Subscribe to receive notifications of new posts:

可配置、可扩展的新版 Geo Key Manager 现已进入封闭测试阶段

12/15/2022

9 min read
A new, configurable and scalable version of Geo Key Manager, now available in Closed Beta

如今,互联网上的流量通过使用公钥和私钥对传输的数据进行加密。Cloudflare 管理让这些数据受到保护的加密密钥,帮助确保数百万个网站的安全。为了提供闪电般的快速服务,Cloudflare 将这些密钥存储在我们覆盖 150 多个国家/地区的数据中心网络中。然而,有些法规要求私钥只能存储在特定的地理位置。

2017 年,我们推出 Geo Key Manager, 该产品允许客户在不同的地理位置存储和管理其域的加密密钥,以满足法规要求并保障数据安全。我们在《通用数据保护条例》(GDPR)生效前几个月推出了该产品,支持三个地区:美国、欧盟和一组采用最高安全措施的顶级数据中心。从那时起,类似 GDPR 的法律迅速扩展,目前已有超过 15 个国家/地区制定了类似的数据保护法律或法规,其中包括对跨国界数据传输和/或某一边界内数据本地化的限制。

Cloudflare 希望为未来做好准备。我们要为客户提供工具,使他们能够在不断变化的环境中维持合规性。因此,我们隆重推出 Geo Key Manager 的新版本。它允许客户按国家(“只在印度存储我的私钥”)、按地区(“只在欧盟存储我的私钥”)或按标准(如“只在 FIPS 兼容的数据中心存储我的私钥”)定义边界。该新版本现在已进入封闭测试,在此注册。

Geo Key Manager v1 提供的经验

Geo Key Manager 已经推出好几年了,我们利用这段时间来收集了客户的反馈。随着对更灵活系统的需求不断增长,我们决定从头开始,创建一个新的 Geo Key Manager,以更好地满足客户的需求。

我们最初发布 Geo Key Manager 时,提供对美国、欧盟和最高安全数据中心的支持。在当时,这些区域已经足够了,但在选择国家和地区时,在其他司法管辖区处理数据本地化义务的客户需要更大的灵活性。一些客户希望能够设置限制以在某个国家维护他们的私钥,一些客户希望密钥存储在除特定国家之外的所有地方,还有一些客户可能希望混合匹配规则,要求“存储在 X 和 Y 中,但不存储在 Z 中”。我们了解到,客户需要灵活性,这将使他们能够跟上不断变化的规则和政策——这就是我们计划要做到的。

我们面临的下一个问题是可扩展性。在构建初始区域时,我们包含了一个硬编码的数据中心列表,这些数据中心符合我们对美国、欧盟、“高安全性”数据中心区域的标准。然而,这个列表是静态的,因为底层加密不支持对我们的数据中心列表进行动态更改。为了将私钥分发给符合标准的新数据中心,我们必须彻底改造系统。此外,我们的网络每年都在扩展,自最初推出以来,我们增加了 100 多个新的数据中心。这意味着任何可能用于存储私钥的新位置目前都没有被使用,降低了使用此功能的客户的性能和可靠性。

以我们目前的规模,自动化和扩张是必然之举。我们的新系统需要在每次从网络中加入或移除数据中心时动态扩展,而无需任何人工干预或大规模改造。

最后,我们最大的经验之一是客户会犯错误,例如定义的区域太小,以至于可用性成为问题。我们的工作是防止客户做出我们知道会对他们产生负面影响的更改。

使用新版 Geo Key Manager 定义自己的地理限制

Cloudflare 在过去几年中显著增长,我们的国际客户群体也在不断扩大。客户需要使其流量保持区域化。这个区域可以广阔如大陆,例如:亚洲。也可以是特定的国家,例如:日本。

从我们与客户的对话中,客户表示希望能够自己定义这些区域。这就是为什么我们今天很高兴地宣布,客户将能够使用 Geo Key Manager 来创建我们所称的“策略”。

策略可以是一个单独的国家或地区,由两个字母组成(ISO 3166)的国家代码定义。策略可以是一个区域,例如代表欧盟的“EU”,或者大洋洲。策略可以是以上两者的组合,例如:“country:US or region: EU”。

我们基于策略的新版 Geo Key Manager 允许客户创建国家/地区和受支持区域的允许或阻止列表,以便控制私钥可以存储的边界范围。客户也可以在全球范围内存储私钥但排除某些国家。

