Questa pagina mostra come pianificare una versione della chiave di Cloud Key Management Service per l'eliminazione permanente. In Cloud KMS, il materiale della chiave di crittografia utilizzato per criptare, decriptare, firmare e verificare i dati è archiviato in una versione della chiave. Una chiave ha zero o più versioni della chiave. Quando ruoti una chiave, ne crei una nuova versione.
L'eliminazione della versione di una chiave significa che il materiale della chiave viene eliminato definitivamente. Quando elimini la versione di una chiave, altri dettagli come il nome e il numero di versione della chiave non vengono eliminati. Dopo l'eliminazione di una chiave, i dati criptati con la versione della chiave non possono essere decriptati.
Poiché l'eliminazione delle chiavi è irreversibile, Cloud KMS non consente di eliminare immediatamente le versioni delle chiavi. ma pianifichi la distruzione di una versione della chiave. La versione della chiave rimane nello state pianificata per l'eliminazione per un periodo di tempo configurabile. Durante la durata pianificata per l'eliminazione, puoi ripristinare la versione della chiave per annullarla.
La durata predefinita per la pianificazione dell'eliminazione è di 30 giorni. Puoi impostare una durata pianificata personalizzata per l'eliminazione di una chiave durante la creazione della chiave. La tua organizzazione può applicare una durata minima pianificata per l'eliminazione impostando il vincolo Durata pianificata minima per l'eliminazione per chiave nei criteri dell'organizzazione.
Puoi anche gestire l'accesso alla chiave utilizzando Identity and Access Management (IAM). Le operazioni IAM sono coerenti in pochi secondi. Per ulteriori informazioni, consulta Utilizzo di IAM.
Puoi anche disabilitare temporaneamente una versione della chiave. Ti consigliamo di disabilitare le versioni delle chiavi prima di pianificarle per l'eliminazione nell'ambito delle procedure per garantire che la chiave possa essere eliminata in modo sicuro. A seconda dei criteri dell'organizzazione, potrebbe essere necessario disabilitare una versione della chiave prima di poterne pianificare l'eliminazione. Per ulteriori informazioni su come controllare l'eliminazione della versione della chiave tramite i criteri dell'organizzazione, consulta Eliminazione della versione della chiave di controllo.
Nel resto di questo argomento, la pianificazione dell'eliminazione di una chiave è definita eliminazione della chiave, anche se l'eliminazione non è immediata.
Prima di iniziare
Comprendere i rischi
L'eliminazione della versione di una chiave è un'operazione permanente. L'eliminazione di una versione della chiave ancora necessaria presenta dei rischi, tra cui:
Interruzione del servizio: se elimini una chiave necessaria per avviare un container o un'istanza, i tuoi servizi o le tue applicazioni potrebbero non essere più disponibili.
Perdita permanente di dati: se elimini una chiave utilizzata per criptare i dati, questi ultimi non saranno più disponibili. I dati criptati con una chiave eliminata sono considerati crypto-shredded. In alcuni casi, l'eliminazione di una chiave può causare l'eliminazione definitiva delle risorse criptate.
Problemi relativi a normative o conformità: se distruggi una chiave necessaria per accedere ai dati soggetti a un periodo di conservazione precedente al termine del periodo di conservazione, potresti aver violato un requisito normativo o di conformità.
Ruoli obbligatori
Per ottenere le autorizzazioni necessarie per eliminare e ripristinare le versioni delle chiavi, chiedi all'amministratore di concederti il ruolo IAM Amministratore Cloud KMS (roles/cloudkms.admin
) per la chiave.
Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.
Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.
Controlla se la versione della chiave è in uso
Prima di eliminare la versione di una chiave, completa i seguenti passaggi per vedere se la versione della chiave è in uso:
Visualizza i dettagli relativi al monitoraggio dell'utilizzo della chiave per la chiave. Se delle risorse sono protette dalla versione della chiave che vuoi eliminare, criptale nuovamente con un'altra versione della chiave.
Attiva i log per qualsiasi servizio o applicazione che potrebbe utilizzare la versione della chiave.
Attiva i log nel progetto Cloud KMS che contiene la chiave.
Disabilita la versione della chiave. La disattivazione della versione della chiave impedisce l'utilizzo della versione della chiave. Se la versione della chiave è disabilitata, qualsiasi tentativo di utilizzo della versione della chiave non andrà a buon fine.
Monitora i log fino a quando non avrai la certezza che nessuna applicazione o nessun servizio faccia ancora affidamento sulla versione della chiave che hai disabilitato. Se gli errori indicano un errore di accesso alla versione della chiave, configura l'applicazione o la risorsa in modo che utilizzi un'altra versione della chiave.
