Cloud External Key Manager

Questa pagina fornisce una panoramica di Cloud External Key Manager (Cloud EKM).

Terminologia

• External Key Manager (EKM)

  Il gestore delle chiavi utilizzato al di fuori di Google Cloud per gestire le chiavi.

• Cloud External Key Manager (Cloud EKM)

  Un servizio Google Cloud per l'utilizzo di chiavi esterne gestite all'interno di un EKM supportato.

• Cloud EKM tramite internet

  Una versione di Cloud EKM con cui comunica Google Cloud dal gestore di chiavi esterno tramite internet.

• Cloud EKM tramite VPC

  Una versione di Cloud EKM con cui comunica Google Cloud un gestore di chiavi esterno su un VPC (Virtual Private Cloud). Per maggiori informazioni informazioni, consulta Panoramica della rete VPC.

• Gestione delle chiavi EKM Cloud KMS

  Quando utilizzi Cloud EKM tramite un VPC con un partner esterno per la gestione delle chiavi che supporta Cloud EKM puoi utilizzare l'EKM di Cloud KMS per semplificare il processo di manutenzione delle chiavi esterne nel tuo per la gestione delle chiavi esterno e in Cloud EKM. Per ulteriori informazioni, vedi Chiavi esterne coordinate e Gestione delle chiavi EKM da Cloud KMS in questa pagina.

• Spazio di crittografia

  Un contenitore per le tue risorse all'interno del tuo partner esterno per la gestione delle chiavi. Il tuo crypto space è identificato da un percorso univoco. Il formato del percorso crypto space varia in base al partner di gestione delle chiavi esterne, ad esempio v0/cryptospaces/YOUR_UNIQUE_PATH.

• EKM gestito dai partner

  Un accordo in cui il tuo EKM viene gestito per tuo conto da un partner affidabile. Per ulteriori informazioni, consulta EKM gestito dal partner in questa pagina.

• Key Access Justifications

  Quando utilizzi Cloud EKM con Key Access Justifications, ogni richiesta al tuo partner di gestione delle chiavi esterne include un campo che identifica il motivo della richiesta. Puoi configurare il tuo partner esterno per la gestione delle chiavi per consentire o rifiutare le richieste in base Codice Key Access Justifications fornito. Per ulteriori informazioni Key Access Justifications, consulta Key Access Justifications Panoramica.

Panoramica

Con Cloud EKM, puoi utilizzare le chiavi che gestisci all'interno di un partner esterno per la gestione delle chiavi supportato per proteggere i dati all'interno in Google Cloud. Puoi proteggere i dati at-rest nell'integrazione CMEK supportata services o chiamando direttamente l'API Cloud Key Management Service.

Cloud EKM offre diversi vantaggi:

• Origine delle chiavi: sei tu a controllare la posizione e la distribuzione delle chiavi gestite esternamente. Le chiavi gestite esternamente non vengono mai memorizzate nella cache o archiviate in Google Cloud. Invece, Cloud EKM comunica direttamente con il partner esterno per la gestione delle chiavi per ogni richiesta.

• Controllo dell'accesso: puoi gestire l'accesso alle chiavi gestite esternamente in dal gestore di chiavi esterno. Non puoi utilizzare una chiave gestita esternamente Google Cloud senza aver prima concesso il progetto Google Cloud alla chiave nel gestore chiavi esterno. Puoi revocare questo accesso in qualsiasi momento.

• Gestione centralizzata delle chiavi:puoi gestire le tue chiavi e i criteri di accesso da un'unica interfaccia utente, sia che i dati che proteggono si trovino all'interno on-premise o nel cloud.

In tutti i casi, la chiave si trova nel sistema esterno e non viene mai inviata a Google.

Puoi comunicare con il tuo gestore delle chiavi esterno tramite internet o tramite un Virtual Private Cloud (VPC).

