Descripción general de Cloud Key Management Service

Cloud Key Management Service (Cloud KMS) te permite crear y administrar claves CMEK para que puedes usar en servicios compatibles de Google Cloud y en tus propias aplicaciones. Con Cloud KMS, puedes hacer lo siguiente:

• Genera claves de software o hardware, importa claves existentes a Cloud KMS o vincula las claves externas en tu clave externa compatible (EKM).

• Usa claves de encriptación administradas por el cliente (CMEK) en productos de Google Cloud con la integración de CMEK. Las integraciones de CMEK usan tus claves de CMEK para encriptar o “unir” tus claves de encriptación de datos (DEK). La unión de DEK con claves de encriptación de claves (KEK) se denomina encriptación de sobre.

• Usa Cloud KMS Autokey para automatizar el aprovisionamiento y la asignación. Con la clave automática, no necesitas aprovisionar llaveros de claves, claves y cuentas de servicio con anticipación. sino que se generan demanda como parte de la creación de recursos.

• Usa claves de Cloud KMS para las operaciones de encriptación y desencriptación. Para ejemplo, puedes usar la API de Cloud KMS o las bibliotecas cliente para usar tus claves de Cloud KMS para las operaciones del cliente encriptación.

• Usa claves de Cloud KMS para crear o verificar firmas digitales o firmas de código de autenticación de mensajes (MAC).

Elige la encriptación adecuada para tus necesidades

Puedes usar la siguiente tabla para identificar qué tipo de encriptación cumple con tus las necesidades de cada caso de uso. La mejor solución para tus necesidades podría incluir una combinación de enfoques de encriptación. Por ejemplo, puedes usar claves de software para los datos y el hardware menos sensibles o las claves externas de datos no estructurados. Para obtener información adicional sobre las opciones de encriptación que se describen en esta sección, consulta Cómo proteger los datos en Google Cloud en esta página.

Agent Assist AI Platform Training AlloyDB para PostgreSQL IA para prevención del lavado de dinero Apigee Concentrador de API de Apigee Application Integration Artifact Registry Copia de seguridad para GKE BigQuery Bigtable Cloud Composer Cloud Data Fusion API de Cloud Healthcare Cloud Logging Cloud Run Funciones de Cloud Run Cloud SQL Cloud Storage Cloud Tasks Cloud Workstations Colab Enterprise Compute Engine Contact Center AI Insights Database Migration Service Dataflow Dataform Dataproc Dataproc Metastore DataStream Dialogflow CX Document AI Eventarc Filestore Firestore Google Cloud NetApp Volumes Google Distributed Cloud Google Kubernetes Engine Looker (Google Cloud Core) Memorystore for Redis Migrate to Virtual Machines Pub/Sub Secret Manager Secure Source Manager Spanner Speaker ID Speech-to-Text Vertex AI Vertex AI Agent Builder Vertex AI Workbench Instancias de Vertex AI Workbench Workflows Cualquiera Nivel 1 Nivel 2 Nivel 3 Borrar todo

