Cloud External Key Manager

Questo argomento fornisce una panoramica di Cloud External Key Manager (Cloud EKM).

Terminologia

• Gestore di chiavi esterno (EKM)

  Il gestore di chiavi utilizzato al di fuori di Google Cloud per gestire le tue chiavi.

• Cloud External Key Manager (Cloud EKM)

  Un servizio Google Cloud per l'utilizzo delle tue chiavi esterne gestite in un EKM supportato.

• Cloud EKM tramite internet

  Una versione di Cloud EKM in cui Google Cloud comunica con il gestore di chiavi esterno su internet.

• Cloud EKM tramite VPC

  Una versione di Cloud EKM in cui Google Cloud comunica con il gestore di chiavi esterno su un Virtual Private Cloud (VPC). Per maggiori informazioni, vedi Panoramica della rete VPC.

• Gestione delle chiavi EKM da Cloud KMS

  Se utilizzi Cloud EKM tramite un VPC con un partner esterno di gestione delle chiavi che supporta il piano di controllo Cloud EKM, puoi utilizzare la modalità di gestione di Cloud KMS per semplificare il processo di gestione delle chiavi esterne nel tuo partner esterno di gestione delle chiavi e in Cloud EKM. Per ulteriori informazioni, consulta Chiavi esterne coordinate e Gestione delle chiavi EKM da Cloud KMS in questa pagina.

• Spazio di crittografia

  Un container per le risorse all'interno del tuo partner esterno per la gestione delle chiavi. Il tuo spazio di crittografia è identificato da un percorso univoco. Il formato del percorso dello spazio di crittografia varia in base al partner esterno per la gestione delle chiavi, ad esempio v0/cryptospaces/YOUR_UNIQUE_PATH.

• EKM gestito dai partner

  Un accordo in cui il tuo EKM viene gestito per te da un partner di fiducia. Per maggiori informazioni, consulta l'articolo sull'EKM gestito dai partner in questa pagina.

• Key Access Justifications

  Quando utilizzi Cloud EKM con Key Access Justifications, ogni richiesta al tuo partner esterno per la gestione delle chiavi include un campo che identifica il motivo di ogni richiesta. Puoi configurare il tuo partner esterno per la gestione delle chiavi in modo da consentire o rifiutare le richieste in base al codice fornito da Key Access Justifications. Per ulteriori informazioni su Key Access Justifications, consulta la panoramica di Key Access Justifications.

Panoramica

Con Cloud EKM, puoi utilizzare le chiavi che gestisci all'interno di un partner per la gestione delle chiavi esterno supportato per proteggere i dati all'interno di Google Cloud. Puoi proteggere i dati at-rest nei servizi di integrazione CMEK supportati o chiamando direttamente l'API Cloud Key Management Service.

Cloud EKM offre diversi vantaggi:

• Provenienza della chiave: puoi controllare la località e la distribuzione delle chiavi gestite esternamente. Le chiavi gestite esternamente non vengono mai memorizzate nella cache o archiviate in Google Cloud. Cloud EKM comunica invece direttamente con il partner esterno per la gestione delle chiavi per ogni richiesta.

• Controllo dell'accesso: puoi gestire l'accesso alle chiavi gestite esternamente nel gestore di chiavi esterno. Non puoi utilizzare una chiave gestita esternamente in Google Cloud senza prima concedere al progetto Google Cloud l'accesso alla chiave nel gestore di chiavi esterno. Puoi revocare questo accesso in qualsiasi momento.

• Gestione centralizzata delle chiavi: puoi gestire le chiavi e i criteri di accesso da un'unica interfaccia utente, indipendentemente dal fatto che i dati protetti si trovino nel cloud oppure on-premise.

In ogni caso, la chiave risiede nel sistema esterno e non viene mai inviata a Google.

Puoi comunicare con il gestore di chiavi esterno tramite internet o tramite un Virtual Private Cloud (VPC).

