Сквозное шифрование с помощью Azure CosmosDB против хранилища

Question

Мы разрабатываем облачное SaaS-решение, подходящее для нескольких арендаторов. Для очень конфиденциальных данных нам необходимо изолировать арендаторов и обеспечить сквозное шифрование для пользователей, назначенных этому арендатору. Даже операторы поставщика решений SaaS не смогут расшифровать данные.

хранилище Azure

Я вижу, что для этого можно использовать функцию шифрования на стороне клиента вместе со значением ключа Azure для хранилища Azure , что позволяет каждому арендатору предоставить отдельную учетную запись Azure KeyVault, которая управляет ключами шифрования.

Azure Cosmos DB

Поскольку Azure Cosmos DB предоставляет превосходные функции в отношении масштабируемости, мы хотели бы использовать Cosmos вместо Azure Storage. Однако я не нашел сопоставимой функции для Cosmos DB, обеспечивающей сквозные возможности шифрования. Единственная найденная мной функция шифрования Cosmos DB - шифрование в состоянии покоя .

Итак, мой вопрос:

Существует ли сопоставимая функция для Azure Cosmos DB, которую я мог бы использовать для достижения той же цели (сквозное шифрование)?

Answer 1

У меня есть ответ от команды Azure Cosmos DB в Twitter

В настоящее время Cosmos DB поддерживает шифрование только в состоянии покоя и в пути.Сценарии BYOK включены в план .

Answer 2

Существует ли сопоставимая функция для Azure Cosmos DB, которую я мог бы использовать для достижения той же цели (сквозное шифрование)?

На основе шифрования в состоянии покоя, все пользовательские данные, хранящиеся в базе данных Cosmos, зашифрованы в состоянии покоя и при транспортировке, вам не нужно предпринимать никаких действий.Но это прозрачно для мульти-арендаторов.Итак, если вы хотите реализовать сквозное шифрование, которое похоже на клиентское шифрование в хранилище BLOB-объектов , вам необходимо инкапсулировать свои собственные методы шифрования перед выполнением операций с вашими данными из dos cosmos.

Более того, если ваши данные отформатированы в виде файлов, я предлагаю вам использовать хранилище BLOB-объектов, поскольку стоимость cosmos db может быть немного выше.