Panoramica

Questa pagina fornisce una panoramica di Key Access Justifications. Key Access Justifications consente di impostare un criterio sulle chiavi Cloud Key Management Service (Cloud KMS) per visualizzare, approvare e rifiutare le richieste di accesso alla chiave in base al codice di giustificazione fornito. Per determinati partner esterni di gestione delle chiavi, puoi configurare i criteri di Key Access Justifications al di fuori di Google Cloud in modo che vengano applicati esclusivamente dal gestore di chiavi esterno anziché da Cloud KMS. Key Access Justifications funziona con i seguenti tipi di chiavi Cloud KMS, a seconda del pacchetto di controllo Assured Workloads selezionato:

Come funziona la crittografia at-rest

La crittografia at-rest di Google Cloud cripta i dati archiviati su Google Cloud con una chiave di crittografia che risiede al di fuori del servizio in cui sono archiviati i dati. Ad esempio, se cripti i dati in Cloud Storage, il servizio archivia solo le informazioni criptate che hai archiviato, mentre la chiave utilizzata per criptare i dati viene archiviata in Cloud KMS (se utilizzi chiavi di crittografia gestite dal cliente (CMEK)) o nel gestore di chiavi esterno (se utilizzi Cloud EKM).

Quando utilizzi un servizio Google Cloud, vuoi che le applicazioni continuino a funzionare come descritto, operazione che richiede la decriptazione dei dati. Ad esempio, se esegui una query utilizzando BigQuery, il servizio BigQuery deve decriptare i dati per poterli analizzare. BigQuery a tal fine esegue una richiesta di decriptazione al gestore di chiavi per ottenere i dati necessari.

Perché viene eseguito l'accesso alle mie chiavi?

Le tue chiavi di crittografia sono solitamente accessibili da sistemi automatici mentre gestiscono le tue richieste e i tuoi carichi di lavoro su Google Cloud.

Oltre agli accessi avviati dal cliente, un dipendente Google potrebbe dover avviare operazioni che utilizzano le tue chiavi di crittografia per i seguenti motivi:

  • Ottimizzare la struttura o la qualità dei dati: i sistemi di Google potrebbero aver bisogno di accedere alle tue chiavi di crittografia per indicizzare, strutturare, precalcolare, eseguire l'hashing, shard o memorizzare i dati.

  • Esegui il backup dei tuoi dati: Google potrebbe dover accedere alle tue chiavi di crittografia per eseguire il backup dei dati e risolvere i problemi di ripristino di emergenza.

  • Risolvere una richiesta di assistenza: un dipendente Google potrebbe dover decriptare i tuoi dati per adempiere all'obbligo contrattuale di fornire assistenza.

  • Gestione e risoluzione dei problemi dei sistemi: il personale di Google può avviare operazioni che utilizzano le tue chiavi di crittografia per eseguire il debug tecnico necessario per una richiesta di assistenza o un'indagine complessa. Potrebbe essere necessario l'accesso anche per risolvere i guasti dello spazio di archiviazione o il danneggiamento dei dati.

  • Garantire l'integrità e la conformità dei dati e proteggere da attività fraudolente e abusi: Google potrebbe dover decriptare i dati per i seguenti motivi:

    • Per garantire la sicurezza dei tuoi dati e dei tuoi account.
    • Per assicurarti di utilizzare i servizi Google in conformità con i Termini di servizio di Google Cloud.
    • Per esaminare reclami di altri utenti e clienti o altri segnali di attività illecite.
    • Per verificare che i servizi Google Cloud vengano utilizzati in conformità ai requisiti normativi vigenti, ad esempio le normative antiriciclaggio.

  • Garantisci l'affidabilità del sistema: il personale di Google può richiedere l'accesso per verificare che una sospetta interruzione del servizio non ti riguardi. Inoltre, l'accesso potrebbe essere richiesto per garantire il backup e il ripristino da interruzioni del servizio o guasti del sistema.

Per l'elenco dei codici di giustificazione, consulta i codici del motivo della giustificazione per Key Access Justifications.

Gestione dell'accesso alle chiavi gestite esternamente

Key Access Justifications fornisce un motivo ogni volta che viene eseguito l'accesso alle chiavi gestite esternamente. I motivi sono forniti solo quando le chiavi sono gestite esternamente. Gli accessi alle chiavi archiviate in Cloud KMS o Cloud HSM non forniscono un motivo. Quando una chiave viene archiviata nel gestore chiavi esterno, ricevi una giustificazione sia per l'accesso basato sui servizi (per i servizi supportati) sia per l'accesso API diretto.

Dopo aver effettuato la registrazione in Key Access Justifications e aver utilizzato una chiave gestita esternamente, ricevi immediatamente le giustificazioni per ogni accesso alla chiave.

Se utilizzi Key Access Justifications e Access Approval con una chiave esterna gestita dal cliente, le richieste di accesso amministrativo non possono essere elaborate a meno che le approvazioni non vengano firmate con la chiave gestita esternamente dopo aver superato un controllo dei criteri Key Access Justifications per la richiesta di firma. Tutte le approvazioni di accesso firmate dalla chiave vengono visualizzate nei log di Access Transparency.

Abilitazione di Key Access Justifications

Key Access Justifications può essere utilizzato solo con Assured Workloads ed è abilitato per impostazione predefinita quando crei una nuova cartella Assured Workloads configurata per un pacchetto di controllo che include Key Access Justifications. Per ulteriori informazioni, consulta la panoramica di Assured Workloads.

Esclusioni di Key Access Justifications

Key Access Justifications si applica solo a:

  • Operazioni sui dati criptati. Per i campi di un determinato servizio criptati da una chiave gestita dal cliente, consulta la documentazione del servizio.
  • La transizione dai dati at-rest ai dati in uso. Sebbene Google continui ad applicare protezioni ai dati in uso, Key Access Justifications regola solo la transizione dai dati at-rest ai dati in uso.
  • Le seguenti funzionalità di Compute Engine e Persistent Disk sono esenti se utilizzate con CMEK:

Passaggi successivi