Il tempo impiegato per monitorare i log prima di eliminare una versione della chiave dipende dal tipo di chiave, dal pattern di utilizzo e dal livello di sensibilità. Ad esempio, prima di eliminare una versione della chiave utilizzata in un processo che viene eseguito trimestralmente, mantienila disabilitata fino al completamento del processo.
Verifica l'utilizzo della chiave in base a eventuali requisiti di conformità applicabili. Ad esempio, la versione della chiave e i dati criptati con questa potrebbero essere soggetti a periodi di conservazione dei dati.
Questi passaggi ti aiutano a capire se una chiave potrebbe essere ancora necessaria, ma non possono garantire che una versione della chiave non sia più necessaria. La tua organizzazione deve implementare procedure e linee guida per garantire che la distruzione della versione della chiave non provochi effetti negativi.
Distruzione della versione di una chiave
Puoi eliminare una versione della chiave abilitata o disabilitata.
Console
Nella console Google Cloud, vai alla pagina Gestione delle chiavi.
Seleziona la casella accanto alla versione della chiave per cui vuoi pianificare l'eliminazione.
Fai clic su Elimina nell'intestazione.
Nel prompt di conferma, inserisci il nome della chiave e fai clic su Pianifica eliminazione.
gcloud
Per utilizzare Cloud KMS nella riga di comando, devi prima installare o eseguire l'upgrade alla versione più recente di Google Cloud CLI.
gcloud kms keys versions destroy KEY_VERSION \ --key KEY_NAME \ --keyring KEY_RING \ --location LOCATION
Sostituisci quanto segue:
KEY_VERSION
: il numero di versione della chiave che vuoi eliminare.KEY_NAME
: il nome della chiave per cui vuoi eliminare la versione di una chiave.KEY_RING
: il nome del keyring che contiene la chiave.LOCATION
: la località Cloud KMS del keyring.
Per informazioni su tutti i flag e sui possibili valori, esegui il comando con il
flag --help
.
C#
Per eseguire questo codice, prima configura un ambiente di sviluppo C# e installa l'SDK C# di Cloud KMS.
Go
Per eseguire questo codice, configura prima un ambiente di sviluppo Go e installa l'SDK Cloud KMS Go.
Java
Per eseguire questo codice, prima configura un ambiente di sviluppo Java e installa l'SDK Java di Cloud KMS.
Node.js
Per eseguire questo codice, devi prima configurare un ambiente di sviluppo Node.js e installare l'SDK Node.js di Cloud KMS.
PHP
Per eseguire questo codice, scopri innanzitutto come utilizzare PHP su Google Cloud e installa l'SDK PHP di Cloud KMS.
Python
Per eseguire questo codice, configura prima un ambiente di sviluppo Python e installa l'SDK per Python di Cloud KMS.
Ruby
Per eseguire questo codice, prima configura un ambiente di sviluppo Ruby e installa l'SDK Ruby di Cloud KMS.
API
In questi esempi viene usato curl come client HTTP per dimostrare l'utilizzo dell'API. Per ulteriori informazioni sul controllo dell'accesso, consulta Accesso all'API Cloud KMS.
Elimina una versione della chiave chiamando il metodo CryptoKeyVersions.destroy.
curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME/cryptoKeyVersions/KEY_VERSION:destroy" \ --request "POST" \ --header "authorization: Bearer TOKEN"
Se non sei in grado di eliminare la versione di una chiave, la tua organizzazione potrebbe richiedere che le versioni della chiave siano disabilitate prima dell'eliminazione. Prova a disabilitare la versione della chiave prima di eliminarla.
Quando invii la richiesta di eliminazione, lo stato della versione della chiave viene pianificato per l'eliminazione. Una volta trascorsa la durata pianificata per l'eliminazione della chiave, lo stato della versione della chiave viene eliminato, ovvero l'eliminazione logica del materiale della chiave dai sistemi attivi è iniziata e il materiale della chiave non può essere recuperato dal cliente. Il materiale delle chiavi può rimanere nei sistemi Google per un massimo di 45 giorni dal momento dell'eliminazione pianificata.
Per ricevere un avviso quando è pianificata l'eliminazione di una versione della chiave, consulta Utilizzo di Cloud Monitoring con Cloud KMS.
Le versioni della chiave eliminata non vengono fatturate.
Eliminazione delle chiavi esterne
Per rimuovere definitivamente l'associazione tra una chiave Cloud EKM e una chiave esterna, puoi eliminare la versione della chiave. Una volta trascorso il periodo Pianificata per l'eliminazione, la chiave viene eliminata. Dopo aver eliminato la versione della chiave, non puoi più criptare i dati o decriptare i dati criptati con la versione della chiave Cloud EKM.
