Descripción general de Cloud Key Management Service

Cloud Key Management Service (Cloud KMS) te permite crear y administrar claves criptográficas para usarlas en servicios compatibles de Google Cloud y en tus propias aplicaciones. Con Cloud KMS, puedes hacer lo siguiente:

• Genera claves de software o hardware, importa claves existentes a Cloud KMS o vincula claves externas en tu sistema de administración de claves externas (EKM) compatible.
• Usa claves de encriptación administradas por el cliente (CMEK) en productos de Google Cloudcon integración de CMEK. Las integraciones de CMEK usan tus claves de Cloud KMS para encriptar o "unir" tus claves de encriptación de datos (DEK). Unir las DEK con claves de encriptación de claves (KEK) se denomina encriptación de sobre.
• Usa Autokey de Cloud KMS para automatizar el aprovisionamiento y la asignación. Con Autokey, no necesitas aprovisionar llaveros de claves, claves y cuentas de servicio con anticipación. En cambio, se generan a pedido como parte de la creación de recursos.
• Usa claves de Cloud KMS para las operaciones de encriptación y desencriptación. Por ejemplo, puedes usar la API de Cloud KMS o las bibliotecas cliente para usar tus claves de Cloud KMS para la encriptación del cliente.
• Usa claves de Cloud KMS para crear o verificar firmas digitales o firmas de código de autenticación de mensajes (MAC).

Elige la encriptación adecuada para tus necesidades

Puedes usar la siguiente tabla para identificar qué tipo de encriptación satisface tus necesidades para cada caso de uso. La mejor solución para tus necesidades podría incluir una combinación de enfoques de encriptación. Por ejemplo, puedes usar claves de software para los datos menos sensibles y claves externas o de hardware para los datos más sensibles. Para obtener información adicional sobre las opciones de encriptación que se describen en esta sección, consulta Cómo proteger los datos en Google Cloud en esta página.

Agent Assist AI Platform Training AlloyDB para PostgreSQL IA para prevención del lavado de dinero Apigee Concentrador de API de Apigee Application Integration Artifact Registry Copia de seguridad para GKE BigQuery Bigtable Cloud Composer Cloud Data Fusion API de Cloud Healthcare Cloud Logging Cloud Run Funciones de Cloud Run Cloud SQL Cloud Storage Cloud Tasks Cloud Workstations Colab Enterprise Compute Engine Estadísticas de conversación Database Migration Service Dataflow Dataform Dataproc Dataproc Metastore DataStream Dialogflow CX Document AI Eventarc Advanced Eventarc Standard Filestore Firestore Gemini Code Assist Google Cloud Managed Service para Apache Kafka Google Cloud NetApp Volumes Google Distributed Cloud Google Kubernetes Engine Conectores de Integration Looker (Google Cloud Core) Memorystore for Redis Migrate to Virtual Machines Pub/Sub Secret Manager Secure Source Manager Spanner Speaker ID Speech-to-Text Vertex AI Vertex AI Agent Builder Vertex AI Workbench Instancias de Vertex AI Workbench Workflows Cualquiera Nivel 1 Nivel 2 Nivel 3 Borrar todo

