Par défaut, Application Integration chiffre le contenu client au repos. Application Integration gère le chiffrement sans intervention de votre part. Cette option est appelée chiffrement par défaut de Google.
Si vous souhaitez contrôler vos clés de chiffrement, vous pouvez utiliser des clés de chiffrement gérées par le client (CMEK) dans Cloud KMS avec des services bénéficiant d'une intégration des CMEK, y compris Application Integration. L'utilisation de clés Cloud KMS vous permet de contrôler leur niveau de protection, leur emplacement, leur calendrier de rotation, leurs autorisations d'utilisation et d'accès, ainsi que leurs limites cryptographiques.
Grâce à Cloud KMS, vous pouvez également afficher les journaux d'audit et contrôler les cycles de vie des clés.
Au lieu de laisser Google posséder et gérer les clés de chiffrement de clés (KEK) symétriques qui protègent vos données, c'est vous qui vous chargez de cette tâche dans Cloud KMS.
Une fois que vous avez configuré vos ressources avec des CMEK, l'accès à vos ressources Application Integration est semblable à celui du chiffrement par défaut de Google.
Pour en savoir plus sur les options de chiffrement, consultez Clés de chiffrement gérées par le client (CMEK).
Avant de commencer
Assurez-vous d'effectuer les tâches suivantes avant d'utiliser des CMEK pour Application Integration :
Activez l'API Cloud KMS pour le projet qui stockera vos clés de chiffrement.
Si vous utilisez une clé CMEK dans un projet différent (projet partagé ou hébergeant la clé) de celui dans lequel vous avez configuré Application Integration :
Activez l'API suivante dans le projet partagé ou d'hébergement de clés :
Attribuez le rôle IAM Administrateur Cloud KMS aux personnes qui gèrent les clés CMEK. Accordez également les autorisations IAM suivantes pour le projet qui stocke vos clés de chiffrement :
L'onglet Autorisations s'affiche dans le volet de droite.
Cliquez sur Ajouter un compte principal, puis saisissez l'adresse e-mail du compte de service par défaut.
Cliquez sur Sélectionner un rôle, puis sélectionnez le rôle Chiffreur/Déchiffreur de CryptoKeys Cloud KMS dans la liste déroulante disponible.
Cliquez sur Enregistrer.
Activer le chiffrement CMEK pour une région Application Integration
Vous pouvez utiliser la CMEK pour chiffrer et déchiffrer les données stockées sur les disques persistants dans le champ d'application de la région provisionnée.
Pour activer le chiffrement CMEK pour une région Application Integration dans votre projet Google Cloud, procédez comme suit :
Dans la console Google Cloud , accédez à la page Application Integration.
La page Régions s'affiche et liste les régions provisionnées pour Application Integration.
Pour l'intégration existante pour laquelle vous souhaitez utiliser la CMEK, cliquez sur more_vertActions, puis sélectionnez Modifier le chiffrement.
Dans le volet Modifier le chiffrement, développez la section Paramètres avancés.
Sélectionnez Utiliser une clé de chiffrement gérée par le client (CMEK), puis procédez comme suit :
Sélectionnez une clé CMEK dans la liste déroulante disponible. Les clés CMEK listées dans le menu déroulant sont basées sur la région provisionnée. Pour créer une clé, consultez Créer une clé CMEK.
Cliquez sur Valider pour vérifier si votre compte de service par défaut a accès à la clé CMEK sélectionnée.
Si la validation de la clé CMEK sélectionnée échoue, cliquez sur Accorder pour attribuer le rôle IAM Chiffreur/Déchiffreur de CryptoKeys au compte de service par défaut.
Cliquez sur OK.
Créer une clé CMEK
Vous pouvez créer une clé CMEK si vous ne souhaitez pas utiliser votre clé existante ou si vous n'en avez pas dans la région spécifiée.
Pour créer une clé de chiffrement symétrique, procédez comme suit dans la boîte de dialogue Créer une clé :
Sélectionnez "Trousseau de clés" :
Cliquez sur Trousseau de clés et sélectionnez un trousseau de clés existant dans la région spécifiée.
