Visão geral

Nesta página, você encontra uma visão geral das justificativas de acesso às chaves. Com as justificativas de acesso às chaves, você pode definir política de chaves do Cloud Key Management Service (Cloud KMS) para visualizar, aprovar e negar chaves solicitações de acesso, dependendo código de justificativa. Para parceiros de gerenciamento de chaves externos selecionados, você pode configurar as políticas de Justificativas de acesso às chaves fora do o Google Cloud seja aplicado exclusivamente pelo gerenciador de chaves externo, em vez do que pelo Cloud KMS. As justificativas de acesso às chaves funcionam com as seguintes opções os tipos de chave do Cloud KMS, dependendo Pacote de controle do Assured Workloads que você selecionar:

Como a criptografia em repouso funciona

A criptografia em repouso do Google Cloud criptografa os dados armazenados no Google Cloud com uma chave de criptografia que fica fora do serviço em que o os dados são armazenados. Por exemplo, se você criptografar dados no Cloud Storage, a armazena apenas as informações criptografadas que você armazenou, enquanto a chave para criptografar esses dados armazenados no Cloud KMS (se você usa de criptografia gerenciadas pelo cliente (CMEK) ou no gerenciador de chaves externo (se usam o Cloud EKM).

Ao usar um serviço do Google Cloud, você quer que seus aplicativos continuem funcionando conforme descrito, e isso exigirá que seus dados sejam descriptografados. Por exemplo, se você executar uma consulta usando o BigQuery, a ferramenta precisa descriptografar seus dados para poder analisá-los. Google BigQuery faz isso fazendo uma solicitação de descriptografia ao gerenciador de chaves para obter a os dados necessários.

Por quais motivos minhas chaves seriam acessadas?

Suas chaves de criptografia são acessadas com mais frequência por sistemas automatizados enquanto atender às suas próprias solicitações e cargas de trabalho no Google Cloud.

Além dos acessos iniciados pelo cliente, um funcionário do Google pode precisar iniciar operações que usam suas chaves de criptografia pelos seguintes motivos:

  • Otimizar a estrutura ou a qualidade dos dados: os sistemas do Google podem precisar acessar as chaves de criptografia para indexar, estruturar, pré-computar, gerar hash, fragmentar ou armazenar seus dados em cache.

  • Fazer backup dos seus dados: o Google pode precisar acessar suas chaves de criptografia para e fazer backup dos dados por motivos de recuperação de desastres.

  • Resolver uma solicitação de suporte: talvez um funcionário do Google precise descriptografar suas dados para cumprir a obrigação contratual de fornecer suporte.

  • Gerenciar e resolver problemas de sistemas: a equipe do Google pode iniciar operações. que usam suas chaves de criptografia para realizar a depuração técnica necessária para um solicitação de suporte complexa ou investigação. O acesso também pode ser necessário para e corrigir falhas de armazenamento ou corrupção de dados.

  • Garantir a integridade e a conformidade dos dados e proteger contra fraudes e abusos: O Google pode precisar descriptografar dados pelos seguintes motivos:

    • Para garantir a segurança dos seus dados e contas.
    • Para garantir que você está usando os serviços do Google em compliance com a os Termos de Serviço do Google Cloud.
    • Para investigar reclamações de outros usuários e clientes, ou outros sinais de atividades abusivas.
    • Para verificar se os serviços do Google Cloud estão sendo usados de acordo com a requisitos regulatórios aplicáveis, como combate à lavagem de dinheiro regulamentações.

  • Manter a confiabilidade do sistema: a equipe do Google pode solicitar acesso aos investigar se uma suspeita de interrupção do serviço não está afetando você. Além disso, acesse para garantir o backup e a recuperação de interrupções ou de segurança.

Para conferir a lista de códigos de justificativa, consulte códigos de motivo para as Justificativas de acesso às chaves.

Como gerenciar o acesso às chaves gerenciadas externamente

As justificativas de acesso às chaves mostram um motivo sempre que as chaves gerenciadas externamente são acessados. Os motivos só são fornecidos quando as chaves são gerenciadas externamente. Os acessos às chaves armazenadas no Cloud KMS ou no Cloud HSM não fornecem um e por um bom motivo. Quando uma chave é armazenada no gerenciador de chaves externo, você recebe uma para acesso baseado em serviço (para serviços com suporte) e acesso direto Acesso à API.

Depois de se inscrever nas Justificativas de acesso às chaves e usar uma chave gerenciada externamente, você recebem justificativas para cada acesso a uma chave.

Se você estiver usando as Justificativas de acesso às chaves e a Aprovação de acesso com uma externo gerenciada pelo cliente, as solicitações de acesso administrativo processados, a menos que as aprovações sejam assinadas com a chave gerenciada externamente após passando uma verificação de política de Justificativas de acesso às chaves para a solicitação de assinatura. Todos As aprovações de acesso assinadas pela chave aparecem nos registros de transparência no acesso.

Como ativar justificações de acesso à chave

As Justificativas de acesso às chaves só podem ser usadas com o Assured Workloads e são ativadas pelo quando você cria uma nova pasta do Assured Workloads configurada para um pacote de controle que inclui Justificativas de acesso às chaves. Consulte a Visão geral do Assured Workloads para saber mais informações imprecisas ou inadequadas.

Exclusões das justificativas de acesso à chave

As justificativas de acesso à chave se aplicam apenas a:

  • operações em dados criptografados; Para os campos em um determinado serviço que são criptografados por uma chave gerenciada pelo cliente, consulte a documentação do serviço.
  • transição de dados em repouso para dados em uso; Enquanto o Google continua aplicar proteções aos dados em uso, as Justificativas de acesso às chaves regerão apenas em vez de dados em repouso para dados em uso.
  • Os seguintes recursos do Compute Engine e do Persistent Disk são isentos quando usados com a CMEK:

A seguir