Ensure Backups Are Encrypted Using an External Method

CaoCấp 1Xem xét thủ côngcockroachdb

Mô tả

In self-hosted CockroachDB deployments, the Encryption-at-Rest (EAR) feature encrypts only the node's local on-disk data, including SSTables, write-ahead logs (WAL), and temporary files. EAR does not encrypt backup files created using the BACKUP statement.

Cách kiểm tra

Phương pháp kiểm tra: Xem xét thủ công

Khuyến nghị này không thể kiểm tra tự động. Lần quét sẽ liệt kê mục này kèm hướng dẫn khi bạn truyền cờ --include-manual.

List recent backups with SHOW BACKUPS IN <collection URI> and SHOW BACKUP FROM <subdir> IN <URI>, and review scheduled backups (SHOW SCHEDULES). Each backup must be created WITH encryption_passphrase or kms = <KMS URI>, or written to storage with enforced server-side encryption; unencrypted backups are a finding.

Cách khắc phục

Phương pháp khắc phục: Hướng dẫn hoặc bản vá hạ tầng

Option 1 - Enable AES-256 Passphrase-Based Backup Encryption Configure backups to use passphrase-based encryption: BACKUP DATABASE <db> INTO 's3://bucket/path?AWS_ACCESS_KEY_ID=...&AWS_SECRET_ACCESS_KEY=...' WITH encryption_passphrase = '<strong-passphrase>'; Use an external secret manager (e.g., Vault, AWS Secrets Manager) to store the passphrase (not documented in CockroachDB, but strongly recommended operationally).

Thuộc tính

Hệ điều hành: Bất kỳ
Thẻ: cockroachdbbackupencryption
Tham chiếu: CIS CockroachDB v25.x Benchmark v1.0.0 - 5.1 Ensure Backups Are Encrypted Using an External Method