Come funziona Cloud EKM

Le versioni delle chiavi Cloud EKM sono costituite dalle seguenti parti:

• Materiale della chiave esterna: il materiale della chiave esterna di una chiave Cloud EKM è il materiale crittografico creato e archiviato nel tuo EKM. Questo materiale non lascia il tuo EKM e non viene mai condiviso con Google.
• Riferimento chiave: ogni versione della chiave Cloud EKM contiene un URI della chiave o un percorso della chiave. Si tratta di un identificatore univoco per il materiale della chiave esterna che Cloud EKM utilizza per richiedere operazioni crittografiche utilizzando la chiave.
• Materiale della chiave interna: quando viene creata una chiave simmetrica Cloud EKM, Cloud KMS crea materiale aggiuntivo della chiave in Cloud KMS, senza mai lasciare Cloud KMS. Questo materiale della chiave viene utilizzato come livello aggiuntivo di crittografia durante le comunicazioni con il tuo EKM. Questo materiale della chiave interna non si applica alle chiavi di firma asimmetriche.

Per utilizzare le tue chiavi Cloud EKM, Cloud EKM invia richieste per operazioni di crittografia al tuo EKM. Ad esempio, per criptare i dati con una chiave di crittografia simmetrica, Cloud EKM cripta innanzitutto i dati utilizzando il materiale della chiave interna. I dati criptati sono inclusi in una richiesta all'EKM. L'EKM aggrega i dati criptati in un altro livello di crittografia utilizzando il materiale della chiave esterna, quindi restituisce il testo crittografato risultante. I dati criptati utilizzando una chiave Cloud EKM non possono essere decriptati senza sia il materiale della chiave esterna sia quello della chiave interna.

Se la tua organizzazione ha abilitato Key Access Justifications, il partner esterno per la gestione delle chiavi registra la giustificazione dell'accesso fornita e completa la richiesta solo per i codici di motivo della giustificazione consentiti dal tuo criterio Key Access Justifications sul partner esterno per la gestione delle chiavi.

La creazione e la gestione delle chiavi Cloud EKM richiedono modifiche corrispondenti sia in Cloud KMS che nell'EKM. Queste modifiche corrispondenti vengono gestite in modo diverso per le chiavi esterne gestite manualmente e per le chiavi esterne coordinate. Tutte le chiavi esterne accessibili tramite internet vengono gestite manualmente. Le chiavi esterne accessibili tramite una rete VPC possono essere gestite manualmente o coordinate, a seconda della modalità di gestione EKM dell'EKM tramite connessione VPC. La modalità di gestione EKM manuale viene utilizzata per le chiavi gestite manualmente. La modalità di gestione EKM di Cloud KMS viene utilizzata per le chiavi esterne coordinate. Per maggiori informazioni sulle modalità di gestione EKM, consulta Chiavi esterne gestite manualmente e Chiavi esterne coordinate in questa pagina.

Il seguente diagramma mostra come Cloud KMS si inserisce nel modello di gestione delle chiavi. Questo diagramma utilizza Compute Engine e BigQuery come due esempi. Puoi anche visualizzare l'elenco completo dei servizi che supportano le chiavi Cloud EKM.

Attenzione :per ogni richiesta di crittografia e decriptazione sono necessarie sia la versione della chiave Cloud EKM sia la chiave esterna. Se perdi l'accesso a una delle chiavi, i tuoi dati non potranno essere recuperati. Non è possibile ricreare una versione identica della chiave Cloud EKM utilizzando lo stesso URI della chiave esterna o lo stesso percorso della chiave.

Scopri di più sulle considerazioni e sulle limitazioni relative all'utilizzo di Cloud EKM.

Chiavi esterne gestite manualmente

Questa sezione fornisce una panoramica generale di come funziona Cloud EKM con una chiave esterna gestita manualmente.

1. Puoi creare o utilizzare una chiave esistente in un sistema di partner di gestione delle chiavi esterno supportato. Questa chiave ha un URI o un percorso della chiave univoco.
2. Per utilizzare la chiave, concedi al tuo progetto Google Cloud l'accesso nel sistema esterno di gestione delle chiavi del partner.
3. Nel tuo progetto Google Cloud, crei una versione della chiave Cloud EKM utilizzando l'URI o il percorso della chiave per la chiave gestita esternamente.
4. Le operazioni di manutenzione come rotazione della chiave devono essere gestite manualmente tra EKM e Cloud EKM. Ad esempio, le operazioni di rotazione della versione della chiave o di eliminazione della versione della chiave devono essere completate sia direttamente nel tuo EKM sia in Cloud KMS.

