Descripción general de Cloud Key Management Service

Cloud Key Management Service (Cloud KMS) te permite crear y administrar claves CMEK para usarlas en servicios de Google Cloud compatibles y en tus propias aplicaciones. Con Cloud KMS, puedes hacer lo siguiente:

• Genera claves de software o hardware, importa claves existentes a Cloud KMS o vincula claves externas en tu sistema de administración de claves externas (EKM) compatible.

• Usa claves de encriptación administradas por el cliente (CMEK) en productos de Google Cloud con integración de CMEK. Las integraciones de CMEK usan tus claves CMEK para encriptar o “unir” tus claves de encriptación de datos (DEK). La unión de las DEK con claves de encriptación de claves (KEK) se denomina encriptación de sobre.

• Usa Autokey de Cloud KMS (versión preliminar) para automatizar el aprovisionamiento y la asignación. Con Autokey, no necesitas aprovisionar llaveros de claves, claves ni cuentas de servicio con anticipación. En cambio, se generan a pedido como parte de la creación de recursos.

• Usar claves de Cloud KMS para operaciones de encriptación y desencriptación. Por ejemplo, puedes usar la API de Cloud KMS o las bibliotecas cliente para usar tus claves de Cloud KMS en la encriptación del cliente.

• Usa las claves de Cloud KMS para crear o verificar firmas digitales o firmas de código de autenticación de mensajes (MAC).

Elige la encriptación adecuada para tus necesidades

Puedes usar la siguiente tabla para identificar qué tipo de encriptación satisface tus necesidades en cada caso de uso. La mejor solución para tus necesidades puede incluir una combinación de métodos de encriptación. Por ejemplo, puedes usar claves de software para los datos menos sensibles y hardware o claves externas para los datos más sensibles. Para obtener información adicional sobre las opciones de encriptación que se describen en esta sección, consulta Protege datos en Google Cloud en esta página.

AI Platform Training AlloyDB para PostgreSQL IA para prevención del lavado de dinero Application Integration Artifact Registry Copia de seguridad para GKE BigQuery Bigtable Cloud Composer Cloud Data Fusion Cloud Functions Cloud Logging Cloud Run Cloud SQL Cloud Storage Cloud Tasks Cloud Workstations Compute Engine Contact Center AI Insights Database Migration Service Dataflow Dataform Dataproc Dataproc Metastore Datastream Dialogflow CX Document AI Eventarc Filestore Firestore Google Distributed Cloud Edge Google Kubernetes Engine Looker (Google Cloud Core) Memorystore for Redis Migrate to Virtual Machines Pub/Sub Secret Manager Secure Source Manager Spanner Speaker ID Speech‑to‑Text Vertex AI Vertex AI Workbench Instancias de Vertex AI Workbench Workflows Cualquiera Nivel 1 Nivel 2 Nivel 3 Borrar todo

