Chiavi di crittografia gestite dal cliente (CMEK)

Per impostazione predefinita, tutti i dati at-rest in Bigtable vengono criptati utilizzando Crittografia predefinita di Google. Bigtable gestisce e gestisce questa crittografia per conto tuo senza alcuna azione aggiuntiva su da parte tua.

Se hai requisiti normativi o di conformità specifici relativi alle chiavi che proteggono i tuoi dati, puoi utilizzare le chiavi di crittografia gestite dal cliente (CMEK) Bigtable. Invece di lasciare che sia Google a gestire le chiavi di crittografia proteggere i dati, l'istanza Bigtable è protetta che puoi controllare e gestire in Cloud Key Management Service (Cloud KMS).

Questa pagina descrive CMEK per Bigtable. Per ulteriori informazioni CMEK in generale, incluso quando e perché attivarla, consulta le Documentazione di Cloud KMS. Per istruzioni sull'esecuzione Attività correlate a CMEK con Bigtable, vedi Utilizzare CMEK.

Funzionalità

  • Sicurezza: CMEK fornisce lo stesso livello di sicurezza del sistema predefinito di Google ma offre un maggiore controllo amministrativo.

  • Controllo dell'accesso ai dati: gli amministratori possono ruotare, gestire l'accesso e disattivare o eliminare la chiave utilizzata per proteggere i dati at-rest in Bigtable.

  • Verificabilità: tutte le azioni sulle chiavi CMEK vengono registrate e sono visibili in Cloud Logging. Supporto delle chiavi Cloud EKM Key Access Justification, che aggiunge una giustificazione a tutte le richieste chiave. Con partner selezionati per la gestione delle chiavi esterni, può approvare o rifiutare automaticamente queste richieste, in base alla giustificazione.

  • Prestazioni paragonabili: istanze protette da CMEK Bigtable offrono prestazioni paragonabili a quelle delle istanze Bigtable che utilizzano Crittografia predefinita di Google.

  • Flessibilità: puoi utilizzare la stessa chiave CMEK in più progetti, istanze o cluster oppure puoi utilizzare chiavi separate, a seconda esigenze aziendali.

  • Protezione tra regioni: puoi abilitare CMEK nelle istanze che hanno in qualsiasi regione in cui è disponibile Bigtable. Ciascuna è protetto da una chiave CMEK nella regione del cluster.

Prezzi

Cloud KMS addebita i costi della chiave e di eventuali operazioni eseguite utilizzando quella chiave. Per i dettagli, consulta i prezzi di Cloud KMS.

I costi delle operazioni ti vengono addebitati quando Bigtable richiede Chiave Cloud KMS per eseguire un'operazione di crittografia o decriptazione. Ciascuna di crittografia o decriptazione viene inviata da ogni tabella in ogni cluster l'istanza. Poiché Bigtable utilizza la crittografia busta, questi costi per tabella sono generalmente bassi, in base alle dimensioni di operazioni crittografiche previste. Se archivi molte tabelle in un protetta da CMEK, i costi sono più elevati.

Non sono previsti costi aggiuntivi per Bigtable per l'utilizzo delle funzionalità abilitate per CMEK di Compute Engine.

Cosa è protetto con CMEK

In un'istanza protetta da CMEK, Bigtable utilizza la chiave CMEK per e proteggere i dati at-rest. Sono inclusi i dati in tutte le tabelle nel cluster. Dati archiviati sia nell'unità di archiviazione HDD che SSD sono protetti.

Alcuni dati sono protetti dalla crittografia at-rest predefinita di Google e non da CMEK chiave:

  • Un sottoinsieme di chiavi di riga che contrassegnano i limiti dell'intervallo e vengono utilizzate per il routing
  • Dati di debug, inclusi log operativi e dump principali
  • Dati in transito o in memoria
  • Un sottoinsieme di valori timestamp utilizzati per la garbage collection

Bigtable utilizza la crittografia envelope per i dati at-rest. La chiave CMEK viene utilizzata come chiave di crittografia della chiave (KEK) per criptare e le altre chiavi utilizzate da Bigtable. Quando ruoti la chiave CMEK, Bigtable deve solo ricriptare le chiavi intermedie.