All'interno di Google Cloud, la chiave viene visualizzata insieme alle altre chiavi Cloud KMS e Cloud HSM, con livello di protezione EXTERNAL o EXTERNAL_VPC. La chiave Cloud EKM e la chiave esterna del partner per la gestione delle chiavi lavorano insieme per proteggere i tuoi dati. Il materiale della chiave esterna non viene mai esposto a Google.

Tasti esterni coordinati

Questa sezione fornisce una panoramica di come funziona Cloud EKM con una chiave esterna coordinata.

1. Puoi configurare un EKM tramite connessione VPC impostando la modalità di gestione EKM su Cloud KMS. Durante la configurazione, devi autorizzare l'EKM ad accedere alla rete VPC e autorizzare l'account di servizio del progetto Google Cloud ad accedere allo spazio crittografico nel tuo EKM. La connessione EKM utilizza il nome host del tuo EKM e un percorso dello spazio di crittografia che identifica le risorse all'interno del tuo EKM.

2. Puoi creare una chiave esterna in Cloud KMS. Quando crei una chiave Cloud EKM utilizzando una connessione EKM tramite VPC con la modalità di gestione EKM di Cloud KMS abilitata, verranno eseguiti automaticamente i seguenti passaggi:

   1. Cloud EKM invia una richiesta di creazione della chiave al tuo EKM.
   2. L'EKM crea il materiale della chiave richiesto. Questo materiale della chiave esterna rimane nell'EKM e non viene mai inviato a Google.
   3. L'EKM restituisce un percorso chiave a Cloud EKM.
   4. Cloud EKM crea la versione della chiave Cloud EKM utilizzando il percorso della chiave fornito dal tuo EKM.

3. Le operazioni di manutenzione su chiavi esterne coordinate possono essere avviate da Cloud KMS. Ad esempio, le chiavi esterne coordinate utilizzate per la crittografia simmetrica possono essere ruotate automaticamente in base a una pianificazione prestabilita. La creazione delle nuove versioni delle chiavi viene coordinata nel tuo EKM da Cloud EKM. Puoi anche attivare la creazione o l'eliminazione delle versioni delle chiavi nel tuo EKM da Cloud KMS utilizzando la console Google Cloud, gcloud CLI, l'API Cloud KMS o le librerie client di Cloud KMS.

All'interno di Google Cloud, la chiave viene visualizzata insieme alle altre chiavi Cloud KMS e Cloud HSM, con livello di protezione EXTERNAL_VPC. La chiave Cloud EKM e la chiave esterna del partner per la gestione delle chiavi collaborano per proteggere i tuoi dati. Il materiale della chiave esterna non viene mai esposto a Google.

Gestione delle chiavi EKM da Cloud KMS

Le chiavi esterne coordinate sono rese possibili da EKM tramite connessioni VPC che utilizzano la gestione delle chiavi EKM di Cloud KMS. Se il tuo EKM supporta il piano di controllo Cloud EKM, puoi abilitare la gestione delle chiavi EKM da Cloud KMS per la tua EKM tramite connessioni VPC per creare chiavi esterne coordinate. Con la gestione delle chiavi EKM di Cloud KMS abilitata, Cloud EKM può richiedere le seguenti modifiche nel tuo EKM:

• Crea una chiave: quando crei una chiave gestita esternamente in Cloud KMS utilizzando una connessione EKM tramite VPC compatibile, Cloud EKM invia la richiesta di creazione della chiave al tuo EKM. Se l'esito è positivo, l'EKM crea la nuova chiave e il materiale della chiave, quindi restituisce il percorso della chiave che Cloud EKM utilizzerà per accedere alla chiave.

• Ruota una chiave: quando ruoti una chiave gestita esternamente in Cloud KMS utilizzando una connessione EKM tramite VPC compatibile, Cloud EKM invia la richiesta di rotazione al tuo EKM. Se l'operazione ha esito positivo, l'EKM crea un nuovo materiale della chiave e restituisce il percorso della chiave che Cloud EKM potrà utilizzare per accedere alla nuova versione della chiave.

