Усиливает ли AWS RDS шифрование с KMS?

Question

Amazon states что

Шифрование и дешифрование обрабатываются прозрачно, так что вам не придется модифицировать приложение, чтобы получить доступ к данным

Мое приложение (Rails, MySQL, Elasticsearch) строит много графики и, следовательно, запрашивает много данных. Из моего предыдущего опыта использования шифрования базы данных это действительно влияет на скорость получения данных (как мы можем только сказать, если запись соответствует условию после чтения и дешифрования).

Есть ли соответствующие ориентиры? Или, возможно, вы работали с таким серверным шифрованием от AWS? Нужно ли вообще беспокоиться об изменениях производительности?

Также мне не совсем понятно, можно ли также шифровать данные Elasticsearch одним и тем же «прозрачным» способом. Я бы также использовать ваши советы по этому

Answer 1

Из моего предыдущего опыта с шифрованием базы данных, это действительно влияет на данные ВОССТАНОВЛЕНИЕ скорости (как мы можем только сказать, если запись соответствует условию после прочтения и decryptng его).

Если бы каждое значение каждой записи было зашифровано перед вставкой в ​​базу данных. Это не то, как работает шифрование RDS. RDS-шифрование работает путем включения шифрования томов (ов) EBS, которые хранятся в базе данных. Для механизма базы данных RDS данные не отображаются в зашифрованном виде. Это то же самое, что и включение шифрования на томе EBS, подключенном к вашему серверу EC2.

Что касается производительности, я не заметил снижения производительности при включении шифрования на RDS и EBS. За документации AWS here:

вы можете ожидать, производительность же IOPS на шифрованные тома как вы бы с незашифрованных томов, с минимальным влиянием на время ожидания.

---

Обратите внимание, что это "шифрование в покое". Если вам также нужны данные, которые будут «зашифрованы в пути», вам нужно будет изучить использование SSL-соединений для всех подключений к базе данных и, возможно, включить настройку в вашей базе данных для принудительного подключения SSL-соединений.

---

Что касается вашего второго вопроса, AWS не кажется, поддерживает шифрование-на-отдых для службы ElasticSearch в это время. Для шифрования в пути вы можете использовать HTTPS соединения, в соответствии с ответом поддержки AWS на this question:

Вы можете использовать протокол HTTPS для зашифрованной связи с доменом.

Связь между узлами не зашифрована. Сами узлы - это , размещенные в нашем VPC, и вся связь между узлами остается в нем .