AWS密钥管理服务如何增强云安全?

日期:2015-3-19作者:Dave Shackleford翻译:谈翔来源:TechTarget中国 英文

【TechTarget中国原创】AWS的密钥管理服务是个很好的云加密密钥管理工具。专家Dave Shackleford带你检视AWS KMS的细节及其对企业的益处。

亚马逊Web服务(AWS)最近发布了崭新的加密管理平台,AWS密钥管理服务(KMS)。AWS KMS允许用户在几个AWS最热门的功能中加密数据和管理加密密钥。

这篇技巧文将仔细检视在云端方面越来越重要的加密密钥管理,尤其是AWS KMS。它的原理是什么,以及这个新的云服务所带来的好处及缺点。

云端加密密钥管理

密钥管理的重要性不容忽视。对很多组织来说,适当的在云中加密数据,安全的创建并保留加密密钥,还有在理论上,防止任何云供应商的管理人员访问这些密钥等需求,在任何的云计算环境里,尤其是基础架构即服务(IaaS)领域方面,都是一些最抢手最重要的安全机制。理论上,所有的密钥都应该在服务实例化时产生,然后从云中移除并由用户管理。很不幸,大部分云环境并没有完全支持客户端的密钥管理,而云中服务器端的密钥管理也不允许用户完全拥有及控制,虽然这通常是一个很基本的遵守规范。

AWS KMS的使用

Amazon在2013年发布了他们的CloudHSM服务,目的是允许客户在虚拟私有云(VPC)环境中使用一个用于密钥管理的专属硬件存储装置,但这个服务并没有与所有的AWS服务完全整合,并且需要很大量的手动配置及操作才能正常运行。

随着KMS的发布,Amazon很明显在加密密钥管理上下了重注。他们在CloudHSM服务上增加了更细致并强大的密钥创建,循环,及整合工具和功能,可用于现今使用的大部分AWS主要服务。当中的硬件模块符合业界标准所要求的,绝不将全部密钥存在硬盘或内存,以及任何一个客户HSM的访问需要多层的审查和批准。这允许顾客将密钥存在AWS 云中,使得来自其他服务和系统的访问变得容易许多。

AWS的主要服务如S3、EBS和Redshift现在可以使用由AWS KMS控制的密钥来加密离线数据。顾客们可以在每个服务中使用主密钥,也就是当一个用户开始使用服务时生成的默认密钥,或者顾客们也可以按需使用AWS KMS来创建并管理新的密钥。用户也可以替每个Amazon里单独的服务,应用种类或数据分类层分别定义密钥。

KMS好处

要开始使用AWS KMS时,管理员要先访问Amazon AWS控制台里,“IAM”服务类别下的“加密密钥”部分。新的密钥管理配置文件及政策也可以在此处定义,这也同Amazon的IAM规则的标准模型相符合,并与所有标准AWS应用程序界面(API)整合。事实上,这是KMS所带来的其中一个最立竿见影的优点之一,同所有AWS服务API的完全集成。此外,还提供新的密钥管理API,可以很容易的为开发人员和运营团队在密钥管理和密钥访问,使用和生命周期管理的整合上提供更实用的体验。

另一个能够让团队们觉得欣赏的KMS安全要素是,在所有有关于AWS CloudTrail里服务的活动都有完全的记录。安全团队可以分析KMS记录来找出特定的密钥在何时及如何被使用,以及哪些服务和用户访问并使用了这些密钥。

以每月每个密钥版本1美金的价格,这个新服务很可能是现今云计算中最能承受的密钥管理产品。API请求也只需要每10000次请求3美分的价格。

结论

KMS很可能会成为现有AWS顾客觉得马上可用的一个服务,而安全团队也会看到使用KMS带来的立竿见影的好处,因为所有的AWS服务都支持它。这个服务没有明显的缺点,现有的客户在密钥及加强安全过程方面获得更多的控制权,而潜在的云服务客户也许将能够实施之前因为加密和密钥管理需求而不得不放弃的云项目。

我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。

我原创,你原创,我们的内容世界才会更加精彩!

