Chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)

Este documento apresenta uma visão geral do uso do Cloud Key Management Service (Cloud KMS) para gerenciadas pelo cliente (CMEK, na sigla em inglês). O uso da CMEK do Cloud KMS oferece propriedade e controle das chaves que protegem seus dados em repouso no Google Cloud.

Comparação entre CMEK e chaves de propriedade do Google e gerenciadas pelo Google

As chaves do Cloud KMS que você cria são gerenciadas pelo cliente. Google serviços que usam suas chaves têm uma integração de CMEK. Você pode gerenciar essas CMEKs diretamente Autokey do Cloud KMS (Prévia). Os fatores a seguir diferenciam a criptografia em repouso do Google chaves gerenciadas pelo cliente:

Tipo de chave Gerenciado pelo cliente com Autokey (pré-lançamento) Gerenciada pelo cliente (manual) Pertencente e gerenciado pelo Google (padrão do Google)
Pode ver os metadados da chave Sim Sim Sim
Propriedade das chaves1 Cliente Cliente Google
Pode gerenciar e controlar2 chaves3 A criação e a atribuição de chaves são automatizadas. O controle manual do cliente é com suporte total. Cliente, somente controle manual Google
Atende aos requisitos regulatórios de chaves gerenciadas pelo cliente Sim Sim Não
Compartilhamento de chaves Exclusivo para um cliente Exclusivo para um cliente Os dados de vários clientes geralmente usam a mesma chave de criptografia de chaves (KEK).
Controle da rotação de chaves Sim Sim Não
Políticas da organização CMEK Sim Sim Não
Preços Varia: para mais informações, consulte Preços. Sem custo extra para o Autokey (Prévia) Varia: para mais informações, consulte Preços Gratuito

1 Em termos jurídicos, o proprietário da chave indica quem detém os direitos à chave. As chaves que pertencem ao cliente têm acesso restrito ou nenhum acesso do Google.

2Controle de teclas significa definir controles sobre o tipo de chaves e como as chaves são usadas, detectando variações e planejando ações corretivas, se necessário. Você pode controlar suas chaves, mas delegar o gerenciamento delas a terceiros.

3O gerenciamento de chaves inclui os seguintes recursos:

  • Criar chaves.
  • Escolha o nível de proteção das chaves.
  • Atribua autoridade para o gerenciamento das chaves.
  • Controle o acesso às chaves.
  • Controle o uso das chaves.
  • Defina e modifique o período de rotação das chaves ou acione uma rotação de chaves.
  • Mudar o status da chave.
  • Destrua as versões de chave.

Criptografia padrão com chaves de propriedade e gerenciadas pelo Google

Todos os dados armazenados no Google Cloud são criptografados em repouso usando a mesma sistemas de gerenciamento de chaves com aumento da proteção que o Google usa para nossos próprios dados criptografados. Esses sistemas de gerenciamento de chaves oferecem auditoria e controles estritos de acesso por chave, e criptografar dados em repouso do usuário com o padrão de criptografia AES-256. Proprietários do Google e controla as chaves usadas para criptografar seus dados. Não é possível visualizar nem gerenciar essas chaves ou analise os registros de uso delas. Os dados de vários clientes podem usar a mesma de criptografia de chaves (KEK). Nenhuma configuração, configuração ou gerenciamento é necessário.

Para mais informações sobre a criptografia padrão no Google Cloud, consulte Criptografia padrão de descanso.

Chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)

As chaves de criptografia gerenciadas pelo cliente são suas. Isso oferece maior controle sobre as chaves usadas para criptografar dados em repouso nos serviços com suporte do Google Cloud e oferece limite criptográfico em torno dos dados. É possível gerenciar CMEKs diretamente Cloud KMS, ou automatize o provisionamento e a atribuição Autokey do Cloud KMS (Prévia).

Os serviços com suporte a CMEK têm uma integração de CMEK. A integração de CMEK é um de criptografia do lado do servidor que pode ser usada no lugar da tecnologia padrão criptografia. Após a configuração da CMEK, as operações de criptografia e descriptografia os recursos são tratados pelo agente de serviço de recursos. Como a integração com a CMEK serviços lidam com o acesso ao recurso criptografado, à criptografia e à descriptografia podem ocorrer com transparência, sem o esforço do usuário final. A experiência de acessar recursos é semelhante a usar a criptografia padrão do Google. Para mais informações sobre a integração da CMEK, consulte O que um serviço integrado de CMEK oferece.

É possível usar versões ilimitadas para cada chave.

Para saber se um serviço oferece suporte a chaves CMEK, consulte o lista de serviços com suporte.

O uso do Cloud KMS tem custos relacionados ao número de versões de chaves e operações criptográficas com essas versões de chave. Para mais informações sobre consulte Preços do Cloud Key Management Service. Não há valor mínimo de compra ou compromisso é necessário.

