Pengantar CMEK

Halaman ini menjelaskan penggunaan CMEK dengan Apigee.

Ringkasan

Secara default, Google Cloud otomatis mengenkripsi data saat dalam penyimpanan menggunakan kunci enkripsi yang dimiliki dan dikelola oleh Google. Jika memiliki persyaratan kepatuhan atau peraturan khusus terkait kunci yang melindungi data, Anda dapat menggunakan kunci enkripsi yang dikelola pelanggan (CMEK).

Anda dapat membaca selengkapnya tentang penggunaan CMEK untuk Apigee dalam artikel Menggunakan CMEK dengan Apigee. Untuk mengetahui informasi selengkapnya tentang CMEK secara umum, termasuk kapan dan mengapa harus mengaktifkannya, lihat dokumentasi Cloud Key Management Service.

Menggunakan kunci enkripsi yang dikelola pelanggan (Customer-Managed Encryption Key/CMEK) tidak selalu memberikan keamanan lebih baik dibandingkan mekanisme enkripsi default Google. Namun, cara ini memberi Anda kontrol atas lebih banyak aspek siklus proses dan pengelolaan kunci Anda guna memenuhi persyaratan keamanan dan kepatuhan.

Manfaat CMEK

Jika Anda memerlukan kontrol lebih besar atas operasi kunci daripada yang diizinkan oleh kunci yang dimiliki Google dan kunci yang dikelola Google, Anda dapat menggunakan kunci enkripsi yang dikelola pelanggan. Kunci ini dibuat dan dikelola menggunakan Cloud Key Management Service (Cloud KMS), dan Anda menyimpan kunci tersebut sebagai kunci software, di cluster HSM, atau secara eksternal.

Fitur pengelolaan kunci disediakan oleh layanan Cloud KMS. Kasus penggunaan umum mencakup:

• Memutar kunci. Putar kunci secara otomatis atau manual. Perhatikan bahwa saat kunci dirotasi, data yang sebelumnya disimpan di Apigee tidak akan otomatis dienkripsi ulang dengan versi kunci yang baru, tetapi akan tetap dapat diakses selama versi kunci sebelumnya yang digunakan untuk mengenkripsi data tidak dinonaktifkan atau dihancurkan.
• Mengaktifkan atau menonaktifkan versi kunci. Jika versi kunci dinonaktifkan, data Apigee yang dienkripsi dengan versi kunci tersebut tidak akan dapat diakses. Untuk memulihkan akses ke data, kunci tersebut dapat diaktifkan kembali.
• Menghancurkan versi kunci. Jika versi kunci dihancurkan, data Apigee apa pun yang dienkripsi dengan versi kunci tersebut tidak akan dapat dibaca dan tidak dapat dipulihkan. Tindakan ini adalah operasi permanen dan tidak dapat dibatalkan.

• Mencabut akses agen layanan Apigee ke kunci tersebut menggunakan IAM. Jika hal ini dilakukan, Apigee tidak akan dapat mengakses data bidang kontrol apa pun yang dienkripsi oleh versi kunci apa pun. Operasi API Apigee yang bergantung pada dekripsi data akan gagal. Akses ke data dapat dipulihkan dengan memberikan kembali akses ke kunci tersebut, dan operasi Apigee API yang mendekripsi data akan dipulihkan.

  Catatan: Bidang kontrol dan runtime Apigee dienkripsi dengan kunci terpisah. Anda harus mencabut kedua set kunci tersebut untuk menghapus akses sepenuhnya ke data Anda.

Kuota

Penggunaan kunci CMEK dapat menghasilkan penggunaan terhadap beberapa kuota Cloud KMS. Untuk mengetahui informasi terbaru tentang kuota Cloud KMS, lihat Kuota.

Cabut kunci enkripsi

Jika yakin bahwa data Anda di Apigee di Google Cloud disusupi, Anda dapat mencabut kunci enkripsi. Cabut CMEK runtime agar instance runtime tidak berfungsi dan tidak dapat mengakses data gateway Anda. Cabut bidang kontrol CMEK agar Apigee tidak dapat melakukan pekerjaan analisis atau men-deploy proxy baru.

Menggunakan CMEK dengan Apigee

Kunci enkripsi Apigee digunakan untuk data runtime dan bidang kontrol serta dibuat selama proses penyediaan.

Data bidang kontrol Apigee dienkripsi menggunakan kunci enkripsi yang berbeda dengan data runtime, dan dapat disimpan di region yang berbeda. Sesuai dengan dokumentasi CMEK, enkripsi ini hanya berlaku untuk data dalam penyimpanan, yaitu data yang pada akhirnya disimpan di disk.

Data bidang kontrol Apigee mencakup konfigurasi proxy (paket), beberapa data konfigurasi lingkungan, dan data analisis. Data runtime Apigee mencakup data aplikasi seperti KVM, cache, dan secret klien, yang kemudian disimpan dalam database runtime.

Lihat Tentang kunci enkripsi Apigee untuk deskripsi jenis kunci enkripsi.

