Panoramica

Questo argomento fornisce una panoramica di Key Access Justifications. Per informazioni sulla creazione e la gestione di chiavi esterne, consulta la panoramica di Cloud EKM.

Il funzionamento di Key Access Justifications aggiunge alle richieste Cloud EKM un campo che consente di visualizzare il motivo di ogni richiesta. Con partner esterni di gestione delle chiavi selezionati, puoi approvare o rifiutare automaticamente queste richieste, in base alla giustificazione.

Come funziona la crittografia at-rest

La crittografia at-rest di Google Cloud funziona criptando i dati archiviati su Google Cloud con una chiave di crittografia esterna al servizio in cui sono archiviati i dati. Ad esempio, se cripti i dati in Cloud Storage, il servizio archivia solo le informazioni criptate che hai archiviato, mentre la chiave utilizzata per criptare questi dati viene archiviata in Cloud KMS (se utilizzi chiavi di crittografia gestite dal cliente (CMEK)) o nel gestore di chiavi esterno (se utilizzi Cloud External Key Manager).

Quando utilizzi un servizio Google Cloud, vuoi che le tue applicazioni continuino a funzionare come descritto e ciò richiede che i dati vengano decriptati. Ad esempio, se esegui una query utilizzando BigQuery, il servizio BigQuery deve decriptare i dati per poterli analizzare. A questo scopo, BigQuery chiama il gestore delle chiavi per decriptare i dati.

Perché è possibile accedere alle mie chiavi?

Le chiavi di crittografia sono più spesso accessibili da sistemi automatici che gestiscono le tue richieste e i tuoi carichi di lavoro su Google Cloud.

Oltre agli accessi avviati dal cliente, un dipendente Google potrebbe dover avviare operazioni che utilizzano le tue chiavi di crittografia per i seguenti motivi:

  • Ottimizza la struttura o la qualità dei dati: i sistemi di Google potrebbero dover accedere alle chiavi di crittografia per indicizzare, strutturare, precalcolare, sottoporre ad hashing, shard o memorizzare i dati.

  • Effettuare il backup dei dati: Google potrebbe dover accedere alle chiavi di crittografia per eseguire il backup dei dati per motivi di ripristino di emergenza.

  • Risolvere una richiesta di assistenza: un dipendente Google potrebbe dover decriptare i tuoi dati per adempiere all'obbligo contrattuale di fornire assistenza.

  • Gestione e risoluzione dei problemi dei sistemi: il personale Google può avviare operazioni che utilizzano le chiavi di crittografia per eseguire il debug tecnico necessario per una richiesta di assistenza o un'indagine complesse. Potrebbe essere necessario l'accesso anche per risolvere errori di archiviazione o danni ai dati.

  • Garantire l'integrità e la conformità dei dati e proteggerti da attività fraudolente e illecite. Google potrebbe dover decriptare i dati per i seguenti motivi:

    • Per garantire la sicurezza dei tuoi dati e dei tuoi account.
    • Per assicurarti di utilizzare i servizi Google in conformità con i Termini di servizio di Google.
    • Per esaminare reclami di altri utenti e clienti o altri segnali di attività illecita.
    • Per verificare che i servizi Google vengano utilizzati in conformità ai regimi di conformità pertinenti, come le normative antiriciclaggio.

  • Garantisci l'affidabilità del sistema: il personale Google può richiedere l'accesso per analizzare se una sospetta interruzione del servizio non ti riguarda. Inoltre, potrebbe essere richiesto l'accesso per garantire backup e ripristino in caso di interruzioni o guasti del sistema.

Per l'elenco dei codici di giustificazione, consulta i codici dei motivi per la giustificazione per Key Access Justifications.

Gestione dell'accesso alle chiavi gestite esternamente

Key Access Justifications fornisce un motivo ogni volta che viene eseguito l'accesso alle chiavi gestite esternamente. I motivi vengono forniti solo se le chiavi sono gestite esternamente. Gli accessi alle chiavi archiviate in Cloud KMS o Cloud HSM non indicano un motivo. Quando una chiave viene archiviata nel gestore di chiavi esterno, ricevi una giustificazione sia per l'accesso basato sul servizio (per i servizi supportati) sia per l'accesso diretto all'API.

Dopo aver effettuato la registrazione a Key Access Justifications e aver utilizzato una chiave gestita esternamente, ricevi immediatamente le giustificazioni per ogni accesso alle chiavi.

Se utilizzi Key Access Justifications e Access Approval con una chiave esterna gestita dal cliente, le richieste di accesso amministrativo non possono essere elaborate a meno che le approvazioni non vengano firmate con la chiave gestita esternamente dopo aver superato un controllo dei criteri Key Access Justifications per la richiesta di firma. Tutte le approvazioni dell'accesso firmate dalla chiave vengono visualizzate nei log di Access Transparency.

Abilitazione delle giustificazioni per l'accesso alle chiavi

Per abilitare Key Access Justifications per un'organizzazione, devi registrarti in Assured Workloads. Key Access Justifications è abilitato per tutti i clienti di Assured Workloads per impostazione predefinita.

Per informazioni su come iniziare a utilizzare Assured Workloads, consulta Come utilizzare Assured Workloads.

Esclusioni di Key Access Justifications

Key Access Justifications chiavi si applicano solo a:

  • Operazioni sui dati criptati. Per i campi criptati all'interno di un determinato servizio da una chiave gestita esternamente, consulta la documentazione relativa al servizio in uso.
  • La transizione dai dati at-rest ai dati in uso. Mentre Google continua ad applicare protezioni ai tuoi dati in uso, Key Access Justifications regolano la transizione dai dati at-rest ai soli dati in uso.
  • Esenzioni CMEK di Compute Engine/disco permanente:
    • L'SSD locale e il riavvio automatico sono esclusi.
    • Le operazioni sulle immagini macchina sono escluse.

Passaggi successivi