AWS पर एन्क्रिप्शन और सर्टिफिकेट मैनेजमेंट

AWS पर एप्लिकेशन डिप्लॉय करना

Dunieski Otano

Amazon Web Services Solutions Architect

गुम हुआ बैकअप डिस्क

ट्रांजिट में बैकअप ड्राइव गुम हो जाती है
डिस्क पर एन्क्रिप्टेड हो तो चोर के काम की नहीं
वायर पर डेटा के लिए TLS यही करता है

आराम की स्थिति में एन्क्रिप्शन दर्शाता ताले से सुरक्षित डिस्क बनाम असुरक्षित डिस्क

At rest बनाम in transit एन्क्रिप्शन

दो-पैनल तुलना: बाएँ तरफ RDS और S3 आइकन KMS कुंजी से सुरक्षित (at rest), और दाएँ तरफ क्लाइंट से Lambda तक इन-ट्रांजिट TLS टनल

At rest: डिस्क पर स्टोर्ड डेटा एन्क्रिप्टेड होता है
At rest में keys लगती हैं, अक्सर KMS से
In transit: नेटवर्क पर चल रहा डेटा एन्क्रिप्टेड होता है
In transit में TLS सर्टिफिकेट लगते हैं

Client-side बनाम server-side एन्क्रिप्शन

Server-side

सेवा, डेटा मिलने के बाद एन्क्रिप्ट करती है
सबसे सरल; AWS यह स्टेप मैनेज करता है, आमतौर पर KMS key से

Client-side

आप डेटा भेजने से पहले एन्क्रिप्ट करते हैं
सेवा सिर्फ ciphertext स्टोर करती है, plaintext कभी नहीं

Public बनाम private सर्टिफिकेट

ACM: आपके डोमेनों के लिए मुफ़्त पब्लिक TLS सर्टिफिकेट
लोड बैलेंसर, CloudFront, API Gateway पर उपयोग
AWS Private CA: इंटरनल, प्राइवेट सर्टिफिकेट जारी करता है
Private CA, इंटरनल सर्विसेज और mTLS को चलाता है

बाएँ: लोड बैलेंसर और CloudFront पर ACM का मुफ्त पब्लिक सर्टिफिकेट; दाएँ: इंटरनल सर्विस-टू-सर्विस mTLS के लिए Private CA सर्टिफिकेट

KMS keys और रोटेशन

AWS-managed keys: AWS बनाता और रोटेट करता है
Customer-managed keys: नीति और रोटेशन पर आपका नियंत्रण
Automatic rotation: हर साल नया key material, वही key ID
एप्लिकेशन वही key रेफरेंस यूज़ करते रहते हैं

KMS key प्रकार साथ-साथ: बाएँ AWS-managed key ऑटो रोटेशन के साथ; दाएँ customer-managed key, कॉन्फ़िगरेबल key policy और वार्षिक रोटेशन टाइमलाइन के साथ

क्रॉस-अकाउंट key एक्सेस

क्रॉस-अकाउंट KMS key एक्सेस: अकाउंट A में key की पॉलिसी से अकाउंट B को अनुमति; B एन्क्रिप्ट/डीक्रिप्ट करता है, key material KMS से बाहर नहीं जाता

Key policy तय करती है कि KMS key कौन यूज़ कर सकता है
पॉलिसी से किसी दूसरे अकाउंट को key उपयोग दें
Key कभी KMS से बाहर नहीं जाती
अकाउंट्स में shared encrypted resources संभव होते हैं

एन्क्रिप्शन और सर्टिफिकेट साथ में

In transit: ACM सर्टिफिकेट edge पर TLS समाप्त करता है
At rest: KMS key स्टोर्ड डेटा एन्क्रिप्ट करती है
keys ऑटो-रोटेट करें; सर्टिफिकेट ऑटो-रिन्यू हों
वायर से डिस्क तक लेयर्ड प्रोटेक्शन

लेयर्ड एन्क्रिप्शन स्टैक: edge पर in transit TLS को ACM सर्टिफिकेट समाप्त करता है और at rest डेटा को KMS key एन्क्रिप्ट करती है; दोनों का वार्षिक ऑटो रिन्यू/रोटेशन

अभ्यास करते हैं!

AWS पर एप्लिकेशन डिप्लॉय करना