Cloud External Key Manager

Neste tópico, você encontra uma visão geral do Cloud External Key Manager (Cloud EKM).

Terminologia

• Gerenciador de chaves externas (EKM)

  O gerenciador de chaves usado fora do Google Cloud para gerenciar suas chaves.

• Gerenciador de chaves externas do Cloud (Cloud EKM)

  Um serviço do Google Cloud para usar chaves externas gerenciadas em um EKM compatível.

• Cloud EKM pela Internet

  Uma versão do Cloud EKM na qual o Google Cloud se comunica seu gerenciador de chaves externo pela Internet.

• Cloud EKM por uma VPC

  Uma versão do Cloud EKM na qual o Google Cloud se comunica gerenciador de chaves externo por uma nuvem privada virtual (VPC). Para mais consulte Visão geral de redes VPC.

• Gerenciamento de chaves EKM pelo Cloud KMS

  Ao usar o Cloud EKM por uma VPC com um parceiro de gerenciamento de chaves externo compatível com o Cloud EKM plano de controle, use o serviço EKM do Cloud KMS de gerenciamento de chaves externo para simplificar o processo de manutenção de chaves externas em seu parceiro de gerenciamento de chaves externo e no Cloud EKM. Para mais informações, consulte Chaves externas coordenadas e Gerenciamento de chaves EKM do Cloud KMS nesta página.

• Espaço criptográfico

  Um contêiner para seus recursos no parceiro de gerenciamento de chaves externo. Seu espaço criptográfico é identificada por um caminho exclusivo do espaço criptográfico. O formato do espaço criptográfico varia de acordo com o parceiro de gerenciamento de chaves externo, por exemplo, v0/cryptospaces/YOUR_UNIQUE_PATH:

• EKM gerenciado por parceiro

  Um acordo em que seu EKM é gerenciado para você por um parceiro confiável. Para mais informações, consulte EKM gerenciado por parceiro nesta página.

• Justificativas de acesso às chaves

  Quando você usa o Cloud EKM com Justificativas de acesso às chaves, cada solicitação à sua parceiro de gerenciamento de chaves externo inclui um campo que identifica o motivo de cada solicitação. É possível configurar seu parceiro externo de gerenciamento de chaves para permitir ou negar solicitações com base no O código das justificativas de acesso às chaves fornecido. Para mais informações sobre Justificativas de acesso às chaves, consulte Justificativas de acesso às chaves geral.

Visão geral

Com o Cloud EKM, é possível usar chaves gerenciadas em um parceiro de gerenciamento de chaves externo com suporte para proteger os dados no Google Cloud. É possível proteger os dados em repouso na integração de CMEK com suporte serviços ou chamando a API Cloud Key Management Service diretamente.

O Cloud EKM oferece vários benefícios:

• Proveniência da chave:você controla o local e a distribuição dos com chaves gerenciadas externamente. As chaves gerenciadas externamente nunca são armazenadas em cache no Google Cloud. Em vez disso, o Cloud EKM se comunica diretamente com o parceiro de gerenciamento de chaves externo para cada solicitação.

• Controle de acesso: você gerencia o acesso às chaves gerenciadas externamente seu gerenciador de chaves externo. Não é possível usar uma chave gerenciada externamente Google Cloud sem conceder o acesso do projeto do Google Cloud acesso à chave no gerenciador de chaves externo. É possível revogar esse acesso a qualquer momento.

• Gerenciamento centralizado de chaves:é possível gerenciar suas chaves e políticas de acesso. de uma única interface do usuário, quer os dados protegidos estejam na nuvem ou no seu local.

Em todos os casos, a chave reside no sistema externo e nunca é enviada ao Google.

É possível se comunicar com o gerenciador de chaves externo pela Internet ou por uma nuvem privada virtual (VPC).

