O Cloud KMS Autokey simplifica a criação e o uso de chaves de criptografia gerenciadas pelo cliente (CMEKs, na sigla em inglês) automatizando o provisionamento e a atribuição. Com o Autokey, keyrings e chaves são gerados sob demanda. As contas de serviço que usam as chaves para criptografar e descriptografar recursos são criadas e recebem papéis do Identity and Access Management (IAM) quando necessário. Os administradores do Cloud KMS mantêm o controle total e a visibilidade das chaves criadas pelo Autokey, sem precisar planejar e criar cada recurso.
O uso das chaves geradas pelo Autokey pode ajudar você a se alinhar de maneira consistente aos padrões do setor e às práticas recomendadas de segurança de dados, incluindo o nível de proteção do HSM, a separação de tarefas, a rotação de chaves, a localização e a especificidade da chave. O Autokey cria chaves que seguem diretrizes gerais e específicas para o tipo de recurso dos serviços do Google Cloud que se integram ao Autokey do Cloud KMS. Depois de criadas, as chaves solicitadas usando a função Autokey são idênticas a outras chaves do Cloud HSM com as mesmas configurações.
A chave automática também simplifica o uso do Terraform para gerenciamento de chaves, eliminando a necessidade de executar a infraestrutura como código com privilégios elevados de criação de chaves.
Para usar a chave automática, você precisa ter um recurso de organização que contenha um recurso de pasta. Para mais informações sobre recursos de organização e de pasta, consulte Hierarquia de recursos.
A chave automática do Cloud KMS está disponível em todos os locais do Google Cloud em que o Cloud HSM está disponível. Para mais informações sobre os locais do Cloud KMS, consulte Locais do Cloud KMS. Não há custo extra para usar o Cloud KMS Autokey. As chaves criadas com o Autokey têm o mesmo preço de qualquer outra chave do Cloud HSM. Para mais informações sobre preços, consulte Preços do Cloud Key Management Service.
Como a chave automática funciona
Esta seção explica como o Cloud KMS Autokey funciona. Os seguintes papéis de usuário participam desse processo:
- Administrador de segurança
- O administrador de segurança é um usuário responsável por gerenciar a segurança no nível da pasta ou da organização.
- Desenvolvedor da Autokey
- O desenvolvedor de chaves automáticas é um usuário responsável por criar recursos usando a chave automática do Cloud KMS.
- Administrador do Cloud KMS
- O administrador do Cloud KMS é um usuário responsável por gerenciar os recursos do Cloud KMS. Essa função tem menos responsabilidades ao usar a Autokey do que ao usar chaves criadas manualmente.
Os seguintes agentes de serviço também participam desse processo:
- Agente de serviço do Cloud KMS
- O agente de serviço do Cloud KMS em um projeto de chave específico. O Autokey depende de que esse agente de serviço tenha privilégios elevados para criar chaves e keyrings do Cloud KMS e definir a política do IAM nas chaves, concedendo permissões de criptografia e descriptografia para cada agente de serviço de recurso.
- Agente de serviço de recurso
- O agente de serviço de um determinado serviço em um determinado projeto de recurso. Esse agente de serviço precisa ter permissões de criptografia e descriptografia em qualquer chave do Cloud KMS antes de poder usá-la para proteção do CMEK em um recurso. O Autokey cria o agente de serviço de recursos quando necessário e concede as permissões necessárias para usar a chave do Cloud KMS.
O administrador de segurança ativa o Cloud KMS Autokey
Antes de usar a Autokey, o administrador de segurança precisa concluir as seguintes tarefas de configuração única:
Ative o Cloud KMS Autokey em uma pasta de recursos e identifique o projeto do Cloud KMS que vai conter os recursos do Autokey para essa pasta.
Crie o agente de serviço do Cloud KMS e conceda privilégios de criação e atribuição de chaves a ele.
Conceda funções de usuário da Autokey a usuários desenvolvedores da Autokey.
Com essa configuração concluída, os desenvolvedores do Autokey agora podem acionar a criação de chaves do Cloud HSM sob demanda. Para conferir as instruções de configuração completas do Cloud KMS Autokey, consulte Habilitar o Cloud KMS Autokey.
Os desenvolvedores do Autokey usam o Cloud KMS Autokey
Depois que o Autokey for configurado, os desenvolvedores autorizados poderão criar recursos protegidos usando chaves criadas para eles sob demanda. Os detalhes do processo de criação de recursos dependem do recurso que você está criando, mas o processo segue este fluxo:
O desenvolvedor do Autokey começa a criar um recurso em um serviço compatível do Google Cloud. Durante a criação de recursos, o desenvolvedor solicita uma nova chave ao agente de serviço do Autokey.
O agente de serviço da chave automática recebe a solicitação do desenvolvedor e conclui as seguintes etapas:
- Crie um keyring no projeto de chave no local selecionado, a menos que ele já exista.
- Crie uma chave no keyring com a granularidade adequada para o tipo de recurso, a menos que ela já exista.
- Crie a conta de serviço por projeto e por serviço, a menos que ela já exista.
- Conceda as permissões de criptografia e descriptografia na chave para cada projeto e serviço.
- Forneça os principais detalhes ao desenvolvedor para que ele possa concluir a criação do recurso.
Com os detalhes da chave retornados com sucesso pelo agente de serviço do Autokey, o desenvolvedor pode concluir imediatamente a criação do recurso protegido.
