您好，登录后才能下订单哦！
密码登录
登录注册
点击 登录注册 即表示同意《亿速云用户服务条款》
点击下载《不一样的 双11 技术：阿里巴巴经济体云原生实践》
本文节选自《不一样的 双11 技术：阿里巴巴经济体云原生实践》一书，点击上方图片即可下载！
作者
李鹏（壮怀）阿里云容器服务高级技术专家
黄瑞瑞 阿里云技术架构部资深技术专家
导读：对于云上客户而言，其云上数据被妥善的安全保护是其最重要的安全需求，也是云上综合安全能力最具象的体现。本文作者将从云安全体系出发，到云数据安全，再到云原生安全体系对全链路加密进行一次梳理，从而回答：在云原生时代，全链路加密需要做什么？如何做到？以及未来要做什么？
数据安全在云上的要求，可以用信息安全基本三要素 "CIA"来概括，即机密性（Confidentiality）、完整性（Integrity）和可用性（Availability）。
在三要素中，第一要素机密性（Confidentiality）最常见也是最常被要求的技术实现手段就是数据加密。具体到云原生维度，需要实现的就是云原生的全链路加密能力。
“全链路”指的是数据在传输 (in Transit，也叫 in-motion)、计算 (Runtime，也叫 in-process)，存储 (in storage，也叫 at-rest) 的过程，而“全链路加密”指的是端到端的数据加密保护能力，即从云下到云上和云上单元之间的传输过程、到数据在应用运行时的计算过程（使用/交换），和到数据最终被持久化落盘的存储过程中的加密能力。
• 数据传输 （数据通信加密，微服务通信加密，应用证书和密钥的管理)；
• 数据处理（运行时安全沙箱 runV, 可信计算安全沙箱 runE）；
• 数据存储 （云原生存储的 CMK/BYOK 加密支持、密文/密钥的存储管理、容器镜像的存储加密、容器操作/审计日志安全）。
本文中的技术描述针对的是在云原生全链路加密中已有的和未来需要实现的技术目标。
针对用户群体的不同，对安全链路有不同的层次定义，云安全涵盖了云客户安全和云厂商安全在 IaaS 的软件、硬件以及物理数据中心等的安全。
云原生安全首先需要遵循云数据安全标准，在复用了云基础架构安全能力的前提下，同时在安全运行时，软件供应链上有进一步的安全支持。
云原生存储是通过声明式 API 来描述了云数据的生命周期，并不对用户透出底层 IaaS 的数据加密细节。不同的云原生存储一般作为云数据的载体，复用了云 IaaS 基础安全能力，还需要包括软件供应链中的镜像安全，和容器运行时 root 文件系统安全和容器网络安全。
云用户数据安全包括以下的三个方面的工作：
数据保护：RAM ACL 控制细粒度的数据的访问权限；敏感数据保护（Sensitive
Data Discovery and Protection，简称 SDDP）、数据脱敏、数据分级分类。
数据加密：CMK 加密数据能力；BYOK 加密数据能力。
为了更好的理解数据保护，需要对数据安全的生命周期有一个了解，因为数据保护贯穿于整个的数据生命周期：
云原生数据生命周期，以 ACK（容器服务 Kubernetes）挂载阿里云云盘为例：
在狭义上来说是对数据端到端的加密，主要集中在了数据生命周期中的三个阶段：
安全通信设计，密文/密钥的安全管理和传输，既要满足云环境下的安全传输、云原生引入的容器网络、微服务、区块链场景，又对云原生数据安全传输提出了进一步的要求。
在云环境下 VPC/安全组的使用，密文/密钥的安全管理 KMS 南北向流量通过 SSL 证书服务获取可信有效的 CA，对南北流量实现 HTTPS 加密和卸载，以及对 RPC/gRPC 通信使用 SSL 加密， 减小 VPC 的***面，通过 ***/SAG Gateway 来实现安全访问链路。
云原生场景，单一集群允许多租户的同时共享网络、系统组件权限控制、数据通信加密、证书轮转管理，多租场景下东西流量的网络隔离、网络清洗；云原生微服务场景，应用/微服务间通信加密，和证书管理；云原生场景下密钥、密文的独立管理和三方集成、KMS 与 Vault CA， fabric-ca, istio-certmanager 等的集成。
数据处理阶段，对内存级的可信计算，既有云安全虚拟化安全运行的要求，又有容器安全沙箱和可信安全沙箱的需求。
既有云安全对云存储加密、云数据服务加密需求，又有对容器镜像存储加密，审计日志、应用日志加密和三方集成的需求，以及对密文密码的不落盘存储支持。
云存储加密方式：
云存储数据，以服务端加密为主；安全的密钥管理 KMS／HSM；安全的加密算法，全面支持国产算法以及部分国际通用密码算法，满足用户各种加密算法需求：
阿里云只能管理设备硬件，主要包括监控设备可用性指标、开通、停止服务等。密钥完全由客户管理，阿里云没有任何方法可以获取客户密钥。
云存储加密支持：
云原生存储加密：目前阿里云容器服务 ACK 可以托管的主要以块存储、文件存储和对象存储为主，其他类型的 RDS、OTS 等数据服务是通过 Service Broker 等方式支持。
云原生全链路的数据安全、云安全体系下的全链路加密已经成为了基础配置，新的容器化基础架构和应用架构的变化，结合云原生技术体系的特征，在数据传输、数据处理、数据存储阶段都需要增加相应云原生环境对网络、运行时、存储的全链路加密需求。
本书亮点
“阿里巴巴云原生关注微服务、Serverless、容器、Service Mesh 等技术领域、聚焦云原生流行技术趋势、云原生大规模的落地实践，做最懂云原生开发者的技术圈。”
免责声明：本站发布的内容（图片、视频和文字）以原创、转载和分享为主，文章观点不代表本网站立场，如果涉及侵权请联系站长邮箱：is@yisu.com进行举报，并提供相关证据，一经查实，将立刻删除涉嫌侵权内容。