Chaves de criptografia gerenciadas pelo cliente (CMEK) com o Cloud KMS Autokey

O Cloud KMS Autokey simplifica a criação e o gerenciamento de chaves CMEK automatizando e atribuição. Com o Autokey, keyrings e chaves são geradas sob demanda como parte da criação de recursos, e os agentes de serviço que usam as chaves para operações de criptografia e descriptografia recebem automaticamente o e os papéis necessários do Identity and Access Management (IAM).

Usar chaves geradas pelo Autokey pode ajudar você a se alinhar de forma consistente com do setor e práticas recomendadas para segurança de dados, incluindo alinhamento da localização dos dados de chave, especificidade da chave, módulo de segurança de hardware (HSM, na sigla em inglês) nível de proteção, cronograma de rotação de chaves e separação de tarefas. O Autokey cria chaves que seguem as diretrizes gerais e diretrizes específicas para o tipo de recurso dos serviços do Google Cloud que se integrar ao Autokey. Chaves criadas usando a função Autokey de maneira idêntica a outras chaves do Cloud HSM (Cloud HSM) com as mesmas configurações, incluindo suporte a requisitos regulatórios para chaves gerenciadas pelo cliente. Para mais informações sobre o Autokey, consulte Visão geral do Autokey.

Quando usar chaves gerenciadas pelo cliente

É possível usar chaves CMEK criadas manualmente ou pelo Autokey no serviços compatíveis para ajudar você a atingir as metas a seguir:

  • Tenha suas chaves de criptografia.

  • Controle e gerencie suas chaves de criptografia, incluindo a escolha do local, nível de proteção, criação, controle de acesso, rotação, uso e destruição.

  • Gere ou mantenha seu material de chave fora do Google Cloud.

  • Defina a política sobre onde as chaves precisam ser usadas.

  • excluir seletivamente os dados protegidos pelas chaves em caso de desligamento ou para remediar ocorrências de segurança (trituração criptográfica).

  • Use chaves exclusivas de um cliente, estabelecendo um limite criptográfico em torno dos seus dados.

  • Criar chaves exclusivas de um cliente para estabelecer uma criptografia limite em torno dos seus dados.

  • Registrar acesso administrativo e dados à criptografia chaves.

  • Cumprir regulamentos atuais ou futuros que exigem qualquer um desses objetivos.

O que um serviço integrado de CMEK oferece

Assim como a criptografia padrão do Google, as CMEKs são do lado do servidor, simétricas, e criptografia dos dados do cliente. A diferença da criptografia padrão do Google é que a proteção de CMEK use uma chave controlada por um cliente. Chaves CMEK criadas manual ou automaticamente usando o Autokey operem da mesma forma durante integração de serviços.

  • Serviços do Cloud que têm uma integração de CMEK usar chaves criadas no Cloud KMS para proteger seus recursos.

  • Os serviços integrados ao Cloud KMS usam criptografia.

  • O nível de proteção da chave está dentro de seu controle.

  • Todas as chaves são AES-GCM de 256 bits.

  • O material da chave nunca sai dos limites do sistema do Cloud KMS.

  • Suas chaves simétricas são usadas para criptografar e descriptografar no envelope modelo de criptografia de dados.

Os serviços integrados ao CMEK rastreiam chaves e recursos

  • Os recursos protegidos pela CMEK têm um campo de metadados com o nome do que a criptografa. Geralmente, isso fica visível para o cliente metadados de recursos.

  • O rastreamento de chaves informa quais recursos uma chave protege, para serviços que dão suporte ao rastreamento de chaves.

  • As chaves podem ser listadas por projeto.

Os serviços integrados ao CMEK lidam com o acesso aos recursos

O principal que cria ou visualiza recursos no serviço integrado de CMEK não requer o Criptografador/Descriptografador de CryptoKey do Cloud KMS (roles/cloudkms.cryptoKeyEncrypterDecrypter) para a CMEK usada para proteger o recurso.

Cada recurso do projeto tem uma conta de serviço especial chamada agente de serviço que realiza criptografia e descriptografia com chaves gerenciadas pelo cliente. Uma vez que você dar acesso ao agente de serviço para uma CMEK, esse agente de serviço vai usar essa chave para proteger os recursos dos seus uma melhor opção.

Quando um solicitante quer acessar um recurso criptografado com uma conta de serviço chave, o agente de serviço tenta descriptografar automaticamente o recurso solicitado. Se o agente de serviço tiver permissão para descriptografar usando a chave e você não desativado ou destruído a chave, o agente de serviço fornece criptografia e descriptografia o uso da chave. Caso contrário, a solicitação falhará.

Nenhum acesso adicional do solicitante é necessário e, como o agente de serviço lida com a criptografia e a descriptografia em segundo plano, a experiência do usuário acessar recursos é semelhante a usar a criptografia padrão do Google.