Como o Cloud EKM funciona

As versões de chave do Cloud EKM consistem nestas partes:

• Material da chave externa: o material da chave externa de um Cloud EKM. é o material criptográfico criado e armazenado no EKM. Este material não sai do EKM e nunca é compartilhado com o Google.
• Referência de chave: cada versão de chave do Cloud EKM contém uma chave URI ou um caminho de chave. Este é um identificador exclusivo para o material da chave externa que o Cloud EKM usa ao solicitar operações criptográficas com a chave.
• Material interno da chave: quando uma chave simétrica do Cloud EKM é é criado, o Cloud KMS cria material adicional de chave no Cloud KMS, que nunca sai do Cloud KMS. Este material de chave é usada como uma camada extra de criptografia na comunicação com o EKM. Esse material de chave interna não se aplica a chaves de assinatura assimétricas.

Para usar as chaves do Cloud EKM, ele envia solicitações operações criptográficas com seu EKM. Por exemplo, para criptografar dados com uma chave de criptografia simétrica, o Cloud EKM primeiro criptografa os dados usando o material interno da chave. Os dados criptografados são incluídos em uma solicitação ao EKM. O EKM encapsula os dados criptografados em outra camada usando o externo e retorna o texto criptografado resultante. Dados criptografados usando uma chave do Cloud EKM não pode ser descriptografado sem a chave externa e o material da chave interna.

Caso sua organização tenha ativado as Justificativas de acesso às chaves, o parceiro externo de gerenciamento de chaves registra a justificativa de acesso fornecida e conclui a solicitação apenas para conferir os códigos de motivo da justificativa permitidos pela sua Política de justificativas de acesso às chaves no parceiro de gerenciamento de chaves externo.

A criação e o gerenciamento de chaves do Cloud EKM exigem alterações correspondentes no Cloud KMS e no EKM. Essas mudanças correspondentes são tratadas de maneira diferente para chaves externas gerenciadas manualmente e para chaves externas chaves externas. Todas as chaves externas acessadas pela Internet são gerenciados. As chaves externas acessadas por uma rede VPC podem ser gerenciadas manualmente coordenado, dependendo do modo de gerenciamento do EKM via conexão VPC. O modo de gerenciamento de EKM manual é usado para chaves gerenciadas manualmente. O O modo de gerenciamento EKM do Cloud KMS é usado para chaves externas coordenadas. Para Saiba mais sobre os modos de gerenciamento de EKM em Gerenciamento externo manual de chaves e chaves externas coordenadas nesta página.

O diagrama a seguir mostra como o Cloud KMS se encaixa um modelo de machine learning. Este diagrama usa o Compute Engine e o BigQuery como exemplos. confira a lista completa de serviços com suporte ao Cloud EKM chaves.

Cuidado: a versão da chave do Cloud EKM e a chave externa são necessárias para cada solicitação de criptografia e descriptografia. Se você perder o acesso a uma das chaves, seus dados não poderão ser recuperados. Não é possível recriar a versão idêntica da chave do Cloud EKM usando o mesmo URI de chave externa ou caminho da chave.

Saiba mais sobre as considerações e as restrições ao usar o Cloud EKM.

Chaves externas gerenciadas manualmente

Nesta seção, apresentamos uma visão geral de como o Cloud EKM funciona com uma uma chave externa gerenciada manualmente.

1. Você cria ou usa uma chave atual em um parceiro de gerenciamento de chaves externo compatível. Google Workspace. Essa chave tem um URI ou caminho exclusivo.
2. Você concede ao seu projeto do Google Cloud acesso para usar a chave, no sistema de gerenciamento de chaves externas do parceiro.
3. No projeto do Google Cloud, você cria uma chave do Cloud EKM versão, usando o URI ou caminho da chave gerenciada externamente.
4. Operações de manutenção, como a rotação de chaves, devem ser gerenciadas manualmente entre no EKM e no Cloud EKM. Por exemplo, rotação de versões de chave ou as operações de destruição da versão da chave precisam ser concluídas diretamente no EKM e no Cloud KMS.