• Elimina una chiave: quando elimini una versione della chiave per una chiave gestita esternamente in Cloud KMS utilizzando una connessione EKM tramite VPC compatibile, Cloud KMS pianifica l'eliminazione della versione della chiave in Cloud KMS. Se la versione della chiave non viene ripristinata prima del termine del periodo di pianificazione per l'eliminazione, Cloud EKM elimina la propria parte del materiale crittografico della chiave e invia una richiesta di eliminazione al tuo EKM.

  I dati criptati con questa versione della chiave non possono essere decriptati dopo l'eliminazione della versione della chiave in Cloud KMS, anche se l'EKM non ha ancora eliminato la versione della chiave. Per verificare se l'EKM ha eliminato correttamente la versione della chiave, visualizza i dettagli della chiave in Cloud KMS.

Quando le chiavi nel tuo EKM vengono gestite da Cloud KMS, il materiale della chiave rimane nel tuo EKM. Google non può inviare richieste di gestione delle chiavi al tuo EKM senza autorizzazione esplicita. Google non può modificare le autorizzazioni o i criteri Key Access Justifications nel sistema esterno di gestione delle chiavi del partner. Se revochi le autorizzazioni di Google nel tuo EKM, le operazioni di gestione delle chiavi in Cloud KMS non riusciranno.

Compatibilità

Gestori di chiavi supportati

Puoi archiviare le chiavi esterne nei seguenti sistemi esterni dei partner di gestione delle chiavi:

• Supportato oggi:
  • Fortanix
  • Futurex
  • Thales
  • Virtru

Servizi che supportano CMEK con Cloud EKM

I seguenti servizi supportano l'integrazione con Cloud KMS per le chiavi esterne (Cloud EKM):

• AlloyDB per PostgreSQL
• Artifact Registry
• Backup per GKE
• BigQuery
• Bigtable
• Cloud Composer
• Cloud Data Fusion
• Cloud Functions
• Cloud Logging: Dati nel router dei log e Dati nello spazio di archiviazione di Logging
• Cloud Run
• Cloud SQL
• Cloud Storage
• Cloud Tasks
• Cloud Workstations
• Compute Engine: Dischi permanenti , Snapshot , Immagini personalizzate , e Immagini macchina
• Approfondimenti di Contact Center AI
• Database Migration Service: Migrazioni MySQL - dati scritti nei database , Migrazioni PostgreSQL - Dati scritti nei database , Migrazioni da PostgreSQL ad AlloyDB - Dati scritti nei database , e Dati at-rest da Oracle a PostgreSQL
• Dataflow
• Dataproc: Dati dei cluster Dataproc sui dischi VM e Dati serverless di Dataproc sui dischi delle VM
• Dataproc Metastore
• Dialogflow CX
• Document AI
• Eventarc
• Filestore
• Firestore (anteprima)
• Google Distributed Cloud Edge
• Google Kubernetes Engine: Dati su dischi VM e Secret a livello di applicazione
• Looker (Google Cloud core)
• Memorystore for Redis
• Eseguire la migrazione alle macchine virtuali
• Pub/Sub
• Secret Manager
• Gestione delle fonti sicure
• Spanner
• ID speaker (GA con limitazioni)
• Speech-to-Text
• Vertex AI
• Istanze di Vertex AI Workbench
• Workflows

Importante: tutti gli altri servizi non sono compatibili con Cloud External Key Manager per CMEK.

Nota: se la tua chiave Cloud EKM non è elencata nella console Google Cloud durante la configurazione dei servizi CMEK, copia prima il nome della risorsa. Quindi seleziona Non trovi il tuo token? Inserisci il nome risorsa della chiave. e inserisci il nome della risorsa della chiave acquisito in precedenza.

Considerazioni

• Quando utilizzi una chiave Cloud EKM, Google non ha alcun controllo sulla disponibilità della chiave gestita esternamente nel sistema esterno di gestione delle chiavi del partner. Se perdi le chiavi che gestisci al di fuori di Google Cloud, Google non può recuperare i tuoi dati.

• Consulta le linee guida relative alle regioni e ai partner esterni per la gestione delle chiavi quando scegli le località per le chiavi Cloud EKM.

• Leggi l'accordo sul livello del servizio (SLA) di Cloud EKM.