L'eliminazione di una versione di una chiave gestita manualmente in Cloud KMS non modifica la chiave nel gestore di chiavi esterno. Consigliamo di eliminare prima la chiave o la versione della chiave in Google Cloud. Dopo aver eliminato la versione della chiave Cloud EKM, puoi eliminare il materiale della chiave nel gestore di chiavi esterno.
L'eliminazione di una versione di una chiave esterna coordinata in Cloud KMS elimina prima la versione della chiave in Google Cloud, quindi invia una richiesta di eliminazione all'EKM per eliminare il materiale della chiave esterna.
Ripristina una versione della chiave
Durante il periodo in cui è pianificata l'eliminazione dello stato di una versione della chiave, puoi ripristinare la versione della chiave inviando una richiesta di ripristino.
Console
Vai alla pagina Gestione delle chiavi nella console Google Cloud.
Fai clic sul nome del keyring che contiene la chiave di cui ripristinerai la versione della chiave.
Fai clic sulla chiave di cui vuoi ripristinare la versione.
Seleziona la casella accanto alla versione della chiave che vuoi ripristinare.
Fai clic su Ripristina nell'intestazione.
Nella richiesta di conferma, fai clic su Ripristina.
gcloud
Per utilizzare Cloud KMS nella riga di comando, devi prima installare o eseguire l'upgrade alla versione più recente di Google Cloud CLI.
gcloud kms keys versions restore key-version \ --key key \ --keyring key-ring \ --location location
Sostituisci key-version con la versione della chiave da ripristinare. Sostituisci key con il nome della chiave. Sostituisci key-ring con il nome del keyring in cui si trova la chiave. Sostituisci location con la località di Cloud KMS per il keyring.
Per informazioni su tutti i flag e sui possibili valori, esegui il comando con il
flag --help
.
C#
Per eseguire questo codice, prima configura un ambiente di sviluppo C# e installa l'SDK C# di Cloud KMS.
Go
Per eseguire questo codice, configura prima un ambiente di sviluppo Go e installa l'SDK Cloud KMS Go.
Java
Per eseguire questo codice, prima configura un ambiente di sviluppo Java e installa l'SDK Java di Cloud KMS.
Node.js
Per eseguire questo codice, devi prima configurare un ambiente di sviluppo Node.js e installare l'SDK Node.js di Cloud KMS.
PHP
Per eseguire questo codice, scopri innanzitutto come utilizzare PHP su Google Cloud e installa l'SDK PHP di Cloud KMS.
Python
Per eseguire questo codice, configura prima un ambiente di sviluppo Python e installa l'SDK per Python di Cloud KMS.
Ruby
Per eseguire questo codice, prima configura un ambiente di sviluppo Ruby e installa l'SDK Ruby di Cloud KMS.
API
In questi esempi viene usato curl come client HTTP per dimostrare l'utilizzo dell'API. Per ulteriori informazioni sul controllo dell'accesso, consulta Accesso all'API Cloud KMS.
Ripristina una versione della chiave chiamando il metodo CryptoKeyVersions.restore.
curl "https://cloudkms.googleapis.com/v1/projects/project-id/locations/location-id/keyRings/key-ring-id/cryptoKeys/crypto-key-id/cryptoKeyVersions/version-id:restore" \ --request "POST" \ --header "authorization: Bearer token"
Al termine della richiesta di ripristino, lo stato della versione della chiave viene disabilitato. Devi abilitare la chiave prima di poterla utilizzare.
Autorizzazioni IAM richieste
Per eliminare la versione di una chiave, il chiamante deve disporre dell'autorizzazione IAM cloudkms.cryptoKeyVersions.destroy
per la chiave, il keyring o il progetto, la cartella o l'organizzazione.
Per ripristinare la versione di una chiave, il chiamante deve avere
l'autorizzazione cloudkms.cryptoKeyVersions.restore
.
Entrambe queste autorizzazioni sono concesse al ruolo Amministratore Cloud KMS (roles/cloudkms.admin
).
Cronologia dell'eliminazione
Cloud KMS si impegna a eliminare il materiale delle chiavi del cliente da tutta l'infrastruttura di Google entro 45 giorni dall'eliminazione pianificata. Ciò include la rimozione dei dati sia dai sistemi attivi che dai backup dei data center. Gli altri dati dei clienti sono soggetti alle tempistiche di eliminazione standard di Google Cloud di 180 giorni.