如今的應(yīng)用程序都運行在加密技術(shù)之上，而在云平臺中運行應(yīng)用程序，需要SSH密鑰來訪問虛擬機，并采用API密鑰來與外部服務(wù)交互，以及Web服務(wù)器的X.509v3證書。組織需要驗證Web服務(wù)的安全客戶端證書、加密存儲數(shù)據(jù)的加密密鑰，以及中間或后端數(shù)據(jù)存儲的密碼。

安全地存儲數(shù)據(jù)對于組織來說是一個重大的挑戰(zhàn)，特別是在當(dāng)今的云計算世界。而且，隨著多云變得司空見慣，組織面臨的挑戰(zhàn)將會加劇。

[[360474]]

云計算對傳統(tǒng)的加密管理方法帶來挑戰(zhàn)

在以往，組織內(nèi)部使用的硬件安全模塊(HSM)通過提供可防篡改的物理安全設(shè)施保護數(shù)據(jù)。同樣，加密密鑰管理(通常以服務(wù)的形式)有助于為密鑰和密鑰存儲提供一個集中的、安全的存儲庫。

但是，云計算加劇了加密管理的挑戰(zhàn)。傳統(tǒng)加密方法的應(yīng)用性稍差，這是由于云計算對技術(shù)底層的抽象程度較低。

例如，考慮將應(yīng)用程序部署到IaaS中。操作系統(tǒng)下的所有內(nèi)容都由云計算提供商提供。物理附加服務(wù)(如HSM)的實施不受客戶的直接控制。因此，客戶可以使用云服務(wù)提供商提供的硬件安全模塊(HSM)產(chǎn)品。

對于PaaS和SaaS，硬件安全模塊(HSM)是不可選擇的，除非云服務(wù)提供商提供這些服務(wù)，其基礎(chǔ)設(shè)施也超出范圍。這意味著從客戶的角度來看，無法通過云計算提供商使用API​​進行密鑰管理服務(wù)。

許多云服務(wù)提供商提供了一些選項來幫助進行云計算加密管理。例如，微軟Azure提供密鑰庫，AWS提供密鑰管理服務(wù)，谷歌云平臺提供云密鑰管理服務(wù)。這些產(chǎn)品都可以幫助解決云計算提供商的云服務(wù)中的安全存儲問題。

盡管這些云計算提供商提供的服務(wù)運行良好，但它們是特定于云計算提供商的，并且它們在提供給客戶的接口方面都有所不同。

那么，當(dāng)客戶需要跨多個云計算提供商或混合環(huán)境的加密管理服務(wù)時會發(fā)生什么呢?IT領(lǐng)導(dǎo)者必須了解多云密鑰管理如何應(yīng)對這些挑戰(zhàn)，以及如何成功實施它以保護混合和多云基礎(chǔ)設(shè)施。

多云密鑰管理即服務(wù)功能

多云密鑰管理涉及將密鑰管理功能擴展到使用多個不同云平臺中。云密鑰管理即服務(wù)(KMaaS)模型應(yīng)運而生，以快速配置基于云計算的服務(wù)。

根據(jù)云密鑰管理即服務(wù)(KMaaS)產(chǎn)品的不同，可以通過密鑰管理互操作性協(xié)議(從密鑰管理服務(wù)器請求密鑰的標準)通過使用云計算提供商提供的存根模塊的REST API來請求密鑰，例如使用密鑰管理服務(wù)的公鑰加密標準。

這樣做的優(yōu)點之一是它可以規(guī)范與密鑰管理機制的接口。因此，使用基礎(chǔ)密鑰管理器的應(yīng)用程序變得更加可移植。例如，應(yīng)用程序組件用于請求訪問密鑰或其他機密的機制與當(dāng)前托管在數(shù)據(jù)中心的應(yīng)用程序相同，即使該組件可能會遷移到云平臺。無論是出于災(zāi)難恢復(fù)或安全需求，還是將其遷移到公共云或在公共云之間遷移，都是如此。這可以通過運行環(huán)境之間移動的最小化或?qū)?shù)據(jù)導(dǎo)出到另一個位置時重新加密來增強安全性。

除了編程接口的標準化，KMaaS還規(guī)范了管理。其管理要素(例如記帳，批準流程，關(guān)鍵庫存的維護和其他任務(wù))是集中的。這可以實現(xiàn)集中可見性，并減少與管理人員進行管理工作流有關(guān)的成本。

多云KMaaS實施的4個注意事項

IT領(lǐng)導(dǎo)者需要認識到，使用KMaaS工具并不意味著組織的使用是安全的。徹底審查和驗證KMaaS選項是很重要的。

進入KMaaS市場時，需要注意以下4個事項：

(1) 確保存儲和檢索密鑰的機制從架構(gòu)的角度有利于組織的使用。例如，計劃部署Java應(yīng)用程序的組織可能會優(yōu)先考慮提供Java加密擴展的供應(yīng)商。

(2) 除了考慮與客戶使用相關(guān)的性能和安全要求之外，還要考慮組件和應(yīng)用程序?qū)⑷绾芜B接到服務(wù)。即使使用REST API(這是與服務(wù)接口的最普遍的機制)，也要從需要密鑰的位置連接到密鑰管理服務(wù)。在其他情況下，則不需要這樣做。例如，沒有直接出站連接的受保護的虛擬私有云。在這種情況下，客戶需要找到一種機制，使其能夠連接、代理請求、使用供應(yīng)商提供的可以緩存或探索替代方法的組件。

(3) 清點將存儲在KMaaS中的現(xiàn)有數(shù)據(jù)。如果已經(jīng)有本地密鑰管理服務(wù)，需要檢查其中存儲了什么內(nèi)容以及如何使用這些數(shù)據(jù)。這種事先的評估可以幫助IT主管設(shè)定期望值，了解轉(zhuǎn)移使用的難度，并確定哪些訪問方法最有效。除其他特殊要求外，還應(yīng)特別注意如何驗證和批準訪問請求，以及如何處理密鑰輪換和到期。

(4) 認識到當(dāng)前的多云密鑰管理流程可能不同。需要注意無法或不需要更換現(xiàn)有組件的情況。例如，如今使用物理HSM的組織可能會發(fā)現(xiàn)存儲在其中的密鑰無法導(dǎo)出。而這是大多數(shù)HSM的默認設(shè)置，因為加密操作是在設(shè)備本身中執(zhí)行的。這意味著密鑰永遠不會離開HSM的邊界，而密鑰管理器(即KMaaS或其他方式)的行為方式也不相同。一些組織可能具有合法的安全性或使用要求，而這是有利的。在根據(jù)業(yè)務(wù)風(fēng)險和需求確定正確的方法時，了解密鑰為何以保護密鑰的方式進行保護是重要的要素。