Cloud External Key Manager

Questo argomento fornisce una panoramica di Cloud External Key Manager (Cloud EKM).

Terminologia

• Gestore chiavi esterno (EKM)

  Il gestore delle chiavi utilizzato al di fuori di Google Cloud per gestire le tue chiavi.

• Cloud External Key Manager (Cloud EKM)

  Un servizio Google Cloud per l'utilizzo di chiavi esterne gestite all'interno di un EKM supportato.

• Cloud EKM tramite Internet

  Una versione di Cloud EKM in cui Google Cloud comunica con il tuo gestore di chiavi esterno su Internet.

• Cloud EKM tramite un VPC

  Una versione di Cloud EKM in cui Google Cloud comunica con il gestore di chiavi esterno tramite un Virtual Private Cloud (VPC). Per ulteriori informazioni, consulta Panoramica della rete VPC.

• Gestione delle chiavi EKM da Cloud KMS

  Quando utilizzi Cloud EKM tramite un VPC con un partner di gestione delle chiavi esterno che supporta il piano di controllo Cloud EKM, puoi utilizzare la modalità di gestione EKM di Cloud KMS per semplificare il processo di gestione delle chiavi esterne nel tuo partner di gestione delle chiavi esterno e in Cloud EKM. Per saperne di più, consulta Chiavi esterne coordinate e Gestione delle chiavi EKM da Cloud KMS in questa pagina.

• Spazio di criptovalute

  Un contenitore per le risorse all'interno del tuo partner esterno per la gestione delle chiavi. Il tuo spazio di crittografia è identificato da un percorso univoco dello spazio di crittografia. Il formato del percorso dello spazio di crittografia varia in base al partner esterno per la gestione delle chiavi, ad esempio v0/cryptospaces/YOUR_UNIQUE_PATH.

• EKM gestito dal partner

  Un accordo in cui il tuo EKM è gestito per te da un partner di fiducia. Per ulteriori informazioni, consulta EKM gestito dai partner in questa pagina.

• Key Access Justifications

  Quando utilizzi Cloud EKM con Key Access Justifications, ogni richiesta al tuo partner esterno per la gestione delle chiavi include un campo che identifica il motivo di ogni richiesta. Puoi configurare il tuo partner esterno per la gestione delle chiavi in modo da consentire o rifiutare le richieste in base al codice di Key Access Justifications fornito. Per ulteriori informazioni su Key Access Justifications, consulta la panoramica di Key Access Justifications.

Panoramica

Con Cloud EKM, puoi utilizzare le chiavi che gestisci all'interno di un partner esterno supportato per la gestione delle chiavi per proteggere i dati all'interno di Google Cloud. Puoi proteggere i dati at-rest utilizzando i servizi di integrazione CMEK supportati o chiamando direttamente l'API Cloud Key Management Service.

Cloud EKM offre diversi vantaggi:

• Provenienza della chiave: sei tu a controllare la località e la distribuzione delle chiavi gestite esternamente. Le chiavi gestite esternamente non vengono mai memorizzate nella cache o archiviate in Google Cloud. Cloud EKM comunica invece direttamente con il partner esterno per la gestione delle chiavi per ogni richiesta.

• Controllo dell'accesso: gestisci l'accesso alle chiavi gestite esternamente. Prima di poter utilizzare una chiave gestita esternamente in Google Cloud, devi concedere al progetto Google Cloud l'accesso per utilizzare la chiave. Puoi revocare l'accesso in qualsiasi momento.

• Gestione centralizzata delle chiavi: puoi gestire le chiavi e i criteri di accesso da un'unica interfaccia utente, indipendentemente dal fatto che i dati protetti si trovino nel cloud o on-premise.

In tutti i casi, la chiave si trova sul sistema esterno e non viene mai inviata a Google.

Puoi comunicare con il tuo gestore di chiavi esterno tramite Internet o tramite un virtual private cloud (VPC).