Si vous souhaitez créer un trousseau de clés pour votre clé, cliquez sur le bouton d'activation Créer un trousseau de clés, puis procédez comme suit :
Cliquez sur Nom du trousseau, puis saisissez le nom de votre trousseau de clés.
Cliquez sur Emplacement du trousseau de clés, puis sélectionnez l'emplacement régional de votre trousseau de clés.
Cliquez sur Continuer.
Créer une clé :
Cliquez sur Nom de la clé, puis saisissez un nom pour votre nouvelle clé.
Cliquez sur Niveau de protection, puis sélectionnez Logiciel ou HSM.
Lorsque vous utilisez une CMEK dans Application Integration, vos projets peuvent consommer des quotas de requêtes de chiffrement Cloud KMS. Par exemple, les clés CMEK peuvent utiliser ces quotas pour chaque appel de chiffrement et de déchiffrement.
Les opérations de chiffrement et de déchiffrement utilisant des clés CMEK affectent les quotas de Cloud KMS de différentes manières :
Pour les clés logicielles CMEK générées dans Cloud KMS, aucun quota Cloud KMS n'est consommé.
Pour les clés CMEK matérielles (parfois appelées "clés Cloud HSM"), les opérations de chiffrement et de déchiffrement sont comptabilisées dans les quotas Cloud HSM du projet qui contient la clé.
Pour les clés CMEK externes (parfois appelées "clés Cloud EKM"), les opérations de chiffrement et de déchiffrement sont comptabilisées dans les quotas Cloud EKM du projet qui contient la clé.
Sauf indication contraire, le contenu de cette page est régi par une licence Creative Commons Attribution 4.0, et les échantillons de code sont régis par une licence Apache 2.0. Pour en savoir plus, consultez les Règles du site Google Developers. Java est une marque déposée d'Oracle et/ou de ses sociétés affiliées.
Dernière mise à jour le 2025/09/03 (UTC).
[[["Facile à comprendre","easyToUnderstand","thumb-up"],["J'ai pu résoudre mon problème","solvedMyProblem","thumb-up"],["Autre","otherUp","thumb-up"]],[["Difficile à comprendre","hardToUnderstand","thumb-down"],["Informations ou exemple de code incorrects","incorrectInformationOrSampleCode","thumb-down"],["Il n'y a pas l'information/les exemples dont j'ai besoin","missingTheInformationSamplesINeed","thumb-down"],["Problème de traduction","translationIssue","thumb-down"],["Autre","otherDown","thumb-down"]],["Dernière mise à jour le 2025/09/03 (UTC)."],[[["\u003cp\u003eApplication Integration uses customer-managed encryption keys (CMEK) to allow users control over data encryption for compliance or regulatory needs, alongside the default Google-managed encryption.\u003c/p\u003e\n"],["\u003cp\u003eTo use CMEK, the Cloud KMS API must be enabled, the user must have the necessary IAM roles like Cloud KMS Admin, and a key ring with a key must be created in the same region as the Application Integration setup.\u003c/p\u003e\n"],["\u003cp\u003eThe default service account needs the Cloud KMS CryptoKey Encrypter/Decrypter role assigned to access the CMEK key, and verification must be done before using the key.\u003c/p\u003e\n"],["\u003cp\u003eEnabling CMEK encryption for an Application Integration region is a permanent action that cannot be reversed, and the chosen method of encryption for a region cannot be changed once set.\u003c/p\u003e\n"],["\u003cp\u003eUsing CMEK keys affects Cloud KMS quotas, with software keys not consuming quota, while hardware (HSM) and external (EKM) keys consume specific Cloud HSM and Cloud EKM quotas respectively, within the project where the keys are stored.\u003c/p\u003e\n"]]],[],null,["# Customer-managed encryption keys\n\nSee the [supported connectors](/integration-connectors/docs/connector-reference-overview) for Application Integration.\n\nCustomer-managed encryption keys\n================================\n\nBy default, Application Integration encrypts customer content at\nrest. Application Integration handles encryption for you without any\nadditional actions on your part. This option is called *Google default encryption*.\n\nIf you want to control your encryption keys, then you can use customer-managed encryption keys\n(CMEKs) in [Cloud KMS](/kms/docs) with CMEK-integrated services including\nApplication Integration. Using Cloud KMS keys gives you control over their protection\nlevel, location, rotation schedule, usage and access permissions, and cryptographic boundaries.