التشفير والمفاتيح واستعادة البيانات

قرار الحماية

تقيس مهمة SAA-C03 1.3 قدرة المهندس على اختيار ضوابط البيانات، لا ترديد «شفرها». صنّف البيانات أولًا: من يقرأها، أين تنتقل، كم تبقى، وما الخسارة المقبولة إن حذفت أو فسدت. ثم افصل أربعة قرارات: إذن الوصول، حماية النقل، تشفير السكون وإدارة المفتاح، والنسخ الاحتياطي مع استعادة مجربة. التشفير لا يمنع هوية مخولة خطأ من حذف السجلات، والنسخ المتماثل لا يضمن نسخة تعافي من خطأ منطقي انتشر إلى الوجهتين. تُكتب سياسات الاحتفاظ من متطلبات الحالة، لا من رقم قانوني مخترع.

مفاتيح ونقل ونسخ

على مسار العميل إلى التطبيق، استخدم TLS صالحًا لاسم المضيف، واعرف أين تنتهي الجلسة وأين تبدأ جلسة جديدة إلى الخلفية إذا تطلب التصميم تشفير ذلك المقطع. شهادة TLS لا تمنح هوية التطبيق إذن قراءة البيانات. في S3، ميّز إذن `s3:GetObject` عن إذن استخدام مفتاح KMS عند تشفير كائن بمفتاح يديره العميل. لتنزيل كائن SSE-KMS، قد يلزم `kms:Decrypt` وسماح سياسة المفتاح. لا يكفي إضافة `kms:Decrypt` في IAM إذا لم تسمح سياسة المفتاح بالاستعمال المناسب. وفي وصول عبر حسابات إلى مفتاح KMS، يطلب تصميم المفتاح وسياسة IAM في الحساب الآخر بصورة متوافقة؛ لا تخمن أن مشاركة الحاوية تشارك المفتاح تلقائيًا.

التصنيف يحدد أيضًا الحد الأدنى من كشف البيانات في المراقبة. سجلات الطلبات مفيدة لتتبع الفشل، لكن لا تكتب رموز الدخول أو محتوى السجلات الحساسة في log عادي. اربط الدور ببادئات الكائنات اللازمة، وراجع سياسة المورد ونقطة النهاية إن وجدت. تحقق من أن الوصول إلى النسخة الاحتياطية لا يعتمد على هوية واحدة يمكن اختراقها مع الإنتاج؛ الفصل بين حسابات الإنتاج والنسخ قد يخفض خطر الحذف المتزامن، لكنه يحتاج سياسات واستعادة متوافقة لا مجرد نقل أسماء.

احتفظ بنسخ أو إصدارات عند الحاجة لاسترجاع حذف أو تعديل خاطئ، ثم اختبر الاستعادة من نقطة زمنية محددة. S3 Versioning يحتفظ بإصدارات متعددة؛ لا تجعل وجوده وحده خطة نسخ مستقلة. S3 Replication يتطلب تمكين Versioning في المصدر والوجهة، وتوقيت وصول النسخة يعتمد على إعدادات النسخ وظروفه؛ لا تعد بزمن استعادة غير مقاس. Object Lock يحمي إصدار كائن ضمن إعدادات الاحتفاظ المناسبة، لكنه لا يمنع إنشاء إصدار أحدث أو علامة حذف أعلى الإصدار المحمي. عند اختيار AWS Backup أو آلية خدمة أخرى، سجّل نقطة الاستعادة المطلوبة، مكانها، صلاحيات تشغيل الاستعادة، ونتيجة اختبارها. المقارنة بين RPO وRTO تُستكمل في درس المرونة؛ هنا نتأكد أن ضابط الحماية ينتج بيانات يمكن بالفعل قراءتها بعد حادث.

حالة محلولة: تقارير حساسة

تبدأ المعالجة من الدليل: نجحت هوية S3 في الوصول إلى الكائن حسب المعطيات، لكن التشفير يضيف قرارًا مستقلًا. تأكد من هوية المفتاح التي شُفر بها الكائن بدل افتراض المفتاح الافتراضي، ثم راجع CloudTrail أو رسالة الخطأ لتحديد العملية المرفوضة. عدّل سياسة المفتاح في A للسماح لدور B المعين بفعل فك التشفير الضروري، وأضف في IAM الخاص به السماح الموافق على ARN المفتاح وفق نموذج الوصول عبر الحسابات. أبقِ `s3:GetObject` على البادئة وحدها؛ لا تضع `kms:*` ولا تمنح الحساب B كله الاستخدام إذا كانت هوية واحدة تكفي. اختبر تنزيل تقرير مسموح، وفشل تنزيل تقرير خارج `approved/`، وفشل دور آخر في B باستعمال المفتاح. إذا كانت سياسة الحاوية تحتوي Deny مشروطًا أو كان الكائن مشفرًا بمفتاح مختلف، يعاد التشخيص ولا يعد هذا التعديل وحده ضمان نجاح.

بعد علاج القراءة، ضع احتفاظًا تعليميًا افتراضيًا: يحفظ نظام النسخ اليومي نسخة مستقلة مدة 30 يومًا، ويحتفظ S3 Versioning بإصدارات الإنتاج مدة تضبط من سياسة المؤسسة. الرقم 30 في هذا المثال مدخل تصميم تدريبي، لا التزام قانوني أو افتراض AWS عام. اختبر حذف تقرير تجريبي، واستعد إصدارًا سابقًا في مساحة معزولة، وافحص محتواه وصلاحية قراءته بالمفتاح بعد الاستعادة. القرار هو فصل صلاحية القراءة عن صلاحية المفتاح وإثبات طريق الاستعادة؛ حدّه أن النسخ اليومي قد يفقد تغييرات منذ آخر نسخة، وأن الاختبار على تقرير واحد لا يقيس كل زمن التعافي الإنتاجي.

افصل ثلاث لحظات في حماية البيانات: إنشاء النسخة، نقلها إلى جهة الاستعادة، واستعمالها لاستعادة الخدمة. نجاح النسخ يثبت وجود مادة مشفرة، ولا يثبت أن هوية الاستعادة تستطيع استعمال مفتاح KMS أو الوصول إلى إصدار كائن صالح. اكتب في مصفوفة القرار اسم الأصل، طريقة تشفيره، مالك المفتاح، هوية القراءة، سياسة المفتاح، ونتيجة تجربة فك تشفير فعلية. إذا كان المفتاح في حساب مختلف، فإذن IAM في حساب القارئ وحده ليس برهانًا كافيًا؛ افحص سياسة المفتاح والمنح وحدود الخدمة. الاختبار الأقوى يستعيد نسخة مختارة، يتحقق من محتواها ومفتاحها، ثم يقيس عمر نقطة الاستعادة بالنسبة إلى RPO. حماية النسخة من حذف عرضي تتطلب سياسة إصدارات أو احتفاظًا مستقلاً يناسب العقد؛ تكرار نسخة تالفة أو حذف منطقي إلى موقع ثان لا يعني إمكانية الرجوع إلى حالة سليمة.

تمرين ومخرجه