Come funziona Cloud EKM

Le versioni delle chiavi Cloud EKM sono composte dai seguenti elementi:

• Materiale della chiave esterna: il materiale della chiave esterna di una chiave Cloud EKM è il materiale crittografico creato e archiviato nel tuo EKM. Questo materiale non lascia il tuo EKM e non viene mai condiviso con Google.
• Riferimento chiave: ogni versione della chiave Cloud EKM contiene un URI della chiave o un percorso della chiave. Si tratta di un identificatore univoco per il materiale della chiave esterna che Cloud EKM utilizza per richiedere operazioni crittografiche utilizzando la chiave.
• Materiale della chiave interna: quando viene creata una chiave simmetrica Cloud EKM, Cloud KMS crea materiale della chiave aggiuntivo in Cloud KMS, che non lascia mai Cloud KMS. Questo materiale della chiave viene utilizzato come ulteriore livello di crittografia durante la comunicazione con il tuo EKM. Questo materiale della chiave interna non si applica alle chiavi di firma asimmetriche.

Per utilizzare le chiavi Cloud EKM, Cloud EKM invia richieste per operazioni crittografiche al tuo EKM. Ad esempio, per criptare i dati con una chiave di crittografia simmetrica, Cloud EKM cripta prima i dati utilizzando il materiale della chiave interna. I dati criptati sono inclusi in una richiesta all'EKM. L'EKM inserisce i dati criptati in un altro livello di crittografia utilizzando il materiale della chiave esterna, quindi restituisce il testo crittografato risultante. I dati criptati mediante una chiave Cloud EKM non possono essere decriptati senza il materiale della chiave esterna e il materiale della chiave interna.

Se la tua organizzazione ha attivato Key Access Justifications, il partner esterno per la gestione delle chiavi registra la motivazione dell'accesso fornita e completa la richiesta solo per i codici dei motivi di giustificazione consentiti dal tuo criterio Key Access Justifications sul partner esterno per la gestione delle chiavi.

La creazione e la gestione delle chiavi Cloud EKM richiedono modifiche corrispondenti sia in Cloud KMS sia nell'EKM. Queste modifiche corrispondenti vengono gestite in modo diverso per le chiavi esterne gestite manualmente e per le chiavi esterne coordinate. Tutte le chiavi esterne accessibili tramite Internet sono gestite manualmente. Le chiavi esterne accessibili tramite una rete VPC possono essere gestite o coordinate manualmente, a seconda della modalità di gestione EKM dell'EKM tramite connessione VPC. Per le chiavi gestite manualmente si utilizza la modalità di gestione EKM manuale. La modalità di gestione EKM di Cloud KMS viene utilizzata per le chiavi esterne coordinate. Per ulteriori informazioni sulle modalità di gestione EKM, consulta Chiavi esterne gestite manualmente e Chiavi esterne coordinate in questa pagina.

Il seguente diagramma mostra come Cloud KMS si inserisce nel modello di gestione delle chiavi. Questo diagramma utilizza Compute Engine e BigQuery come due esempi. Puoi anche visualizzare l'elenco completo dei servizi che supportano le chiavi Cloud EKM.

Attenzione: per ogni richiesta di crittografia e decriptazione sono obbligatorie sia la versione della chiave Cloud EKM sia la chiave esterna. Se perdi l'accesso a una delle chiavi, i dati non possono essere recuperati. Non è possibile ricreare una versione identica della chiave Cloud EKM utilizzando lo stesso URI o lo stesso percorso della chiave esterna.

Scopri le considerazioni e le limitazioni quando utilizzi Cloud EKM.

Chiavi esterne gestite manualmente

Questa sezione fornisce un'ampia panoramica del funzionamento di Cloud EKM con una chiave esterna gestita manualmente.

1. Puoi creare o utilizzare una chiave esistente in un sistema esterno supportato di partner di gestione delle chiavi. Questa chiave ha un URI o un percorso della chiave univoci.
2. Concedi al tuo progetto Google Cloud l'accesso per utilizzare la chiave nel sistema esterno di gestione delle chiavi del partner.
3. Nel tuo progetto Google Cloud, puoi creare una versione della chiave Cloud EKM utilizzando l'URI o il percorso della chiave per la chiave gestita esternamente.
4. Le operazioni di manutenzione, come rotazione della chiave, devono essere gestite manualmente tra il tuo EKM e Cloud EKM. Ad esempio, le operazioni di rotazione della versione della chiave o di eliminazione della versione della chiave devono essere completate sia direttamente nell'EKM sia in Cloud KMS.