No Google Cloud, a chave aparece ao lado das outras Chaves do Cloud KMS e do Cloud HSM, com nível de proteção EXTERNAL ou EXTERNAL_VPC. As chaves do Cloud EKM e do parceiro de gerenciamento de chaves externas trabalham juntas para proteger seus dados. A chave externa material nunca é exposto ao Google.

Chaves externas coordenadas

Nesta seção, apresentamos uma visão geral de como o Cloud EKM funciona com um chave externa coordenada.

1. Você configura um EKM via VPC conexão, defina o modo de gerenciamento EKM como Cloud KMS. Durante a configuração, você precisa autorizar o EKM a acessar a rede VPC e autorizar o conta de serviço do projeto do Google Cloud para acessar seu espaço criptográfico no no EKM. A conexão EKM usa o nome do host do EKM e um arquivo criptográfico espaço de armazenamento que identifica os recursos no EKM.

2. Você cria uma chave externa no no Cloud KMS. Quando você cria uma chave do Cloud EKM usando um EKM via conexão VPC com o modo de gerenciamento EKM do Cloud KMS ativado, o etapas a seguir ocorrem automaticamente:

   1. O Cloud EKM envia uma solicitação de criação de chave para o EKM.
   2. O EKM cria o material de chave solicitado. Este material de chave externa permanece no EKM e nunca é enviado ao Google.
   3. O EKM retorna um caminho de chave para o Cloud EKM.
   4. O Cloud EKM cria a versão da chave usando o o caminho da chave fornecido pelo EKM.

3. As operações de manutenção em chaves externas coordenadas podem ser iniciadas no Cloud KMS. Por exemplo, chaves externas coordenadas usadas para a criptografia simétrica pode ser alternada automaticamente de acordo com uma programação definida. O a criação de novas versões de chaves é coordenada no EKM pela o Cloud EKM. Você também pode acionar a criação ou destruição de chaves no EKM pelo Cloud KMS usando o o console do Google Cloud, a CLI gcloud, o Cloud KMS ou bibliotecas de cliente do Cloud KMS.

No Google Cloud, a chave aparece ao lado das outras chaves do Cloud KMS e do Cloud HSM, com nível de proteção EXTERNAL_VPC. A chave do Cloud EKM e a chave do parceiro de gerenciamento de chaves externas funcionam para proteger seus dados. O material da chave externa nunca é exposto a Google.

Gerenciamento de chaves do EKM pelo Cloud KMS

A coordenação de chaves externas é possibilitada pelo EKM por meio de conexões VPC que usam Gerenciamento de chaves do EKM pelo Cloud KMS. Se o EKM for compatível com o Cloud EKM de controle, vai poder ativar o gerenciamento de chaves EKM pelo Cloud KMS para seu usando conexões VPC para criar chaves externas coordenadas. Com O gerenciamento de chaves do EKM no Cloud KMS está ativado. O Cloud EKM pode solicitar as seguintes alterações no EKM:

• Criar uma chave: quando você cria uma chave gerenciada externamente o Cloud KMS usando um EKM compatível via conexão VPC; O Cloud EKM envia a solicitação de criação de chave para o EKM. Quando bem-sucedido, o EKM cria a chave e o material dela e retorna caminho da chave a ser usado pelo Cloud EKM para acessar a chave.

• Rotação de uma chave: quando você rotaciona uma chave gerenciada externamente o Cloud KMS usando um EKM compatível via conexão VPC; O Cloud EKM envia a solicitação de rotação para o EKM. Quando bem-sucedido, o EKM cria um novo material de chave e retorna o caminho da Cloud EKM a ser usado para acessar a nova versão da chave.

• Destruir uma chave: ao destruir uma versão de uma chave gerenciada externamente no Cloud KMS usando um EKM compatível via conexão VPC, O Cloud KMS programa a destruição da versão da chave em no Cloud KMS. Se a versão da chave não for restaurada antes do evento programado para destruição, o Cloud EKM vai destruir a parte o material criptográfico da chave e envia uma solicitação de destruição ao EKM.