Tipo de encriptación	Costo	Servicios compatibles	Funciones
propiedad de Google y administradas por Google (encriptación predeterminada deGoogle Cloud )	Incluido	Todos los servicios de Google Cloud que almacenan datos de clientes	No se requiere configuración. Encripta automáticamente los datos del cliente guardados en cualquier servicio de Google Cloud . La mayoría de los servicios rotan las claves automáticamente. Admite la encriptación con AES-256. Validación de nivel 1 del estándar FIPS 140-2
Claves de encriptación administradas por el cliente: software (claves de Cloud KMS)	USD 0.06 por versión de clave	Más de 40 servicios	Controlas el programa de rotación automática de claves, los roles y permisos de IAM, y habilitas, inhabilitas o destruyes versiones de claves. Admite claves simétricas y asimétricas para la encriptación y la desencriptación. Rota automáticamente las claves simétricas. Admite varios algoritmos comunes. Cumple con el nivel 1 del estándar FIPS 140-2. Las claves son únicas para un cliente.
Claves de encriptación administradas por el cliente: hardware (claves de Cloud HSM)	Entre USD 1.00 y USD 2.50 por versión de clave por mes	Más de 40 servicios	Se puede administrar de forma opcional a través de Autokey de Cloud KMS. Controlas el programa de rotación automática de claves, los roles y permisos de IAM, y habilitas, inhabilitas o destruyes versiones de claves. Admite claves simétricas y asimétricas para la encriptación y la desencriptación. Rota automáticamente las claves simétricas. Admite varios algoritmos comunes. Validación del nivel 3 del estándar FIPS 140-2 Las claves son únicas para un cliente.
Claves de encriptación administradas por el cliente: externas (claves de Cloud EKM)	USD 3.00 por versión de clave por mes	Más de 30 servicios	Controlas los roles y permisos de IAM, y habilitas, inhabilitas o destruyes versiones de claves. Las claves nunca se envían a Google. El material de la clave reside en un proveedor de administración de claves externo (EKM) compatible. Los servicios compatibles de Google Cloud se conectan a tu proveedor de EKM a través de Internet o una nube privada virtual (VPC). Admite claves simétricas para la encriptación y desencriptación. Rotar tus claves de forma manual en coordinación con Cloud EKM y tu proveedor de EKM Cumple con el nivel 2 o 3 del estándar FIPS 140-2, según el EKM. Las claves son únicas para un cliente.
Encriptación del cliente con claves de Cloud KMS	El costo de las versiones de claves activas depende del nivel de protección de la clave.	Usa bibliotecas cliente en tus aplicaciones	Controlas el programa de rotación automática de claves, los roles y permisos de IAM, y habilitas, inhabilitas o destruyes versiones de claves. Admite claves simétricas y asimétricas para la encriptación, desencriptación, firma y validación de firmas. La funcionalidad varía según el nivel de protección de las claves.
Claves de encriptación proporcionadas por el cliente	Es posible que aumenten los costos asociados con Compute Engine o Cloud Storage.	Compute Engine Cloud Storage	Proporcionas materiales clave cuando sea necesario. El material de clave reside en la memoria: Google no almacena tus claves de forma permanente en nuestros servidores.
Procesamiento confidencial	Costo adicional por cada VM confidencial. Es posible que aumente el uso de registros y los costos asociados.	Compute Engine GKE Dataproc	Proporciona encriptación en uso para las VMs que manejan datos sensibles o cargas de trabajo. Google no puede acceder a las claves.

Protección de datos en Google Cloud

propiedad de Google y administradas por Google (encriptación predeterminada deGoogle Cloud ) con tecnología de Google Cloud

De forma predeterminada, los datos en reposo en Google Cloud están protegidos por claves en Keystore, el servicio de administración de claves interno de. Google Cloudadministra automáticamente las claves del almacén de claves, sin necesidad de configuración por tu parte. La mayoría de los servicios rotan las claves automáticamente por ti. Keystore admite una versión de clave primaria y una cantidad limitada de versiones de claves anteriores. La versión de clave primaria se usa para encriptar nuevas claves de encriptación de datos. Las versiones de clave más antiguas aún se pueden usar para desencriptar las claves de encriptación de datos existentes. No puedes ver ni administrar estas claves ni revisar los registros de uso de claves. Los datos de varios clientes pueden usar la misma clave de encriptación de claves.

Esta encriptación predeterminada usa módulos criptográficos que están validados para cumplir con el nivel 1 del estándar FIPS 140-2.

Nota: Google Cloud La encriptación predeterminada no es una función de Cloud Key Management Service. Para obtener más información sobre la encriptación predeterminada de Google Cloud , consulta Encriptación en reposo predeterminada.

Claves de encriptación administradas por el cliente (CMEK)

Las claves de Cloud KMS que se usan para proteger tus recursos en los servicios integrados en CMEK son claves de encriptación administradas por el cliente (CMEK). Puedes ser propietario de las CMEK y controlarlas, a la vez que delegas las tareas de creación y asignación de claves a Autokey de Cloud KMS. Para obtener más información sobre cómo automatizar el aprovisionamiento de las CMEK, consulta Cloud Key Management Service con Autokey.

Puedes usar tus claves de Cloud KMS en servicios compatibles para ayudarte a cumplir con los siguientes objetivos:

• Ser propietario de tus claves de encriptación

• Controla y administra tus claves de encriptación, incluida la elección de la ubicación, el nivel de protección, la creación, el control de acceso, la rotación, el uso y la destrucción.