Tipo de encriptación	Costo	Servicios compatibles	Funciones
Claves de Google y administradas por Google (encriptación predeterminada de Google Cloud)	Incluido	Todos los servicios de Google Cloud que almacenan datos del cliente	No se requiere configuración. Encripta automáticamente los datos del cliente guardados en cualquier servicio de Google Cloud. La mayoría de los servicios rotan las claves automáticamente. Admite la encriptación mediante AES-256. Con validación de nivel 1 del estándar FIPS 140‐2.
Claves de encriptación administradas por el cliente: software (claves de Cloud KMS)	$0.06 por versión de clave	Más de 40 servicios	Tú controlas el programa de rotación automática de claves; los roles y permisos de IAM, y la habilitación, la inhabilitación o la destrucción de versiones de claves. Admite claves simétricas y asimétricas para la encriptación y desencriptación. Rota automáticamente las claves simétricas. Admite varios algoritmos comunes. Con validación de nivel 1 del estándar FIPS 140‐2. Las claves son únicas para cada cliente.
Claves de encriptación administradas por el cliente: hardware (claves de Cloud HSM)	De $1.00 a $2.50 por versión de clave al mes	Más de 40 servicios	De manera opcional, se administra a través de Autokey de Cloud KMS (vista previa). Tú controlas el programa de rotación automática de claves; los roles y permisos de IAM, y la habilitación, la inhabilitación o la destrucción de versiones de claves. Admite claves simétricas y asimétricas para la encriptación y desencriptación. Rota automáticamente las claves simétricas. Admite varios algoritmos comunes. Nivel 3 del estándar FIPS 140‐2 validado. Las claves son únicas para cada cliente.
Claves de encriptación administradas por el cliente: externas (claves de Cloud EKM)	$3.00 por versión de clave, por mes	Más de 30 servicios	Tú controlas los roles y permisos de IAM, además de habilitar, inhabilitar o destruir versiones de clave. Las claves nunca se envían a Google. El material de claves reside en un proveedor de administración de claves externo (EKM) compatible. Los servicios de Google Cloud compatibles se conectan a tu proveedor de EKM a través de Internet o una nube privada virtual (VPC). Admite claves simétricas para la encriptación y desencriptación. Rota manualmente tus claves en coordinación con Cloud EKM y tu proveedor de EKM. Cuenta con la validación FIPS 140-2 Nivel 2 o FIPS 140-2 Nivel 3, según el EKM. Las claves son únicas para cada cliente.
Encriptación del cliente con claves de Cloud KMS	El costo de las versiones de claves activas depende del nivel de protección de la clave.	Usa bibliotecas cliente en tus aplicaciones.	Tú controlas el programa de rotación automática de claves; los roles y permisos de IAM, y la habilitación, la inhabilitación o la destrucción de versiones de claves. Admite claves simétricas y asimétricas para la encriptación, desencriptación, firma y validación de firmas. La funcionalidad varía según el nivel de protección de la clave.
Claves de encriptación proporcionadas por el cliente	Podrían aumentar los costos asociados con Compute Engine o Cloud Storage.	Compute Engine Cloud Storage	Proporcionas materiales clave cuando es necesario. El material de las claves reside en la memoria. Google no almacena de forma permanente tus claves en nuestros servidores.
Confidential Computing	Costo adicional para cada VM confidencial; puede aumentar el uso de registros y los costos asociados	Compute Engine GKE Dataproc	Proporciona encriptación en uso para VMs que manejan cargas de trabajo o datos sensibles. Google no puede acceder a las claves.

Protección de datos en Google Cloud

Claves de propiedad y administradas por Google (encriptación predeterminada de Google Cloud)

De forma predeterminada, los datos en reposo en Google Cloud están protegidos por claves en Keystore, el servicio de administración de claves interno de Google. Google administra las claves del almacén de claves de forma automática, sin que debas configurar nada. La mayoría de los servicios rotan las claves automáticamente. El almacén de claves admite una versión de clave primaria y un número limitado de versiones de claves anteriores. La versión de clave primaria se usa para encriptar claves de encriptación de datos nuevas. Se pueden usar versiones anteriores para desencriptar claves de encriptación de datos existentes. No puedes ver ni administrar estas claves, ni revisar los registros de uso de claves. Los datos de varios clientes pueden usar la misma clave de encriptación de claves.

Esta encriptación predeterminada usa módulos criptográficos que están validados para cumplir con el nivel 1 del estándar FIPS 140-2.

Nota: La encriptación predeterminada de Google Cloud no es una función de Cloud Key Management Service. Para obtener más información sobre la encriptación predeterminada de Google Cloud, consulta Encriptación en reposo predeterminada.

Claves de encriptación administradas por el cliente (CMEK)

Las claves de Cloud KMS que se usan para proteger tus recursos en los servicios integrados con CMEK son claves de encriptación administradas por el cliente (CMEK). Puedes poseer y controlar CMEK, y delegar las tareas de creación y asignación de claves a Autokey de Cloud KMS (vista previa). Para obtener más información sobre la automatización del aprovisionamiento para CMEK, consulta Cloud Key Management Service con Autokey.

Puedes usar tus claves de Cloud KMS en servicios compatibles para cumplir los siguientes objetivos:

• Sé el propietario de tus claves de encriptación.

• Controla y administra tus claves de encriptación, incluida la elección de la ubicación, el nivel de protección, la creación, el control de acceso, la rotación, el uso y la destrucción.