  Os dados criptografados com esta versão da chave não podem ser descriptografados após a chave será destruída no Cloud KMS, mesmo que o EKM ainda não tenha destruiu a versão da chave. É possível verificar se o EKM destruiu a versão da chave visualizando os detalhes da chave em no Cloud KMS.

Quando as chaves no EKM são gerenciadas no Cloud KMS, o material ainda reside no EKM. O Google não pode fazer solicitações de gerenciamento de chaves para sua o EKM sem permissão explícita. O Google não pode alterar permissões nem Políticas de justificativas de acesso às chaves no sistema do parceiro de gerenciamento de chaves externas. Se você revogar As permissões do Google no EKM, tentativas de gerenciamento de chaves em vai falhar no Cloud KMS.

Compatibilidade

Gerentes de chave compatíveis

É possível armazenar chaves externas nos seguintes sistemas de parceiros de gerenciamento de chaves externas:

• Compatível hoje:
  • Fortanix
  • Futurex
  • Thales
  • Virtru

Serviços compatíveis com CMEK com o Cloud EKM

Os serviços a seguir oferecem suporte à integração com o Cloud KMS para chaves externas (Cloud EKM):

• AlloyDB para PostgreSQL
• Artifact Registry
• Backup para GKE
• BigQuery
• Bigtable
• Cloud Composer
• Cloud Data Fusion
• Cloud Functions
• API Cloud Healthcare
• O Cloud Logging: Dados no roteador de registros e Dados no armazenamento do Logging
• Cloud Run
• Cloud SQL
• Cloud Storage
• Cloud Tasks
• Cloud Workstations
• Compute Engine: Discos permanentes , Snapshots , Imagens personalizadas , e Imagens de máquina
• Contact Center AI Insights
• O Database Migration Service: Migrações do MySQL: dados gravados em bancos de dados , Migrações do PostgreSQL: dados gravados em bancos de dados , Migrações do PostgreSQL para o AlloyDB: dados gravados em bancos de dados , e Dados da Oracle para PostgreSQL em repouso
• Dataflow
• Dataproc: Dados de clusters do Dataproc em discos da VM e Dados sem servidor do Dataproc em discos da VM
• Metastore do Dataproc
• Dialogflow CX
• Document AI
• Eventarc
• Filestore
• Firestore (Prévia)
• Google Distributed Cloud
• O Google Kubernetes Engine: Dados em discos da VM e Secrets da camada de aplicativos
• Looker (Google Cloud Core)
• Memorystore para Redis
• Migrate to Virtual Machines
• Pub/Sub
• Secret Manager
• Gerenciador de origem segura
• Spanner
• Speaker ID (GA restrita)
• Speech-to-Text
• Vertex AI
• Instâncias do Vertex AI Workbench
• Workflows

Importante:nenhum outro serviço é compatível com o gerenciador de chaves externas do Cloud para CMEK.

Observação:se a chave do Cloud EKM não estiver listada no console do Google Cloud Ao configurar serviços CMEK, primeiro copie o recurso nome. Em seguida, selecione Não consegue ver sua chave? digite o nome do recurso da chave. e a chave nome de recurso capturado anteriormente.

Considerações

• Quando você usa uma chave do Cloud EKM, o Google não tem controle sobre o a disponibilidade da sua chave gerenciada externamente no sistema de gerenciamento de chaves externas do parceiro. Se você perder as chaves gerenciadas fora do Google Cloud, o Google não poderá recuperar seus dados.

• Consulte as diretrizes sobre regiões e parceiros de gerenciamento de chaves externas ao escolher os locais das chaves do Cloud EKM.

• Consulte o Contrato de nível de serviço (SLA) do Cloud EKM.

• A comunicação com um serviço externo pela Internet pode levar a problemas de confiabilidade, disponibilidade e latência. Para aplicativos com baixa tolerância a esses tipos de riscos, considere usar o Cloud HSM ou Cloud KMS para armazenar o material da chave.