In Google Cloud, la chiave viene visualizzata insieme alle altre chiavi Cloud KMS e Cloud HSM, con livello di protezione EXTERNAL o EXTERNAL_VPC. La chiave Cloud EKM e la chiave esterna del partner per la gestione delle chiavi lavorano insieme per proteggere i tuoi dati. Il materiale della chiave esterna non viene mai esposto a Google.

Chiavi esterne coordinate

Questa sezione fornisce una panoramica del funzionamento di Cloud EKM con una chiave esterna coordinata.

1. Hai configurato un EKM tramite connessione VPC, impostando la modalità di gestione EKM su Cloud KMS. Durante la configurazione, devi autorizzare l'EKM ad accedere alla tua rete VPC e autorizzare l'account di servizio del progetto Google Cloud ad accedere al tuo spazio di crittografia nel tuo EKM. La connessione EKM utilizza il nome host dell'EKM e un percorso dello spazio di crittografia che identifica le risorse all'interno dell'EKM.

2. Puoi creare una chiave esterna in Cloud KMS. Quando crei una chiave Cloud EKM utilizzando un EKM tramite connessione VPC con la modalità di gestione EKM di Cloud KMS abilitata, i seguenti passaggi vengono eseguiti automaticamente:

   1. Cloud EKM invia una richiesta di creazione di una chiave al tuo EKM.
   2. Il tuo EKM crea il materiale della chiave richiesto. Questo materiale della chiave esterna rimane nell'EKM e non viene mai inviato a Google.
   3. L'EKM restituisce un percorso chiave per Cloud EKM.
   4. Cloud EKM crea la versione della chiave Cloud EKM utilizzando il percorso della chiave fornito dal tuo EKM.

3. Le operazioni di manutenzione sulle chiavi esterne coordinate possono essere avviate da Cloud KMS. Ad esempio, le chiavi esterne coordinate utilizzate per la crittografia simmetrica possono essere ruotate automaticamente in base a una pianificazione impostata. La creazione di nuove versioni delle chiavi è coordinata nel tuo EKM da Cloud EKM. Puoi anche attivare la creazione o l'eliminazione delle versioni delle chiavi nell'EKM da Cloud KMS utilizzando la console Google Cloud, gcloud CLI, l'API Cloud KMS o le librerie client di Cloud KMS.

In Google Cloud, la chiave viene visualizzata insieme alle altre chiavi Cloud KMS e Cloud HSM, con livello di protezione EXTERNAL_VPC. La chiave Cloud EKM e la chiave esterna del partner per la gestione delle chiavi lavorano insieme per proteggere i tuoi dati. Il materiale della chiave esterna non viene mai esposto a Google.

Gestione delle chiavi EKM da Cloud KMS

Le chiavi esterne coordinate sono rese possibili dall'EKM tramite connessioni VPC che utilizzano la gestione delle chiavi EKM da Cloud KMS. Se il tuo EKM supporta il piano di controllo Cloud EKM, puoi abilitare la gestione delle chiavi EKM da Cloud KMS per il tuo EKM tramite connessioni VPC per creare chiavi esterne coordinate. Con la gestione delle chiavi EKM da Cloud KMS abilitata, Cloud EKM può richiedere le seguenti modifiche al tuo EKM:

• Creazione di una chiave: quando crei una chiave gestita esternamente in Cloud KMS utilizzando un EKM compatibile tramite connessione VPC, Cloud EKM invia la richiesta di creazione della chiave al tuo EKM. Se l'esito è positivo, l'EKM crea la nuova chiave e il nuovo materiale della chiave e restituisce il percorso della chiave che Cloud EKM può utilizzare per accedere alla chiave.

• Ruota una chiave: quando esegui la rotazione di una chiave gestita esternamente in Cloud KMS utilizzando un EKM compatibile tramite connessione VPC, Cloud EKM invia la richiesta di rotazione al tuo EKM. Se l'operazione ha esito positivo, l'EKM crea un nuovo materiale della chiave e restituisce il percorso della chiave che Cloud EKM può utilizzare per accedere alla nuova versione della chiave.

