Cloud KMS Autokey simplifie la création et l'utilisation du chiffrement géré par le client (CMEK) en automatisant le provisionnement et l'attribution. Avec Les clés automatiques, les trousseaux de clés et les clés sont générés à la demande. Les comptes de service qui utilisent les clés pour chiffrer et déchiffrer des ressources sont créés et des rôles IAM (Identity and Access Management) leur sont attribués si nécessaire. Les administrateurs Cloud KMS conservent un contrôle et une visibilité complets sur les clés créées par Autokey, sans avoir à planifier et à créer chaque ressource à l'avance.
L'utilisation de clés générées par Autokey peut vous aider à vous conformer aux normes du secteur et aux pratiques recommandées en matière de sécurité des données, y compris le niveau de protection du HSM, la séparation des tâches, la rotation des clés, l'emplacement et la spécificité des clés. Autokey crée des clés qui respectent les deux consignes générales et consignes spécifiques au type de ressource des services Google Cloud qui s'intègrent à Cloud KMS Autokey. Une fois créées, les clés demandées à l'aide d'Autokey fonctionnent de manière identique aux autres clés Cloud HSM avec les mêmes paramètres.
Autokey peut également simplifier l'utilisation de Terraform pour la gestion des clés, ce qui élimine la nécessité d'exécuter l'infrastructure as code avec des droits élevés de création de clés.
Pour utiliser Autokey, vous devez disposer d'une ressource Organisation contenant une ressource de dossier. Pour en savoir plus sur les ressources d'organisation et de dossier, consultez la section Hiérarchie des ressources.
Cloud KMS Autokey est disponible dans tous les emplacements Google Cloud où Cloud HSM est disponible. Pour en savoir plus sur les emplacements Cloud KMS, consultez la section Emplacements Cloud KMS. L'utilisation d'Autokey Cloud KMS n'entraîne aucun coût supplémentaire. Clés créées avec Les tarifs d'Autokey sont identiques à ceux des autres clés Cloud HSM. Pour Pour plus d'informations sur la tarification, consultez la page Tarifs de Cloud Key Management Service.
Fonctionnement d'Autokey
Cette section explique le fonctionnement de Cloud KMS Autokey. Les rôles utilisateur suivants à ce processus:
- Administrateur de sécurité
- L'administrateur de sécurité est un utilisateur chargé de gérer la sécurité au niveau du dossier ou de l'organisation.
- Développeur Autokey
- Le développeur Autokey est un utilisateur chargé de créer des ressources à l'aide de Cloud KMS Autokey.
- Administrateur Cloud KMS
- L'administrateur Cloud KMS est un responsable de la gestion des ressources Cloud KMS. Ce rôle a moins de responsabilités lorsque vous utilisez Autokey que lorsque vous utilisez des clés créées manuellement.
Les agents de service suivants participent également à ce processus :
- Agent de service Cloud KMS
- Agent de service pour Cloud KMS dans un projet de clé donné. Autokey dépend de ce que cet agent de service des droits élevés pour créer des clés et des trousseaux de clés Cloud KMS, et pour définir une stratégie IAM sur les clés, et accorder ainsi les autorisations autorisations pour chaque agent de service des ressources.
- Agent de service de ressources
- Agent de service d'un service donné projet de ressources. Cet agent de service doit disposer des autorisations de chiffrement et de déchiffrement pour toutes les clés Cloud KMS avant de pouvoir utiliser ces clés pour la protection CMEK sur une ressource. Autokey crée le service de ressources et lui accorde les autorisations nécessaires pour utiliser Cloud KMS.
L'administrateur de sécurité active Cloud KMS Autokey
Avant de pouvoir utiliser Autokey, l'administrateur de sécurité doit effectuer les tâches de configuration uniques suivantes :
Activez Cloud KMS Autokey sur un dossier de ressources et identifiez le Projet Cloud KMS contenant des ressources Autokey pour dans ce dossier.
Créez l'agent de service Cloud KMS, puis accordez-lui de créer des clés et d'attribuer des droits à l'agent de service.
Attribuez des rôles utilisateur Autokey aux utilisateurs développeurs Autokey.
Une fois la configuration terminée, les développeurs Autokey peuvent déclencher Création de clés Cloud HSM à la demande. Afin d'afficher les instructions de configuration complètes pour Cloud KMS Autokey, consultez la page Activer Cloud KMS Autokey.
Les développeurs Autokey utilisent Cloud KMS Autokey
Une fois Autokey configuré, les développeurs Autokey autorisés peuvent désormais créer des ressources protégées à l'aide de clés créées pour eux à la demande. Les détails du processus de création de ressources dépendent de la ressource que vous créez, mais le processus suit ce flux :
Le développeur Autokey commence à créer une ressource dans un environnement service Google Cloud. Lors de la création de la ressource, le développeur demande une nouvelle clé à partir de l'agent de service Autokey.
L'agent du service Autokey reçoit la requête du développeur et effectue les étapes suivantes :
- Créez un trousseau de clés dans le projet de clé à l'emplacement sélectionné, sauf si ce trousseau de clés existe déjà.
- Créez une clé dans le trousseau de clés avec le niveau de précision approprié pour type de ressource, sauf si une clé de ce type existe déjà.
- Créez le compte de service par projet et par service, sauf si ce service ce compte existe déjà.
- Accordez au compte de service par projet et par service les autorisations de chiffrement et de déchiffrement sur la clé.
- Fournissez les informations clés au développeur pour qu'il puisse terminer la création ressource.
