多云架構(gòu)下的數(shù)據(jù)安方案

多云架構(gòu)融合了公有云與私有云，是近幾年來云計(jì)算的主要模式及發(fā)展方向。一方面企業(yè)希望獲取大型云服務(wù)廠商的計(jì)算資源，降低計(jì)算和運(yùn)維成本；另一方面企業(yè)出于政策限制、數(shù)據(jù)安全等原因，又不愿將關(guān)鍵數(shù)據(jù)保存在公有云環(huán)境中。目前很多大型公有云廠商也陸續(xù)推出了一系列數(shù)據(jù)加密的服務(wù)幫助用戶解決公有云中數(shù)據(jù)安全的問題，并且也宣稱作為公有云廠商不會(huì)越權(quán)觸碰用戶的數(shù)據(jù)，但對(duì)于企業(yè)來說，在某些方面對(duì)于公有云中數(shù)據(jù)的安全性還存在擔(dān)憂。但是，多云架構(gòu)中數(shù)據(jù)在公有云環(huán)境中的流轉(zhuǎn)、使用等不可避免，所以在多云建設(shè)中也需要考慮：

數(shù)據(jù)在公有云與私有云之間傳輸?shù)陌踩裕?/span>

密鑰的安全性（包括密鑰的存儲(chǔ)和調(diào)用）；

多云架構(gòu)中密鑰的統(tǒng)一管理問題。

針對(duì)多云環(huán)境中的數(shù)據(jù)保護(hù)，可參考如下方案進(jìn)行建設(shè)：

為保證公有云與私有云整體環(huán)境的安全性，私有云環(huán)境和公有云環(huán)境的打通可通過專線/VPN的形式。

整個(gè)架構(gòu)中所有的密鑰，統(tǒng)一由私有云端的KMS系統(tǒng)進(jìn)行統(tǒng)一的管理和保護(hù)，并且私有云端業(yè)務(wù)系統(tǒng)通過調(diào)用KMS API獲取密鑰，為保證加密運(yùn)算的效率及安全性，業(yè)務(wù)系統(tǒng)可通過調(diào)用密碼機(jī)/云密碼機(jī)的接口，在硬件的密碼設(shè)備內(nèi)完成數(shù)據(jù)的加解密，同時(shí)也可以釋放業(yè)務(wù)系統(tǒng)端的計(jì)算資源。

私有云端將數(shù)據(jù)加密完成后，將加密數(shù)據(jù)通過安全的通信通道傳輸?shù)焦性贫?，公有云端只需存?chǔ)加密后的數(shù)據(jù)即可。

若公有云端業(yè)務(wù)系統(tǒng)需使用這些數(shù)據(jù)，那么可以在私有云端KMS為公有云端業(yè)務(wù)系統(tǒng)開通權(quán)限，并規(guī)定該業(yè)務(wù)系統(tǒng)可獲取或可調(diào)用的密鑰。另外，業(yè)務(wù)系統(tǒng)與KMS通信需基于數(shù)字證書的認(rèn)證，并且在密鑰調(diào)用的過程中通過SSL通道進(jìn)行傳輸。業(yè)務(wù)系統(tǒng)將獲取到的密鑰導(dǎo)入專屬加密服務(wù)中，通過專屬加密服務(wù)保證密鑰的安全性，并為業(yè)務(wù)系統(tǒng)提供高性能的密碼運(yùn)算能力。

數(shù)據(jù)加密的實(shí)現(xiàn)方式有兩種，一種是密碼設(shè)備（包括密碼機(jī)、KMS、專屬加密服務(wù)等）提供各種密碼功能的接口，業(yè)務(wù)系統(tǒng)集成這些接口來實(shí)現(xiàn)數(shù)據(jù)加解密等功能；另外一種是三未信安也提供了一系列透明加解密的產(chǎn)品，可以幫助用戶更簡單、快速地實(shí)現(xiàn)數(shù)據(jù)加密保護(hù)建設(shè)的落地。

SecStorage：實(shí)現(xiàn)私有云環(huán)境磁盤、文件系統(tǒng)數(shù)據(jù)的透明加密保護(hù)，以及華為公有云環(huán)境中EVS服務(wù)的透明加解密，用戶無需做二次開發(fā)。

SecDB：實(shí)現(xiàn)私有云環(huán)境中數(shù)據(jù)庫數(shù)據(jù)的透明加解密以及華為公有云環(huán)境中用戶自建數(shù)據(jù)庫的數(shù)據(jù)透明加解密，用戶無需做二次開發(fā)。

使用三未信安提供的SecKMS密鑰管理系統(tǒng)，可以統(tǒng)管整個(gè)環(huán)境中所有的密鑰，并且KMS具有完善且嚴(yán)格的訪問控制功能，保證密鑰*掌握在用戶自己手中。另外，三未信安提供的SecKMS、密碼機(jī)等密碼產(chǎn)品均具備頒發(fā)的產(chǎn)品型號(hào)證書。