível, confira O que está acontecendo com o Banco de Dados do Azure para PostgreSQL com Servidor Único?
O banco de dados do Azure para PostgreSQL usa a criptografia de armazenamento de data em repouso para dados usando chaves gerenciadas da Microsoft. Os dados, incluindo backups, são criptografados no disco e essa criptografia está sempre ativa e não pode ser desabilitada. A criptografia usa o módulo de criptografia do FIPS 140-2 validado e uma codificação de 256 de bits do AES para a criptografia de armazenamento do Azure.
A criptografia dupla de infraestrutura adiciona uma segunda camada de criptografia usando chaves gerenciadas pelo serviço. Ele usa o módulo de criptografia validado pelo FIPS 140-2, mas com um algoritmo de criptografia diferente. Isso fornece uma camada adicional de proteção para seus dados em repouso. A chave usada na criptografia dupla de infraestrutura também é gerenciada pelo serviço banco de dados do Azure para PostgreSQL. A criptografia dupla de infraestrutura não é habilitada por padrão, pois a camada adicional de criptografia pode ter um impacto no desempenho.
Observação
Este recurso só tem suporte para os tipos de preço "Uso Geral" e "memória otimizada" no banco de dados do Azure para PostgreSQL.
A criptografia da camada de infraestrutura tem a vantagem de ser implementada na camada mais próxima do dispositivo de armazenamento ou dos cabos de rede. O banco de dados do Azure para PostgreSQL implementa as duas camadas de criptografia usando chaves gerenciadas pelo serviço. Embora ainda tecnicamente na camada de serviço, é muito próximo do hardware que armazena os dados em repouso. Opcionalmente, você ainda pode habilitar a criptografia de dados em repouso usando a chave gerenciada pelo cliente para o servidor PostgreSQL provisionado.
A implementação nas camadas de infraestrutura também dá suporte a uma diversidade de chaves. A infraestrutura deve estar ciente de diferentes clusters de máquinas e redes. Como tal, chaves diferentes são usadas para minimizar o raio de ataques de infraestrutura e uma variedade de falhas de hardware e rede.
Observação
O uso da criptografia dupla de infraestrutura terá impacto sobre o desempenho Banco de Dados do Azure para PostgreSQL servidor devido ao processo de criptografia adicional.
Benefícios
A infraestrutura de criptografia dupla dados para o Banco de Dados do Azure para PostgreSQL fornece os seguintes benefícios:
- Diversidade adicional de implementação de criptografia – a mudança planejada para a criptografia baseada em hardware vai diversificar ainda mais as implementações fornecendo uma implementação baseada em hardware, além da implementação baseada em software.
- Erros de implementação – duas camadas de criptografia na camada de infraestrutura protegem contra erros no gerenciamento de cache ou de memória em camadas superiores que expõem dados de texto não criptografado. Além disso, as duas camadas também garantem erros na implementação da criptografia em geral.
A combinação deles fornece proteção forte contra ameaças comuns e pontos fracos usados para atacar a criptografia.
Cenários com suporte com criptografia dupla de infraestrutura
Os recursos de criptografia fornecidos pelo Banco de Dados do Azure para PostgreSQL podem ser usados juntos. Abaixo está um resumo dos vários cenários que você pode usar:
| ## | Criptografia padrão | Criptografia dupla de infraestrutura | Criptografia de dados usando chaves gerenciadas pelo Cliente |
|---|---|---|---|
| 1 | Sim | Não | Não |
| 2 | Sim | Sim | Não |
| 3 | Sim | Não | Sim |
| 4 | Sim | Sim | Sim |
Importante
- Cenários 2 e 4 terão impacto sobre o desempenho Banco de Dados do Azure para PostgreSQL servidor devido a camada de infraestrutura de criptografia adicional.
- Configurar a criptografia dupla de infraestrutura para Banco de Dados do Azure para PostgreSQL só é permitido durante a criação do servidor. Depois que o servidor for provisionado, você não poderá alterar a criptografia de armazenamento. No entanto, você ainda pode habilitar a Criptografia de dados usando chaves gerenciadas pelo cliente para o servidor criado com/sem criptografia dupla de infraestrutura.
Limitações
Por Banco de Dados do Azure para PostgreSQL, o suporte para criptografia dupla de infraestrutura usando a chave gerenciada pelo serviço tem as seguintes limitações:
O suporte para essa funcionalidade é limitado para os tipos de preço Uso Geral e Otimizado para Memória.
Esse recurso só tem suporte em regiões e servidores que dão suporte ao armazenamento de até 16 TB. Para obter a lista de regiões do Azure que dão suporte ao armazenamento de até 16 TB, veja documentação de armazenamento.
Observação
- Para todos os novos servidores PostgreSQL criados nas regiões listadas acima, ainda o suporte de criptografia de dados com as chaves do Gerenciador de clientes. Nesse caso, os servidores criados por meio de PITR (restauração point-in-time) ou réplicas de leitura não se qualificam como "novos".
- Para validar se o servidor provisionado dá suporte a até 16 TB, você pode ir para a folha de camada de preços no portal e ver se o controle deslizante de armazenamento pode ser movido para até 16 TB. Se você só pode mover o controle deslizante até 4 TB, o servidor pode não dar suporte à criptografia com chaves gerenciadas pelo cliente; no entanto, os dados são criptografados usando chaves gerenciadas pelo serviço em todos os momentos. Se você tiver dúvidas, entre em contato com AskAzureDBforPostgreSQL@service.microsoft.com.
Próximas etapas
Saiba como configurar a criptografia dupla de infraestrutura para o Banco de Dados do Azure para PostgreSQL.