Proteggi i tuoi dati con CMEK

Nota: questi contenuti si applicano solo alle funzioni Cloud Run, precedentemente Cloud Functions (2ª gen.).

Per la versione 1ª generazione. di questo documento, vedi Proteggi i tuoi dati con CMEK (1ª generazione.).

Puoi utilizzare Cloud Key Management Service chiavi di crittografia gestite dal cliente (CMEK) per proteggere Funzioni di Cloud Run e relative dati at-rest. Queste chiavi sono create e gestite tramite Cloud KMS e archiviate come chiavi software, in un cluster HSM oppure esternamente.

Il deployment di una funzione con una chiave CMEK protegge i dati associati utilizzando una chiave di crittografia sotto il tuo controllo totale. Questo tipo di crittografia ti consente di soddisfare i requisiti di conformità in determinati settori, come i servizi finanziari. Poiché la chiave è di tua proprietà e non è controllata da Google, Nessuno (incluso te) può accedere ai dati protetti da queste chiavi di crittografia quando le chiavi vengono disabilitate o eliminate.

I seguenti tipi di dati delle funzioni Cloud Run vengono criptati quando si utilizza una chiave CMEK:

• Codice sorgente della funzione caricato per il deployment e archiviato da Google in Cloud Storage, utilizzato nel processo di compilazione.
• I risultati del processo di compilazione della funzione, tra cui:
  • L'immagine container creata dal codice sorgente della funzione.
  • Ogni istanza della funzione di cui è stato eseguito il deployment.

Il processo di compilazione della funzione stesso è protetto da una chiave temporanea in modo univoco generate per ogni build. Consulta Conformità CMEK in Cloud Build per ulteriori informazioni informazioni. Inoltre, tieni presente quanto segue:

• Metadati dei file, ad esempio percorsi del file system o timestamp delle modifiche non è criptato.

• Se una chiave è disattivata, l'immagine del contenitore non può essere dispiattata e le nuove istanza non possono essere avviate.

• La protezione CMEK delle funzioni di Cloud Run si applica solo alle le risorse delle funzioni Cloud Run; sei responsabile della protezione dei dati risorse gestite da te, come i tuoi repository di codice sorgente, canali di eventi che risiedono nel progetto del cliente o in qualsiasi servizio utilizzato funzioni.

La configurazione di CMEK per le funzioni Cloud Run comporta quanto segue:

• Concessione dell'accesso alla chiave agli account di servizio necessari:

  • Per tutte le funzioni, devi concedere le funzioni Cloud Run, Accesso alla chiave degli account di servizio Artifact Registry e Cloud Storage.

  • Per le funzioni Cloud Run basate su eventi, devi anche completare la configurazione di CMEK per Cloud Run e Eventarc.

• Crea un repository Artifact Registry protetto da CMEK per archiviare le immagini delle funzioni.

• Attivare CMEK nella funzione.

• Se vuoi, attiva i criteri dell'organizzazione CMEK per obbligare tutte le nuove funzioni a essere conformi a CMEK.

Questi passaggi sono descritti più dettagliatamente di seguito.

Prima di iniziare

1. Crea una chiave a regione singola da utilizzare per criptare le funzioni. Per scoprire come creare una chiave, consulta la pagina relativa alla creazione di chiavi di crittografia simmetrica.

2. Crea un repository Artifact Registry con CMEK abilitata. Devi utilizzare la stessa chiave per il repository Artifact Registry che utilizzi per attivare la CMEK per una funzione.

3. Per le funzioni basate su eventi, segui i passaggi di configurazione aggiuntivi illustrati in Attivare CMEK per un canale Google.

Concedere agli account di servizio l'accesso alla chiave

Per tutte le funzioni, devi concedere alla chiave l'accesso ai seguenti account di servizio:

• Agente di servizio delle funzioni Cloud Run ([e-mail])

• Agente di servizio Artifact Registry ([e-mail])

• Agente di servizio Cloud Storage ([e-mail])

Devi inoltre concedere ai seguenti account di servizio l'accesso alla chiave:

• Agente di servizio Cloud Run ([e-mail])

• Agente di servizio Eventarc ([e-mail])

Per concedere a questi account di servizio l'accesso alla chiave, aggiungi ogni account di servizio come dell'account di servizio della chiave e concedere all'account di servizio Ruolo Cloud KMS CryptoKey Encrypter/Decrypter:

Console

1. Vai alla pagina Cloud Key Management Service nella console Google Cloud:
   Vai alla pagina Cloud KMS

2. Fai clic sul nome del mazzo di chiavi contenente la chiave scelta.

3. Fai clic sul nome della chiave per visualizzarne i dettagli.

4. Nella scheda Autorizzazioni, fai clic su Concedi l'accesso.

5. Nel campo Nuove entità, inserisci gli indirizzi email di tutte e tre le entità account di servizio descritti in precedenza per assegnare le autorizzazioni a tutti e tre contemporaneamente.