Como usar o Autokey para CMEK

Para cada pasta em que você quer usar o Autokey, há um de configuração do Terraform. Você pode escolher uma pasta para trabalhar Suporte ao Autokey e um projeto de chave associado em que o Autokey armazena as chaves da pasta. Para mais informações sobre como ativar Autokey, consulte Ativar o Autokey do Cloud KMS.

Em comparação com a criação manual de chaves CMEK, o Autokey não exige a seguintes etapas de configuração:

  • Os administradores de chaves não precisam criar keyrings ou chaves manualmente nem atribuir para os agentes de serviço que criptografam e descriptografam os dados. O O agente de serviço do Cloud KMS realiza essas ações em nome dele.

  • Os desenvolvedores não precisam planejar com antecedência para solicitar chaves antes de usar recursos criação. Eles podem solicitar chaves do Autokey, conforme necessário, ao mesmo tempo em que preserva separação de deveres.

Ao usar o Autokey, há apenas uma etapa: o desenvolvedor solicita a como parte da criação de recursos. As chaves retornadas são consistentes com a o tipo de recurso pretendido.

As chaves CMEK criadas com o Autokey se comportam da mesma forma que chaves criadas manualmente para os seguintes recursos:

  • Os serviços integrados às CMEKs se comportam da mesma forma.

  • O administrador da chave pode continuar monitorando todas as chaves criadas e usadas. com o painel do Cloud KMS rastreamento de uso de chaves.

  • As políticas da organização funcionam da mesma forma que o Autokey. com chaves CMEK criadas manualmente.

Para uma visão geral do Autokey, consulte Visão geral do Autokey. Para mais informações sobre como criar recursos protegidos por CMEK com o Autokey, consulte Criar recursos protegidos usando o Autokey do Cloud KMS.

Como criar chaves CMEK manualmente

Quando você cria manualmente chaves CMEK, keyrings, chaves e locais de recursos precisam ser planejadas e criadas antes da criação de recursos. Em seguida, você pode usar as chaves para proteger os recursos.

Para saber mais sobre as etapas exatas para ativar o CMEK, consulte a documentação do serviço do Google Cloud relevante. Alguns serviços, como o GKE, tenha várias integrações de CMEK para proteger diferentes tipos de dados relacionados ao serviço. Siga estas etapas:

  1. Crie um keyring do Cloud KMS ou escolha um atual. Quando criar seu keyring, escolha um local geograficamente próximo ao e os recursos que você está protegendo. O keyring pode estar no mesmo projeto que o que você está protegendo ou em projetos diferentes. O uso de diferentes oferece maior controle sobre os papéis do IAM e ajuda aceitar a separação de tarefas;

  2. Você cria ou importa uma chave do Cloud KMS no keyring escolhido. Isso é a chave CMEK.

  3. Você concede à CryptoKey Criptografador/Descriptografador do IAM cargo (roles/cloudkms.cryptoKeyEncrypterDecrypter) na chave CMEK para o conta de serviço para o serviço.

  4. Ao criar um recurso, configure-o para usar a chave CMEK. Para por exemplo, é possível configurar um cluster do GKE para usar a CMEK e para proteger os dados em repouso nos discos de inicialização nós.

Para que um solicitante tenha acesso aos dados, ele não precisa de acesso direto à Chave CMEK.

O agente de serviço precisa ter a permissão Criptografador/Descriptografador do CryptoKey papel, o serviço pode criptografar e descriptografar os dados. Se você revogar esse papel ou Se você desativar ou destruir a chave CMEK, esses dados não poderão ser acessados.

Conformidade com CMEK

Alguns serviços têm integrações com CMEKs e permitem que você gerencie as chaves por conta própria. Alguns serviços oferecem conformidade com CMEK, o que significa que os dados temporários e temporárias nunca são gravadas em disco. Para uma lista completa de soluções integradas serviços em conformidade, consulte Serviços compatíveis com CMEK

Monitoramento do uso de chaves

O rastreamento de uso de chaves mostra os recursos do Google Cloud na sua organização protegidas pelas chaves CMEK. Com o rastreamento do uso de chaves, você podem acessar os recursos protegidos, os projetos e os produtos exclusivos do Google Cloud que usam uma chave específica e se as chaves estão em uso. Para mais informações sobre para acompanhar o uso da chave, consulte Ver o uso da chave.

Políticas da organização de CMEK

O Google Cloud tem restrições de políticas da organização para ajudar a garantir uso consistente de CMEKs em um recurso da organização. Essas restrições fornecem controles aos administradores da organização para exigir o uso de CMEK e especificar limitações e controles nas chaves do Cloud KMS usadas para CMEK incluindo:

Para mais informações sobre as políticas da organização para CMEK, consulte Políticas da organização de CMEK.

A seguir