多云架构下的数据安全解决方案

多云架构下的数据安全解决方案

多云架构融合了公有云与私有云，是近几年来云计算的主要模式及发展方向。一方面企业希望获取大型云服务厂商的计算资源，降低计算和运维成本；另一方面企业出于政策限制、数据安全等原因，又不愿将关键数据保存在公有云环境中。目前很多大型公有云厂商也陆续推出了一系列数据加密的服务帮助用户解决公有云中数据安全的问题，并且也宣称作为公有云厂商不会越权触碰用户的数据，但对于企业来说，在某些方面对于公有云中数据的安全性还存在担忧。但是，多云架构中数据在公有云环境中的流转、使用等不可避免，所以在多云建设中也需要考虑：

数据在公有云与私有云之间传输的安全性；

密钥的安全性（包括密钥的存储和调用）；

多云架构中密钥的统一管理问题。

针对多云环境中的数据保护，可参考如下方案进行建设：

为保证公有云与私有云整体环境的安全性，私有云环境和公有云环境的打通可通过专线/VPN的形式。

整个架构中所有的密钥，统一由私有云端的KMS系统进行统一的管理和保护，并且私有云端业务系统通过调用KMS API获取密钥，为保证加密运算的效率及安全性，业务系统可通过调用密码机/云密码机的接口，在硬件的密码设备内完成数据的加解密，同时也可以释放业务系统端的计算资源。

私有云端将数据加密完成后，将加密数据通过安全的通信通道传输到公有云端，公有云端只需存储加密后的数据即可。

若公有云端业务系统需使用这些数据，那么可以在私有云端KMS为公有云端业务系统开通权限，并规定该业务系统可获取或可调用的密钥。另外，业务系统与KMS通信需基于数字证书的认证，并且在密钥调用的过程中通过SSL通道进行传输。业务系统将获取到的密钥导入专属加密服务中，通过专属加密服务保证密钥的安全性，并为业务系统提供高性能的密码运算能力。

数据加密的实现方式有两种，一种是密码设备（包括密码机、KMS、专属加密服务等）提供各种密码功能的接口，业务系统集成这些接口来实现数据加解密等功能；另外一种是三未信安也提供了一系列透明加解密的产品，可以帮助用户更简单、快速地实现数据加密保护建设的落地。

SecStorage：实现私有云环境磁盘、文件系统数据的透明加密保护，以及华为公有云环境中EVS服务的透明加解密，用户无需做二次开发。

SecDB：实现私有云环境中数据库数据的透明加解密以及华为公有云环境中用户自建数据库的数据透明加解密，用户无需做二次开发。

使用三未信安提供的SecKMS密钥管理系统，可以统管整个环境中所有的密钥，并且KMS具有完善且严格的访问控制功能，保证密钥完全掌握在用户自己手中。另外，三未信安提供的SecKMS、密码机等密码产品均具备国家密码管理局颁发的产品型号证书。