पूरे क्लाउड माहौल में encryption at rest और in transit आप कैसे संभालते हैं?

हर hop पर आधुनिक TLS लागू करें, अंदरूनी service से service traffic समेत, और managed certificate इस्तेमाल करें ताकि renewal अपने आप हो। हर data store को managed key service की key से at rest encrypt करें, और जहां अलग access control, auditing या access छीनने की क्षमता चाहिए वहां अपनी customer managed key इस्तेमाल करें। access को key policy से कंट्रोल करें, rotation चालू करें, और key के हर इस्तेमाल को log करें। जहां platform को भी पढ़ने नहीं देना, वहां संवेदनशील field client side encrypt करें।

in transit में हर जगह आधुनिक TLS, और मेरा मतलब अंदरूनी traffic भी है, सिर्फ edge नहीं, क्योंकि यह मान लेना कि private नेटवर्क सुरक्षित है, बहुत पहले से बचाव लायक नहीं रह गया। जो भी public है उसके लिए managed certificate, ताकि renewal कोई ऐसा मैनुअल काम न बने जिसे कोई भूल जाए। at rest में हर store encrypted, और अहम चुनाव यह है कि key किसकी। platform की डिफॉल्ट key encryption तो देती हैं पर separation of duties लगभग कुछ नहीं, इसलिए किसी भी संवेदनशील चीज के लिए मैं customer managed key इस्तेमाल करता हूं, हर data domain के लिए एक, क्योंकि तब key policy एक असली access control बन जाती है: मैं किसी तय role को decrypt का हक दे सकता हूं, key के हर इस्तेमाल का audit कर सकता हूं, और permission के पीछे भागने के बजाय एक policy बदलकर पूरे dataset का access छीन सकता हूं। rotation चालू रहती है और key के इस्तेमाल के log वहीं जाते हैं जहां बाकी सब। सबसे संवेदनशील field के लिए, जैसे token या निजी पहचान वाली चीजें, मैं उन्हें लिखे जाने से पहले client side encrypt करता हूं, ताकि storage service को हमेशा सिर्फ ciphertext ही दिखे। इसकी कीमत query करने की सुविधा है, इसलिए यह जानबूझकर सीमित रखा जाता है, हर चीज पर नहीं बल्कि तय field पर लगाया जाता है।