  • Se uma chave externa não estiver disponível, o Cloud KMS retornará um erro FAILED_PRECONDITION e fornecerá detalhes no detalhe do erro PreconditionFailure.

    Ative o registro de auditoria de dados para manter um registro de todas erros relacionados ao Cloud EKM. As mensagens de erro contêm informações informações para ajudar a identificar a origem do erro. Um exemplo de erro comum é quando um parceiro externo de gerenciamento de chaves não responde a uma solicitação dentro de um prazo razoável.

  • Você precisa de um contrato de suporte com o parceiro externo de gerenciamento de chaves. O suporte do Google Cloud só pode ajudar com problemas em serviços do Google Cloud e não pode ajudar diretamente com problemas sistemas externos. Às vezes, é preciso trabalhar com o suporte de ambos os lados para resolver problemas de interoperabilidade.

• O Cloud EKM pode ser usado com o Bare Metal Rack HSM para criar uma solução HSM de locatário único integrada no Cloud KMS. Para saber mais, escolha um parceiro do Cloud EKM que oferece suporte a HSMs de locatário único e analise requisitos para HSMs de rack Bare Metal.

• Ative o registro de auditoria no gerenciador de chaves externo para capturar o acesso e às chaves EKM.

.

Atenção :ao usar chaves do Cloud EKM na Internet, há um de que a chave fique indisponível. Dependendo dos serviços que você usar, isso pode causar erros fatais ou dados inacessíveis. Por exemplo, se você usa uma chave CMEK externa para criptografar a camada de aplicativo do Google Kubernetes Engine secrets, seus nós podem ficar indisponíveis se não puderem descriptografar segredos. A incapacidade de acessar a chave externa também pode causar dados permanentes e perda de talentos. Por exemplo, se a chave CMEK usada para criptografar um banco de dados do Spanner ficar indisponível por mais de 30 dias consecutivos, o Spanner exclui automaticamente o banco de dados. Quando a versão atual da chave não é disponível, não será possível recuperá-los girando para uma nova versão de chave. Para ter uma disponibilidade melhor, considere usar o Cloud EKM em vez de VPC ou do Cloud HSM.

Restrições

• A rotação automática não é compatível.
• Quando você cria uma chave do Cloud EKM usando a API ou A Google Cloud CLI não pode ter uma versão inicial da chave. Isso não se aplica com chaves do Cloud EKM criadas com o console do Google Cloud.
• As operações do Cloud EKM estão sujeitas a cotas específicas, além das cotas nas operações do Cloud KMS.

Chaves de criptografia simétricas

• Chaves de criptografia simétrica são compatíveis apenas com o seguinte:
  • Chaves de criptografia gerenciadas pelo cliente (CMEKs) em serviços de integração compatíveis.
  • Criptografia e descriptografia simétricas usando o Cloud KMS diretamente.
• Os dados criptografados pelo Cloud EKM usando uma rede chave não pode ser descriptografada sem o uso do Cloud EKM.

Chaves de assinatura assimétricas

• As chaves de assinatura assimétricas são limitadas a um subconjunto do Cloud KMS algoritmos.
• Chaves de assinatura assimétricas são compatíveis apenas com:
  • Assinatura assimétrica usando diretamente o Cloud KMS.
  • Chave de assinatura personalizada com o Access Approval.
• Quando um algoritmo de assinatura assimétrica é definido em uma chave do Cloud EKM, não pode ser modificada.
• A assinatura precisa ser feita no campo data.

Principais gerentes e regiões externas

O Cloud EKM precisa ser capaz de acessar suas chaves rapidamente para evitar um erro. Ao criar uma chave do Cloud EKM, escolha um local do Google Cloud que esteja geograficamente perto do local da chave do parceiro de gerenciamento externo. Consulte a documentação do parceiro para detalhes sobre a disponibilidade desse local.