6. Nel menu Seleziona un ruolo, seleziona CryptoKey Cloud KMS strumento di crittografia/decrittografia.

7. Fai clic su Salva.

gcloud

Per ogni account di servizio discusso in precedenza, esegui il seguente comando:

gcloud kms keys add-iam-policy-binding KEY \
--keyring KEY_RING \
--location LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter

Sostituisci quanto segue:

• KEY: il nome della chiave. Ad esempio, my-key.

• KEY_RING: il nome del keyring. Ad esempio: my-keyring.

• LOCATION: la posizione della chiave. Ad esempio, us-central1.

• SERVICE_AGENT_EMAIL: l'indirizzo email del l'account di servizio.

Importante: alcuni agenti di servizio, ad esempio l'agente di servizio Cloud Storage. (incluso l'indirizzo email), non sono inizialmente disponibili quando crei un progetto. Vengono invece attivati la prima volta che accedi. Ad esempio, per attivare l'agente di servizio Cloud Storage, puoi recuperare il suo indirizzo email. L'agente di servizio deve essere attivato prima di assegnargli le autorizzazioni.

Attivazione di CMEK per una funzione

Dopo aver configurato un repository Artifact Registry con CMEK abilitata e concedendo alle funzioni Cloud Run l'accesso alla chiave, puoi abilitare CMEK per la tua funzione.

Per abilitare CMEK per una funzione:

Console

1. Vai alla pagina Funzioni Cloud Run nella console Google Cloud:
   Vai alla pagina Funzioni Cloud Run

2. Fai clic sul nome della funzione per cui vuoi attivare CMEK.

3. Fai clic su Modifica.

4. Fai clic su Runtime, build… per espandere le opzioni di configurazione avanzata.

5. Seleziona la scheda Sicurezza e repository di immagini.

6. Nella sezione Crittografia, seleziona Chiave di crittografia gestita dal cliente (CMEK).

7. Seleziona la chiave scelta dal menu a discesa.

8. In Località contenitore, seleziona Artifact Registry gestito dal cliente.

9. Nell'elenco a discesa Artifact Registry (Artifact Registry), seleziona il repository protetto da CMEK.

10. Fai clic su Avanti.

11. Fai clic su Esegui il deployment.

gcloud

Esegui questo comando.

gcloud functions deploy FUNCTION \
[--gen2] \
--kms-key=KEY \
--docker-repository=REPOSITORY \
--source=YOUR_SOURCE_LOCATION
FLAGS...

Sostituisci quanto segue:

• FUNCTION: il nome della funzione per attivare CMEK. Ad esempio, cmek-function.

• KEY: il nome della chiave completo, nel seguente formato: projects/PROJECT_NAME/locations/LOCATION/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME.

• REPOSITORY: il nome del repository Artifact Registry completamente qualificato, nel seguente formato:projects/PROJECT_NAME/locations/LOCATION/repositories/REPOSITORY.

• YOUR_SOURCE_LOCATION: quando attivi CMEK per funzione preesistenti, assicurati che il codice sorgente desiderato venga nuovamente eseguito il deployment specificando questo parametro in modo esplicito.

• FLAGS...: flag aggiuntivi che potrebbero essere necessari per eseguire il deployment della funzione, in particolare per creare i deployment. Per maggiori dettagli, consulta Eseguire il deployment di una funzione Cloud Run.

CMEK è attivato per la funzione.

Nota: i primi deployment delle funzioni con CMEK abilitato potrebbero non riuscire a causa di ritardi di propagazione IAM. Se si verifica un errore durante il deployment, assicurati che siano impostate correttamente e riprova dopo un breve periodo di tempo.

Tieni presente che Cloud Run functions utilizza sempre la versione principale di una chiave per la protezione CMEK. Non puoi specificare una determinata versione della chiave da utilizzare durante l'abilitazione CMEK per le tue funzioni.

Se una chiave viene eliminata disattivato o le relative autorizzazioni richieste sono revocate, le istanze attive delle funzioni protette da quella chiave non vengono arrestate. Le esecuzioni di funzioni già in corso continueranno a essere eseguite, ma quelle nuove avrà esito negativo finché le funzioni Cloud Run non hanno accesso alla chiave.

Test della protezione CMEK

Per verificare che la protezione CMEK funzioni, puoi disattivare la chiave utilizzata per attivare CMEK per una funzione, quindi provare ad attivarla:

1. Disattiva la chiave utilizzata per proteggere la funzione.

   Nota: la propagazione delle modifiche può richiedere fino a tre ore.

2. Tentativo di visualizzare il codice sorgente associato a questa funzione. Il tentativo non dovrebbe riuscire.

3. Prova ad attivare la funzione protetta da CMEK. Il tentativo dovrebbe non riuscire.

4. Dopo aver verificato che la protezione CMEK funziona, abilitare la chiave.

La protezione CMEK della funzione è ora confermata.

Passaggi successivi

• Scopri come ruotare le chiavi.
• Scopri di più sulla crittografia predefinita di Google.
• Scopri di più su CMEK.
• Scopri di più sui criteri dell'organizzazione CMEK.