Attivazione di CMEK

A livello generale, per usare CMEK con Bigtable, segui questi passaggi:

  1. Crea e configura una chiave CMEK in ogni regione in cui dei cluster dell'istanza.
  2. Crea una nuova istanza Bigtable, selezionando una chiave CMEK per ogni in un cluster Kubernetes. La chiave CMEK di un cluster deve trovarsi nella stessa regione di nel cluster.
  3. Pianifica una rotazione della chiave per ogni chiave.

Le applicazioni che usano Bigtable non hanno bisogno di specificare una chiave o durante la lettura, la scrittura o l'eliminazione dei dati. Bigtable può accedere alla chiave per tuo conto dopo che hai concesso il ruolo Criptatore/Decrittografia Cloud KMS alle istanze Agente di servizio Bigtable.

Per istruzioni dettagliate, vedi Utilizzare CMEK.

Puoi utilizzare quanto segue quando lavori con CMEK per Bigtable.

Puoi anche accedere direttamente all'API Cloud Bigtable Admin, ma ti consigliamo vivamente ti consigliamo di farlo solo se non puoi utilizzare un client Bigtable che esegue chiamate CMEK all'API.

Gestione delle chiavi

Le operazioni di gestione delle chiavi vengono eseguite utilizzando Cloud KMS. Bigtable non può rilevare o agire su eventuali modifiche chiave finché non vengono propagati da Cloud KMS. Alcune operazioni, come la disattivazione l'eliminazione di una chiave, la propagazione può richiedere fino a 4 ore; modifiche al livello di sicurezza di una chiave le autorizzazioni di solito si propagano più rapidamente.

Dopo aver creato almeno una tabella in un'istanza protetta da CMEK, Bigtable convalida la chiave per ogni tabella in ogni cluster ogni 5 minuti.

Se Bigtable rileva una chiave disabilitata, disabilita un cluster alla volta a cascata fino a quando tutti i cluster dell'istanza non vengono disabilitati. Dopo che il primo cluster segnala che una chiave è disabilitata o eliminata e fino a quando è disabilitata, alcune richieste di dati potrebbero riuscire e altre restituiscono un . Qualsiasi operazione sui dati inviata a un cluster che è stato disabilitato restituiscono un errore FAILED_PRECONDITION o NOT_FOUND.

Inoltre, poiché la replica di Bigtable coerente, è possibile che un cluster abbia confermato una richiesta di scrittura ma non l'ha ancora replicato negli altri cluster nell'istanza prima che fosse disattivata.

La procedura Bigtable per la disabilitazione automatica di tutti i cluster un'istanza dopo la disabilitazione di una chiave può richiedere diverse ore. Da evitare questo stato, consigliamo di disabilitare sempre tutte le chiavi di un'istanza contemporaneamente.

Quando un cluster Bigtable è disabilitato, l'amministratore seguente sono limitate per l'intera istanza:

  • Creazione di un cluster
  • Eliminazione di un cluster
  • Creazione di una tabella
  • Modifica di una famiglia di colonne
  • Ripristino di una tabella

Puoi comunque eliminare l'istanza, eliminare una tabella ed eliminare un backup.

Se le chiamate di Bigtable a Cloud KMS rilevano che un'istanza disabilitata, Cloud KMS ripristina l'accesso Cloud Bigtable automaticamente.

Se una chiave Cloud KMS è stata eliminata, qualsiasi Bigtable un'istanza con un cluster criptato con quella chiave diventa permanente inaccessibili.

Come viene gestito uno stato di una chiave non disponibile

In rari scenari, ad esempio durante periodi in cui Cloud KMS viene non è disponibile, Bigtable potrebbe non essere in grado di recuperare lo stato di di Cloud KMS.

Se un cluster Bigtable è protetto da una chiave abilitata in momento in cui Bigtable non riesce a comunicare per la prima volta Cloud KMS, Bigtable continua a supportare l'istanza completa delle operazioni con il criterio del "best effort" utilizzando chiavi memorizzate nella cache derivate dai chiave Cloud KMS per un periodo di massimo un'ora, per ridurre al minimo l'impatto incidenti di questo tipo sul carico di lavoro.

Dopo un'ora, se Bigtable non riesce ancora a connettersi Cloud KMS, Bigtable inizia a prendere come misura protettiva. I dati contenuti L'istanza Bigtable rimane inaccessibile finché l'istanza non può riconnettiti con Cloud KMS e Cloud KMS risponde che la chiave è attivo.

