← Data Localization Suite / data-localization

Geo Key Manager

Geo Key Manager предоставляет расширенный контроль над местом хранения ваших приватных ключей SSL/TLS: криптографических ключей, которые Cloudflare использует для расшифровки вашего HTTPS-трафика. Ограничивая место хранения этих ключей, вы можете обеспечить соответствие региональным требованиям к данным и требованиям безопасности.

По умолчанию ваши закрытые ключи шифруются и безопасно распределяются по всем дата-центрам Cloudflare, где они используются для локального завершения TLS (процесса расшифровки входящего HTTPS-трафика). Geo Key Manager позволяет выбрать, где хранить закрытые ключи.

Ранее Geo Key Manager был ограничен дата-центрами в США, ЕС и дата-центрами повышенной безопасности, однако в новой версии Geo Key Manager, доступной в Closed Beta ↗, теперь вы можете создать allowlists и blocklists стран, в которых будут храниться ваши закрытые ключи. Это значит, что вы сможете определить конкретные географические места хранения ключей, например хранить закрытые ключи исключительно в Австралии или ограничить их хранение регионом ЕС и Великобританией.

Geo Key Manager использует собственную модель хранения на основе стран, отдельную от Регионы Regional Services. Список регионов, поддерживаемых каждой функцией Data Localization Suite, см. в Поддержка регионов.

Следующая диаграмма показывает, что происходит, когда конечный пользователь подключается к дата-центру Cloudflare, у которого нет вашего закрытого ключа. Поскольку для завершения TLS-сессии требуется закрытый ключ, локальный дата-центр запрашивает временный сеансовый ключ (короткоживущий симметричный ключ шифрования) у дата-центра в авторизованном регионе. После получения сеансового ключа локальный дата-центр может расшифровывать трафик до конца соединения, больше не обращаясь к дата-центру, хранящему ключ. Этот дополнительный шаг увеличивает задержку при первом запросе, которая может достигать одной секунды, если дата-центр с ключом находится географически далеко.

sequenceDiagram
    participant User as End user
    participant CloudflarePoP as Closest data center without TLS Key
    participant CloudflarePoPwTLS as Data center with TLS Key

    User->>CloudflarePoP: Initial request
    Note right of CloudflarePoP: Closest data center cannot decrypt
    CloudflarePoP-->>CloudflarePoPwTLS: Requests TLS Signature
    CloudflarePoPwTLS-->>CloudflarePoP: Sends TLS Signature in order to establish Session Key
    Note right of CloudflarePoP: Decrypts and performs business logic (for example, WAF, Configuration Rules, Load Balancing)
    CloudflarePoP-->>User: Subsequent requests use the Session Key
    User-->>CloudflarePoP: Subsequent requests use the Session Key

Подробные сведения о настройке и поддерживаемых вариантах приведены в Документация Geo Key Manager.