Come funziona Cloud EKM

Le versioni delle chiavi Cloud EKM sono costituite dai seguenti componenti:

• Materiale della chiave esterno: il materiale della chiave esterno di una chiave Cloud EKM è il materiale crittografico creato e archiviato nel tuo EKM. Questo materiale non esce dal tuo EKM e non viene mai condiviso con Google.
• Riferimento chiave: ogni versione della chiave Cloud EKM contiene un URI chiave o un percorso della chiave. Si tratta di un identificatore univoco per il materiale della chiave esterna che Cloud EKM utilizza per richiedere operazioni crittografiche tramite la chiave.
• Materiale chiave interna: quando viene utilizzata una chiave Cloud EKM simmetrica creato, Cloud KMS crea materiale aggiuntivo della chiave Cloud KMS, che non lascia mai Cloud KMS. Questo materiale della chiave viene utilizzato come ulteriore livello di crittografia durante la comunicazione con l'EKM. Questo materiale della chiave interna non si applica alle chiavi di firma asimmetriche.

Per utilizzare le chiavi Cloud EKM, Cloud EKM invia richieste di operazioni di crittografia al tuo EKM. Ad esempio, per criptare i dati con una chiave di crittografia simmetrica, Cloud EKM li cripta innanzitutto utilizzando il materiale della chiave interno. I dati criptati sono inclusi in una richiesta all'EKM. L'EKM inserisce i dati criptati in un altro livello di crittografia utilizzando il materiale della chiave esterno e restituisce la crittografia risultante. Dati criptati utilizzando una chiave Cloud EKM non può essere decriptata senza entrambe le chiavi esterne e il materiale della chiave interna.

Se la tua organizzazione ha attivato le giustificazioni dell'accesso alle chiavi, il tuo partner di gestione delle chiavi esterno registra la giustificazione dell'accesso fornita e completa la richiesta solo per i codici motivo giustificazione consentiti dal criterio di giustificazione dell'accesso alle chiavi sul partner di gestione delle chiavi esterno.

La creazione e la gestione delle chiavi EKM di Cloud richiedono modifiche corrispondenti sia in Cloud KMS sia nell'EKM. Queste modifiche corrispondenti vengono gestite in modo diverso per le chiavi esterne gestite manualmente e per le chiavi esterne coordinate. Tutte le chiavi esterne a cui si accede tramite internet sono gestite manualmente. Le chiavi esterne accedute tramite una rete VPC possono essere gestite o coordinate manualmente, a seconda della modalità di gestione EKM della connessione EKM tramite VPC. EKM manuale viene utilizzata per le chiavi gestite manualmente. La La modalità di gestione EKM di Cloud KMS viene utilizzata per le chiavi esterne coordinate. Per ulteriori informazioni sulle modalità di gestione EKM, consulta Gestione esterna manuale e Chiavi esterne coordinate in questa pagina.

Il seguente diagramma mostra come Cloud KMS si inserisce nella gestione delle chiavi un modello di machine learning. Questo diagramma utilizza Compute Engine e BigQuery come due esempi. Puoi anche consultare l'elenco completo dei servizi che supportano le chiavi Cloud EKM.

Attenzione: sia la versione della chiave Cloud EKM sia la chiave esterna sono obbligatorie per ogni richiesta di crittografia e decrittografia. Se perdi l'accesso a in entrambe le chiavi, i dati non potranno essere recuperati. Non è possibile ricreare una versione della chiave Cloud EKM identica utilizzando lo stesso URI o percorso della chiave esterno.

Puoi scoprire le considerazioni e le limitazioni relative all'utilizzo di Cloud EKM.

Chiavi esterne gestite manualmente

Questa sezione fornisce una panoramica generale del funzionamento di Cloud EKM con una chiave esterna gestita manualmente.

1. Creazione o utilizzo di una chiave esistente in un sistema di gestione delle chiavi esterne di un partner supportato. Questa chiave ha un URI o un percorso della chiave univoco.
2. Concedi al tuo progetto Google Cloud l'accesso per utilizzare la chiave nel sistema esterno di gestione delle chiavi del partner.
3. Nel tuo progetto Google Cloud, crea una versione della chiave Cloud EKM utilizzando l'URI o il percorso della chiave per la chiave gestita esternamente.
4. Le operazioni di manutenzione, come la rotazione della chiave, devono essere gestite manualmente tra il tuo EKM e Cloud EKM. Ad esempio, le operazioni di rotazione o di eliminazione delle versioni della chiave devono essere completate sia direttamente nell'EKM sia in Cloud KMS.