• La comunicazione con un servizio esterno su internet può causare problemi di affidabilità, disponibilità e latenza. Per le applicazioni con una bassa tolleranza per questi tipi di rischi, valuta la possibilità di utilizzare Cloud HSM o Cloud KMS per archiviare il materiale delle chiavi.

  • Se una chiave esterna non è disponibile, Cloud KMS restituisce un errore FAILED_PRECONDITION e fornisce i dettagli nei dettagli dell'errore PreconditionFailure.

    Abilita l'audit logging dei dati per mantenere un record di tutti gli errori relativi a Cloud EKM. I messaggi di errore contengono informazioni dettagliate che consentono di individuare l'origine dell'errore. Un esempio di errore comune è quando un partner esterno per la gestione delle chiavi non risponde a una richiesta entro un periodo di tempo ragionevole.

  • È necessario un contratto di assistenza con il partner esterno per la gestione delle chiavi. L'assistenza Google Cloud può fornire assistenza solo per problemi relativi ai servizi Google Cloud e non può fornire assistenza diretta per problemi relativi a sistemi esterni. A volte è necessario collaborare con l'assistenza da entrambi i lati per risolvere i problemi di interoperabilità.

• Cloud EKM può essere utilizzato con Bare Metal Rack HSM per creare una soluzione HSM a singolo tenant integrata con Cloud KMS. Per saperne di più, scegli un partner Cloud EKM che supporti i moduli HSM a singolo tenant ed esamina i requisiti per i moduli HSM in rack Bare Metal.

• Attiva l'audit logging nel gestore di chiavi esterno per acquisire l'accesso e l'utilizzo delle chiavi EKM.

Attenzione: quando utilizzi le chiavi Cloud EKM su internet, c'è il rischio che la chiave possa non essere più disponibile. A seconda dei servizi che utilizzi, potrebbero verificarsi errori irreversibili o dati inaccessibili. Ad esempio, se utilizzi una chiave CMEK esterna per criptare i secret a livello di applicazione di Google Kubernetes Engine, i nodi potrebbero non essere più disponibili se non sono in grado di decriptare i secret. Anche l'impossibilità di accedere alla chiave esterna può causare una perdita permanente di dati. Ad esempio, se la chiave CMEK utilizzata per criptare un database Spanner rimane non disponibile per più di 30 giorni consecutivi, Spanner elimina automaticamente il database. Quando la versione attuale della chiave non è disponibile, non puoi recuperare i dati ruotando a una nuova versione della chiave. Per una maggiore disponibilità, valuta l'utilizzo di Cloud EKM su VPC o chiavi Cloud HSM.

Limitazioni

• La rotazione automatica non è supportata.
• Quando crei una chiave Cloud EKM utilizzando l'API o Google Cloud CLI, non deve avere una versione iniziale della chiave. Questo non si applica alle chiavi Cloud EKM create utilizzando la console Google Cloud.
• Le operazioni di Cloud EKM sono soggette a quote specifiche oltre alle quote sulle operazioni di Cloud KMS.

Chiavi di crittografia simmetriche

• Le chiavi di crittografia simmetriche sono supportate solo per:
  • Chiavi di crittografia gestite dal cliente (CMEK) nei servizi di integrazione supportati.
  • Crittografia simmetrica e decriptazione utilizzando direttamente Cloud KMS.
• I dati criptati da Cloud EKM mediante una chiave gestita esternamente non possono essere decriptati senza utilizzare Cloud EKM.

Chiavi di firma asimmetriche

• Le chiavi di firma asimmetriche sono limitate a un sottoinsieme di algoritmi Cloud KMS.
• Le chiavi di firma asimmetriche sono supportate solo per:
  • Firma asimmetrica utilizzando direttamente Cloud KMS.
  • Chiave di firma personalizzata con Access Approval.
• Dopo aver impostato un algoritmo di firma asimmetrica su una chiave Cloud EKM, non è possibile modificarlo.
• È necessario firmare nel campo data.

Gestori di chiavi esterni e regioni

Cloud EKM deve poter raggiungere le chiavi rapidamente per evitare un errore. Quando crei una chiave Cloud EKM, scegli una località Google Cloud geograficamente vicina a quella della chiave esterna per la gestione delle chiavi del partner. Fai riferimento alla documentazione del partner per i dettagli sulla disponibilità della località del partner.

