Criptografia dupla do Banco de Dados do Azure para Infraestrutura PostgreSQL
APLICA-SE A:
Banco de Dados do Azure para PostgreSQL - Servidor Único
Importante
O Banco de Dados do Azure para PostgreSQL - Servidor Único está no caminho da desativação. É altamente recomendável que você atualize para o Banco de Dados do Azure para PostgreSQL - Servidor Flexível. Para obter mais informações sobre como migrar para o Banco de Dados do Azure para PostgreSQL - Servidor Flexível, consulte O que está acontecendo com o Banco de Dados do Azure para Servidor Único PostgreSQL?.
O Banco de Dados do Azure para PostgreSQL usa criptografia de armazenamento de dados em repouso para dados usando chaves gerenciadas da Microsoft. Os dados, incluindo backups, são criptografados no disco e essa criptografia está sempre ativa e não pode ser desativada. A criptografia usa o módulo criptográfico validado FIPS 140-2 e uma cifra AES de 256 bits para a criptografia de armazenamento do Azure.
A criptografia dupla de infraestrutura adiciona uma segunda camada de criptografia usando chaves gerenciadas por serviço. Ele usa o módulo criptográfico validado FIPS 140-2, mas com um algoritmo de criptografia diferente. Isso fornece uma camada adicional de proteção para seus dados em repouso. A chave usada na criptografia dupla de infraestrutura também é gerenciada pelo serviço Banco de Dados do Azure para PostgreSQL. A criptografia dupla de infraestrutura não está habilitada por padrão, pois a camada adicional de criptografia pode ter um impacto no desempenho.
Nota
Esse recurso só é suportado para as camadas de preços "Finalidade Geral" e "Otimização de memória" no Banco de Dados do Azure para PostgreSQL.
A criptografia da camada de infraestrutura tem o benefício de ser implementada na camada mais próxima do dispositivo de armazenamento ou dos fios de rede. O Banco de Dados do Azure para PostgreSQL implementa as duas camadas de criptografia usando chaves gerenciadas por serviço. Embora ainda tecnicamente na camada de serviço, é muito próximo do hardware que armazena os dados em repouso. Opcionalmente, você ainda pode habilitar a criptografia de dados em repouso usando a chave gerenciada pelo cliente para o servidor PostgreSQL provisionado.
A implementação nas camadas de infraestrutura também suporta uma diversidade de chaves. A infraestrutura deve estar ciente de diferentes clusters de máquinas e redes. Como tal, diferentes chaves são usadas para minimizar o raio de explosão de ataques de infraestrutura e uma variedade de falhas de hardware e rede.
Nota
Usar a criptografia dupla de infraestrutura terá impacto no desempenho do Banco de Dados do Azure para o servidor PostgreSQL devido ao processo de criptografia adicional.
Benefícios
A criptografia dupla de infraestrutura para o Banco de Dados do Azure para PostgreSQL oferece os seguintes benefícios:
- Diversidade adicional de implementação de criptografia - A mudança planejada para criptografia baseada em hardware diversificará ainda mais as implementações, fornecendo uma implementação baseada em hardware, além da implementação baseada em software.
- Erros de implementação - Duas camadas de criptografia na camada de infraestrutura protegem contra quaisquer erros no cache ou no gerenciamento de memória em camadas superiores que expõem dados de texto simples. Além disso, as duas camadas também garante contra erros na implementação da criptografia em geral.
A combinação destes fornece uma forte proteção contra ameaças e fraquezas comuns usadas para atacar a criptografia.
Cenários suportados com criptografia dupla de infraestrutura
Os recursos de criptografia fornecidos pelo Banco de Dados do Azure para PostgreSQL podem ser usados juntos. Abaixo está um resumo dos vários cenários que você pode usar:
| ## | Encriptação predefinida | Encriptação dupla de infraestrutura | Criptografia de dados usando chaves gerenciadas pelo cliente |
|---|---|---|---|
| 1 | Sim | Não | Não |
| 2 | Sim | Sim | Não |
| 3 | Sim | Não | Sim |
| 4 | Sim | Sim | Sim |
Importante
- Os cenários 2 e 4 terão impacto no desempenho do Banco de Dados do Azure para o servidor PostgreSQL devido à camada adicional de criptografia de infraestrutura.
- A configuração da criptografia dupla de infraestrutura para o Banco de Dados do Azure para PostgreSQL só é permitida durante a criação do servidor. Depois que o servidor for provisionado, não será possível alterar a criptografia de armazenamento. No entanto, você ainda pode habilitar a criptografia de dados usando chaves gerenciadas pelo cliente para o servidor criado com/sem criptografia dupla de infraestrutura.
Limitações
Para o Banco de Dados do Azure para PostgreSQL, o suporte para criptografia dupla de infraestrutura usando chave gerenciada por serviço tem as seguintes limitações:
O suporte para essa funcionalidade é limitado aos níveis de preços de uso geral e memória otimizada.
Este recurso só é suportado em regiões e servidores, que suportam armazenamento de até 16 TB. Para obter a lista de regiões do Azure que suportam armazenamento de até 16 TB, consulte a documentação de armazenamento.
Nota
- Todos os novos servidores PostgreSQL criados nas regiões listadas acima também suportam criptografia de dados com chaves de gerenciamento de clientes. Nesse caso, os servidores criados por meio de restauração point-in-time (PITR) ou réplicas de leitura não se qualificam como "novos".
- Para validar se o servidor provisionado suporta até 16 TB, você pode acessar a folha da camada de preços no portal e ver se o controle deslizante de armazenamento pode ser movido até 16 TB. Se você só puder mover o controle deslizante até 4 TB, seu servidor pode não suportar criptografia com chaves gerenciadas pelo cliente; no entanto, os dados são criptografados usando chaves gerenciadas pelo serviço o tempo todo. Por favor, entre em contato se AskAzureDBforPostgreSQL@service.microsoft.com tiver alguma dúvida.
Próximos passos
Saiba como configurar a criptografia dupla de infraestrutura para o banco de dados do Azure para PostgreSQL.