In Google Cloud, la chiave viene visualizzata insieme all'altra Chiavi Cloud KMS e Cloud HSM, con livello di protezione EXTERNAL o EXTERNAL_VPC. La chiave Cloud EKM e chiave esterna del partner per la gestione delle chiavi collaborano per proteggere i tuoi dati. Il materiale delle chiavi esterno non viene mai esposto a Google.

Tasti esterni coordinati

Questa sezione fornisce una panoramica del funzionamento di Cloud EKM con una chiave esterna coordinata.

1. Configuri una connessione EKM tramite VPC impostando la modalità di gestione EKM su Cloud KMS. Durante la configurazione, devi autorizzare l'EKM ad accedere alla rete VPC e autorizzare Account di servizio del progetto Google Cloud per accedere allo spazio di crittografia in il tuo EKM. La connessione EKM utilizza il nome host dell'EKM e un percorso dello spazio di crittografia che identifica le risorse all'interno dell'EKM.

2. Puoi creare una chiave esterna in di Cloud KMS. Quando crei una chiave Cloud EKM utilizzando un EKM tramite una connessione VPC con la modalità di gestione EKM Cloud KMS abilitata, vengono eseguiti automaticamente i seguenti passaggi:

   1. Cloud EKM invia una richiesta di creazione della chiave al tuo EKM.
   2. L'EKM crea il materiale della chiave richiesto. Questo materiale della chiave esterna rimane nell'EKM e non viene mai inviato a Google.
   3. Il tuo EKM restituisce un percorso della chiave a Cloud EKM.
   4. Cloud EKM crea la versione della chiave Cloud EKM utilizzando chiave fornito dal tuo EKM.

3. Le operazioni di manutenzione su chiavi esterne coordinate possono essere avviate da di Cloud KMS. Ad esempio, le chiavi esterne coordinate utilizzate per la crittografia simmetrica possono essere ruotate automaticamente in base a una pianificazione impostata. La la creazione di nuove versioni delle chiavi viene coordinata nel tuo EKM di Cloud EKM. Puoi anche attivare la creazione o l'eliminazione delle chiavi nel tuo EKM da Cloud KMS utilizzando Console Google Cloud, gcloud CLI, Cloud KMS API o librerie client di Cloud KMS.

In Google Cloud, la chiave viene visualizzata insieme alle altre chiavi Cloud KMS e Cloud HSM, con il livello di protezione EXTERNAL_VPC. La chiave Cloud EKM e la chiave esterna del partner per la gestione delle chiavi funzionano per proteggere i tuoi dati. Il materiale della chiave esterna non è mai esposto in tutti i canali Google.

Gestione delle chiavi EKM da Cloud KMS

Le chiavi esterne coordinate sono rese possibili dall'EKM mediante connessioni VPC che utilizzano Gestione chiavi EKM da di Cloud KMS. Se il tuo EKM supporta Cloud EKM di controllo, potrai abilitare la gestione delle chiavi EKM Cloud KMS per i tuoi Connessioni EKM tramite VPC per creare chiavi esterne coordinate. Con Gestione chiavi EKM da Cloud KMS abilitato, Cloud EKM può richiedere le modifiche seguenti nel tuo EKM:

• Crea una chiave: quando crei una chiave con gestione esterna in Cloud KMS utilizzando un EKM compatibile tramite una connessione VPC, Cloud EKM invia la richiesta di creazione della chiave al tuo EKM. Quando riuscito, l'EKM crea la nuova chiave e il materiale della chiave e restituisce che Cloud EKM utilizzerà per accedere alla chiave.

• Ruota una chiave: quando ruoti una chiave gestita esternamente in Cloud KMS utilizzando una connessione EKM tramite VPC compatibile, Cloud EKM invia la richiesta di rotazione al tuo EKM. Una volta completata l'operazione, l'EKM crea un nuovo materiale della chiave e restituisce il percorso della chiave Cloud EKM da utilizzare per accedere alla nuova versione della chiave.