\nUsing Cloud KMS also lets\nyou view audit logs and control key lifecycles.\n\nInstead of Google owning and managing the symmetric\n[key encryption keys (KEKs)](/kms/docs/envelope-encryption#key_encryption_keys) that protect your data, you control and\nmanage these keys in Cloud KMS.\n\nAfter you set up your resources with CMEKs, the experience of accessing your\nApplication Integration resources is similar to using Google default encryption.\nFor more information about your encryption\noptions, see [Customer-managed encryption keys (CMEK)](/kms/docs/cmek).\n| **Tip:** When you use Google-owned and Google-managed encryption keys in Application Integration, your tenant projects consumes Cloud KMS cryptographic requests quotas. For more information about the quotas and limits, see [Cloud KMS quotas](/kms/quotas).\n\nBefore you begin\n----------------\n\nEnsure that the following tasks are completed before using CMEK for Application Integration:\n\n1. Enable the Cloud KMS API for the project that will store your encryption keys.\n [Enable Cloud KMS API](https://console.cloud.google.com/flows/enableapi?apiid=cloudkms.googleapis.com)\n\n | **Tip:** You can run Application Integration and Cloud Key Management Service in the same Google Cloud project, or in different projects.\n - If you use CMEK in a different project (shared or key-hosting project) than the one where you have set up Application Integration:\n 1. Enable the following API in the shared or key-hosting project:\n - [Cloud Key Management Service API](https://console.cloud.google.com/apis/library/cloudkms.googleapis.com)\n 2. Grant the following IAM role on the CMEK key to the Application Integration [default service account](/application-integration/docs/access-control-iam#sa) in the shared or key-hosting project:\n - [Cloud KMS CryptoKey Encrypter/Decrypter](/iam/docs/understanding-roles#cloud-kms-roles)\n\n | **Note:** To enable role assignment for the default service account, you must [verify the CMEK key](#enable-cmek) at least once, even if the first attempt fails.\n2. Assign the **Cloud KMS Admin** IAM role to the individuals managing the CMEK keys. Additionally, grant the following IAM permissions for the project that stores your encryption keys:\n - `cloudkms.cryptoKeys.setIamPolicy`\n - `cloudkms.keyRings.create`\n - `cloudkms.cryptoKeys.create`\n - `cloudkms.cryptoKeyVersions.useToEncrypt`\n\n | **Caution:**The Cloud KMS Admin role contains permissions for key maintenance and key version destruction. To protect your Cloud KMS resources, this role should only be assigned to individuals responsible for key administration.\n\n For information about granting additional roles or permissions, see [Granting, changing, and revoking access](/iam/docs/granting-changing-revoking-access).\n3. Create a [key ring](/kms/docs/creating-keys#create_a_key_ring) and a [key](/kms/docs/creating-keys#create_a_key). **Note:**The key ring and CMEK key must be created in the same region where you have set up Application Integration.\n\nAdd service account to CMEK key\n-------------------------------\n\n\nIn order to use a CMEK key in Application Integration, you must ensure that your [default service account](/application-integration/docs/access-control-iam#sa) is added and assigned with the [CryptoKey Encrypter/Decrypter](/iam/docs/understanding-roles#cloud-kms-roles) IAM role for that CMEK key.\n\n1. In the Google Cloud console, go to the **Key Inventory** page.\n\n\n [Go to Key Inventory page](https://console.cloud.google.com/security/kms/keys)\n2. Select the checkbox for the desired CMEK key. The **Permissions** tab in the right window pane becomes available.\n\n3. Click **Add principal**, and enter the email address of the default service account.\n4. Click **Select a role** and select the **Cloud KMS CryptoKey Encrypter/Decrypter** role from the available dropdown list.\n5. Click **Save**.