Cette page a été traduite par l'API Cloud Translation.
Switch to English

Justifications d'accès Cloud EKM

Cette rubrique présente la fonctionnalité de justification des accès aux clés de Cloud EKM. Pour créer et gérer des clés externes, consultez la page Gérer les clés Cloud EKM.

Présentation

La justification de l'accès aux clés fonctionne en ajoutant un champ à vos requêtes Cloud EKM, qui vous permet de consulter les raisons de chaque requête. Avec certains partenaires de gestion de clés externes, vous pouvez approuver ou refuser automatiquement ces demandes, en fonction de leur justification.

Activer la justification de l'accès aux clés

Afin d'activer une organisation pour la justification de l'accès aux clés, envoyez le formulaire de demande d'accès.

Gérer l'accès à vos clés gérées en externe

La justification de l'accès aux clés fournit une raison à chaque accès à vos clés gérées en externe. Les raisons ne sont visibles que lorsque les clés sont gérées en externe. Les clés stockées dans Cloud KMS ou Cloud HSM n'affichent pas de raison visible lorsqu'elles sont accessibles par votre service. Lorsqu'une clé est stockée dans votre gestionnaire de clés externe, vous recevez une justification pour l'accès basé sur le service (pour les services compatibles) ainsi que pour l'accès direct à l'API.

Une fois que vous avez choisi l'option "Justification de l'accès aux clés" et que vous utilisez une clé gérée en externe, vous recevez immédiatement des justifications pour chaque accès aux clés.

Pour quelles raisons est-il nécessaire d'accéder à mes clés ?

Le chiffrement au repos de Google Cloud consiste à chiffrer vos données stockées sur Google Cloud avec une clé de chiffrement qui réside à l'extérieur du service qui stocke ces données. Par exemple, si vous chiffrez des données dans Cloud Storage, le service ne stocke que les informations chiffrées que vous avez stockées, tandis que la clé utilisée pour chiffrer ces données est stockée dans Cloud KMS (si vous utilisez clés de chiffrement gérées par le client (CMEK) ou dans votre gestionnaire de clés externe (si vous utilisez Cloud External Key Manager)

Lorsque vous utilisez un service Google Cloud, vous souhaitez que vos applications continuent de fonctionner comme décrit, ce qui entraîne le déchiffrement de vos données. Par exemple, si vous exécutez une requête à l'aide de BigQuery, le service BigQuery doit déchiffrer vos données afin de les analyser. Pour ce faire, BigQuery doit appeler le gestionnaire de clés afin de déchiffrer les données.

Pour obtenir la liste des justifications, consultez la page Motifs de justification de l'accès aux clés.

Afficher les justifications et agir en conséquence

Chaque fois que vos informations sont chiffrées ou déchiffrées, la justification de l'accès aux clés vous envoie une justification décrivant le motif de l'accès. Le logiciel de nos partenaires Cloud EKM vous permet de définir une stratégie pour approuver ou refuser automatiquement l'accès en fonction du contenu des justifications. Pour en savoir plus sur la définition d'une stratégie, consultez la documentation du gestionnaire de clés choisi. Les partenaires suivants sont compatibles avec la justification des accès à une clé:

  • Ionic
  • Fortanix
  • Thales

Codes de motifs de justification

Motif Description
CUSTOMER_INITIATED_ACCESS Le client utilise son compte pour accéder à ses propres données, comme l'autorise sa stratégie IAM.
MODIFIED_CUSTOMER_INITIATED_ACCESS Le client utilise son compte pour accéder à ses propres données, comme l'autorise sa stratégie IAM, mais un administrateur Google a récemment réinitialisé le compte super-utilisateur associé à l'organisation de l'utilisateur.
GOOGLE_INITIATED_SYSTEM_OPERATION Google accède aux données du client pour optimiser leur structure ou leur qualité en vue d'une utilisation ultérieure par le client. Cela inclut les accès à des fins d'indexation, de structuration, de précalcul, de hachage, de segmentation et de mise en cache. Cela inclut également la sauvegarde des données pour des raisons de reprise après sinistre ou d'intégrité des données, ainsi que la détection des erreurs pouvant être corrigées à partir de ces sauvegardes.

Remarque : Si le client a délégué à Google une opération d'un plan de contrôle géré, telle que la création d'un groupe d'instances géré, toutes les opérations gérées s'affichent en tant qu'opérations système. Les services qui déclenchent des opérations de déchiffrement en aval (tels que le gestionnaire de groupe d'instances géré) n'ont pas accès en clair aux données du client.

REASON_NOT_EXPECTED Aucune raison n'est attendue pour cette demande de clé, car le service en question n'a jamais été intégré aux justifications d'accès aux clés ou est toujours en mode Aperçu. Il peut donc rester des méthodes qui appellent le gestionnaire de clés externe sans fournir de justification.
CUSTOMER_INITIATED_SUPPORT Le client a initié une demande d'assistance (par exemple, "Numéro de la demande : ####").
GOOGLE_INITIATED_SERVICE Google a initié un accès pour effectuer une opération de gestion et de dépannage du système, telle que :
  • Sauvegarde et récupération à la suite de pannes et de défaillances du système
  • Enquête pour confirmer que le client n'est pas touché par des problèmes de service suspectés.
  • Correction de problèmes techniques, tels qu'un échec de stockage ou une corruption de données.
THIRD_PARTY_DATA_REQUEST Google a initié un accès en réponse à une demande légale ou à un acte de procédure. Cela inclut les actes de procédure à l'initiative d'un client demandant à Google d'accéder à ses données.
GOOGLE_INITIATED_REVIEW Accès initié par Google pour une opération concernant la sécurité, la fraude, les abus ou la mise conformité, telle que :
  • assurer la sûreté et la sécurité des comptes client et des données ;
  • vérifier si les données sont affectées par un événement pouvant compromettre la sécurité du compte (par exemple, les infections par des logiciels malveillants).
  • vérifier si le client utilise les services Google conformément aux conditions d'utilisation de Google ;
  • enquêter sur les plaintes d'autres utilisateurs et clients, ou sur d'autres signes d'activité abusive ;
  • vérifier que les services Google sont utilisés de manière cohérente avec les régimes de conformité pertinents (par exemple, les réglementations contre le blanchiment d'argent).
REASON_UNSPECIFIED La justification de l'accès aux clés est activée, mais aucune justification n'est disponible pour la requête. Cela peut être dû à une erreur transitoire, à un bug ou à une autre situation.
Pas de champ justification La justification de l'accès aux clés n'est pas activée pour ce client.

Exclusions de justification d'accès aux clés

La justification de l'accès aux clés ne s'applique qu'aux éléments suivants:

  • Opérations sur des données chiffrées. En ce qui concerne les champs d'un service donné qui sont chiffrés par une clé gérée en externe, consultez la documentation du service donné.
  • Transition des données au repos vers les données en cours d'utilisation. Bien que Google continue d'appliquer des protections à vos données en cours d'utilisation, la justification de l'accès aux clés régit la transition de données au repos vers l'utilisation en cours uniquement.
  • Exceptions CMEK.
    • BigQuery :
      • BigQuery ML et BI Engine sont exclus.
    • Disques persistants de Compute Engine
      • Les disques SSD locaux et le redémarrage automatique sont exclus.
      • Les opérations sur les images système sont exclues.

Services compatibles

Service État
Compute Engine Bêta
Persistent Disk Bêta
BigQuery GA

Obtenir de l'aide et accéder à l'assistance

Pour toute demande d'assistance, veuillez envoyer un e-mail à l'adresse kaj-pm@google.com.