• Elimina una chiave: quando elimini la versione di una chiave per una chiave gestita esternamente in Cloud KMS utilizzando una connessione EKM tramite VPC compatibile, Cloud KMS pianifica l'eliminazione della versione della chiave di Cloud KMS. Se la versione della chiave non viene ripristinata prima del termine del periodo pianificato per l'eliminazione, Cloud EKM distrugge la propria parte del materiale crittografico della chiave e invia una richiesta di eliminazione al tuo EKM.

  I dati criptati con questa versione della chiave non possono essere decriptati dopo la chiave viene eliminata in Cloud KMS, anche se l'EKM non ha ancora ha eliminato la versione della chiave. Puoi vedere se l'EKM ha distrutto correttamente la versione della chiave visualizzando i dettagli della chiave in Cloud KMS.

Quando le chiavi nel tuo EKM vengono gestite da Cloud KMS, il materiale delle chiavi rimane nel tuo EKM. Google non può effettuare richieste di gestione delle chiavi al tuo EKM senza autorizzazione esplicita. Google non può modificare le autorizzazioni o i criteri di giustificazione dell'accesso alle chiavi nel sistema del partner di gestione delle chiavi esterno. Se revochi Autorizzazioni di Google nel tuo EKM, operazioni di gestione delle chiavi tentate in Cloud KMS non riesce.

Compatibilità

Gestori delle chiavi supportati

Puoi archiviare le chiavi esterne nei seguenti sistemi esterni dei partner di gestione delle chiavi:

• Supportato oggi:
  • Fortanix
  • Futurex
  • Thales

Servizi che supportano CMEK con Cloud EKM

I seguenti servizi supportano l'integrazione con Cloud KMS per chiavi esterne (Cloud EKM):

• Agent Assist
• AlloyDB per PostgreSQL
• Hub API Apigee
• Artifact Registry
• Backup for GKE
• BigQuery
• Bigtable
• Cloud Composer
• Cloud Data Fusion
• API Cloud Healthcare
• Cloud Logging: Dati nel Log Router e Dati nello spazio di archiviazione di Logging
• Cloud Run
• Funzioni Cloud Run
• Cloud SQL
• Cloud Storage
• Cloud Tasks
• Cloud Workstations
• Compute Engine: Dischi permanenti , Istantanee , Immagini personalizzate , e Immagini macchina
• Contact Center AI Insights
• Database Migration Service: Migrazioni MySQL: dati scritti nei database , Migrazioni PostgreSQL - Dati scritti nei database , Migrazioni da PostgreSQL ad AlloyDB - Dati scritti nei database , e Dati at-rest da Oracle a PostgreSQL
• Dataflow
• Dataform
• Dataproc: Dati dei cluster Dataproc sui dischi VM e Dati di Dataproc Serverless sui dischi VM
• Dataproc Metastore
• Dialogflow CX
• Document AI
• Eventarc
• Filestore
• Firestore
• Google Distributed Cloud
• Google Kubernetes Engine: Dati sui dischi VM e Secret a livello di applicazione
• Looker (Google Cloud core)
• Memorystore for Redis
• Eseguire la migrazione alle macchine virtuali
• Pub/Sub
• Secret Manager
• Secure Source Manager
• Spanner
• Speaker ID (GA con limitazioni)
• Speech-to-Text
• Vertex AI
• Istanze di Vertex AI Workbench
• Workflows

Importante: tutti gli altri servizi non sono compatibili con Cloud External Key Manager per CMEK.

Nota: se la chiave Cloud EKM non è elencata nella console Google Cloud quando configuri i servizi CMEK, copia prima il nome della risorsa. Quindi seleziona Non vedi la chiave? Inserisci il nome risorsa della chiave. e inserisci il nome risorsa della chiave acquisito in precedenza.

Considerazioni

• Quando utilizzi una chiave Cloud EKM, Google non ha alcun controllo sulla disponibilità della chiave gestita esternamente nel sistema del partner di gestione delle chiavi esterne. Se perdi le chiavi gestite al di fuori di Google Cloud, Google non potrà recuperare i tuoi dati.