• Eliminazione di una chiave: quando elimini la versione di una chiave per una chiave gestita esternamente in Cloud KMS utilizzando un EKM compatibile tramite connessione VPC, Cloud KMS pianifica l'eliminazione della versione della chiave in Cloud KMS. Se la versione della chiave non viene ripristinata prima del termine del periodo pianificato per l'eliminazione, Cloud EKM distrugge la propria parte del materiale crittografico della chiave e invia una richiesta di eliminazione al tuo EKM.

  I dati criptati con questa versione della chiave non possono essere decriptati dopo l'eliminazione della versione della chiave in Cloud KMS, anche se l'EKM non ha ancora eliminato la versione della chiave. Puoi verificare se l'EKM ha eliminato correttamente la versione della chiave visualizzando i dettagli della chiave in Cloud KMS.

Quando le chiavi nel tuo EKM sono gestite da Cloud KMS, il materiale della chiave risiede ancora nell'EKM. Google non può inviare richieste di gestione delle chiavi al tuo EKM senza un'autorizzazione esplicita. Google non può modificare le autorizzazioni o i criteri di Key Access Justifications nel sistema esterno di gestione delle chiavi del partner. Se revochi le autorizzazioni di Google nel tuo EKM, le operazioni di gestione delle chiavi tentate in Cloud KMS non andranno a buon fine.

Compatibilità

Gestori delle chiavi supportati

Puoi archiviare le chiavi esterne nei seguenti sistemi esterni di partner di gestione delle chiavi:

• Supportato oggi:
  • Fortanix
  • Futurex
  • Thales
  • Virtru

Servizi che supportano CMEK con Cloud EKM

I seguenti servizi supportano l'integrazione con Cloud KMS per le chiavi esterne (Cloud EKM):

• AlloyDB per PostgreSQL
• Application Integration
• Artifact Registry
• BigQuery
• Cloud Bigtable
• Cloud Composer
• Cloud Functions
• Cloud Logging: dati nel router dei log e dati nell'archiviazione di Logging
• Cloud Run
• Cloud Spanner
• Cloud SQL
• Cloud Storage
• Cloud Workstations
• Compute Engine: Dischi permanenti , Snapshot , e immagini personalizzate
• Database Migration Service: Migrazioni MySQL - dati scritti nei database , Migrazioni PostgreSQL - Dati scritti nei database , Migrazioni da PostgreSQL ad AlloyDB - Dati scritti nei database , e dati at-rest da Oracle a PostgreSQL
• Dataflow
• Dataproc: dati dei cluster Dataproc su dischi VM e dati serverless Dataproc su dischi VM
• Dataproc Metastore
• Document AI
• Eventarc
• Filestore
• Google Distributed Cloud Edge
• Google Kubernetes Engine: Dati su dischi VM e Secret a livello di applicazione
• Looker (Google Cloud core)
• Pub/Sub
• Secret Manager
• Speaker ID (GA con limitazioni)
• Vertex AI
• Workflows

Importante: tutti gli altri servizi non sono compatibili con Cloud External Key Manager per CMEK.

Nota: se la tua chiave Cloud EKM non è elencata nella console Google Cloud durante la configurazione dei servizi CMEK, per prima cosa copia il nome della risorsa. Dopodiché seleziona l'opzione Non vedi il token? Inserisci il nome della risorsa della chiave. e inserisci il nome della risorsa della chiave acquisito in precedenza.

Considerazioni

• Quando utilizzi una chiave Cloud EKM, Google non ha alcun controllo sulla disponibilità della chiave gestita esternamente nel sistema esterno di gestione delle chiavi del partner. Se perdi le chiavi che gestisci al di fuori di Google Cloud, Google non potrà recuperare i tuoi dati.

• Leggi le linee guida su regioni e partner di gestione delle chiavi esterni quando scegli le località per le chiavi Cloud EKM.

• Leggi l'Accordo sul livello del servizio (SLA) di Cloud EKM.