Une fois les détails de la clé renvoyés par l'agent de service Autokey, le développeur peut immédiatement terminer la création de la ressource protégée.
Cloud KMS Autokey crée des clés dont les attributs sont décrits dans la section suivante. Ce processus de création de clés préserve séparation des tâches. L'administrateur Cloud KMS conserve une visibilité et un contrôle complets sur les clés créées par Autokey.
Pour commencer à utiliser Autokey après l'avoir activé sur un dossier, consultez la section Créer des ressources protégées à l'aide de Cloud KMS Autokey.
À propos des clés créées par Autokey
Les clés créées par Cloud KMS Autokey présentent les attributs suivants :
- Niveau de protection : HSM.
- Algorithme:AES-256 GCM.
Période de rotation:un an.
Une fois qu'une clé a été créée par Autokey, un administrateur Cloud KMS peut modifier la période de rotation à partir de la valeur par défaut.
- Séparation des tâches:
- Le compte de service du service se voit automatiquement attribuer les autorisations de déchiffrement sur la clé.
- Les autorisations d'administrateur Cloud KMS s'appliquent comme d'habitude aux clés créé par Autokey. Les administrateurs Cloud KMS peuvent afficher, mettre à jour, activer ou désactiver et détruire les clés créées par Autokey. Les administrateurs Cloud KMS ne disposent pas d'autorisations de chiffrement et de déchiffrement.
- Les développeurs Autokey ne peuvent demander que la création et l'attribution de clés. Ils ne peuvent ni afficher, ni gérer les clés.
- Spécificité de la clé ou granularité : la granularité des clés créées par Autokey varie selon le type de ressource. Pour des informations spécifiques aux services sur la précision des clés, consultez la section Services compatibles sur cette page.
Emplacement:Autokey crée des clés au même emplacement que le ressource à protéger.
Si vous devez créer des ressources protégées par des clés CMEK dans des emplacements Cloud HSM n'est pas disponible. Vous devez créer votre clé CMEK manuellement.
- État de la version de clé:clés nouvellement créées demandées à l'aide d'Autokey sont créées en tant que version de clé primaire à l'état activé.
- Nom du trousseau:toutes les clés créées par Autokey sont créées dans un
trousseau de clés nommé
autokeydans le projet Autokey dans le bucket l'emplacement. Des trousseaux de clés dans votre projet Autokey sont créés lorsqu'un Le développeur Autokey demande la première clé à un emplacement donné. - Nom des clés : les clés créées par Autokey suivent cette convention d'attribution de nom :
PROJECT_NUMBER-SERVICE_SHORT_NAME-RANDOM_HEX - Exportation de clés : comme toutes les clés Cloud KMS, les clés créées par Autokey ne peuvent pas être exportées.
- Suivi des clés:comme toutes les clés Cloud KMS utilisées dans les CMEK des services compatibles avec le suivi des clés, les clés créés par Autokey sont suivis dans le tableau de bord Cloud KMS.
Application d'Autokey
Vous pouvez imposer l'utilisation d'Autokey au sein d'un dossier. en combinant le contrôle des accès IAM avec des règles d'administration CMEK. Pour ce faire, les autorisations de création de clés sont supprimées des principaux autres que l'agent de service Autokey, puis toutes les ressources sont protégées par CMEK à l'aide du projet de clé Autokey. Pour obtenir des pour appliquer l'utilisation d'Autokey, consultez la section Appliquer Utilisation d'Autokey.
Services compatibles
Le tableau suivant répertorie les services compatibles avec Cloud KMS Autokey:
| Service | Ressources protégées | Précision des clés |
|---|---|---|
| Cloud Storage |
Les objets dans un
bucket de stockage utilisent la clé par défaut du bucket. Autokey ne crée pas de clés pour les ressources |
Une clé par bucket |
| Compute Engine |
Les instantanés utilisent la clé du disque dont vous créez un instantané.
Autokey ne crée pas de clés pour |
Une clé par ressource |
| BigQuery |
Autokey crée des clés par défaut pour les ensembles de données. Tables, modèles, les requêtes et les tableaux temporaires d'un ensemble de données utilisent . Autokey ne crée pas de clés pour les ressources BigQuery autres que les jeux de données. Pour protéger les ressources qui ne font pas partie vous devez créer vos propres clés par défaut au niveau du projet au niveau de l'organisation. |
Une clé par ressource |
| Secret Manager |
Secret Manager n'est compatible qu'avec Cloud KMS Autokey lorsque vous créez des ressources à l'aide de Terraform ou de l'API REST. |
Une clé par emplacement dans un projet |
| Cloud SQL |
Autokey ne crée pas de clés pour Cloud SQL
Cloud SQL n'est compatible avec Autokey Cloud KMS que lorsque vous créez des ressources à l'aide de Terraform ou de l'API REST. |
Une clé par ressource |
| Spanner |
Spanner n'est compatible qu'avec Autokey Cloud KMS lorsque vous créez des ressources à l'aide de Terraform ou de l'API REST. |
Une clé par ressource |
Limites
- La gcloud CLI n'est pas disponible pour les ressources Autokey.
- Les descripteurs de clé ne figurent pas dans l'inventaire des éléments cloud.
Étape suivante
- Pour commencer à utiliser Cloud KMS Autokey, un administrateur de sécurité doit activer Cloud KMS Autokey.
- Pour utiliser Cloud KMS Autokey après son activation, un développeur peut Créer des ressources protégées par des clés CMEK à l'aide d'Autokey
- Découvrez les bonnes pratiques CMEK.