Kiracı şifrelemesi

Bir kiracı oluşturulduğunda, Qlik Cloud, verilerinizi korumak için birden fazla katman kullanır. Varsayılan olarak her kiracı, kiracıdaki içeriği şifrelemek için Qlik şifreleme hizmeti tarafından yönetilen benzersiz olarak oluşturulmuş bir dizi şifreleme anahtarıyla diğer kiracılardan ayrılır. Her kiracının anahtarları, Qlik tarafından hizmetler arası iletişimin güvenliği için kullanılan anahtarlardan ayrıdır.

Qlik Cloud, aşağıdaki şifreleme standartlarını kullanır:

• Aktarım sırasında: TLS 1.2 şifrelemesi

• Durağan halde: AES-256-GCM şifrelemesi

• Platform içinde (atanmış bir IdP ile kimlik doğrulamasından sonra): Bütünlük, otantiklik ve yadsınamazlık sağlamak için imzalı JSON Web Belirteçleri (JWT'ler)

Müşteri Tarafından Yönetilen Anahtarlar (CMK)

Qlik Cloud, kendi şifreleme anahtarınızı (KAG) getirerek kiracınızdaki bekleyen kiracı verilerinizi güvence altına almak için Müşteri Tarafından Yönetilen Anahtarlar işlevselliği sunar.

Kiracı yöneticileri, kiracı şifrelemesini bir CMK kullanacak şekilde yapılandırır. Qlik Cloud, aşağıdaki Anahtar Yönetim Hizmeti (KMS) sağlayıcılarını destekler:

• Qlik Dahili KMS (Varsayılan)

• Amazon Web Services (AWS) KMS

Müşteri Tarafından Yönetilen Anahtarlar ve HIPAA

Müşteri Tarafından Yönetilen Anahtarlar, Kişisel Sağlık Bilgileri (PHI) iş yüklerini çalıştıran Qlik Cloud kiracılarında zorunludur. Daha fazla bilgi için bkz. Qlik'te güven ve güvenlik. Müşteriler, PHI iş yüklerini çalıştırmak için kiracılarına müşteri tarafından yönetilen bir anahtar uygulamayı kabul etmeli ve bir HIPAA İş Ortağı Sözleşmesi (BAA) imzalamalıdır. Qlik Cloud, yalnızca bu koşullar altında, ABD Sağlık Sigortası Taşınabilirlik ve Denetlenebilirlik Yasası 1996 (HIPAA) düzenlemelerine tabi olan Kişisel Sağlık Bilgilerini (PHI) barındırabilir. Qlik Cloud, müşterileri HIPAA yasal gereksinimleri konusunda destekleyebilse de, müşteriler HIPAA'ya uymaktan sorumludur.

Qlik Cloud şifreleme mimarisine genel bakış

Aşağıdaki diyagram, kiracıdaki verileri şifreleyen Qlik Cloud şifreleme hizmetin genel bir bakış sunmaktadır. Varsayılan olarak, Qlik Cloud kiracılar, Qlik Cloud'un KMS'si tarafından oluşturulan şifreleme anahtarlarını kullanarak verileri şifreler ve şifresini çözer. Müşteri Tarafından Yönetilen Anahtarlar ile AWS KMS, kiracı tarafından kullanılan şifreleme anahtarlarını oluşturur. Qlik Cloud içindeki bir hizmet verileri her şifrelediğinde veya şifresini çözdüğünde, şifreleme hizmeti AWS KMS öğesini çağırır ve müşteri tarafından yönetilen anahtarı kullanır.

Müşteri Tarafından Yönetilen Anahtarlar ile müşteri sorumlulukları

CMK ile müşteriler anahtarları üzerinde tam denetime sahiptir. Aşağıdaki alanlar da dahil olmak üzere anahtar yaşam döngüsünü oluşturmak, sürdürmek ve her yönüyle yönetmekten müşterinin kuruluşu sorumludur:

AWS KMS içinde anahtar kurulumu

• AWS hesabı oluşturma ve KMS kullanma.

• Anahtar oluşturma ve Kimlik ve Erişim Yönetimi (IAM) izinleri ve rolleri ile anahtar oluşturma, devre dışı bırakma ve silme gibi işlevleri kimin gerçekleştirebileceği etrafında AWS KMS anahtar yönetim politikaları belirleme.

AWS KMS içinde anahtar yönetimi

Kiracınızı duran verileri şifrelemek üzere bir AWS KMS anahtarı kullanacak şekilde yapılandırdıktan sonra anahtarı yönetmekten siz sorumlusunuz. AWS KMS anahtarınızı kazayla silinmekten veya devre dışı bırakılmaktan korumak önemlidir. Qlik, bu anahtar yönetim işleri ve diğerleri etrafında bir süreç belirlemenizi önerir. Bunlar müşteri tarafından denetlenen anahtarlar olduğundan Qlik Cloud, CMK'ınızın devre dışı bırakmanızı veya etkisiz hale getirmenizi önleyemez.

• AWS KMS anahtarını devre dışı bırakma. Bu işlem, Qlik Cloud bulutunun anahtar oluşturma (şifreleme için kullanılan) ve şifre çözme işlemleri için AWS KMS'na API çağrıları yapmasını geçici olarak engeller. Örneğin, Qlik Cloud içinde arka planda çalışan ve şifreleme veya şifre çözme gerektiren zamanlanmış bir yeniden yükleme veya görev, anahtar (veya anahtara erişim) devre dışıyken başarısız olur. Anahtarı yeniden etkinleştirmek kiracıya erişimi yeniden sağlar.