• Borra de manera selectiva los datos protegidos por tus claves en caso de desvinculación o para solucionar eventos de seguridad (destrucción criptográfica).

• Crea claves dedicadas de usuario único que establezcan un límite criptográfico alrededor de tus datos.

• Registra el acceso administrativo y a los datos a las claves de encriptación.

• Cumplir con las reglamentaciones actuales o futuras que requieran alguno de estos objetivos

Cuando usas claves de Cloud KMS con servicios integrados de CMEK, puedes usar las políticas de la organización para asegurarte de que las CMEK se usen como se especifica en las políticas. Por ejemplo, puedes establecer una política de la organización que garantice que tus recursos compatibles de Google Cloud usen tus claves de Cloud KMS para la encriptación. Las políticas de la organización también pueden especificar en qué proyecto deben residir los recursos clave.

Las funciones y el nivel de protección que se proporcionan dependen del nivel de protección de la clave:

• Claves de software: Puedes generar claves de software en Cloud KMS y usarlas en todas las ubicaciones de Google Cloud. Puedes crear claves simétricas con rotación automática o claves asimétricas con rotación manual. Las claves de software administradas por el cliente usan módulos de criptografía de software validados por el nivel 1 del estándar FIPS 140-2. También tienes el control sobre el período de rotación, las funciones y los permisos de Identity and Access Management (IAM), y las políticas de la organización que rigen tus claves. Puedes usar tus claves de software con más de 40 recursos compatibles de Google Cloud.

• Claves de software importadas: Puedes importar claves de software que hayas creado en otro lugar para usarlas en Cloud KMS. Puedes importar versiones de claves nuevas para rotar las claves importadas de forma manual. Puedes usar funciones y permisos de IAM, así como políticas de la organización para controlar el uso de tus claves importadas.

• Claves de hardware y Cloud HSM: Puedes generar claves de hardware en un clúster de módulos de seguridad de hardware (HSM) FIPS 140-2 nivel 3. Tienes el control del período de rotación, las funciones y los permisos de IAM, y las políticas de la organización que rigen tus claves. Cuando creas claves de HSM con Cloud HSM, Google administra los clústeres de HSM para que tú no tengas que hacerlo. Puedes usar tus claves HSM con más de 40 recursos de Google Cloud compatibles, los mismos servicios que admiten claves de software. Para el nivel más alto de cumplimiento de seguridad, usa claves de hardware.

• Claves externas y Cloud EKM: Puedes usar claves que residen en un administrador de claves externo (EKM). Cloud EKM te permite usar claves conservadas en un administrador de claves compatible para proteger tus recursos de Google Cloud. Puedes conectarte a tu EKM por Internet o a través de una nube privada virtual (VPC). Algunos servicios de Google Cloud compatibles con claves de software o hardware no admiten claves de Cloud EKM.

Claves de Cloud KMS

Puedes usar tus claves de Cloud KMS en aplicaciones personalizadas mediante las bibliotecas cliente de Cloud KMS o la API de Cloud KMS. Las bibliotecas cliente y la API te permiten encriptar y desencriptar datos, firmar datos y validar firmas.

Claves de encriptación proporcionadas por el cliente (CSEK)

Cloud Storage y Compute Engine pueden usar claves de encriptación proporcionadas por el cliente (CSEK). Con las claves de encriptación proporcionadas por el cliente, almacenas el material de la clave y lo proporcionas a Cloud Storage o Compute Engine cuando es necesario. Google no almacena tus CSEK de ninguna manera.

Nota: La compatibilidad con CSEK no es una característica de Cloud Key Management Service. Para obtener más información sobre CSEK, consulta Claves de encriptación proporcionadas por el cliente de Cloud Storage o Claves de encriptación proporcionadas por el cliente de Compute Engine.

Confidential Computing

En Compute Engine, GKE y Dataproc, puedes usar la plataforma de Confidential Computing para encriptar tus datos en uso. Confidential Computing garantiza que tus datos permanezcan privados y encriptados incluso mientras se procesan.

Nota: Confidential Computing no es una función de Cloud KMS. Para obtener más información sobre Confidential Computing, consulta Confidential Computing.