• La comunicazione con un servizio esterno su Internet può causare problemi di affidabilità, disponibilità e latenza. Per le applicazioni con una bassa tolleranza per questi tipi di rischi, valuta l'utilizzo di Cloud HSM o Cloud KMS per archiviare il materiale della chiave.

  • Se una chiave esterna non è disponibile, Cloud KMS restituisce un errore FAILED_PRECONDITION e fornisce i dettagli nei dettagli dell'errore PreconditionFailure.

    Abilita l'audit logging dei dati per conservare un record di tutti gli errori relativi a Cloud EKM. I messaggi di errore contengono informazioni dettagliate che aiutano a individuare l'origine dell'errore. Un esempio di errore comune è quando un partner esterno per la gestione delle chiavi non risponde a una richiesta entro un periodo di tempo ragionevole.

  • Devi avere un contratto di assistenza con il partner esterno per la gestione delle chiavi. L'assistenza Google Cloud può aiutare solo per i problemi dei servizi Google Cloud e non può fornire assistenza diretta per i problemi sui sistemi esterni. A volte, per risolvere i problemi di interoperabilità è necessario collaborare con l'assistenza di entrambi i lati.

• Cloud EKM può essere utilizzato con HSM privato ospitato per creare una soluzione HSM single-tenant integrata con Cloud KMS. Per saperne di più, scegli un partner Cloud EKM che supporti i moduli HSM single-tenant e esamina i requisiti per i moduli HSM privati ospitati.

Attenzione: quando utilizzi le chiavi Cloud EKM su internet, c'è il rischio che la chiave diventi non disponibile. A seconda dei servizi che utilizzi, questo può causare errori irreversibili o dati inaccessibili. Ad esempio, se utilizzi una chiave CMEK esterna per criptare i secret a livello di applicazione di Google Kubernetes Engine, i tuoi nodi possono non essere più disponibili se non sono in grado di decriptarli. Anche l'impossibilità di accedere alla chiave esterna può causare la perdita permanente dei dati. Ad esempio, se la chiave CMEK utilizzata per criptare un database Cloud Spanner rimane non disponibile per più di 30 giorni consecutivi, Cloud Spanner elimina automaticamente il database. Se la versione corrente della chiave non è disponibile, non puoi recuperare i dati ruotando a una nuova versione della chiave. Per una migliore disponibilità, valuta l'utilizzo di Cloud EKM su chiavi VPC o Cloud HSM.

Limitazioni

• La rotazione automatica non è supportata.
• Quando crei una chiave Cloud EKM utilizzando l'API o Google Cloud CLI, non deve avere una versione iniziale della chiave. Questo non si applica alle chiavi Cloud EKM create mediante la console Google Cloud.
• Le operazioni Cloud EKM sono soggette a quote specifiche, oltre alle quote per le operazioni di Cloud KMS.

Chiavi di crittografia simmetriche

• Le chiavi di crittografia simmetriche sono supportate solo per:
  • Chiavi di crittografia gestite dal cliente (CMEK) nei servizi di integrazione supportati.
  • Crittografia e decriptazione simmetriche utilizzando direttamente Cloud KMS.
• I dati criptati da Cloud EKM mediante una chiave gestita esternamente non possono essere decriptati senza utilizzare Cloud EKM.

Chiavi di firma asimmetriche

• Le chiavi di firma asimmetriche sono limitate a un sottoinsieme di algoritmi Cloud KMS.
• Le chiavi di firma asimmetriche sono supportate solo per:
  • Firma asimmetrica direttamente tramite Cloud KMS.
  • Chiave di firma personalizzata con Access Approval.
• Una volta impostato un algoritmo di firma asimmetrica su una chiave Cloud EKM, non può essere modificato.
• La firma deve essere effettuata per il campo data.

Regioni e gestori chiavi esterni

Cloud EKM deve essere in grado di raggiungere rapidamente le chiavi per evitare un errore. Quando crei una chiave Cloud EKM, scegli una località Google Cloud geograficamente vicina alla località della chiave esterna del partner per la gestione delle chiavi. Per informazioni dettagliate sulla disponibilità nella località del partner, consulta la documentazione del partner.