• Borra de forma selectiva los datos protegidos por tus claves en caso de desvinculación o para solucionar eventos de seguridad (fragmentación criptográfica).

• Crea claves dedicadas de un solo inquilino que establezcan un límite criptográfico alrededor de tus datos.

• Registra el acceso administrativo y de datos a las claves de encriptación.

• Cumple con la reglamentación actual o futura que requiera cualquiera de estos objetivos.

Cuando usas claves de Cloud KMS con servicios integrados en CMEK, puedes usar las políticas de la organización para garantizar que las CMEK se usen como se especifica en las políticas. Por ejemplo, puedes establecer una política de la organización que garantice que tus recursos compatibles de Google Cloud usen tus claves de Cloud KMS para la encriptación. Las políticas de la organización también pueden especificar en qué proyecto deben residir los recursos clave.

Las funciones y el nivel de protección proporcionados dependen del nivel de protección de la clave:

• Claves de software: Puedes generar claves de software en Cloud KMS y usarlas en todas las ubicaciones de Google Cloud . Puedes crear claves simétricas con rotación automática o claves asimétricas con rotación manual. Las claves de software administradas por el cliente usan módulos de criptografía de software validados por el nivel 1 del estándar FIPS 140-2. También tienes control sobre el período de rotación, los roles y permisos de Identity and Access Management (IAM) y las políticas de la organización que rigen tus claves. Puedes usar tus claves de software con muchos recursos Google Cloud compatibles.

• Claves de software importadas: Puedes importar claves de software que creaste en otro lugar para usarlas en Cloud KMS. Puedes importar versiones de claves nuevas para girar manualmente las claves importadas. Puedes usar roles de IAM, permisos y políticas de la organización para administrar el uso de tus claves importadas.

• Claves de hardware y Cloud HSM: Puedes generar claves de hardware en un clúster de módulos de seguridad de hardware (HSM) con el nivel 3 del estándar FIPS 140-2. Tienes control sobre el período de rotación, los roles y permisos de IAM, y las políticas de la organización que rigen tus claves. Cuando creas claves de HSM con Cloud HSM, Google Cloud administra los clústeres de HSM para que no tengas que hacerlo. Puedes usar tus claves de HSM con muchos recursos Google Cloudcompatibles, los mismos servicios que admiten claves de software. Para obtener el nivel más alto de cumplimiento de seguridad, usa llaves de hardware.

• Claves externas y Cloud EKM: Puedes usar claves que residen en un administrador de claves externo (EKM). Cloud EKM te permite usar claves almacenadas en un administrador de claves compatible para proteger tus recursos deGoogle Cloud . Puedes conectarte a tu EKM a través de Internet o a través de una nube privada virtual (VPC). Algunos servicios de Google Cloud que admiten claves de Cloud KMS no admiten claves de Cloud EKM.

Para obtener más información sobre qué ubicaciones de Cloud KMS admiten qué niveles de protección, consulta Ubicaciones de Cloud KMS.

Claves de Cloud KMS

Puedes usar tus claves de Cloud KMS en aplicaciones personalizadas con las bibliotecas cliente de Cloud KMS o la API de Cloud KMS. Las bibliotecas cliente y la API te permiten encriptar y desencriptar datos, firmar datos y validar firmas.

Claves de encriptación proporcionadas por el cliente (CSEK)

Cloud Storage y Compute Engine pueden usar claves de encriptación proporcionadas por el cliente (CSEK). Con las claves de encriptación proporcionadas por el cliente, almacenas el material de clave y lo proporcionas a Cloud Storage o Compute Engine cuando sea necesario. Google Cloud no almacena tus CSEK de ninguna manera.

Nota: La compatibilidad con CSEK no es una función de Cloud Key Management Service. Para obtener más información sobre las CSEK, consulta Claves de encriptación proporcionadas por el cliente de Cloud Storage o Claves de encriptación proporcionadas por el cliente de Compute Engine.

Confidential Computing

En Compute Engine, GKE y Dataproc, puedes usar la plataforma de Confidential Computing para encriptar tus datos en uso. Confidential Computing garantiza que tus datos permanezcan privados y encriptados incluso mientras se procesan.

Nota: Confidential Computing no es una función de Cloud KMS. Para obtener más información sobre Confidential Computing, consulta Confidential Computing.