• Consulta le linee guida relative alle regioni e ai partner esterni per la gestione delle chiavi quando e scegliere le località per le tue chiavi Cloud EKM.

• Esamina l'accordo sul livello del servizio (SLA) di Cloud EKM.

• La comunicazione con un servizio esterno tramite internet può causare problemi di affidabilità, disponibilità e latenza. Per applicazioni con una bassa tolleranza per questi tipi di rischi, è consigliabile utilizzare Cloud HSM oppure Cloud KMS per archiviare il materiale delle chiavi.

  • Se una chiave esterna non è disponibile, Cloud KMS restituisce un FAILED_PRECONDITION e fornisce dettagli nel PreconditionFailure dettaglio dell'errore.

    Abilita la registrazione degli audit dei dati per mantenere un record di tutti gli errori relativi all'EKM Cloud. I messaggi di errore contengono informazioni dettagliate per aiutarti a individuare l'origine dell'errore. Un esempio di errore comune si verifica quando un partner esterno di gestione delle chiavi non risponde a una richiesta entro un periodo di tempo ragionevole.

  • Devi avere un contratto di assistenza con il partner esterno per la gestione delle chiavi. L'assistenza Google Cloud può aiutarti solo per i problemi relativi ai servizi Google Cloud e non può fornire assistenza diretta per i problemi relativi ai sistemi esterni. A volte, per risolvere i problemi di interoperabilità, devi collaborare con l'assistenza di entrambe le parti.

• Cloud EKM può essere utilizzato con Bare Metal Rack HSM per creare una soluzione HSM monoutente integrata con Cloud KMS. Per scoprire di più, scegli un partner Cloud EKM che supporti gli HSM con singolo tenant e consulta i requisiti per gli HSM Bare Metal Rack.

• Abilita l'audit logging nel gestore di chiavi esterno per acquisire l'accesso e l'utilizzo delle chiavi EKM.

Attenzione: quando utilizzi le chiavi Cloud EKM su internet, è disponibile un che la chiave possa non essere più disponibile. A seconda dei servizi che utilizzi, questo può causare errori fatali o dati inaccessibili. Ad esempio, se utilizzi una chiave CMEK esterna per criptare i secret a livello di applicazione di Google Kubernetes Engine, i nodi possono non essere disponibili se non riescono a decriptare i secret. Anche l'impossibilità di accedere alla chiave esterna può causare la presenza di dati permanenti o una perdita di dati. Ad esempio, se la chiave CMEK utilizzata per criptare un database Spanner rimane non disponibile per più di 30 giorni consecutivi, Spanner elimina automaticamente il database. Se la versione attuale della chiave non è disponibile, non puoi recuperare i dati ruotando a una nuova versione della chiave. Per una migliore disponibilità, valuta la possibilità di utilizzare Cloud EKM tramite VPC o le chiavi Cloud HSM.

Limitazioni

• La rotazione automatica non è supportata.
• Quando crei una chiave Cloud EKM utilizzando l'API o Google Cloud CLI, non deve avere una versione iniziale della chiave. Ciò non si applicano alle chiavi Cloud EKM create utilizzando la console Google Cloud.
• Le operazioni di Cloud EKM sono soggette a quote specifiche oltre alle quote per le operazioni di Cloud KMS.

Chiavi di crittografia simmetrica

• Le chiavi di crittografia simmetriche sono supportate solo per:
  • Chiavi di crittografia gestite dal cliente (CMEK) nell'integrazione supportata Google Cloud.
  • Crittografia simmetrica e decriptazione mediante Cloud KMS direttamente.
• Dati criptati da Cloud EKM utilizzando una chiave gestita esternamente. non possono essere decriptati senza utilizzare Cloud EKM.