Al contrario, se un cluster nella tua istanza Bigtable è protetto una chiave che è stata disabilitata prima del punto in cui Bigtable non riesce a comunicare con Cloud KMS, l'istanza rimane inaccessibile fino a quando non riesce a riconnettersi a Cloud KMS e a riattivare la chiave.

Considerazioni chiave esterne

Quando utilizzi Cloud EKM, Google non ha alcun controllo sulla disponibilità della chiave gestita esternamente nel sistema esterno di gestione delle chiavi del partner.

Se la chiave gestita esternamente non è disponibile, Bigtable continua per supportare le operazioni del cluster utilizzando una versione della chiave memorizzata nella cache, per un massimo di ora.

Dopo un'ora, se Bigtable non riesce ancora a connettersi Cloud KMS, inizia a mettere offline l'istanza come protezione misurare. I dati nell'istanza Bigtable rimangono inaccessibili finché l'istanza non riesce a riconnettersi con Cloud KMS e Cloud KMS e risponde che la chiave esterna è attiva.

Se prevedi di utilizzare una chiave esterna per un'istanza Bigtable con cluster in più regioni, assicurati che la chiave sia supportata in quelle regioni. Per maggiori dettagli, consulta Regioni e gestori di chiavi esterni. Inoltre, non devi utilizzare una combinazione di chiavi esterne e non esterne nella stessa istanza.

Per saperne di più sull'utilizzo di chiavi esterne con Cloud Key Management Service, consulta Cloud External Key Manager (Cloud EKM).

Criteri dell'organizzazione

Bigtable supporta i vincoli dei criteri dell'organizzazione per garantire Utilizzo di CMEK in un'organizzazione. Per maggiori dettagli su come utilizzare l'organizzazione vedi Criteri dell'organizzazione CMEK.

Backup

Come per altri dati, un backup è protetto dalla chiave CMEK per il cluster che su cui è archiviato il backup. Le nuove tabelle ripristinate da un backup sono protette dalla chiave o dalle chiavi CMEK per il cluster in cui vengono ripristinate. Per ulteriori informazioni per maggiori dettagli su come CMEK influisce sulle operazioni di backup e ripristino, vedi Backup. Per scoprire come creare o eseguire il ripristino da un backup, consulta: Gestisci i backup.

Logging

Puoi controllare le richieste inviate da Bigtable Cloud KMS per tuo conto in Cloud Logging, se hai abilitato gli audit log di Cloud KMS per l'API Cloud KMS nel tuo progetto. Sono previste alcune voci di log ogni 5 minuti per tabella in ciascun cluster.

Limitazioni

  • La CMEK può essere configurata solo a livello di cluster. Non puoi configurare CMEK su backup, tabelle o profili delle app.

  • La chiave CMEK di un cluster deve trovarsi nella stessa regione del cluster. Quando un keyring di Cloud KMS, assicurati di seleziona la regione corrispondente alla tabella Bigtable pianificata configurazione di zona.

  • La configurazione della crittografia di una risorsa Bigtable (un istanza, cluster, tabella o backup) è immutabile.

    • Impossibile convertire le istanze non CMEK per utilizzare CMEK.
    • Impossibile convertire le istanze CMEK per utilizzare la crittografia predefinita di Google.
    • I cluster creati con una chiave CMEK non possono essere riconfigurati per l'utilizzo una chiave diversa.

  • Risorse Bigtable protette da CMEK (istanze, cluster, tabelle o backup) legati a una chiave che è stata resa inaccessibile come risultato di un'azione attivata dall'utente (come la disattivazione o l'eliminazione di una chiave, o revocando il ruolo Autore crittografia) per più di 30 volte giorni vengono eliminati automaticamente.

  • Se riattivi una chiave CMEK disattivata per ripristinare l'accesso a Istanze Bigtable protette da quella chiave, alcune API di dati potrebbero scadere quando i dati vengono ripristinati online.

  • Fino a cinque minuti dopo la creazione di una tabella in un ambiente protetto da CMEK Ad esempio, la versione e lo stato della chiave potrebbero essere segnalati come sconosciuti. Tuttavia, i dati scritti nella tabella sono comunque protetti con la chiave CMEK in quel periodo.

  • Disabilitazione o eliminazione di una sola versione anziché di tutte le versioni di una chiave che Gli utilizzi di Bigtable possono portare a comportamenti imprevedibili. Sempre disattivare o eliminare tutte le versioni di una chiave CMEK.

Passaggi successivi