• Cloud EKM pela Internet: disponível em qualquer ambiente do Google Cloud locais compatíveis com o Cloud KMS; exceto para global e nam-eur-asia1.
• Cloud EKM via VPC: disponível apenas em locais regionais compatíveis com Cloud KMS

Consulte a documentação do seu parceiro de gerenciamento de chaves externo para determinar os locais compatíveis.

Uso multirregional

Quando você usa uma chave gerenciada externamente em um local multirregional, os metadados da está disponível em vários data centers dentro da multirregião. Esses metadados inclui as informações necessárias para se comunicar com o parceiro externo de gerenciamento de chaves. Se as o aplicativo faz o failover de um data center para outro dentro da multirregião, o novo data center inicia solicitações importantes. O novo data center pode ter características da rede do data center anterior, incluindo a distância o parceiro externo de gerenciamento de chaves e a probabilidade de tempos limite. Recomendamos usar apenas multirregional com o Cloud EKM se o gerenciador de chaves externo escolhido fornece baixa latência em todas as áreas dessa multirregião.

EKM gerenciado por parceiro

O EKM gerenciado por parceiro permite que você use o Cloud EKM por uma plataforma soberana parceiro que gerencia seu sistema EKM para você. Com o EKM gerenciado por parceiro, sua parceiro cria e gerencia as chaves que você para uso no Cloud EKM. O parceiro garante que seu EKM esteja em conformidade com soberania de dados.

Quando você integra seu parceiro soberano, ele provisiona recursos no Google Cloud e no EKM. Esses recursos incluem uma instância do Cloud KMS projeto para gerenciar as chaves do Cloud EKM e um EKM via conexão VPC configuradas para gerenciamento de chaves EKM pelo Cloud KMS. Seu parceiro cria recursos em Locais do Google Cloud de acordo com seus requisitos de residência de dados.

Cada chave do Cloud EKM inclui Metadados do Cloud KMS, que permitem que o Cloud EKM envie solicitações ao o EKM para executar operações criptográficas usando o material de chave externo que nunca saia do seu EKM. As chaves simétricas do Cloud EKM também incluem Material da chave interna do Cloud KMS que nunca sai do Google Cloud. Para mais informações sobre os lados interno e externo do Cloud EKM consulte Como o Cloud EKM funciona nesta página.

Para mais informações sobre o EKM gerenciado por parceiro, consulte Configurar o EKM gerenciado por parceiro Cloud KMS.

Monitorar o uso do Cloud EKM

Visualização

Esse recurso está sujeito aos "Termos de ofertas pré-GA" na seção "Termos de Serviço gerais" dos Termos específicos de serviço. Os recursos pré-GA estão disponíveis "no estado em que se encontram" e podem ter suporte limitado. Para mais informações, consulte as descrições da fase de lançamento.

É possível usar o Cloud Monitoring para monitorar sua conexão EKM. O seguinte podem ajudar a entender o uso do EKM:

• cloudkms.googleapis.com/ekm/external/request_latencies
• cloudkms.googleapis.com/ekm/external/request_count

Para mais informações sobre essas métricas, consulte Métricas do cloudkms. É possível criar um para acompanhar essas métricas. Para saber como configurar um painel para monitorar sua conexão EKM, consulte Monitorar o uso do EKM.

Como receber suporte

Se você tiver um problema com o Cloud EKM, entre em contato com o suporte.

A seguir

• Configure o Cloud EKM pela Internet.

• Crie uma conexão do EKM para usar o EKM via VPC.

• Comece a usar a API.

• Leia a Referência da API Cloud KMS.

• Saiba mais sobre a geração de registros no Cloud KMS. A geração de registros é baseada em operações e se aplica a chaves com níveis de proteção de HSM e software.

• Consulte Arquiteturas de referência para uma implantação confiável dos serviços do Cloud EKM. para recomendações sobre como configurar um serviço de gerenciador de chaves externo (EKM, na sigla em inglês) integrada ao Cloud EKM.