\n\nEnable CMEK encryption for an Application Integration region\n------------------------------------------------------------\n\nCMEK can be used to encrypt and decrypt [data stored](/application-integration/docs/encryption#data) on PDs within the scope of the provisioned region.\n| **Caution:**Enabling CMEK encryption for an Application Integration region cannot be undone. This also means that you can't change the encryption method for a region if CMEK is already enabled.\nTo enable CMEK encryption for an Application Integration region in your Google Cloud project, perform the following steps:\n\n1. In the Google Cloud console, go to the **Application Integration** page.\n\n\n [Go to Application Integration](https://console.cloud.google.com/integrations)\n2. In the navigation menu, click **Regions** .\n\n The **Regions** page appears, listing the provisioned regions for Application Integration.\n3. For the existing integration that you want to use CMEK, click more_vert **Actions** and select **Edit encryption**.\n4. In the **Edit encryption pane** , expand the **Advanced settings** section.\n5. Select **Use a Customer-managed encryption key (CMEK)** , and do the following:\n 1. Select a CMEK key from the available drop-down list. The CMEK keys listed in the drop-down are based on the provisioned region. To create a new key, see [Create new CMEK key](#new-key).\n 2. Click **Verify** to check if your default service account has cryptokey access to the selected CMEK key.\n 3. If the verification for the selected CMEK key fails, click **Grant** to assign the [CryptoKey Encrypter/Decrypter](/iam/docs/understanding-roles#cloud-kms-roles) IAM role to the default service account.\n6. Click **Done**.\n\n### Create new CMEK\n\n\nYou can create a new CMEK key if you don't want to use your existing key, or if you don't have a key in the specified region.\n| **Note:** You can only use a [symmetric encryption key](/kms/docs/algorithms#symmetric_encryption_algorithms) in Application Integration.\nTo create a new symmetric encryption key, perform the following steps in the **Create a new key** dialog:\n\n1. Select Key ring:\n 1. Click **Key ring** and choose an existing key ring in the specified region.\n 2. If you want to create a new key ring for your key, click the **Create key ring** toggle and do the following steps:\n 1. Click **Key ring name** and enter a name of your key ring.\n 2. Click **Key ring location** and choose the regional location of your key ring. **Note:** For CMEK encryption, your key ring must be created in the same region where you have set up Application Integration.\n 3. Click **Continue**.\n2. Create Key:\n 1. Click **Key name** and enter a name for your new key.\n 2. Click **Protection level** and select either **Software** or **HSM** .\n\n For information about protection levels, see [Cloud KMS protection levels](https://cloud.google.com/kms/docs/protection-levels).\n3. Review your key and key ring details, and click **Continue**.\n4. Click **Create**.\n\n| **Note:** You must enable CMEK in a region before creating or publishing integrations in that region. Failure to do so may result in errors.\n\nEncrypted data\n--------------\n\n\nThe following table lists the data encrypted in Application Integration:\n\nCloud KMS quotas and Application Integration\n--------------------------------------------\n\nWhen you use CMEK in Application Integration,\nyour projects can consume Cloud KMS cryptographic requests\nquotas. For example, CMEK keys can consume these quotas for each encryption and decryption call.\n\nEncryption and decryption operations\nusing CMEK keys affect Cloud KMS quotas in these ways:\n\n- For software CMEK keys generated in Cloud KMS, no Cloud KMS quota is consumed.\n- For hardware CMEK keys---sometimes called Cloud HSM keys---encryption and decryption operations count against [Cloud HSM quotas](/kms/quotas#hsm) in the project that contains the key.\n- For external CMEK keys---sometimes called Cloud EKM keys---encryption and decryption operations count against [Cloud EKM quotas](/kms/quotas#ekm) in the project that contains the key.\n\nFor more information, see\n[Cloud KMS quotas](/kms/quotas)."]]
