Elastic Blog

Encryption at rest in Elastic Cloud: Bring your own key with Google Cloud

6.9内容质量

TL;DR · AI 摘要

Encryption at rest in Elastic Cloud: Bring your own key with Google Cloud Elastic Blog Encryption at rest in Elastic Clo...

核心要点

  • 主题聚焦：Encryption at rest in Elastic Cloud: Bring your
  • 来源：Elastic Blog，建议结合原文判断细节。
  • AI 分析暂不可用，本条为保底评分与摘要。
#AI#云计算#安全#产品
打开原文

Elastic Cloud 中的静态加密：在 Google Cloud 上使用自带密钥 | Elastic 博客

Elastic Cloud 中的静态加密：在 Google Cloud 上使用自带密钥

作者：

Jonathan Simon

Alex Chalkias

2024 年 9 月 25 日

  • 在 Twitter 上分享 在 Twitter 上分享
  • 在 LinkedIn 上分享 在 LinkedIn 上分享
  • 在 Facebook 上分享 在 Facebook 上分享
  • 通过电子邮件分享 通过电子邮件分享
  • 打印本页 打印

在介绍了 Elastic Cloud 静态加密并指导您在 AWS 和 Azure 上进行设置之后，现在是时候在 Google Cloud 上进行设置了。

在本系列博客的第四篇中，我们将解释 Elastic Cloud 如何与 Google Cloud Key Management Service (KMS) 配合实现静态加密，然后演示如何将 Google Cloud KMS 密钥应用到 Elastic Cloud 托管部署中，以对静态数据和快照进行加密。我们还将展示如何验证您的设置并实施额外的安全策略，例如密钥轮换和撤销。

Elastic Cloud 与 Google Cloud 密钥管理的集成

架构

下图展示了 Elastic Cloud 如何与 Google Cloud 集成，为您的应用提供使用您自己的密钥加密的托管 Elastic Cloud 部署。

先决条件

  • 获取自己的密钥：使用客户提供的加密密钥创建 Elastic 部署也称为 Bring Your Own Key (BYOK)。要使用 BYOK 创建 Elastic 部署，您需要拥有 Google Identity and Access Management (IAM) 权限，以便通过 Cloud KMS 创建 Google Cloud 密钥。密钥必须在与您要加密的 Elastic 部署相同区域的 Google Cloud 密钥环中创建。
  • 升级到企业版：使用 BYOK 需要企业许可证。
  • 访问控制：您还需要使用 Google IAM 管理对新密钥资源访问的权限。这是为了授予 Elastic 使用的服务主体访问您的密钥的权限。

注意：如果您的 GCP 组织强制实施 iam.allowedPolicyMemberDomains，请前往我们的产品文档中“使用您的密钥创建加密部署”部分，选择 Google Cloud 选项卡，然后按照步骤允许授予 Elastic 服务主体访问权限；否则，请联系 Elastic 支持。

Elastic 部署初始化

首先，登录到 Elastic Cloud 控制台。

登录控制台后，点击“创建部署”按钮。

为您的部署输入名称，并选择 Google Cloud 作为云提供商。展开“高级设置”部分，启用“使用客户管理的加密密钥”选项。复制 Elastic 服务账户和 Google Cloud Platform 云存储服务代理，将这些值保存到方便后续步骤的位置。

目前，我们先保持“创建部署”页面原样不变，打开一个新的浏览器标签页，在此页面上创建一个 Google Cloud 密钥，用于加密部署。

创建和配置 Google Cloud 密钥

要开始创建密钥的过程，请前往 Google Cloud 控制台的“密钥管理”部分。选择将包含您要创建的密钥的密钥环。

点击“创建密钥”。

为要创建的密钥输入密钥名称，然后点击“创建”。

选择新创建的密钥以查看其详细信息。

选择密钥的“权限”选项卡。

选择“授予访问权限”。

在“新主体”字段中粘贴 Elastic 服务账户，并为其分配角色 Cloud KMS CryptoKey 加密/解密者 和 Cloud KMS 查看者。点击“保存”。

再次点击密钥的“Grant Access”按钮。

在“New Principals”字段中粘贴 Google Cloud Platform 云存储代理，并为其分配角色“Cloud KMS CryptoKey Encrypter/Decrypter”。点击“Save”。

点击“Back to key ring details”按钮。

点击密钥的“Action”按钮并选择“Copy resource name”。

弹性部署创建完成

返回 Elastic Cloud 门户以完成本文开头启动的部署创建。在“Advanced Settings”（高级设置）中，于“Encryption at rest”（静态加密）部分粘贴 Google Cloud 密钥资源名称。格式应如下所示：

code
projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME

复制到剪贴板

点击“Create deployment”（创建部署）。

部署现已创建并使用指定的 Google Cloud 密钥进行加密。

更新：现在也可以将客户管理密钥添加到正在运行的部署中，而无需重新创建部署。请参阅将密钥添加到现有 Elastic Cloud 部署。

验证与故障排除

在 Elasticsearch 服务控制台中，您可以检查托管部署是否使用您指定的密钥正确加密。为此，请通过左侧导航菜单选择“Security”（安全）进入部署的安全页面。

在“Encryption at rest”（静态加密）部分选择“Manage encryption key”（管理加密密钥）。

您应看到 Google Cloud 密钥资源名称。

密钥轮换与撤销

密钥轮换在 Google Cloud Key Management 服务中进行管理。您可以手动轮换密钥或设置自动轮换。在 Google Cloud KMS 中进行的密钥轮换操作将在一天内生效至 Elastic Cloud。

在 Google Cloud KMS 中撤销密钥是一种在发生安全漏洞时的紧急破窗操作。如果加密密钥被禁用或删除，或分配的角色从 IAM 权限中移除，Elastic Cloud 将在 30 分钟内收到错误提示。

如果撤销操作是误操作，可以回滚该操作。否则，Elastic Cloud 将锁定部署数据所在的目录，并提示您删除部署以加强安全防护。

今天提升您的安全性

您现在已了解如何在 Google Cloud 上运行的 Elastic 部署中使用 BYOK（客户自带密钥）进行加密。首先，需要创建 Google Cloud KMS 密钥并设置 Elastic 所需的策略，以管理并轮换密钥凭证。然后，可以创建 Elastic Cloud 部署，并使用该密钥对部署中的数据进行加密。

立即尝试使用您自己的 Google Cloud KMS 密钥创建 Elastic Cloud 部署，以提升 Elastic Cloud 部署的整体安全性。您可以在产品文档中找到更多关于 Elastic Cloud 和 Google Cloud KMS 的信息。

本文中描述的任何功能或功能的发布和时间安排均由 Elastic 单独决定。目前不可用的任何功能或功能可能不会按时交付，甚至可能不会交付。

分享