通过CMEK和API增强安全性并提升控制力...

安全性、控制力和性能是 Pinecone 及其客户的核心需求。为了满足这些要求，Pinecone 推出了两项新功能：

客户管理的加密密钥（CMEK）
基于角色的访问控制（RBAC）中的 API 关键角色

以下内容将详细介绍这些功能，并说明如何在 Pinecone 项目中应用它们。

使用 CMEK 增强数据安全性与租户隔离

Pinecone 默认提供强大的无服务器数据保护功能，包括：

使用 AES256 加密保护静态数据
在多租户环境中通过逻辑边界和来源检查实现租户隔离

通过引入 CMEK，客户可以获得以下优势：

更好的控制

CMEK 允许客户自行管理加密和解密密钥，从而完全掌控数据访问权限。客户可以随时撤销密钥，进一步强化对数据的控制。

增强的租户隔离

CMEK 为每个客户的数据分配独立的加密密钥，从而在多租户环境中提供更高水平的隔离，超越了传统的来源检查和逻辑隔离。

额外的安全层

通过自行管理密钥，客户可以减少对 Pinecone 内部密钥管理系统的依赖，为敏感数据提供额外的安全保障。

此外，CMEK 还支持合规性要求（如 GDPR 和 HIPAA），并提升密钥使用的可见性和可审计性。

注意：CMEK 提供了更高的安全性，但客户需要谨慎管理密钥。如果密钥丢失或管理不当，可能导致数据无法访问。

Pinecone 的 CMEK 与分层加密

为了帮助客户更好地理解 CMEK 的工作原理，以下将介绍其在 Pinecone 中的应用及分层加密机制。

Pinecone 无服务器环境中的 CMEK

CMEK 在项目级别启用，一旦启用，将对项目中的所有索引进行加密。需要注意的是，CMEK 的启用是不可逆的。

在启用 CMEK 后，客户的使用体验与普通的 Pinecone 无服务器索引一致。

加密服务的工作原理

CMEK 加密索引的所有存储数据访问都通过加密服务进行抽象管理。加密服务确保：

有状态服务仅存储加密数据
无状态服务处理未加密数据，并在密钥不可用时自动清除缓存

客户密钥的访问与管理

客户可以通过 AWS KMS 创建和管理自己的加密密钥。Pinecone 通过跨账户访问角色（AssumeRole）访问这些密钥，并支持外部 ID 配置以增强安全性。

密钥撤销机制

客户可以随时撤销 Pinecone 对密钥的访问权限。撤销后，数据将在 15 分钟内变得不可访问，确保客户对数据访问的完全控制。

CMEK 的分层加密机制

Pinecone 实施了分层加密系统，以在保持高性能的同时强化安全性和租户隔离。

密钥加密密钥（KEK）

每个项目、索引和命名空间都分配了唯一的 KEK，这些 KEK 被父级密钥加密，并用于加密子级 KEK。所有 KEK 都存储在 Pinecone 的 KMS 中，确保密钥不会离开 KMS。

数据加密密钥（DEK）

DEK 是为每个 blob 文件生成的唯一密钥，用于加密文件。DEK 被命名空间密钥加密，并与文件一起存储。解密过程需要客户管理的密钥授权，确保数据安全。

这种分层加密方法不仅提升了性能，还降低了网络 IO 成本，同时确保解密密钥材料始终留在 KMS 内。

利用 API 关键角色实现更细粒度的 RBAC

Pinecone 扩展了 RBAC 功能，新增了 API 关键角色，为客户提供更强大、更灵活的访问控制系统。

API 关键角色的功能

API 关键角色允许为 API 密钥分配特定角色，以定义用户或实体在 Pinecone 中的权限。此功能有助于降低安全风险、简化操作并高效管理资源。

API 关键角色包括六种角色：

三种控制平面角色（管理索引和 API 密钥等资源）
三种数据平面角色（处理索引数据的读写请求）

总结

Pinecone 的 CMEK 和 API 关键角色功能现已公开预览。CMEK 目前支持 AWS KMS，未来将扩展至 Azure 和 GCP。AWS 用户还可以通过 PrivateLink 添加额外的安全层。

如需了解更多配置 CMEK 或管理 API 密钥的详细信息，请参阅相关文档，立即开始构建更安全的 Pinecone 项目！

原文链接: https://www.pinecone.io/blog/strengthening-security-and-control/