Visão geral

Nesta página, você encontra uma visão geral das justificativas de acesso às chaves. Com as justificativas de acesso à chave, é possível definir uma política nas chaves do Cloud Key Management Service (Cloud KMS) para visualizar, aprovar e negar solicitações de acesso à chave, dependendo do código de justificativa fornecido. Para parceiros externos de gerenciamento de chaves, você pode configurar as políticas de Justificativas de acesso às chaves fora da o Google Cloud seja aplicado exclusivamente pelo gerenciador de chaves externo, em vez do que pelo Cloud KMS. As justificativas de acesso às chaves funcionam com os seguintes tipos de chaves do Cloud KMS, dependendo do pacote de controle do Assured Workloads selecionado:

Como a criptografia em repouso funciona

A criptografia em repouso do Google Cloud criptografa os dados armazenados no Google Cloud com uma chave de criptografia que fica fora do serviço em que o os dados são armazenados. Por exemplo, se você criptografar dados no Cloud Storage, o serviço só armazena as informações criptografadas que você salvou, enquanto a chave usada para criptografar esses dados é armazenada no Cloud KMS (se você estiver usando chaves de criptografia gerenciadas pelo cliente (CMEK)) ou no gerenciador de chaves externo (se você estiver usando o Cloud EKM).

Ao usar um serviço do Google Cloud, você quer que seus aplicativos continuem funcionando conforme descrito, e isso exigirá que seus dados sejam descriptografados. Por exemplo, se você executar uma consulta usando o BigQuery, a ferramenta precisa descriptografar seus dados para poder analisá-los. O BigQuery faz isso fazendo uma solicitação de descriptografia ao gerenciador de chaves para receber os dados necessários.

Por quais motivos minhas chaves seriam acessadas?

Suas chaves de criptografia são acessadas com mais frequência por sistemas automatizados ao atender às suas próprias solicitações e cargas de trabalho no Google Cloud.

Além dos acessos iniciados pelo cliente, um funcionário do Google pode precisar iniciar operações que usam suas chaves de criptografia pelos seguintes motivos:

  • Otimizar a estrutura ou a qualidade dos dados: os sistemas do Google podem precisar acessar as chaves de criptografia para indexar, estruturar, pré-calcular, hash, dividir ou armazenar em cache os dados.

  • Fazer backup dos seus dados: talvez o Google precise acessar suas chaves de criptografia para fazer backup dos seus dados por motivos de recuperação de desastres.

  • Resolver uma solicitação de suporte: um funcionário do Google pode precisar descriptografar seus dados para cumprir a obrigação contratual de prestar suporte.

  • Gerenciar e resolver problemas de sistemas: o pessoal do Google pode iniciar operações que usam suas chaves de criptografia para realizar a depuração técnica necessária para uma solicitação ou investigação de suporte complexa. O acesso também pode ser necessário para corrigir falhas de armazenamento ou corrupção de dados.

  • Garantir a integridade e o compliance de dados e proteger contra fraudes e abusos: o Google pode precisar descriptografar dados pelos seguintes motivos:

    • Para garantir a segurança dos seus dados e contas.
    • Para garantir que você está usando os serviços do Google em compliance com a os Termos de Serviço do Google Cloud.
    • Para investigar reclamações de outros usuários e clientes, ou outros sinais de atividades abusivas.
    • Para verificar se os serviços do Google Cloud estão sendo usados de acordo com a requisitos regulatórios aplicáveis, como prevenção de lavagem de dinheiro regulamentações.

  • Manter a confiabilidade do sistema: a equipe do Google pode solicitar acesso aos investigar se uma suspeita de interrupção do serviço não está afetando você. Além disso, o acesso pode ser solicitado para garantir o backup e a recuperação de interrupções ou falhas do sistema.

Para conferir a lista de códigos de justificativa, consulte códigos de motivo para as Justificativas de acesso às chaves.

Como gerenciar o acesso às suas chaves gerenciadas externamente

As justificativas de acesso às chaves mostram um motivo sempre que as chaves gerenciadas externamente são acessados. Os motivos só são fornecidos quando as chaves são gerenciadas externamente. Os acessos às chaves armazenadas no Cloud KMS ou no Cloud HSM não fornecem um motivo. Quando uma chave é armazenada no gerenciador de chaves externo, você recebe uma para acesso baseado em serviço (para serviços com suporte) e acesso direto Acesso à API.

Depois de se inscrever nas Justificativas de acesso às chaves e usar uma chave gerenciada externamente, você recebem justificativas para cada acesso a uma chave.

Se você estiver usando as Justificativas de acesso às chaves e o Access Approval com uma chave externa gerenciada pelo cliente, as solicitações de acesso administrativo não poderão ser processadas, a menos que as aprovações sejam assinadas com a chave gerenciada externamente após passar por uma verificação de política de Justificativas de acesso às chaves para a solicitação de assinatura. Todas as aprovações de acesso assinadas pela chave aparecem nos registros da Transparência no acesso.

Como ativar justificações de acesso à chave

As justificativas de acesso às chaves só podem ser usadas com o Assured Workloads e são ativadas pelo quando você cria uma nova pasta do Assured Workloads configurada para um pacote de controle que inclui Justificativas de acesso às chaves. Consulte a Visão geral do Assured Workloads para saber mais informações imprecisas ou inadequadas.

Exclusões das justificativas de acesso à chave

As justificativas de acesso à chave se aplicam apenas a:

  • operações em dados criptografados; Para os campos em um determinado serviço que são criptografados por uma chave gerenciada pelo cliente, consulte a documentação do serviço.
  • transição de dados em repouso para dados em uso; Embora o Google continue a aplicar proteções aos seus dados em uso, as justificativas de acesso à chave regem apenas a transição de dados em repouso para dados em uso.
  • Os seguintes recursos do Compute Engine e do disco permanente são dispensados quando usados com CMEK:

A seguir