【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

评论
查看更多评论

敬请读者发表评论,本站保留删除与本文无关和不雅评论的权力。

作者>更多

Dave Shackleford
Dave Shackleford

Dave Shackleford是Voodoo安全有限责任公司的所有人和咨询师、IANS资深导师、SANS研究院分析师、高级讲师和课程作者。他已为数百个组织在安全、法规合规性以及网络架构与工程领域提供了咨询服务,是具有丰富安全虚拟化基础设施设计和配置经验的VMware vExpert。Dave之前是Configuresoft公司的CSO、互联网安全中心的CTO、并曾出任多家财富500强公司的安全架构师、分析师和经理。Dave是Sybex一书的作者,虚拟化安全:保护虚拟化环境,以及信息安全课程技术的合作设计者。最近,Dave为SANS研究所合作设计了第一个虚拟化安全课程。目前,Dave在SANS技术研究院担任董事一职,并协助领导云计算安全联盟的亚特兰大分部。

云的数据隐私>更多

  • 亚马逊EC2专用主机可提供哪些安全优势?

    亚马逊弹性计算云实例有两种不同的配置:亚马逊EC2专用主机和专用实例。与在共享服务器上运行的基本EC2实例相比,这两种配置都提供了额外的安全措施。

  • AWS监控归根到底是工具的选择

    AWS有一系列专为其公有云能够变得更易于管理而开发的扩展功能和特性。AWS config、AWS CloudTrail和亚马逊Inspector是能够帮助管理人员处理监控AWS安全和资源配置的三个相关服务。

  • 云迁移面临遗留安全工具挑战

    专为数据中心设计的传统安全工具是无法在云环境中正常运行的。根据安全管理人员的说法,这需要新的方法。本文讲述了企业该如何在夹缝中生存。

  • 云安全仍是阻碍:天御系统能否推倒这一座“大山”

    据统计, 云计算的投入正在以每年20%的增长率增长着。然而,云安全性仍然是阻碍云技术采用的主要障碍,来自LinkedIn信息安全社区报告显示,且相比2015年的45%,2016年安全是云采用的头号障碍的企业已经上升至59%。

相关推荐

  • 数据中心副本策略:向左走还是向右走?

    安全威胁是无可避免的,网络犯罪随时可能发生;在这种情况下,容灾备份、设置副本是必要手段,我们无法做出全面预防,但我们可以做到完全的恢复,只要我们有副本。

  • 初探云供应商责任共担模式,你认为靠谱吗?

    随着云计算应用的不断增长,对于数据保护和网络安全的责任共担模式概念也逐渐地深入人心。虽然责任共担模式并不是一个新的概念,但是安全责任共担本质已随着云而发生了变化。

  • 丢三落四:企业上云却忘记了云安全

    云迁移所带来的价值主张主要涉及速度、敏捷性、成本降低以及管理云迁移口中所说的更多安全控制措施。

  • 云迁移面临遗留安全工具挑战

    专为数据中心设计的传统安全工具是无法在云环境中正常运行的。根据安全管理人员的说法,这需要新的方法。本文讲述了企业该如何在夹缝中生存。

技术手册>更多

  • 云计算标准及性能评估指南

    从应用运行的角度来讲,云计算的性能就是网络性能、应用性能以及云计算基础架构性能的总和。云供应商只能对最后一个因素负责,而不能对前两者负责。因此,用户在衡量供应商云服务质量时必须遵循一个合适的标准。本文介绍制定云计算服务标准必要性,为了满足这一标准而需要满足的配置,以及云计算服务等级(SLA)的制定和遵从问题。

  • 2010年最具价值的技巧指导

    2010年,云在大家心中留下了怎样的印象?用户开始关心并讨论云,开始思考云的好与不好。对此,TechTarget云计算网站特别总结2010年最具价值的技巧指导与大家分享。

  • IaaS参考完全手册

    基础架构即服务是云计算服务模型三支柱之一。但是你是否对于IaaS有足够的了解?你可能知道IaaS是交付设备,比如通过网络交付服务器和虚拟机,但是不同的云提供商之间有什么不同?企业对于IaaS到底是什么态度,这本IaaS参考完全手册将协助你整理一下IaaS提供商的背景和一些有帮助的技巧。

  • 解惑云存储的选择

    在TechTarget最新的云存储调查中,近一半的公司表示其正在使用一种或者多种云存储服务提供商来存储数据,平均数据量占到其总数据量的24%。对于云存储来说,备份仍旧是最受欢迎的应用,63%的受访者表示至少会将一些备份数据放到云端。

TechTarget

最新资源
  • 安全
  • CIO
  • SOA
  • 虚拟化
  • 网络
  • 数据中心