Encryption at rest in Elastic Cloud: Bring your own key with Azure Key Vault

使用 Azure Key Vault 和 Elastic Cloud 实现静态数据加密 | Elastic 博客

Elastic Cloud 中的静态数据加密：通过 Azure Key Vault 自带密钥

作者：

Alex Chalkias

Greg Crist

Gheorghe Pucea

2024年8月20日

• 在 Twitter 上分享 在 Twitter 上分享

• 在 LinkedIn 上分享 在 LinkedIn 上分享

• 在 Facebook 上分享 在 Facebook 上分享

• 通过电子邮件分享 通过电子邮件分享

• 打印本页 打印

在本系列文章的第一篇中，我们解析了静态数据加密的基础概念，并向您介绍了 Elastic Cloud 的“自带密钥”（BYOK）功能，该功能允许您通过云提供商的密钥管理服务（KMS）管理的加密密钥实现静态数据加密。本系列的第二篇文章深入探讨了使用 AWS KMS 密钥实现静态数据加密的技术细节。在此基础上，本文将深入探讨使用 Azure Key Vault 密钥和 Elastic Cloud 部署实现静态数据加密的技术细节，为您的敏感数据提供安全且合规的环境。

首先，我们将逐步介绍该解决方案的架构及其前提条件，然后探索如何创建 Azure Key Vault 密钥并将其应用于 Elastic Cloud 托管部署，以实现对数据和快照的静态加密。我们还将向您展示如何验证您的设置并实施额外的安全策略，例如密钥轮换和撤销。

Elastic Cloud 与 Azure Key Vault 集成

架构

下图展示了 Elastic Cloud 如何与 Azure Key Vault 集成，为您的应用程序提供使用您自己的 Key Vault 密钥加密的托管堆栈部署。

前提条件

1. 获取自己的密钥：要使用 BYOK，您需要一个由您控制的密钥。您需要在 Azure Key Vault 账户中设置此密钥。创建一个 RSA 非对称密钥。该密钥必须在您部署加密的每个区域中可用。您可以使用同一密钥加密多个部署，但安全最佳实践建议每个部署使用不同的密钥。稍后，您需要向 Elastic Cloud 提供 Key Vault 密钥 URI 和密钥名称。

1. 升级到企业版：BYOK 仅适用于企业订阅级别。这意味着如果您在 Azure 上使用 Elastic，可以使用自己的密钥加密数据。

请注意，如果您使用的是自定义快照存储库而不是 Elastic Cloud 的默认存储库，则快照不会自动使用您的密钥进行加密。但是，文件系统本身仍会加密存储在磁盘上的数据。

1. 访问控制：创建 Azure 身份和访问管理（IAM）策略以控制对 Elastic 集群的访问。

• Azure 上需要以下权限：在您要存储密钥的 Azure Key Vault 中创建 RSA 密钥的权限；应用程序管理员角色成员资格（这是在您的 Azure 租户中为 Elastic Cloud 创建新服务主体所必需的）；使用访问控制（IAM）在您的 Key Vault 中分配角色的权限（这是授予服务主体访问您的密钥所必需的）。

• 存储 RSA 密钥的 Azure Key Vault 必须启用清除保护，以支持快照的加密。

创建和配置 Azure Key Vault 密钥

1. 要开始创建密钥的过程，请前往 Azure 门户中的 Key Vault 服务，点击“密钥”。

1. 在密钥创建过程中，选择“生成/导入”并指定密钥类型和密钥大小。

1. 为密钥提供一个名称，然后单击创建。

1. 将必要的主体（Elastic服务主体）添加到访问策略中，然后单击保存。服务主体授予Elastic Cloud访问权限，以便与您的RSA密钥进行交互。

在Azure门户中查看您创建的密钥。在密钥的访问控制（IAM）设置中，为服务主体分配密钥保管库加密用户角色。

1. 从概览选项卡中复制密钥标识符和密钥名称。将它们保存在安全的位置，以便在后续步骤中使用。

将Azure密钥保管库密钥与Elastic Cloud集成

1. 现在您可以创建一个新的Elastic部署，使用刚刚创建的Azure密钥保管库密钥。首先登录到Elastic Cloud控制台。

1. 登录控制台后，单击创建部署按钮。

1. 为部署输入名称，选择Microsoft Azure作为云提供商。然后展开高级设置部分，启用使用客户管理的加密密钥选项。粘贴之前步骤中复制的Azure密钥保管库RSA密钥标识符（URI）和密钥名称。

1. 单击创建部署。部署现在已创建，并使用指定的密钥进行加密。

更新：现在您也可以在不重新创建部署的情况下，向正在运行的部署添加客户管理的密钥。请参阅《将密钥添加到现有Elastic Cloud部署》。

验证和故障排除

1. 在Elastic Cloud控制台中，您可以检查托管部署是否使用指定的密钥正确加密。为此，请从左侧导航菜单中选择安全，进入部署的安全页面。

1. 在静态加密部分选择管理加密密钥。

1. 您应该在Azure密钥保管库RSA密钥标识符字段中看到Azure密钥保管库URI和密钥名称的列表。

密钥轮换和撤销

使用Azure密钥保管库密钥加密的Elastic Cloud托管部署可利用Azure的安全策略和功能，例如密钥轮换和撤销。密钥轮换有助于降低因密钥泄露导致数据泄露的风险，而密钥撤销可确保通过泄露密钥访问加密数据的权限被终止。这可以通过禁用、删除密钥或修改密钥的访问策略来实现。

当需要时，可以手动轮换Azure密钥保管库密钥。Elastic会自动管理这些密钥轮换，确保您的Elastic Cloud部署始终使用最新的Azure密钥保管库密钥进行加密和访问。

如果密钥泄露，您可以在Azure密钥保管库中手动撤销该密钥。这个应急操作用于安全漏洞场景，会在30分钟内锁定部署的数据目录并提示您删除部署。如果撤销是误操作，可以恢复密钥，使部署恢复正常运行。

尝试操作

现在您已经了解了在Azure上使用自定义密钥对Elastic部署进行加密的流程。最初会创建并配置Azure密钥保管库密钥，设置必要的策略以供Elastic管理并轮换密钥凭证。您可以使用此密钥创建Elastic Cloud部署，对部署数据进行加密。有关Elastic Cloud和Azure密钥保管库的更多信息，请参阅产品文档。

立即体验！使用 Azure Key Vault 密钥创建 Elastic Cloud 部署，以提升 Elastic Cloud 部署的安全性。注册免费 14 天试用以立即开始。在本系列的上一篇博客中，我们将逐步指导您如何使用 GCP KMS 管理密钥对部署数据和快照进行加密。

本文中描述的任何功能或功能的发布和发布时间表均由 Elastic 单独决定。任何当前不可用的功能可能无法按时或根本不会提供。

分享