Czy szyfrowanie RDS AWS z usługą KMS wpływa na wydajność?

Question

Amazon states że

Szyfrowanie i deszyfrowanie są obsługiwane w sposób przejrzysty, dzięki czemu nie trzeba modyfikować aplikacji na dostęp do danych

Moja aplikacja (Rails, MySQL, Elasticsearch) buduje dużo grafikę, a zatem zapytuje wiele danych. Z moich wcześniejszych doświadczeń z szyfrowaniem bazy danych, to naprawdę wpływa na szybkość pobierania danych (ponieważ możemy tylko powiedzieć, czy rekord pasuje do warunku po przeczytaniu i odszyfrowaniu go).

Czy istnieją odpowiednie punkty odniesienia? A może pracowałeś z takim szyfrowaniem po stronie serwera z AWS? Czy w ogóle muszę się martwić o zmiany wydajności?

Nie jest również dla mnie jasne, że możliwe jest również szyfrowanie danych Elasticsearch w taki sam "przejrzysty" sposób. Chciałbym również korzystać z porad w tym

Answer 1

Z moich wcześniejszych doświadczeń z szyfrowania bazy danych, to naprawdę wpływa danych Odzyskiwanie prędkości (jak możemy tylko powiedzieć, że jeśli rekord meczów stan po przeczytaniu i decryptng go).

Tak by było, gdyby każda wartość każdego rekordu została zaszyfrowana przed wstawieniem do bazy danych. To nie działa szyfrowanie RDS. Szyfrowanie RDS działa poprzez włączenie szyfrowania wolumenu EBS, na którym jest przechowywana baza danych. Do silnika bazy danych RDS dane nie wydają się być zaszyfrowane. Działa tak samo, jak włączenie szyfrowania na woluminie EBS podłączonym do serwera EC2.

Jeśli chodzi o wydajność, nie zauważyłem spadku wydajności po włączeniu szyfrowania w RDS i EBS. Per dokumentacji AWS here:

można oczekiwać wydajności same IOPS na zaszyfrowanych wolumenów jak by z nieszyfrowanych tomach, z minimalnym wpływem na opóźnienia.

---

Należy pamiętać, że jest to "Szyfrowanie w stanie spoczynku". Jeśli chcesz, aby dane były "szyfrowane w tranzycie", musisz sprawdzić połączenia SSL dla wszystkich połączeń z bazą danych i ewentualnie włączyć ustawienie w bazie danych, aby wymusić połączenia SSL.

---

Odnośnie drugiego pytania, AWS nie wydaje się, aby obsługiwać szyfrowanie-at-reszta za usługę ElasticSearch w tym czasie. Dla szyfrowania-in-transit można używać połączeń HTTPS, zgodnie z odpowiedzią Wsparcia AWS do this question:

Można użyć https dla zaszyfrowanej komunikacji z Twojej domeny.

Komunikacja między węzłami nie jest szyfrowana. Same węzły są hostowane w naszym VPC, a cała komunikacja między węzłami pozostaje w nich .