ClickHouse Улучшенное шифрование
Улучшенное шифрование is available in the Enterprise plan. Contact support to enable this feature.
Данные в покое по умолчанию шифруются с использованием ключей AES 256, управляемых поставщиком облачных услуг. Клиенты могут включить Прозрачное шифрование данных (TDE) для обеспечения дополнительного уровня защиты данных сервиса. Кроме того, клиенты могут предоставить свой собственный ключ для реализации ключей шифрования, управляемых клиентом (CMEK), для своего сервиса.
Улучшенное шифрование в настоящее время доступно в сервисах AWS и GCP. Azure скоро будет доступен.
Прозрачное шифрование данных (TDE)
TDE должно быть включено при создании сервиса. Существующие сервисы не могут быть зашифрованы после создания.
- Выберите
Создать новый сервис - Назовите сервис
- Выберите AWS в качестве поставщика облачных услуг и нужный регион из выпадающего списка
- Нажмите на выпадающее меню для функций Enterprise и переключите Включить прозрачное шифрование данных (TDE)
- Нажмите Создать сервис
Ключи шифрования, управляемые клиентом (CMEK)
Удаление ключа KMS, использованного для шифрования сервиса ClickHouse Cloud, приведет к остановке вашего сервиса ClickHouse и его данных, которые станут недоступными, наряду с существующими резервными копиями.
После того как сервис будет зашифрован с помощью TDE, клиенты могут обновить ключ для активации CMEK. Сервис автоматически перезапустится после обновления настроек Прозрачного шифрования данных. В этом процессе старый ключ KMS расшифровывает ключ шифрования данных (DEK), а новый ключ KMS снова шифрует DEK. Это гарантирует, что сервис при перезапуске будет использовать новый ключ KMS для шифрования операций в будущем. Этот процесс может занять несколько минут.
CMEK с AWS KMS
-
В ClickHouse Cloud выберите зашифрованный сервис
-
Нажмите на Настройки слева
-
В нижней части экрана раскройте информацию о сетевой безопасности
-
Скопируйте идентификатор роли шифрования (AWS) или учетную запись службы шифрования (GCP) - вы будете нуждаться в этом на следующем шаге
-
Нажмите на ключ
-
Обновите политику ключа AWS следующим образом:
-
Сохраните политику ключа
-
Скопируйте ARN ключа
-
Вернитесь в ClickHouse Cloud и вставьте ARN ключа в разделе Прозрачное шифрование данных настроек сервиса
-
Сохраните изменения
CMEK с GCP KMS
- В ClickHouse Cloud выберите зашифрованный сервис
- Нажмите на Настройки слева
- В нижней части экрана раскройте информацию о сетевой безопасности
- Скопируйте учетную запись службы шифрования (GCP) - вы будете нуждаться в этом на следующем шаге
- Создайте ключ KMS для GCP
- Нажмите на ключ
- Предоставьте следующие разрешения учетной записи службы шифрования GCP, скопированной на шаге 4 выше.
- Шифровщик/дешифровщик Cloud KMS CryptoKey
- Просмотрщик Cloud KMS
- Сохраните разрешение ключа
- Скопируйте путь к ресурсному ключу
- Вернитесь в ClickHouse Cloud и вставьте путь к ресурсному ключу в разделе Прозрачное шифрование данных настроек сервиса
- Сохраните изменения
Резервное копирование и восстановление
Резервные копии шифруются с использованием того же ключа, что и связанный сервис. Когда вы восстанавливаете зашифрованную резервную копию, создается зашифрованный экземпляр, который использует тот же ключ KMS, что и оригинальный экземпляр. При необходимости вы можете изменить ключ KMS; смотрите Ротация ключей для получения дополнительных сведений.
Пуллер ключей KMS
При использовании CMEK действительность предоставленного ключа KMS проверяется каждые 10 минут. Если доступ к ключу KMS недействителен, сервис ClickHouse будет остановлен. Чтобы возобновить работу сервиса, восстановите доступ к ключу KMS, следуя шагам в этом руководстве, а затем перезапустите сервис.
Из-за природы этой функции невозможно восстановить сервис ClickHouse Cloud после удаления ключа KMS. Чтобы предотвратить это, большинство провайдеров не удаляют ключ немедленно, а вместо этого планируют его удаление; пожалуйста, проверьте документацию вашего провайдера.
Ротация ключей
Из-за природы этой функции невозможно восстановить сервис ClickHouse Cloud, если ключ KMS был удален. Чтобы предотвратить случайные потери, большинство провайдеров планируют удаление ключа, а не удаляют его немедленно. Для получения дополнительных сведений обратитесь к документации вашего провайдера.
Производительность
Как указано на этой странице, мы используем встроенную ClickHouse Функцию виртуальной файловой системы для шифрования данных для шифрования и защиты ваших данных.
Алгоритм, используемый для этой функции, - AES_256_CTR, который ожидается, будет иметь снижение производительности на 5-15% в зависимости от рабочей нагрузки:
