Claves de encriptación administradas por el cliente (CMEK)

En este documento, se proporciona una descripción general del uso de Cloud Key Management Service (Cloud KMS) para claves de encriptación administradas por el cliente (CMEK). El uso de CMEK de Cloud KMS te brinda la propiedad y el control de las claves que protegen tus datos en reposo en Google Cloud.

Comparación entre las CMEK y las claves que posee y las que administra Google

Las claves de Cloud KMS que creas son claves administradas por el cliente. Se dice que los servicios de Google que usan tus claves tienen una integración con CMEK. Puedes administrar estas CMEK directamente o a través de Autokey de Cloud KMS (vista previa). Los siguientes factores diferencian la encriptación en reposo predeterminada de Google de las claves administradas por el cliente:

Tipo de clave	Administrada por el cliente con Autokey (vista previa)	Administrada por el cliente (manual)	Propiedad de Google y administrada por Google (configuración predeterminada de Google)
Puede ver metadatos clave	Sí	Sí	Sí
Propiedad de las claves^1	Cliente	Cliente	Google
Puede administrar y controlar^2 teclas^3	La creación y asignación de claves es automática. El control manual del cliente es completamente compatible.	Cliente, solo control manual	Google
Compatible con los requisitos regulatorios de claves administradas por el cliente	Sí	Sí	No
Uso compartido de claves	Único para un cliente	Único para un cliente	Por lo general, los datos de varios clientes usan la misma clave de encriptación de claves (KEK).
Control de la rotación de claves	Sí	Sí	No.
Políticas de la organización de CMEK	Sí	Sí	No
Precios	Varía. Para obtener más información, consulta la sección Precios. Sin costo adicional para Autokey (versión preliminar)	Varía. Para obtener más información, consulta la sección Precios.	Gratis

¹ En términos legales, el propietario de la clave indica quién tiene los derechos de esta. Las claves que son propiedad del cliente tienen un acceso restringido de forma estricta o no tienen acceso por parte de Google.

² El control de las claves significa configurar controles sobre el tipo de claves y cómo se usan, detectar variaciones y planificar acciones correctivas si es necesario. Puedes controlar tus claves, pero debes delegar su administración a un tercero.

³ La administración de las claves incluye las siguientes funciones:

• Crea claves.
• Elige el nivel de protección de las claves.
• Asigna autoridad para la administración de las claves.
• Controla el acceso a las claves.
• Controla el uso de las claves.
• Configura y modifica el período de rotación de claves, o bien activa una rotación de claves.
• Cambiar el estado de la tecla
• Destruye versiones de claves.

Encriptación predeterminada con claves que son propiedad de Google y que administra Google

Todos los datos almacenados en Google Cloud se encriptan en reposo con los mismos sistemas de administración de claves endurecidos que Google usa para sus propios datos encriptados. Estos sistemas de administración de claves proporcionan auditorías y controles estrictos de acceso a las claves, y encriptan los datos en reposo del usuario mediante el estándar de encriptación AES-256. Google es propietario de las claves que se usan para encriptar tus datos y las controla. No podrás ver ni administrar estas claves, ni revisar los registros de uso de claves. Los datos de varios clientes pueden usar la misma clave de encriptación de claves (KEK). No se requiere configuración, ni administración.

Para obtener más información sobre la encriptación predeterminada en Google Cloud, consulta Encriptación en reposo predeterminada.

Claves de encriptación administradas por el cliente (CMEK)

Las claves de encriptación administradas por el cliente son tus propias claves de encriptación. Esta función te permite tener un mayor control sobre las claves que se usan para encriptar los datos en reposo dentro de los servicios compatibles de Google Cloud y proporciona un límite criptográfico alrededor de los datos. Puedes administrar las CMEK directamente en Cloud KMS o automatizar el aprovisionamiento y la asignación mediante Autokey de Cloud KMS (vista previa).

Los servicios que admiten CMEK tienen una integración con CMEK. La integración de CMEK es una tecnología de encriptación del lado del servidor que puedes usar en lugar de la encriptación predeterminada de Google. Después de configurar CMEK, el agente de servicio de recursos maneja las operaciones para encriptar y desencriptar recursos. Debido a que los servicios integrados con CMEK controlan el acceso al recurso encriptado, la encriptación y la desencriptación se pueden realizar con transparencia, sin el esfuerzo del usuario final. La experiencia de acceder a los recursos es similar a usar la encriptación predeterminada de Google. Para obtener más información sobre la integración de CMEK, consulta Qué proporciona un servicio integrado con CMEK.

Puedes usar una cantidad ilimitada de versiones para cada clave.

Para saber si un servicio admite claves CMEK, consulta la lista de servicios compatibles.

El uso de Cloud KMS genera costos relacionados con la cantidad de versiones de claves y operaciones criptográficas con esas versiones. Para obtener más información sobre los precios, consulta Precios de Cloud Key Management Service. No se requiere un compromiso mínimo de compra o compromiso.

Claves de encriptación administradas por el cliente (CMEK) con Autokey de Cloud KMS

Vista previa — Autokey

Esta función está sujeta a las "Condiciones de las Ofertas de Fase Previa a la DG" de la sección Condiciones Generales del Servicio de las Condiciones Específicas del Servicio. Las funciones de fase previa a la DG están disponibles “tal cual” y podrían tener asistencia limitada. Para obtener más información, consulta las descripciones de la etapa de lanzamiento.

Autokey de Cloud KMS simplifica la creación y la administración de las CMEK mediante la automatización del aprovisionamiento y la asignación. Con Autokey, los llaveros de claves y las claves se generan a pedido como parte de la creación de recursos, y los agentes de servicio que usan las claves para las operaciones de encriptación y desencriptación reciben automáticamente las funciones de Identity and Access Management (IAM) necesarias.

El uso de claves generadas por Autokey puede ayudarte a alinearte de manera coherente con los estándares de la industria y las prácticas recomendadas para la seguridad de los datos, incluida la alineación de la ubicación de los datos de las claves, la especificidad de la clave, el nivel de protección del módulo de seguridad de hardware (HSM), el programa de rotación de claves y la separación de obligaciones. Autokey crea claves que siguen los lineamientos generales y los específicos del tipo de recurso para los servicios de Google Cloud que se integran en Autokey. Las claves creadas con Autokey funcionan de forma idéntica a otras claves de Cloud HSM (Cloud HSM) con la misma configuración, incluida la compatibilidad con requisitos reglamentarios para claves administradas por el cliente. Para obtener más información sobre Autokey, consulta Descripción general de Autokey.

Cuándo usar claves administradas por el cliente

Puedes usar claves CMEK creadas de forma manual o claves que crea Autokey en servicios compatibles para ayudarte a cumplir con los siguientes objetivos:

• Sé el propietario de tus claves de encriptación.

• Controla y administra tus claves de encriptación, incluida la elección de la ubicación, el nivel de protección, la creación, el control de acceso, la rotación, el uso y la destrucción.

• Genera o mantén tu material de claves fuera de Google Cloud.

• Establece una política sobre dónde se deben usar tus claves.

• Borra de manera selectiva los datos protegidos por tus claves en caso de desvinculación o para solucionar eventos de seguridad (destrucción criptográfica).

• Usa claves que sean únicas para cada cliente y establezca un límite criptográfico para tus datos.

• Crea claves que sean exclusivas de un cliente para establecer un límite criptográfico en torno a tus datos.

• Registra el acceso administrativo y a los datos para las claves de encriptación.

• Cumplir con las reglamentaciones actuales o futuras que requieran alguno de estos objetivos

Qué proporciona un servicio integrado con CMEK

Al igual que la encriptación predeterminada de Google, las CMEK son simétricas y encriptadas del servidor de los datos del cliente. La diferencia con la encriptación predeterminada de Google es que la protección con CMEK usa una clave que un cliente controla. Las CMEK creadas de forma manual o automática con Autokey operan de la misma manera durante la integración del servicio.

• Los servicios de Cloud que tienen una integración de CMEK usan las claves que creas en Cloud KMS para proteger tus recursos.

• Los servicios integrados en Cloud KMS usan encriptación simétrica.

• El nivel de protección de la clave está dentro de tu control.

• Todas las claves son AES-GCM de 256 bits.

• El material de claves nunca sale del límite del sistema de Cloud KMS.

• Tus claves simétricas se usan para encriptar y desencriptar en el modelo de encriptación de sobre.

Los servicios integrados con CMEK hacen un seguimiento de las claves y los recursos

• Los recursos protegidos por CMEK tienen un campo de metadatos que contiene el nombre de la clave que los encripta. Por lo general, será visible para el cliente en los metadatos del recurso.

• El seguimiento de claves te indica qué recursos protege una clave para los servicios que admiten el seguimiento de claves.

• Las claves se pueden enumerar por proyecto.

Los servicios integrados con CMEK controlan el acceso a los recursos

La principal que crea o ve recursos en el servicio integrado de CMEK no requiere el encriptador o desencriptador de CryptoKey de Cloud KMS (roles/cloudkms.cryptoKeyEncrypterDecrypter) para las CMEK que se usan a fin de proteger el recurso.

Cada recurso de proyecto tiene una cuenta de servicio especial llamada agente de servicio que realiza la encriptación y desencriptación con claves administradas por el cliente. Una vez que le otorgues al agente de servicio acceso a una CMEK, el agente usará esa clave para proteger los recursos que elijas.

Cuando un solicitante desea acceder a un recurso encriptado con una clave administrada por el cliente, el agente de servicio intenta desencriptar el recurso solicitado automáticamente. Si el agente de servicio tiene permiso para desencriptar con la clave, y tú no la inhabilitaste ni la destruiste, el agente de servicio proporciona el uso de la clave para encriptar y desencriptar. De lo contrario, la solicitud fallará.

No se requiere acceso adicional de solicitante y, como el agente de servicio maneja la encriptación y la desencriptación en segundo plano, la experiencia del usuario para acceder a los recursos es similar a usar la encriptación predeterminada de Google.

Usa Autokey para CMEK

Para cada carpeta en la que quieres usar Autokey, existe un proceso de configuración único. Puedes elegir una carpeta para trabajar que admita Autokey y un proyecto de claves asociado en el que Autokey almacene las claves de esa carpeta. Para obtener más información sobre cómo habilitar Autokey, consulta Habilita Autokey de Cloud KMS.

En comparación con la creación manual de claves CMEK, Autokey no requiere los siguientes pasos de configuración:

• Los administradores de claves no necesitan crear claves o llaveros de claves de forma manual, ni asignar privilegios a los agentes de servicio que encriptan y desencriptan datos. El agente de servicio de Cloud KMS realiza estas acciones en su nombre.

• Los desarrolladores no necesitan planificar con anticipación las solicitudes de claves antes de la creación de recursos. Pueden solicitar claves a Autokey según sea necesario, mientras conservan la separación de obligaciones.

Cuando se usa Autokey, solo hay un paso: el desarrollador solicita las claves como parte de la creación de recursos. Las claves que se muestran son coherentes para el tipo de recurso previsto.

Tus claves CMEK creadas con Autokey se comportan de la misma manera que las claves creadas de forma manual para las siguientes funciones:

• Los servicios integrados con CMEK se comportan de la misma manera.

• El administrador de claves puede seguir supervisando todas las claves creadas y usadas por medio del panel de Cloud KMS y del seguimiento del uso de claves.

• Las políticas de la organización funcionan de la misma manera con Autokey que con las CMEK creadas de forma manual.

Para obtener una descripción general de Autokey, consulta Descripción general de Autokey. Para obtener más información sobre la creación de recursos protegidos por CMEK con Autokey, consulta Crea recursos protegidos con Autokey de Cloud KMS.

