Wie handhabst du Verschlüsselung at rest und in transit über eine ganze Cloud-Umgebung hinweg?

Erzwing modernes TLS auf jedem Hop, auch bei internem Service-zu-Service-Traffic, und nimm managed Zertifikate, damit die Erneuerung automatisch läuft. Verschlüssel jeden Data Store at rest mit Keys aus einem managed Key Service, mit eigenen Customer-managed Keys dort, wo du separate Zugriffskontrolle, Auditing oder die Möglichkeit zum Entziehen brauchst. Steuer den Zugriff über Key Policies, aktivier Rotation und logg jede Key-Nutzung. Verschlüssel sensible Felder clientseitig, wenn nicht mal die Plattform sie lesen soll.

In transit modernes TLS überall, und ich meine auch internen Traffic, nicht nur die Kante, denn anzunehmen, das private Netz sei sicher, war schon vor langer Zeit nicht mehr vertretbar. Managed Zertifikate für alles Öffentliche, damit die Erneuerung keine manuelle Aufgabe ist, die jemand vergisst. At rest jeder Store verschlüsselt, und die wichtige Entscheidung ist: wessen Key. Default-Plattform-Keys geben dir die Verschlüsselung, aber fast keine Funktionstrennung, für alles Sensible nehme ich also Customer-managed Keys, einen pro Datendomäne, denn dann ist die Key Policy eine echte Zugriffskontrolle: ich kann einer bestimmten Rolle Decrypt-Rechte geben, jede Nutzung des Keys auditieren und den Zugriff auf einen ganzen Datensatz entziehen, indem ich eine Policy ändere, statt Rechten hinterherzujagen. Rotation ist aktiviert und die Key-Usage-Logs laufen an denselben Ort wie alles andere. Für die sensibelsten Felder, Dinge wie Tokens oder personenbezogene Identifikatoren, verschlüssele ich clientseitig, bevor sie geschrieben werden, der Storage Service sieht also nur Ciphertext. Das kostet dich Abfragbarkeit, es ist also bewusst eng gehalten und gilt für bestimmte Felder statt für alles.