互联网企业如何构建安全可信的云上数据存储

   “ 使用云服务，我的数据安全吗？” 

    云计算已经进入了高速发展的阶段，公共云技术和业务架构方式被越来越多的企业级用户接受，从最初的游戏、在线音视频、移动App等互联网应用，到金融、教育、工业制造、政府机构等越来越多的偏传统机构的数字化转型进程蓬勃发展。然而初次接触公共云服务的用户，通常最先关注的一个问题，就是“使用云服务，我的数据安全吗？”

    以下小编以阿里云RDS（关系型数据库服务）为例，来分析一下，阿里云是如何进行全链路安全设计，进而保障用户数据安全的；

01

—

阿里云RDS全链路安全设计

跟据数据在业务系统里流转的途径和时序，可以从两个维度来对数据安全机制加以描述。数据链路维度，通过从存储层到接入层的全链路安全设计、通过安全加密和隔离技术让数据安全在每个环节都得到技术保障；业务处理“事前、事中、事后”的视角，则帮助企业级应用建立科学的数据安全管理制度；以下通过用户最关注的几个层面，来分析阿里云RDS如何提供数据安全保障；

02

—

数据存储与传输安全

    数据存储和传输的安全机制，是对数据安全最核心的保障，除了安全技术的选择，从安全机制设计上，也必须保障即便是存储和网络的运维管理人员，也无法窥探到用户数据。阿里云的数据安全传输和存储机制，通过了最严格的德国C5、及新加坡MTCS最高安全评级认证，以下简单介绍传输和存储的安全机制：

1、  传输安全 SecuringData in Motion

• 内外部数据全链路加密

• 防止数据在传输时被窃取，最高支持TLS v1.2

• 可强制使用SSL(CREATE USER ‘jeffrey’@‘localhost’ REQUIRE SSL;)

• 无需配置和管理证书，即开即用

2、  存储安全 SecuringData at Rest

• TDE 支持数据库表级别存储加密（Encrypting InnoDB Page）

• 云盘版已推出实例级存储加密（Encrypting Storage）

• OSS中的备份数据双层加密（InnoDB & Object）

• 密钥（Data Key）保存在KMS中，支持BYOK

• 一键开启，对应用透明、对存储性能影响严格受控

03

—

访问控制

1、全链路的访问控制

    既要保障足够的安全，又要保证灵活的授权合法访问，公共云服务的访问控制策略，既保留了传统DBA的传统武功、又赋予了云计算特有的独门兵器；

• 在数据库层面，支持通过传统sql和DMS（阿里云数据库管理控制台）管理对指定库表、指定源IP的访问权限；

• 在RDS实例层面，通过RAM机制形成API粒度的权限控制，控制对实例的访问、登录、修改权限，对于实例数量较多的大型组织，提供通过标签或资源组的批量授权方式也可以通过VPC和安全组制定业务级或BU级的更大范围的访问控制；

• 阿里云同样提供金融级堡垒机服务，使用阿里云数据库服务，可以实现比传统IDC自建方式更加完善和灵活的访问控制策略。