Anda hanya dapat menambahkan kunci enkripsi pada saat pembuatan organisasi Apigee. Setelah CMEK ditetapkan, Anda tidak dapat mengubahnya ke CMEK lain setelah pembuatan organisasi.

Region CMEK bidang kontrol residensi data

Di bidang kontrol Apigee yang diregionalkan, Anda memilih dua kunci enkripsi untuk bidang kontrol Anda. Ini karena beberapa komponen yang mendasari bidang kontrol Apigee selalu berada di satu region dalam lokasi bidang kontrol. Lihat Wilayah residensi data untuk mengetahui informasi selengkapnya.

Detail

Kunci yang diperlukan

Region bidang kontrol adalah tempat bidang kontrol berjalan. Bidang kontrol di Apigee adalah konsep abstrak dengan beberapa komponen yang mendasarinya bersama-sama membentuk bidang kontrol Apigee. Data bidang kontrol adalah konfigurasi proxy dan penyimpanan analisis. Data bidang kontrol lainnya (misalnya pemrosesan analisis, portal) berada di sub-region bidang kontrol. Semua komponen sub-region akan berada di region yang sama satu sama lain.

Salah satu kunci untuk data bidang kontrol. Salah satu kunci untuk data sub-region bidang kontrol.

Cara membuat kunci enkripsi

Secara default, Google mengelola pembuatan kunci enkripsi selama proses penyediaan; tetapi, Anda dapat membuatnya sendiri. Untuk mengetahui informasi selengkapnya, lihat Tentang kunci enkripsi Apigee.

Risiko dan mitigasi

Bagian ini menjelaskan potensi ancaman dan tindakan yang dapat Anda ambil.

• Risiko:
  • Penyusupan kunci: Terjadi saat penyerang memperoleh akses ke kunci enkripsi, kemungkinan melalui kerentanan di KMS atau serangan terhadap administrator kunci.
  • Denial of service: Penyerang dapat mengganggu akses ke kunci atau data enkripsi dengan menyerang KMS atau sistem penyimpanan.
  • Kehilangan kunci: Penghapusan atau kehilangan kunci secara tidak sengaja dapat menyebabkan kehilangan atau tidak dapat diaksesnya kunci.
• Mitigasi:
  • Menerapkan kebijakan pengelolaan kunci dan kontrol akses yang kuat.
  • Pantau log dan aktivitas KMS untuk mencari perilaku yang mencurigakan.

Pemecahan masalah

Tabel berikut menjelaskan beberapa kondisi error umum yang mungkin muncul dengan data configstore yang dienkripsi CMEK, perkiraan pesan error yang ditampilkan oleh Apigee API, dan langkah-langkah pemecahan masalah yang direkomendasikan.

Pesan error/gejala	Penyebab	Langkah-langkah yang harus dilakukan
Apigee does not have permission to access key "..."	Pengguna telah mencabut akses Apigee ke kunci KMS yang disediakan, yaitu, dengan menghapus peran roles/cloudkms.cryptoKeyEncrypterDecrypter.	Pengguna harus memeriksa peran yang dikonfigurasi pada kunci KMS dan memastikan bahwa agen layanan Apigee memiliki izin yang diperlukan.
Unable to encrypt/decrypt data. Cloud KMS Error: "..." is not enabled, current state is: DESTROYED.	Pengguna telah menonaktifkan atau menghapus versi kunci yang digunakan untuk mengenkripsi/mendekripsi data yang diminta.	Pengguna harus mengaktifkan kembali versi kunci jika memungkinkan. Jika kunci atau versi kunci telah dihancurkan, data tidak dapat dipulihkan (berdasarkan desain).
No new Analytics data for US/EU users	Salah satu kemungkinan penyebab masalah ini adalah kunci region tunggal yang dicabut/dinonaktifkan/dihapus oleh pengguna.	Pengguna harus mengaktifkan kembali/memulihkan akses kunci region tunggal.
Control plane key "..." in region "..." is not valid for this control plane instance. Supported region(s) are "…".	Pengguna telah memberikan satu kunci bidang kontrol region di region yang tidak valid atau didukung untuk region atau multi-region yang dilayani oleh instance bidang kontrol.	Pengguna harus memberikan kunci di salah satu region yang didukung atau memilih untuk menggunakan instance bidang kontrol lain.
Multi-region control plane key is not valid for this control plane instance. Specify only the "apiConsumerDataEncryptionKeyName" field.	Pengguna telah menyediakan kunci bidang kontrol multi-region di bidang kontrol yang hanya ada di satu region (yaitu bukan bidang kontrol multi-regional).	Pengguna harus menghapus kolom kunci multi-regional atau memilih untuk menggunakan instance bidang kontrol multi-regional.
Multi-region control plane key is not valid for this control plane instance. Specify a multi-region key with region "..."	Pengguna telah memberikan kunci bidang kontrol multi-region ke instance bidang kontrol multi-regional yang salah (misalnya kunci "us" ke instance bidang kontrol "eu")	Pengguna harus menggunakan kunci multi-regional dalam multi-region yang benar atau memilih untuk menggunakan instance bidang kontrol multi-regional yang berbeda.