Tipo de encriptación	Costo	Servicios compatibles	Funciones
Claves de propiedad y administradas por Google (encriptación predeterminada de Google Cloud)	Incluida	Todos los servicios de Google Cloud que almacenan datos del cliente	No se requiere configuración. Encripta automáticamente los datos del cliente guardados en servicio de Google Cloud. La mayoría de los servicios rotan las claves automáticamente. Admite la encriptación mediante AES-256. Cumple con el nivel 1 del estándar FIPS 140-2.
Claves de encriptación administradas por el cliente: software (claves de Cloud KMS)	$0.06 por versión de clave	Más de 40 servicios	Tú controlas el programa de rotación automática de claves. roles y permisos de IAM; habilitar, inhabilitar o destruir versiones de claves. Admite claves simétricas y asimétricas para la encriptación y la desencriptación. Rota automáticamente las claves simétricas. Admite varios algoritmos comunes. Con validación de nivel 1 del estándar FIPS 140‐2. Las claves son únicas para cada cliente.
Claves de encriptación administradas por el cliente: hardware (claves de Cloud HSM)	De $1.00 a $2.50 por versión de clave al mes	Más de 40 servicios	De manera opcional, se administra a través de Autokey de Cloud KMS. Controlas el programa de rotación automática de claves, los roles y permisos de IAM, y habilitas, inhabilitas o destruyes versiones de claves. Admite claves simétricas y asimétricas para la encriptación y desencriptación. Rota automáticamente las claves simétricas. Admite varios algoritmos comunes. Validación de nivel 3 del estándar FIPS 140-2 Las claves son únicas para un cliente.
Claves de encriptación administradas por el cliente: externas (claves de Cloud EKM)	$3.00 por versión de clave, por mes	Más de 30 servicios	Controlas los roles y permisos de IAM, y habilitas, inhabilitas o destruyes versiones de claves. Las claves nunca se envían a Google. El material de claves se encuentra en un clave externa compatible (EKM). Los servicios de Google Cloud compatibles se conectan a tu proveedor de EKM mediante la a Internet o una Privado virtual Cloud (VPC). Admite claves simétricas para la encriptación y desencriptación. Rota las claves manualmente de manera coordinada con Cloud EKM y tu proveedor de EKM. Validación FIPS 140-2 Nivel 2 o FIPS 140-2 Nivel 3, según en el EKM. Las claves son únicas para cada cliente.
Encriptación del cliente con claves de Cloud KMS	El costo de las versiones de claves activas depende del nivel de protección de la .	Usar bibliotecas cliente en tus aplicaciones	Tú controlas el programa de rotación automática de claves. roles y permisos de IAM; habilitar, inhabilitar o destruir versiones de claves. Admite claves simétricas y asimétricas para encriptación, la desencriptación, la firma y la validación de firmas. La funcionalidad varía según el nivel de protección de la clave.
Claves de encriptación proporcionadas por el cliente	Podrían aumentar los costos asociados con Compute Engine o Cloud Storage	Compute Engine Cloud Storage	Proporcionas materiales clave cuando sea necesario. El material de claves reside en la memoria. Google no lo hace de forma permanente. almacenar tus claves en nuestros servidores.
Procesamiento confidencial	Costo adicional por cada VM confidencial. Es posible que aumente el uso de registros y los costos asociados.	Compute Engine GKE Dataproc	Proporciona encriptación en uso para las VMs que manejan datos sensibles o cargas de trabajo. Google no puede acceder a las claves.

Protege los datos en Google Cloud

Claves que son propiedad de Google y están administradas por Google (encriptación predeterminada de Google Cloud)

De forma predeterminada, los datos en reposo en Google Cloud están protegidos por claves en Keystore, el servicio de administración de claves interno de Google. Se administran las claves del almacén de claves automáticamente sin que debas configurar nada. Más probable de Google automáticamente rotan las claves por ti. Keystore admite una versión de clave principal y una cantidad limitada de versiones de claves anteriores. La versión de clave primaria es para encriptar nuevas claves de encriptación de datos. Las versiones de clave más antiguas aún se pueden usar para desencriptar las claves de encriptación de datos existentes. No puedes ver o administrar estas claves ni revisar los registros de uso de claves. Los datos de varios clientes pueden usar la misma clave de encriptación de claves.

Esta encriptación predeterminada usa módulos criptográficos que están validados para cumplir con el nivel 1 del estándar FIPS 140-2.

Nota: La encriptación predeterminada de Google Cloud no es una función Cloud Key Management Service. Para obtener más información sobre la encriptación predeterminada de Google Cloud, consulta Encriptación en reposo predeterminada.

Claves de encriptación administradas por el cliente (CMEK)

Las claves de Cloud KMS que se usan para proteger tus recursos en los servicios integrados con CMEK son claves de encriptación administradas por el cliente (CMEK). Puedes poseer y controlar las CMEK, mientras delegas las tareas de creación y asignación de claves a Autokey de Cloud KMS. Para obtener más información sobre cómo automatizar el aprovisionamiento de CMEK, consulta Cloud Key Management Service con Autokey.

Puedes usar tus claves de Cloud KMS en servicios compatibles para ayudarte a cumplir con los siguientes objetivos:

• Sé el propietario de tus claves de encriptación.

• Controla y administra tus claves de encriptación, incluida la elección de la ubicación, el nivel de protección, la creación, el control de acceso, la rotación, el uso y la destrucción.