• AWS KMS anahtarı silme. Bu işlemde Qlik Cloud kiracısı kalıcı olarak devre dışı bırakılır. Bir anahtarı silme için zamanladığınızda, kiracı hemen devre dışı moda alınır. Bu, anahtarlara erişimi önler ve kiracıyı kilitler. AWS KMS, anahtarları silme etrafında ihtiyaçlarınıza göre özelleştirebileceğiniz kapsamlı bir denetim sürecine sahiptir. Örneğin, anahtar silinmeden önce bir bekleme dönemi ayarlayabilir ve uyarılar kullanabilirsiniz ve bekleme döneminde silmeyi iptal edebilirsiniz.

• AWS KMS içinde bir anahtarı döndürme. Anahtarınızı tanımlarken AWS KMS Otomatik Anahtar Döndürme seçeneğini işaretleyebilirsiniz. Bu, KMS anahtarı için yılda bir kez yeni kriptografik materyal oluşturur. AWS KMS, söz konusu KMS anahtarı ile şifrelenmiş verilerin şifresini çözebilmeniz için kriptografik materyalin tüm önceki sürümlerini kaydeder. AWS KMS, döndürülmüş herhangi bir anahtar materyalini KMS anahtarı silinene kadar silmez. AWS KMS şifreyi doğru anahtar materyali ile şeffaf bir şekilde çözdüğünden döndürülmüş bir KMS anahtarını güvenle kullanabilirsiniz; Qlik CloudMüşteri Tarafından Yönetilen Anahtarlar entegrasyonunuz bundan etkilemez. Bunun tamamen yeni bir AWS Anahtarı oluşturmaktan ve kiracının tamamen yeniden şifrelenmesini zorunlu kılan bu yeni anahtar için Qlik CMK anahtar sağlayıcısı değişikliği yapmaktan farklı olduğu unutulmamalıdır. bk. Kiracı şifrelemesini yapılandırma.

• Anahtar kullanımını denetleme. Şifreleme işlemlerini izlemek için AWS CloudTrail gibi KMS anahtar izleme araçlarını kullanmayı düşünün.

• Anahtar erişimini denetleme. İstenmeyen erişimi veya değişiklikleri önlemek için anahtar politikasının güvenliğini sağlayın.

• Anahtar kullanılabilirliğini sağlama. Anahtarın etkin kalmasını sağlayın ve bunu sürdürün. Erişim kaybı ile sonuçlanacak eylemleri önleyin. Diğer AWS hizmetlerinde olduğu gibi, AWS KMS erişimi kesintiye uğrarsa kiracı verileri kullanılamaz. AWS KMS, altyapısında yedeklilik sağlamak için bölgeler ve yüksek kullanılabilirlik alanları aracılığıyla yerleşik dayanıklılık içerir. AWS KMS güvenliği hakkında daha fazla bilgi için bkz. AWS Anahtar Yönetim Hizmeti'nde Dayanıklılık.

Daha fazla bilgi için AWS KMS belgelerine bakın:

• Anahtarları yönetme
• Kimlik doğrulama ve erişim denetimi
• Güvenlik

CMK seçenekleri Qlik Cloud bölgelerinde

AWS KMS, Qlik Cloud müşterilerine, kiracının sağlandığı bölgeye bağlı olarak tek bölgeli ve çok bölgeli olmak üzere iki şifreleme anahtarı seçeneği sunar. Felaket kurtarma amaçları için bile veri sızmasını yasaklayan belirli veri egemenliği gereksinimleri olan bölgelerde, Qlik Cloud, AWS KMS'den tek bölgeli veya çok bölgeli anahtarlarla CMK kullanımını destekler.

Belirli veri egemenliği gereksinimleri olmayan bölgelerde, AWS KMS'dan şifreleme anahtarları sağlayan müşteriler, kiracının birincil ve olağanüstü durum kurtarma bölgesine uygun çok bölgeli bir anahtar oluşturmalıdır. Çok bölgeli anahtar, kiracının birincil bölgesinde bir felaket durumunda ve kiracının olağanüstü durum kurtarma bölgesine başarılı bir yük devretme durumunda iş sürekliliğini sağlar.

Tek Bölgeli Anahtardan Çok Bölgeli Anahtara geçiş yapma

Müşteri Tarafından Yönetilen Anahtarlar, Olağanüstü Durum Kurtarma İşlemlerini desteklemek için Çok Bölgeli Anahtarları destekler. Şu anda Tek Bölgeli Anahtar kullanıyorsanız birincil bölgenizde bir kesinti olması durumunda kiracınızı yedek bir bölgede sorunsuz şekilde kullanmak için bir Çok Bölgeli Anahtar oluşturmanızı öneririz.

Çok Bölgeli Anahtar oluşturma hakkında bilgi için bkz. AWS KMS Olağanüstü Durum Kurtarma (DR) için Çok Bölgeli Anahtar.

CMK sınırlamaları ve dikkate alınacak noktalar

Aşağıdaki bölümde Qlik Cloud içindeki CMK için sınırlamalar ve dikkate alınacak noktalar anlatılmaktadır:

• Kiracıyı kendi CMK öğesini kullanacak şekilde yapılandırdıktan sonra, Qlik Dahili KMS şifrelemesini kullanmak için geri dönebilir veya anahtarı farklı bir CMK ile değiştirebilirsiniz.

• CMK, harici anahtar sağlayıcı olarak yalnızca AWS KMS'yi destekler.

• CMK yalnızca simetrik şifreleme anahtarlarını destekler.

• CMK, kiracının bulunduğu bölgeye bağlı olarak tek bölgeli veya çok bölgeli anahtarları destekler.

• Müşteri Tarafından Yönetilen Anahtarlar; Qlik Mobile Client, Veri Ağ Geçidi - Doğrudan Erişim veya Qlik Sense Business ile birlikte kullanılamaz.