Présentation

Cette rubrique présente Key Access Justifications. Pour en savoir plus sur la création et la gestion de clés externes, consultez la page Présentation de Cloud EKM.

Les justifications d'accès aux clés fonctionnent en ajoutant un champ aux requêtes Cloud EKM, ce qui vous permet de voir le motif justifiant chacune des requêtes. Avec certains partenaires de gestion de clés externes, vous pouvez approuver ou refuser automatiquement ces demandes, en fonction de leur justification.

Fonctionnement du chiffrement au repos

Le chiffrement au repos dans Google Cloud consiste à chiffrer les données stockées sur Google Cloud à l'aide d'une clé de chiffrement résidant en dehors du service où les données sont stockées. Par exemple, si vous chiffrez des données dans Cloud Storage, le service ne stocke que les informations chiffrées que vous avez stockées, tandis que la clé utilisée pour chiffrer ces données est stockée dans Cloud KMS (si vous utilisez des clés de chiffrement gérées par le client (CMEK)) ou dans votre gestionnaire de clés externe (si vous utilisez Cloud External Key Manager).

Lorsque vous utilisez un service Google Cloud, vous souhaitez que vos applications continuent de fonctionner comme indiqué, ce qui nécessite le déchiffrement de vos données. Par exemple, si vous exécutez une requête à l'aide de BigQuery, le service BigQuery doit déchiffrer vos données afin de les analyser. Pour ce faire, BigQuery appelle le gestionnaire de clés afin de déchiffrer les données.

Pour quelles raisons est-il nécessaire d'accéder à mes clés ?

Le plus souvent, les systèmes automatisés accèdent à vos clés de chiffrement lorsqu'elles traitent vos propres requêtes et charges de travail sur Google Cloud.

Outre les accès initiés par le client, un employé de Google peut avoir besoin de lancer des opérations utilisant vos clés de chiffrement pour les raisons suivantes:

  • Optimisez la structure ou la qualité des données: les systèmes Google peuvent avoir besoin d'accéder à vos clés de chiffrement pour indexer, structurer, précalculer, hacher, segmenter ou mettre en cache vos données.

  • Sauvegarder vos données: pour des raisons de reprise après sinistre, Google peut avoir besoin d'accéder à vos clés de chiffrement.

  • Résoudre une demande d'assistance: un employé de Google peut avoir besoin de déchiffrer vos données pour répondre à son obligation contractuelle de fournir une assistance.

  • Gestion et dépannage des systèmes: le personnel de Google peut lancer des opérations qui utilisent vos clés de chiffrement pour effectuer le débogage technique nécessaire à une demande d'assistance ou à une enquête complexes. L'accès peut également être nécessaire pour résoudre un échec de stockage ou une corruption de données.

  • Assurer l'intégrité et la conformité des données, ainsi que se protéger contre la fraude et les abus : Google peut avoir besoin de déchiffrer des données pour les raisons suivantes:

    • Pour garantir la sécurité de vos données et de vos comptes.
    • Nous voulons nous assurer que vous utilisez les services Google conformément aux conditions d'utilisation de Google.
    • Examiner les réclamations d'autres utilisateurs et clients, ou d'autres signes d'activité abusive
    • Vérifier que les services Google sont utilisés conformément aux régimes de conformité applicables, tels que les réglementations contre le blanchiment d'argent.
  • Maintenir la fiabilité du système: le personnel de Google peut demander l'accès pour déterminer si une interruption de service suspectée ne vous concerne pas. En outre, un accès peut être demandé pour assurer la sauvegarde et la récupération en cas de panne ou de défaillance du système.

Pour obtenir la liste des codes de justification, consultez les codes de motif de justification pour Key Access Justifications.

Gérer l'accès à vos clés gérées en externe

Key Access Justifications fournit un motif à chaque fois que vous accédez à vos clés gérées en externe. Les motifs ne sont fournis que lorsque les clés sont gérées en externe. Les accès aux clés stockées dans Cloud KMS ou Cloud HSM n'indiquent aucun motif. Lorsqu'une clé est stockée dans votre gestionnaire de clés externe, vous recevez une justification pour l'accès basé sur le service (pour les services compatibles) et l'accès direct à l'API.

Une fois que vous êtes inscrit à Key Access Justifications et que vous utilisez une clé gérée en externe, vous recevez immédiatement une justification pour chaque accès à la clé.

Si vous utilisez Key Access Justifications et Access Approval avec une clé externe gérée par le client, les demandes d'accès administrateur ne peuvent être traitées que si les approbations sont signées avec la clé gérée en externe après avoir effectué une vérification de stratégie Key Access Justifications pour la demande de signature. Toutes les approbations d'accès signées par la clé apparaissent dans les journaux Access Transparency.

Activer Key Access Justifications

Pour activer Key Access Justifications pour une organisation, vous devez vous inscrire à Assured Workloads. Key Access Justifications est activé par défaut pour tous les clients Assured Workloads.

Pour découvrir comment faire vos premiers pas avec Assured Workloads, consultez la page Utiliser Assured Workloads.

Exclusions du champ des justifications d'accès aux clés

Les justifications d'accès aux clés ne s'appliquent qu'aux éléments suivants :

  • Opérations sur des données chiffrées. En ce qui concerne les champs d'un service donné qui sont chiffrés par une clé gérée en externe, consultez la documentation du service donné.
  • Transition des données au repos vers les données en cours d'utilisation. Bien que Google continue d'appliquer des protections à vos données utilisées, Key Access Justifications régissent la transition des données au repos vers les données utilisées uniquement.
  • Exceptions CMEK Compute Engine/Persistent Disk :
    • Les disques SSD locaux et le redémarrage automatique sont exclus.
    • Les opérations sur les images système sont exclues.

Étapes suivantes