Crea claves CMEK de forma manual

Cuando creas tus claves CMEK de forma manual, los llaveros de claves, las claves y las ubicaciones de recursos deben planificarse y crearse antes de la creación de recursos. Luego, puedes usar tus claves para proteger los recursos.

Para conocer los pasos exactos a fin de habilitar CMEK, consulta la documentación del servicio de Google Cloud relevante. Algunos servicios, como GKE, tienen varias integraciones de CMEK para proteger diferentes tipos de datos relacionados con el servicio. Puedes esperar seguir pasos similares a los siguientes:

1. Crea un llavero de claves de Cloud KMS o elige uno existente. Cuando crees el llavero de claves, elige una ubicación que esté geográficamente cerca de los recursos que proteges. El llavero de claves puede estar en el mismo proyecto que los recursos que proteges o en proyectos diferentes. Usar proyectos diferentes te brinda un mayor control sobre las funciones de IAM y ayuda a admitir la separación de obligaciones.

2. Crea o importa una clave de Cloud KMS en el llavero de claves elegido. Esta es la clave CMEK.

3. Otorgas la función de IAM de encriptador o desencriptador de CryptoKey (roles/cloudkms.cryptoKeyEncrypterDecrypter) en la clave CMEK a la cuenta de servicio del servicio.

4. Cuando crees un recurso, configúralo para que use la clave CMEK. Por ejemplo, puedes configurar un clúster de GKE para que use CMEK a fin de proteger los datos en reposo en los discos de arranque de los nodos.

Para que un solicitante obtenga acceso a los datos, no necesita acceso directo a la clave CMEK.

Siempre que el agente de servicio tenga la función Encriptador/Desencriptador de CryptoKey, el servicio puede encriptar y desencriptar sus datos. Si revocas esta función o si inhabilitas o destruyes la clave CMEK, no se podrá acceder a esos datos.

Precaución: Algunos servicios pueden experimentar una pérdida de datos permanente cuando la clave CMEK permanece inhabilitada o inaccesible durante demasiado tiempo.

Cumplimiento de CMEK

Algunos servicios tienen integraciones con CMEK y te permiten administrar claves por tu cuenta. En cambio, algunos servicios ofrecen cumplimiento de CMEK, lo que significa que los datos temporales y la clave efímera nunca se escriben en el disco. Para obtener una lista completa de los servicios integrados y compatibles, consulta Servicios compatibles con CMEK.

Seguimiento del uso de claves

El seguimiento del uso de claves te muestra los recursos de Google Cloud dentro de tu organización que están protegidos por tus claves CMEK. Con el seguimiento del uso de claves, puedes ver los recursos protegidos, los proyectos y los productos únicos de Google Cloud que usan una clave específica, y si las claves están en uso. Para obtener más información sobre el seguimiento del uso de claves, consulta Ver uso de claves.

Políticas de la organización de CMEK

Google Cloud ofrece restricciones de políticas de la organización para garantizar el uso coherente de CMEK en un recurso de la organización. Estas restricciones proporcionan controles a los administradores de la organización para solicitar el uso de CMEK y especificar limitaciones y controles en las claves de Cloud KMS que se usan para la protección de CMEK, incluidos los siguientes:

• Límites en las claves de Cloud KMS que se usan para la protección con CMEK

• Límites en los niveles de protección de claves permitidos

• Límites en la ubicación de las claves CMEK

• Controles para la destrucción de la versión de clave

Si quieres obtener más información sobre las políticas de la organización para CMEK, consulta Políticas de la organización de CMEK.

¿Qué sigue?

• Consulta la lista de servicios con integraciones de CMEK.
• Consulta la lista de servicios compatibles con CMEK.
• Consulta la lista de tipos de recursos que pueden tener seguimiento del uso de claves.
• Consulta la lista de servicios compatibles con Autokey.