Présentation

Cette page présente Key Access Justifications. Key Access Justifications vous permet de définir une règle sur les clés Cloud Key Management Service (Cloud KMS) pour afficher, approuver et refuser les demandes d'accès aux clés en fonction du code de justification fourni. Certains partenaires externes de gestion de clés peuvent configurer des règles Key Access Justifications en dehors de Google Cloud afin qu'elles soient appliquées exclusivement par le gestionnaire de clés externe plutôt que par Cloud KMS. Key Access Justifications fonctionne avec les types de clés Cloud KMS suivants, en fonction du package de contrôle Assured Workloads sélectionné:

Fonctionnement du chiffrement au repos

Le chiffrement au repos de Google Cloud consiste à chiffrer vos données stockées sur Google Cloud à l'aide d'une clé de chiffrement hébergée en dehors du service où les données sont stockées. Par exemple, si vous chiffrez des données dans Cloud Storage, le service ne stocke que les informations chiffrées que vous avez stockées, alors que la clé utilisée pour chiffrer ces données est stockée dans Cloud KMS (si vous utilisez des clés de chiffrement gérées par le client (CMEK)) ou dans votre gestionnaire de clés externe (si vous utilisez Cloud EKM).

Lorsque vous utilisez un service Google Cloud, vous souhaitez que vos applications continuent de fonctionner comme décrit dans la description. Dans ce cas, vos données doivent être déchiffrées. Par exemple, si vous exécutez une requête à l'aide de BigQuery, le service BigQuery doit déchiffrer vos données pour pouvoir les analyser. Pour ce faire, BigQuery envoie une demande de déchiffrement au gestionnaire de clés pour obtenir les données requises.

Pour quelles raisons est-il nécessaire d'accéder à mes clés ?

Vos clés de chiffrement sont le plus souvent consultées par des systèmes automatisés lors du traitement de vos propres requêtes et charges de travail sur Google Cloud.

Outre les accès initiés par le client, un employé de Google peut avoir besoin de lancer des opérations utilisant vos clés de chiffrement pour les raisons suivantes:

  • Optimisez la structure ou la qualité des données: les systèmes Google peuvent avoir besoin d'accéder à vos clés de chiffrement pour indexer, structurer, précalculer, hacher, segmenter ou mettre en cache vos données.

  • Sauvegardez vos données: Google peut avoir besoin d'accéder à vos clés de chiffrement pour sauvegarder vos données en vue de la reprise après sinistre.

  • Résoudre une demande d'assistance: un employé de Google peut avoir besoin de déchiffrer vos données pour remplir son obligation contractuelle de vous fournir une assistance.

  • Gestion et dépannage des systèmes: le personnel de Google peut lancer des opérations qui utilisent vos clés de chiffrement pour effectuer le débogage technique nécessaire à une demande d'assistance ou à une enquête complexe. Un accès peut également être nécessaire pour corriger une défaillance de stockage ou une corruption des données.

  • Assurez l'intégrité et la conformité des données, et protégez-vous contre la fraude et les utilisations abusives : Google peut avoir besoin de déchiffrer des données pour les raisons suivantes:

    • Pour assurer la sécurité de vos données et de vos comptes.
    • Assurez-vous d'utiliser les services Google conformément aux Conditions d'utilisation de Google Cloud.
    • Pour examiner les réclamations d'autres utilisateurs et clients, ou d'autres signaux d'activité abusive.
    • Pour vérifier que les services Google Cloud sont utilisés conformément aux exigences réglementaires applicables, telles que les réglementations en matière de lutte contre le blanchiment d'argent.

  • Maintenir la fiabilité du système: le personnel de Google peut demander l'accès pour enquêter afin de déterminer si une interruption de service suspectée ne vous concerne pas. En outre, un accès peut être demandé pour garantir la sauvegarde et la récupération en cas de panne ou de défaillance du système.

Pour obtenir la liste des codes de justification, consultez la section Codes de motif de justification pour Key Access Justifications.

Gérer l'accès à vos clés gérées en externe

Key Access Justifications fournit un motif chaque fois qu'un utilisateur accède à vos clés gérées en externe. Les motifs ne sont fournis que lorsque les clés sont gérées en externe. Les accès aux clés stockées dans Cloud KMS ou Cloud HSM n'ont pas de raison d'être. Lorsqu'une clé est stockée dans votre gestionnaire de clés externe, vous recevez une justification pour l'accès basé sur le service (pour les services compatibles) et pour l'accès direct à l'API.

Une fois que vous êtes inscrit à Key Access Justifications et que vous avez utilisé une clé gérée en externe, vous recevez immédiatement des justifications pour chaque accès aux clés.

Si vous utilisez Key Access Justifications et Access Approval avec une clé externe gérée par le client, les demandes d'accès administrateur ne peuvent pas être traitées, sauf si elles sont signées avec la clé gérée en externe après avoir effectué une vérification de la stratégie Key Access Justifications pour la demande de signature. Toutes les approbations d'accès signées par la clé apparaissent dans les journaux Access Transparency.

Activer Key Access Justifications

Key Access Justifications ne peut être utilisé qu'avec Assured Workloads et est activé par défaut lorsque vous créez un dossier Assured Workloads configuré pour un package de contrôle incluant Key Access Justifications. Pour en savoir plus, consultez la présentation d'Assured Workloads.

Exclusions du champ des justifications d'accès aux clés

Les justifications d'accès aux clés ne s'appliquent qu'aux éléments suivants :

  • Opérations sur des données chiffrées. Pour connaître les champs d'un service donné qui sont chiffrés par une clé gérée par le client, reportez-vous à la documentation du service.
  • Transition des données au repos vers les données en cours d'utilisation. Bien que Google continue d'appliquer des protections à vos données utilisées, Key Access Justifications ne régit que la transition des données au repos vers les données utilisées.
  • Les fonctionnalités suivantes de Compute Engine et de Persistent Disk sont exemptées lorsqu'elles sont utilisées avec des clés CMEK :

Étapes suivantes