O Autokey do Cloud KMS cria chaves com os atributos descritos na próxima seção. Esse fluxo de criação de chaves preserva a separação de funções. O administrador do Cloud KMS continua tendo visibilidade e controle total sobre as chaves criadas pelo Autokey.
Para começar a usar o Autokey depois de ativar em uma pasta, consulte Criar recursos protegidos usando o Cloud KMS Autokey.
Sobre as chaves criadas pelo Autokey
As chaves criadas pelo Autokey do Cloud KMS têm os seguintes atributos:
- Nível de proteção:HSM.
- Algoritmo:AES-256 GCM.
Período de rotação:um ano.
Depois que uma chave é criada pelo Autokey, um administrador do Cloud KMS pode editar o período de rotação do padrão.
- Separação de tarefas:
- A conta de serviço do serviço recebe automaticamente permissões de criptografia e descriptografia na chave.
- As permissões de administrador do Cloud KMS são aplicadas normalmente às chaves criadas pelo Autokey. Os administradores do Cloud KMS podem conferir, atualizar, ativar ou desativar e destruir chaves criadas pelo Autokey. Os administradores do Cloud KMS não recebem permissões de criptografia e descriptografia.
- Os desenvolvedores da Autokey só podem solicitar a criação e a atribuição de chaves. Não é possível acessar ou gerenciar chaves.
- Especificidade ou granularidade da chave:as chaves criadas pela Autokey têm uma granularidade que varia de acordo com o tipo de recurso. Para detalhes específicos do serviço sobre a granularidade da chave, consulte Serviços compatíveis nesta página.
Local:o Autokey cria chaves no mesmo local que o recurso a ser protegido.
Se você precisar criar recursos protegidos por CMEK em locais em que o Cloud HSM não estiver disponível, crie o CMEK manualmente.
- Estado da versão da chave:as chaves recém-criadas solicitadas usando a chave automática são criadas como a versão da chave primária no estado ativado.
- Nomeação de keyring:todas as chaves criadas pelo Autokey são criadas em um
keyring chamado
autokeyno projeto Autokey no local selecionado. Os keyrings no seu projeto do Autokey são criados quando um desenvolvedor do Autokey solicita a primeira chave em um determinado local. - Nome da chave:as chaves criadas pelo Autokey seguem esta convenção de
nomenclatura:
PROJECT_NUMBER-SERVICE_SHORT_NAME-RANDOM_HEX - Exportação de chaves:como todas as chaves do Cloud KMS, as chaves criadas pelo Autokey não podem ser exportadas.
- Rastreamento de chaves:como todas as chaves do Cloud KMS usadas em serviços integrados da CMEK que são compatíveis com o rastreamento de chaves, as chaves criadas pela chave automática são rastreadas no painel do Cloud KMS.
Como ativar a Autokey
Se você quiser aplicar o uso da Autokey em uma pasta, faça isso combinando os controles de acesso do IAM com as políticas da organização da CMEK. Isso funciona removendo as permissões de criação de chaves de principais que não são o agente de serviço do Autokey e exigindo que todos os recursos sejam protegidos por CMEK usando o projeto de chave Autokey. Para instruções detalhadas sobre como forçar o uso da chave automática, consulte Forçar o uso da chave automática.
Serviços compatíveis
A tabela a seguir lista os serviços compatíveis com a chave automática do Cloud KMS:
| Serviço | Recursos protegidos | Granularidade da chave |
|---|---|---|
| Cloud Storage |
Os objetos em um bucket de armazenamento usam a chave padrão do bucket. O Autokey não cria
chaves para recursos |
Uma chave por bucket |
| Compute Engine |
Os snapshots usam a chave do disco em que você está criando um snapshot.
O Autokey não cria chaves para recursos |
Uma chave por recurso |
| BigQuery |
O Autokey cria chaves padrão para conjuntos de dados. Tabelas, modelos, consultas e tabelas temporárias em um conjunto de dados usam a chave padrão do conjunto. A chave automática não cria chaves para recursos do BigQuery que não sejam conjuntos de dados. Para proteger recursos que não fazem parte de um conjunto de dados, crie suas próprias chaves padrão no nível do projeto ou da organização. |
Uma chave por recurso |
| Secret Manager |
O Secret Manager é compatível apenas com o Autokey do Cloud KMS ao criar recursos usando o Terraform ou a API REST. |
Uma chave por local em um projeto |
| Cloud SQL |
O Autokey não cria chaves para recursos do Cloud SQL O Cloud SQL é compatível apenas com a autochave do Cloud KMS ao criar recursos usando o Terraform ou a API REST. |
Uma chave por recurso |
| Spanner |
O Spanner é compatível apenas com o Autokey do Cloud KMS ao criar recursos usando o Terraform ou a API REST. |
Uma chave por recurso |
Limitações
- A CLI gcloud não está disponível para recursos da Autokey.
- Os identificadores de chave não estão no Inventário de recursos do Cloud.
A seguir
- Para começar a usar o Cloud KMS Autokey, um administrador de segurança precisa habilitar o Cloud KMS Autokey.
- Para usar o Cloud KMS Autokey depois que ele for ativado, um desenvolvedor pode criar recursos protegidos por CMEK usando o Autokey.
- Saiba mais sobre as práticas recomendadas da CMEK.