• Cloud EKM tramite internet: disponibile in tutte le località Google Cloud supportate per Cloud KMS, ad eccezione di global e nam-eur-asia1.
• Cloud EKM tramite VPC: disponibile solo nelle località regionali supportate per Cloud KMS

Consulta la documentazione del tuo partner esterno per la gestione delle chiavi per determinare quali località supporta.

Utilizzo in più regioni

Quando utilizzi una chiave gestita esternamente con più regioni, i metadati della chiave sono disponibili in più data center all'interno di quest'ultima. Questi metadati includono le informazioni necessarie per comunicare con il partner esterno per la gestione delle chiavi. Se un'applicazione esegue il failover da un data center all'altro all'interno di più regioni, il nuovo data center avvia richieste chiave. Il nuovo data center potrebbe avere caratteristiche di rete diverse rispetto al data center precedente, tra cui la distanza dal partner esterno per la gestione delle chiavi e la probabilità di timeout. Ti consigliamo di utilizzare più regioni con Cloud EKM solo se il gestore di chiavi esterno che hai scelto fornisce bassa latenza per tutte le aree di quella multiregione.

EKM gestito dai partner

L'EKM gestito dai partner ti consente di utilizzare Cloud EKM tramite un partner sovrano fidato che gestisce il tuo sistema EKM per te. Con EKM gestito dal partner, quest'ultimo crea e gestisce le chiavi che utilizzi in Cloud EKM. Il partner garantisce che il tuo EKM soddisfi i requisiti di sovranità.

Quando esegui l'onboarding con il tuo partner sovrano, quest'ultimo esegue il provisioning delle risorse in Google Cloud e nel tuo EKM. Queste risorse includono un progetto Cloud KMS per gestire le chiavi Cloud EKM e una connessione EKM tramite VPC configurata per la gestione delle chiavi EKM da Cloud KMS. Il tuo partner crea risorse nelle località di Google Cloud in base ai tuoi requisiti di residenza dei dati.

Ogni chiave Cloud EKM include metadati Cloud KMS, che consentono a Cloud EKM di inviare richieste all'EKM per eseguire operazioni crittografiche utilizzando il materiale della chiave esterna, senza uscire mai dal tuo EKM. Le chiavi simmetriche di Cloud EKM includono anche materiale delle chiavi interne di Cloud KMS che non lascia mai Google Cloud. Per ulteriori informazioni sugli lati interno ed esterno delle chiavi Cloud EKM, consulta Come funziona Cloud EKM in questa pagina.

Per ulteriori informazioni sull'EKM gestito dai partner, consulta Configurare Cloud KMS gestito dai partner.

Monitora l'utilizzo di Cloud EKM

Anteprima

Questa funzionalità è soggetta ai "Termini delle Offerte pre-GA" nella sezione Termini generali del servizio dei Termini specifici dei servizi. Le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per saperne di più, consulta le descrizioni della fase di lancio.

Puoi utilizzare Cloud Monitoring per monitorare la connessione EKM. Le seguenti metriche possono aiutarti a comprendere il tuo utilizzo di EKM:

• cloudkms.googleapis.com/ekm/external/request_latencies
• cloudkms.googleapis.com/ekm/external/request_count

Per ulteriori informazioni su queste metriche, consulta le metriche cloudkms. Puoi creare una dashboard per monitorare queste metriche. Per scoprire come configurare una dashboard per monitorare la connessione EKM, consulta Monitorare l'utilizzo di EKM.

Richiedere assistenza

Se riscontri un problema con Cloud EKM, contatta l'assistenza.

Passaggi successivi

• Configura Cloud EKM tramite internet.

• Crea una connessione EKM per utilizzare EKM tramite VPC.

• Inizia a utilizzare l'API.

• Leggi il Riferimento API Cloud KMS.

• Scopri di più su Logging in Cloud KMS. Il logging si basa sulle operazioni e si applica alle chiavi con livello di protezione hardware e software.

• Consulta le architetture di riferimento per un deployment affidabile dei servizi Cloud EKM per suggerimenti su come configurare il deployment di un servizio di gestore di chiavi esterno (EKM) integrato con Cloud EKM.