Consulta i connettori supportati per Application Integration.

Chiavi di crittografia gestite dal cliente

Per impostazione predefinita, Application Integration cripta automaticamente i dati quando sono inattivi utilizzando chiavi di crittografia gestite da Google. Se hai requisiti normativi o di conformità specifici relativi alle chiavi per proteggere i dati o se vuoi controllare e gestire autonomamente la crittografia, puoi utilizzare le chiavi di crittografia gestite dal cliente (CMEK). Le chiavi CMEK possono essere archiviate come chiavi software, in un cluster HSM o esternamente in Cloud External Key Manager (Cloud EKM).

Per saperne di più su CMEK, consulta la documentazione di Cloud Key Management Service.

Prima di iniziare

Assicurati che siano state completate le seguenti attività prima di utilizzare CMEK per Application Integration:

1. Abilita l'API Cloud KMS per il progetto che archivierà le chiavi di crittografia.

   Abilita API Cloud KMS

   Suggerimento: puoi eseguire Application Integration e Cloud KMS nello stesso progetto Google Cloud o in progetti diversi.
2. Assegna il ruolo IAM Amministratore Cloud KMS o concedi le seguenti autorizzazioni IAM al progetto che archivierà le chiavi di crittografia:
   • cloudkms.cryptoKeys.setIamPolicy
   • cloudkms.keyRings.create
   • cloudkms.cryptoKeys.create

   Per informazioni sulla concessione di ruoli o autorizzazioni aggiuntivi, vedi Concessione, modifica e revoca dell'accesso.

   Attenzione: il ruolo Amministratore Cloud KMS contiene le autorizzazioni per la manutenzione e l'eliminazione della versione delle chiavi. Per proteggere le risorse Cloud KMS, questo ruolo deve essere assegnato solo a persone responsabili dell'amministrazione delle chiavi.
3. Crea un keyring e una chiave.
   Nota: il keyring deve essere creato nella stessa regione in cui hai configurato Application Integration.

Aggiungi l'account di servizio alla chiave CMEK

Per utilizzare una chiave CMEK in Application Integration, devi assicurarti che il tuo account di servizio predefinito sia aggiunto e assegnato con il ruolo IAM Autore crittografia/decrittografia CryptoKey per quella chiave CMEK.

1. Nella console Google Cloud, vai alla pagina Inventario chiavi.

   Vai alla pagina Inventario chiavi

2. Seleziona la casella di controllo per la chiave CMEK desiderata.

   Nel riquadro a destra della finestra diventa disponibile la scheda Autorizzazioni.

3. Fai clic su Aggiungi entità e inserisci l'indirizzo email dell'account di servizio predefinito.
4. Fai clic su Seleziona un ruolo e seleziona il ruolo Autore crittografia/decrittografia CryptoKey Cloud KMS dall'elenco a discesa disponibile.
5. Fai clic su Salva.

Abilita la crittografia CMEK per una regione di Application Integration

La CMEK può essere utilizzata per criptare e decriptare i dati archiviati nei DP nell'ambito della regione di cui è stato eseguito il provisioning.

Attenzione: l'abilitazione della crittografia CMEK per una regione di Application Integration non può essere annullata. Ciò significa anche che non puoi modificare il metodo di crittografia per una regione se CMEK è già abilitata.

Per abilitare la crittografia CMEK per una regione di Application Integration nel tuo progetto Google Cloud, segui questi passaggi:

1. Nella console Google Cloud, vai alla pagina Application Integration (Integrazione di applicazioni).

   Vai ad Application Integration

2. Nel menu di navigazione, fai clic su Regioni.

   Viene visualizzata la pagina Regioni, in cui sono elencate le regioni di cui è stato eseguito il provisioning per Application Integration.

3. Per l'integrazione esistente che vuoi utilizzare CMEK, fai clic su Azioni e seleziona Modifica crittografia.
4. Nel riquadro Modifica crittografia, espandi la sezione Impostazioni avanzate.
5. Seleziona Utilizza una chiave di crittografia gestita dal cliente (CMEK) e segui questi passaggi:
   1. Seleziona una chiave CMEK dall'elenco a discesa disponibile. Le chiavi CMEK elencate nel menu a discesa si basano sulla regione di cui è stato eseguito il provisioning. Per creare una nuova chiave, vedi Creare una nuova chiave CMEK.
   2. Fai clic su Verifica per controllare se il tuo account di servizio predefinito dispone dell'accesso alla chiave di crittografia per la chiave CMEK selezionata.
   3. Se la verifica della chiave CMEK selezionata ha esito negativo, fai clic su Concedi per assegnare il ruolo IAM Autore crittografia/decriptazione CryptoKey all'account di servizio predefinito.
6. Fai clic su Fine.

Crea nuova chiave CMEK

Puoi creare una nuova chiave CMEK se non vuoi utilizzare la chiave esistente o se non hai una chiave nella regione specificata.

Nota : puoi utilizzare solo una chiave di crittografia simmetrica in Application Integration.

Per creare una nuova chiave di crittografia simmetrica, segui questi passaggi nella finestra di dialogo Crea una nuova chiave:

1. Seleziona il keyring:
   1. Fai clic su Keyring e scegli un keyring esistente nella regione specificata.
   2. Se vuoi creare un nuovo keyring per la tua chiave, fai clic sul pulsante di attivazione/disattivazione Crea keyring ed esegui le seguenti operazioni:
      1. Fai clic su Nome keyring e inserisci un nome per il keyring.
      2. Fai clic su Posizione keyring e scegli la località regionale del keyring.
         Nota: per la crittografia CMEK, il keyring deve essere creato nella stessa regione di Application Integration.
   3. Fai clic su Continua.
2. Crea chiave:
   1. Fai clic su Nome chiave e inserisci un nome per la nuova chiave.
   2. Fai clic su Livello di protezione e seleziona Software o HSM.

      Per informazioni sui livelli di protezione, consulta Livelli di protezione di Cloud KMS.

3. Esamina i dettagli della chiave e del keyring e fai clic su Continua.
4. Fai clic su Crea.

Quote di Cloud KMS e Application Integration

Quando utilizzi CMEK in Application Integration, i tuoi progetti possono consumare quote per le richieste crittografiche di Cloud KMS. Ad esempio, le chiavi CMEK possono consumare queste quote per ogni chiamata di crittografia e decriptazione.

Le operazioni di crittografia e decriptazione mediante chiavi CMEK influiscono sulle quote di Cloud KMS nei seguenti modi:

• Per le chiavi CMEK software generate in Cloud KMS, non viene consumata alcuna quota di Cloud KMS.
• Per le chiavi CMEK hardware, a volte chiamate chiavi Cloud HSM, le operazioni di crittografia e decriptazione vengono conteggiate ai fini delle quote di Cloud HSM nel progetto che contiene la chiave.
• Per le chiavi CMEK esterne, a volte chiamate chiavi Cloud EKM, le operazioni di crittografia e decriptazione vengono conteggiate ai fini delle quote di Cloud EKM nel progetto che contiene la chiave.

Per ulteriori informazioni, consulta Quote di Cloud KMS.