• Cloud EKM tramite Internet: disponibile in qualsiasi località Google Cloud supportata per Cloud KMS, ad eccezione di global
• Cloud EKM tramite VPC: disponibile solo nelle località regionali supportate per Cloud KMS

Consulta la documentazione del partner esterno per la gestione delle chiavi per determinare quali località sono supportate.

Utilizzo in più regioni

Quando utilizzi una chiave gestita esternamente con più regioni, i metadati della chiave sono disponibili in più data center all'interno di più regioni. Questi metadati includono le informazioni necessarie per comunicare con il partner esterno per la gestione delle chiavi. Se la tua applicazione esegue il failover da un data center all'altro all'interno di più regioni, il nuovo data center avvia le richieste di chiavi. Il nuovo data center potrebbe avere caratteristiche di rete diverse rispetto al data center precedente, tra cui la distanza dal partner esterno di gestione delle chiavi e la probabilità di timeout. Ti consigliamo di utilizzare più regioni con Cloud EKM solo se il gestore di chiavi esterno che hai scelto fornisce bassa latenza in tutte le aree di quella multiregionale.

EKM gestito dal partner

L'EKM gestito dal partner ti consente di utilizzare Cloud EKM tramite un partner sovrano fidato che gestisce il tuo sistema EKM per te. Con l'EKM gestito dal partner, il partner crea e gestisce le chiavi che utilizzi in Cloud EKM. Il partner garantisce che il tuo EKM sia conforme ai requisiti di sovranità.

Quando esegui l'onboarding con il tuo partner sovrano, il partner esegue il provisioning delle risorse in Google Cloud e nel tuo EKM. Queste risorse includono un progetto Cloud KMS per gestire le chiavi Cloud EKM e un EKM tramite connessione VPC configurata per la gestione delle chiavi EKM da Cloud KMS. Il partner crea risorse nelle località di Google Cloud in base ai tuoi requisiti di residenza dei dati.

Ogni chiave Cloud EKM include metadati Cloud KMS, che consentono a Cloud EKM di inviare richieste al tuo EKM per eseguire operazioni crittografiche utilizzando il materiale della chiave esterna che non lascia mai il tuo EKM. Le chiavi simmetriche Cloud EKM includono anche il materiale della chiave interna di Cloud KMS che non lascia mai Google Cloud. Per ulteriori informazioni sui lati interno ed esterno delle chiavi Cloud EKM, consulta Come funziona Cloud EKM in questa pagina.

Per ulteriori informazioni sull'EKM gestito dai partner, consulta Configurare Cloud KMS gestito dai partner.

Monitoraggio dell'utilizzo di Cloud EKM

Anteprima

Questa funzionalità è soggetta ai "Termini delle Offerte pre-GA" nella sezione Termini generali del servizio dei Termini specifici dei servizi. Le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per saperne di più, consulta le descrizioni della fase di lancio.

Puoi utilizzare Cloud Monitoring per monitorare la tua connessione EKM. Le seguenti metriche possono aiutarti a comprendere il tuo utilizzo di EKM:

• cloudkms.googleapis.com/ekm/external/request_latencies
• cloudkms.googleapis.com/ekm/external/request_count

Per ulteriori informazioni su queste metriche, consulta le metriche cloudkms. Puoi creare una dashboard per monitorare queste metriche. Per informazioni su come configurare una dashboard per monitorare la connessione EKM, consulta Monitorare l'utilizzo dell'EKM.

Richiedere assistenza

Se riscontri un problema con Cloud EKM, contatta l'assistenza.

Passaggi successivi

• Configura Cloud EKM tramite Internet.

• Crea una connessione EKM per utilizzare EKM tramite VPC.

• Inizia a utilizzare l'API.

• Leggi il riferimento API Cloud KMS.

• Scopri di più su Logging in Cloud KMS. Il logging si basa sulle operazioni e si applica alle chiavi con livello di protezione sia HSM sia software.

• Consulta Architetture di riferimento per un deployment affidabile dei servizi Cloud EKM per suggerimenti sulla configurazione di un deployment del servizio EKM (External Key Manager) integrato con Cloud EKM.