如果想在欧盟和美国存储私钥,请进行如下 API 调用:

curl -X POST "https://api.cloudflare.com/client/v4/zones/zone_id/custom_certificates" \
     -H "X-Auth-Email: [email protected]" \
     -H "X-Auth-Key: auth-key" \
     -H "Content-Type: application/json" \
     --data '{"certificate":"certificate","private_key":"private_key","policy":"(country: US) or (region: EU)", "type": "sni_custom"}'

如果想将私钥存储在欧盟,但不包括法国,则可以这样定义:

curl -X POST "https://api.cloudflare.com/client/v4/zones/zone_id/custom_certificates" \
     -H "X-Auth-Email: [email protected]" \
     -H "X-Auth-Key: auth-key" \
     -H "Content-Type: application/json" \
     --data '{"certificate":"certificate","private_key":"private_key","policy": "region: EU and (not country: FR)", "type": "sni_custom"}'

Geo Key Manager 现在可以支持 30 多个国家和地区。但这还不是全部。Geo Key Manager 技术的强大之处在于,它不一定基于“地理位置”,而是基于属性。未来,我们将提供一条策略,允许客户根据合规标准(例如 FedRAMP 或 ISO 27001)定义私钥存储的位置。

可靠性、韧性和冗余

通过向客户提供对 Geo Key Manager 的远程控制,我们希望确保客户能够理解它们对冗冗和延迟的影响。

在冗余方面,我们最关心的问题之一是,如果客户选择的区域过小,在一个数据中心因维护而被移除时,可用性就会受到严重影响。为了保护客户,我们增加了冗余限制。这可以防止我们的客户设置数据中心太少的区域,确保策略内的所有数据中心都可以提供高可用性和冗余。

不仅如此,在过去几年内,我们还提高了支撑 Geo Key Manager 的网络能力。如需进一步了解我们如何做到这一点,敬请关注有关 Geo Key Manager 的技术深度剖析。

性能很重要

通过初始区域(美国、欧盟和最高安全性的数据中心),我们了解到,客户可能会忽略在将 Geo Key Manager 定义到特定区域时可能发生的延迟影响。例如,如果您将私钥存储在美国。对于在亚洲的客户而言,由于请求需要绕过半个地球,将面临一定的延迟影响。现在,鉴于客户能够定义更精细的区域,我们希望确保一点:在客户进行更改时,能够看到更改的影响。

对电子商务平台而言,性能始终是放在第一位的。我们现在正在做的一件事是,不但就 Geo Key Manager 策略提供区域角度的性能指标——“对亚洲客户的延迟影响是什么?”,也提供全球角度的性能指标——“对世界上的任何人来说,这项策略的平均影响是什么?”

通过看到延迟影响,如果您发现这个影响是不可接受的,就可能会希望为您的服务另外创建一个特定于该区域的域。

封测现已启动!

有兴趣尝试 Geo Key Manager 的最新版本吗?请填写这个表单

即将推出!

Geo Key Manager 仅可通过 API 使用。但是,我们正在打造一个易于使用的用户界面,以便客户可以轻松地管理他们的策略和地区。此外,当发现性能或冗余出现任何下降时,我们会提供性能测量数据和警告,以确保客户在设置策略时有所注意。

另外,我们还计划让 Geo Key Manager 支持上传的自定义证书。将来,通过 Advanced Certificate Manager 或 SSL for SaaS 颁发的证书将允许为密钥存储添加基于策略的限制。

最后,我们希望添加更多默认区域,以简化客户的选择过程。如果您希望我们支持任何区域,或者对 Geo Key Manager 有一般性反馈或功能相关请求,欢迎通过这个表单告诉我们。我们乐意听到客户的意见。

We protect entire corporate networks, help customers build Internet-scale applications efficiently, accelerate any website or Internet application, ward off DDoS attacks, keep hackers at bay, and can help you on your journey to Zero Trust.

Visit 1.1.1.1 from any device to get started with our free app that makes your Internet faster and safer.

To learn more about our mission to help build a better Internet, start here. If you're looking for a new career direction, check out our open positions.
Impact Week (CN)SSL (CN)TLS (CN)Regional Services (CN)Geo Key Manager (CN)简体中文

Follow on X

Dina Kozlov|@dinasaur_404
Cloudflare|@cloudflare

Related posts