• Borrar de forma selectiva los datos protegidos por tus claves en el caso de desvinculación o para solucionar eventos de seguridad (destrucción criptográfica).

• Crea claves dedicadas de usuario único que establezcan un límite criptográfico. en torno a tus datos.

• Registra el acceso administrativo y a los datos a las claves de encriptación.

• Cumple con la reglamentación actual o futura que requiera cualquiera de estos objetivos.

Cuando usas claves de Cloud KMS con servicios integrados con CMEK, puedes usar políticas de la organización para garantizar que las CMEK se usen como se especifica en el y políticas de seguridad. Por ejemplo, puedes establecer una política de la organización que garantice que tus recursos compatibles de Google Cloud usen tus claves de Cloud KMS para la encriptación. Las políticas de la organización también pueden especificar deben residir los recursos de claves.

Las funciones y el nivel de protección proporcionados dependen del nivel de protección de la clave:

• Claves de software: Puedes generar claves de software en Cloud KMS y usarlos en todas las ubicaciones de Google Cloud. Tú puedes crear claves simétricas con rotación automática o claves asimétricas con rotación manual. Las claves de software administradas por el cliente usan módulos de criptografía de software validados por el nivel 1 del estándar FIPS 140-2. También puedes controlar el período de rotación, Roles y permisos de Identity and Access Management (IAM), además de políticas de la organización que rigen tus claves. Puedes usar tus claves de software con más de 40 recursos de Google Cloud compatibles.

• Claves de software importadas: Puedes importar claves de software que creaste. en cualquier otro lugar para usar en Cloud KMS. Puedes importar versiones de claves nuevas para girar manualmente las claves importadas. Puedes usar los roles de IAM y permisos y políticas de la organización para controlar el uso de tus claves importadas.

• Claves de hardware y Cloud HSM: Puedes generar claves de hardware en un clúster de módulos de seguridad de hardware (HSM) con el nivel 3 del estándar FIPS 140-2. Tú controlas el período de rotación, roles y permisos de IAM, y políticas de la organización que que controlan tus claves. Cuando creas claves de HSM con Cloud HSM, administra los clústeres de HSM para que tú no tengas que hacerlo. Puedes usar tus claves de HSM con más de 40 recursos compatibles de Google Cloud, los mismos servicios que admiten claves de software. Para obtener el nivel más alto de cumplimiento de seguridad, usa llaves de hardware.

• Claves externas y Cloud EKM: puedes usar claves que residen en en un administrador de claves externo (EKM). Cloud EKM te permite usar claves almacenadas en un administrador de claves compatible para proteger tus recursos de Google Cloud. Puedes conectarte a tu EKM a través de Internet o a través de una nube privada virtual (VPC). Algunos servicios de Google Cloud los servicios que admiten claves de software o hardware no son compatibles claves de Cloud EKM.

Claves de Cloud KMS

Puedes usar tus claves de Cloud KMS en aplicaciones personalizadas con el Bibliotecas cliente de Cloud KMS API de Cloud KMS. Las bibliotecas cliente y APIs te permiten encriptar y desencriptar datos, firmar datos y validar firmas.

Claves de encriptación proporcionadas por el cliente (CSEK)

Cloud Storage y Compute Engine pueden usar Claves de encriptación proporcionadas por el cliente (CSEK). Con proveedores del cliente de encriptación, almacenas el material de las claves y lo proporcionas Cloud Storage o Compute Engine cuando sea necesario. Google no almacenar tus CSEK de ninguna manera.

Nota: La compatibilidad con CSEK no es una función de Cloud Key Management Service. Para obtener más información CSEK, consulta Claves de encriptación proporcionadas por el cliente de Cloud Storage o Claves de encriptación proporcionadas por el cliente de Compute Engine.

Confidential Computing

En Compute Engine, GKE y Dataproc, puedes usar la plataforma de Confidential Computing para encriptar tus datos en uso. Confidential Computing garantiza que tus datos se mantengan privados y encriptados incluso mientras se procesan.

Nota: Confidential Computing no es una función de Cloud KMS. Para obtener más información sobre Confidential Computing, consulta Confidential Computing.