Panoramica

Questa pagina fornisce una panoramica di Key Access Justifications. Key Access Justifications ti consente di impostare criterio sulle chiavi Cloud Key Management Service (Cloud KMS) per visualizzare, approvare e rifiutare la chiave di accesso alle richieste in base il codice di giustificazione. Per alcuni partner di gestione delle chiavi esterne, puoi configurare i criteri di giustificazione dell'accesso alle chiavi al di fuori di Google Cloud in modo che vengano applicati esclusivamente dal gestore delle chiavi esterno anziché da Cloud KMS. Key Access Justifications funziona con i seguenti tipi di chiavi Cloud KMS, a seconda del pacchetto di controllo Assured Workloads selezionato:

Come funziona la crittografia at-rest

La crittografia at-rest di Google Cloud cripta i dati archiviati su Google Cloud con una chiave di crittografia situata all'esterno del servizio in cui vengono archiviati tutti i dati. Ad esempio, se cripti i dati in Cloud Storage, il servizio archivia solo le informazioni criptate che hai archiviato, mentre la chiave utilizzata per criptare i dati viene archiviata in Cloud KMS (se utilizzi chiavi di crittografia gestite dal cliente (CMEK)) o nel tuo sistema di gestione delle chiavi esterno (se utilizzi Cloud EKM).

Quando utilizzi un servizio Google Cloud, vuoi che le tue applicazioni continuino a funzionare come descritto e questo richiede la decrittografia dei dati. Ad esempio, se esegui una query utilizzando BigQuery, deve decriptare i dati per poterli analizzare. BigQuery lo fa inviando una richiesta di decrittografia al gestore delle chiavi per ottenere i dati richiesti.

Perché viene eseguito l'accesso alle mie chiavi?

Le chiavi di crittografia vengono spesso utilizzate da sistemi automatici durante l'elaborazione delle tue richieste e dei tuoi carichi di lavoro su Google Cloud.

Oltre agli accessi avviati dal cliente, un dipendente Google potrebbe dover avviare operazioni che utilizzano le tue chiavi di crittografia per i seguenti motivi:

  • Ottimizzare la struttura o la qualità dei dati: i sistemi di Google potrebbero dover accedere alle tue chiavi di crittografia per indicizzare, strutturare, precompilare, sottoporre ad hashing, suddividere in parti o memorizzare nella cache i tuoi dati.

  • Eseguire il backup dei dati: Google potrebbe dover accedere alle tue chiavi di crittografia per eseguire il backup dei dati per motivi di disaster recovery.

  • Risolvere una richiesta di assistenza: un dipendente di Google potrebbe dover decriptare i tuoi dati per adempiere all'obbligo contrattuale di fornire assistenza.

  • Gestire e risolvere i problemi dei sistemi: il personale di Google può avviare operazioni che utilizzano le tue chiavi di crittografia per eseguire il debug tecnico necessario per una richiesta di assistenza o un'indagine complessa. L'accesso potrebbe essere necessario anche per rimediare a un errore di archiviazione o a un danneggiamento dei dati.

  • Garantire l'integrità e la conformità dei dati e proteggere da attività fraudolente e comportamenti illeciti: Google potrebbe dover decriptare i dati per i seguenti motivi:

    • Per garantire la sicurezza dei tuoi dati e dei tuoi account.
    • Per assicurarti di utilizzare i servizi Google in conformità con i Termini di servizio di Google Cloud.
    • Per esaminare reclami di altri utenti e clienti o altri indicatori di attività illecite.
    • Per verificare che i servizi Google Cloud vengano utilizzati in conformità con Requisiti normativi vigenti, quali il riciclaggio di denaro in materia.

  • Garantire l'affidabilità del sistema: il personale di Google può richiedere l'accesso a indaga per capire se una sospetta interruzione del servizio non ti riguarda. Inoltre, l'accesso potrebbe essere richiesto per garantire il backup e il ripristino da interruzioni del servizio o malfunzionamenti del sistema.

Per l'elenco dei codici di giustificazione, vedi i codici di motivazione per Key Access Justifications.

Gestione dell'accesso alle chiavi gestite esternamente

Key Access Justifications fornisce un motivo ogni volta che viene eseguito l'accesso alle chiavi gestite esternamente. I motivi sono forniti solo quando le chiavi sono gestite esternamente. Gli accessi alle chiavi archiviate in Cloud KMS o Cloud HSM non forniscono un motivo. Quando una chiave viene archiviata nel gestore chiavi esterno, ricevi un giustificazione sia per l'accesso basato sui servizi (per i servizi supportati) che per l'accesso diretto Accesso all'API.

Dopo aver effettuato la registrazione in Key Access Justifications e aver utilizzato una chiave gestita esternamente, ricevere subito le giustificazioni per ogni accesso alla chiave.

Se utilizzi Key Access Justifications e Access Approval con un gestita dal cliente, le richieste di accesso amministrativo non possono elaborati a meno che le approvazioni non vengano firmate con la chiave gestita esternamente il superamento di un controllo dei criteri Key Access Justifications per la richiesta di firma. Tutte le approvazioni dell'accesso firmate dalla chiave vengono visualizzate nei log di Access Transparency.

Abilitazione di Key Access Justifications

Key Access Justifications può essere utilizzato solo con Assured Workloads ed è abilitato da predefinita quando crei una nuova cartella Assured Workloads configurata per un pacchetto di controllo che includa Key Access Justifications. Per ulteriori informazioni, consulta la panoramica di Assured Workloads.

Esclusioni di Key Access Justifications

Le giustificazioni per l'accesso alle chiavi si applicano solo a:

  • Operazioni sui dati criptati. Per i campi all'interno di un determinato servizio che sono criptati da una chiave gestita dal cliente, consulta la documentazione del servizio.
  • La transizione dai dati at-rest ai dati in uso. Anche se Google continua a applicare protezioni ai dati in uso, le giustificazioni dell'accesso alle chiavi regolano solo la transizione dai dati a riposo ai dati in uso.
  • Le seguenti funzionalità di Compute Engine e Persistent Disk sono esenti se utilizzate con CMEK:

Passaggi successivi