Verschlüsselung
Welche Verbindungen Bulutistan Cloud verschlüsselt, wo Verschlüsselung ruhender Daten verfügbar ist und welche Secrets nur einmal angezeigt werden.
Verschlüsselung schützt Daten, während sie zwischen Systemen übertragen werden und während sie gespeichert sind, also bei der Übertragung und im Ruhezustand. Dieser Artikel beschreibt, was Bulutistan Cloud verschlüsselt, was Sie verschlüsseln können und was Sie selbst verschlüsseln müssen.
Verschlüsselung bei der Übertragung
| Verbindung | Schutz |
|---|---|
| Ihr Browser zur Konsole | HTTPS. Die Konsole weist Browser an, ihren Host und dessen Subdomains ein Jahr lang nur über HTTPS aufzurufen. Skripte auf der Seite können das Sitzungscookie nicht lesen. |
| Ihr Code zur REST-API | HTTPS, wenn Sie Anfragen an die Adresse Ihrer Konsole mit https:// senden. Siehe REST-API-Übersicht. |
| Die Browserkonsole einer Instanz | Eine verschlüsselte WebSocket-Verbindung, wenn die Konsole über HTTPS geöffnet ist. Die Verbindung wird mit einem Ticket geöffnet, das nur einmal verwendet werden kann und nach 60 Sekunden abläuft. |
| Webhook-Benachrichtigungen | Nur Adressen mit https:// werden akzeptiert, und das Zertifikat des Empfängers wird mit dem Hostnamen der Adresse abgeglichen. Jede Anfrage wird mit HMAC-SHA256 signiert, sodass der Empfänger prüfen kann, ob sie von der Plattform stammt. Siehe Alarme per E-Mail und Webhook senden. |
| Ihr Netzwerk zu Ihren Projekten | IPsec über einen Tunnel von Site-to-Site VPN. Siehe den nächsten Abschnitt. |
VPN-Tunnel
Ein Tunnel von Site-to-Site VPN verschlüsselt den Datenverkehr zwischen Ihrem Netzwerk und einem Projekt mit IPsec. Die Algorithmen wählen Sie in der IKE-Richtlinie und der IPsec-Richtlinie des Tunnels. Beide Richtlinien verwenden anfangs die Verschlüsselung aes-256, die Authentifizierung sha256 und Diffie-Hellman group14, und die IPsec-Richtlinie verwendet anfangs das Transformationsprotokoll esp.
Damit der Datenverkehr verschlüsselt bleibt, behalten Sie z. B. esp oder ah-esp als Transformationsprotokoll bei: ah authentifiziert den Datenverkehr, verschlüsselt ihn aber nicht. Bevorzugen Sie AES gegenüber 3des. Die Einstellungen der Richtlinien finden Sie unter Dienste, Richtlinien, Endpunktgruppen & Standortverbindungen.
Verschlüsselung im Ruhezustand
Volumes und Abbilder
Die Verschlüsselung im Ruhezustand für Volumes und Abbilder ist nur verfügbar, wo die Region sie unterstützt; die Konsole zeigt die Option nur dort an:
- Volumes. Der Blockspeicher der Region muss einen verschlüsselten Volume-Typ haben.
- Abbilder. Die Region muss sowohl einen verschlüsselten Volume-Typ als auch einen Schlüsselmanager haben.
Über die REST-API wird eine Anfrage für ein verschlüsseltes Volume oder Abbild in einer Region ohne diese Unterstützung mit 404 Not Found und der Meldung abgelehnt, dass die Verschlüsselung im Ruhezustand in der Region nicht verfügbar ist. Es wird nichts erstellt.
Um ein Volume zu prüfen, öffnen Sie es: Die Eigenschaft Verschlüsselung zeigt, was die Cloud für das Volume meldet, Im Ruhezustand verschlüsselt oder Nicht verschlüsselt. Ein Snapshot zeigt dieselbe Eigenschaft an. Einzelheiten finden Sie unter Verschlüsselung im Ruhezustand für Volumes und unter Häufig gestellte Fragen zu Images für Abbilder.
Daten, die Sie selbst verschlüsseln
Damit Daten unter Ihrer Kontrolle verschlüsselt bleiben, verschlüsseln Sie sie, bevor Sie sie speichern, z. B. mit einer Datenträger- oder Dateisystemverschlüsselung im Betriebssystem der Instanz oder vor dem Hochladen von Objekten. Bewahren Sie die Schlüssel außerhalb der Plattform auf.
Secrets, die nur einmal angezeigt werden
| Secret | Wann es angezeigt wird |
|---|---|
| Secrets von API-Tokens und Dienstkontoschlüsseln | Das Secret wird nur einmal angezeigt, wenn es erstellt wird. |
| Signaturgeheimnisse von Webhooks | Das Geheimnis wird nur einmal angezeigt, wenn Sie den Benachrichtigungskanal erstellen oder sein Geheimnis erneuern. |
Kopieren Sie ein Secret, wenn es angezeigt wird, und bewahren Sie es in einem Secrets-Manager auf.