Chiavi di firma asimmetriche

• Le chiavi di firma asimmetriche sono limitate a un sottoinsieme di Cloud KMS degli algoritmi.
• Le chiavi di firma asimmetrica sono supportate solo per i seguenti casi d'uso:
  • Firma asimmetrica mediante Cloud KMS direttamente.
  • Chiave di firma personalizzata con Access Approval.
• Una volta impostato un algoritmo di firma asimmetrica su una chiave Cloud EKM, non può essere modificato.
• È necessario firmare nel campo data.

Gestori di chiavi esterni e regioni

Cloud EKM deve essere in grado di raggiungere rapidamente le tue chiavi per evitare un errore. Quando crei una chiave Cloud EKM, scegli una località Google Cloud geograficamente vicina alla località della chiave del partner di gestione delle chiavi esterne. Per informazioni dettagliate sulla disponibilità delle sedi del partner, consulta la documentazione del partner.

• Cloud EKM via internet: disponibile in qualsiasi località Google Cloud supportata per Cloud KMS, ad eccezione di global e nam-eur-asia1.
• Cloud EKM tramite VPC: disponibile solo in località regionali supportate per Cloud KMS

Consulta la documentazione del tuo partner esterno per la gestione delle chiavi per determinare le località supportate.

Utilizzo in più regioni

Quando utilizzi una chiave gestita esternamente con una protezione a più regioni, i metadati della chiave sono disponibili in più data center all'interno della protezione a più regioni. Questi metadati include le informazioni necessarie per comunicare con il partner esterno per la gestione delle chiavi. Se il failover dell'applicazione da un data center all'altro all'interno della regione multipla avviene, il nuovo data center avvia le richieste di chiavi. Il nuovo data center potrebbe avere caratteristiche di rete diverse rispetto al data center precedente, inclusa la distanza dal partner di gestione delle chiavi esterno e la probabilità di timeout. Ti consigliamo di utilizzare una configurazione multiregione con Cloud EKM solo se il gestore delle chiavi esterne scelto offre una latenza ridotta a tutte le aree della regione.

EKM gestito dai partner

L'EKM gestito dai partner ti consente di utilizzare Cloud EKM attraverso una sovranità affidabile che gestisce il tuo sistema EKM per te. Con EKM gestito dai partner, partner crea e gestisce le chiavi che in Cloud EKM. Il partner garantisce che la tua EKM sia conforme ai requisiti di sovranità.

Quando esegui l'onboarding con il tuo partner sovrano, il partner esegue il provisioning delle risorse in Google Cloud e nella tua EKM. Queste risorse includono un progetto Cloud KMS per gestire le chiavi EKM di Cloud e una connessione EKM tramite VPC configurata per la gestione delle chiavi EKM da Cloud KMS. Il tuo partner crea le risorse nelle località di Google Cloud in base ai tuoi requisiti di residenza dei dati.

Ogni chiave Cloud EKM include i metadati di Cloud KMS, che consentono a Cloud EKM di inviare richieste al tuo EKM per eseguire operazioni di crittografia utilizzando il materiale delle chiavi esterne che non esce mai dal tuo EKM. Le chiavi simmetriche di Cloud EKM includono anche Materiale della chiave interna di Cloud KMS che non lascia mai Google Cloud. Per saperne di più sui lati interno ed esterno delle chiavi Cloud EKM, consulta Come funziona Cloud EKM in questa pagina.

Per ulteriori informazioni sulle chiavi EKM gestite dal partner, consulta Configura Cloud KMS gestito dal partner.

Monitorare l'utilizzo di Cloud EKM

Anteprima

Questa funzionalità è soggetta ai "Termini delle Offerte pre-GA" nella sezione Termini generali del servizio dei Termini specifici dei servizi. Le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per saperne di più, consulta le descrizioni della fase di lancio.

Puoi utilizzare Cloud Monitoring per monitorare la connessione EKM. Le seguenti possono aiutarti a comprendere il tuo utilizzo di EKM:

• cloudkms.googleapis.com/ekm/external/request_latencies
• cloudkms.googleapis.com/ekm/external/request_count

Per ulteriori informazioni su queste metriche, consulta Metriche cloudkms. Puoi creare una dashboard per monitorare queste metriche. Per scoprire come configurare una dashboard per monitorare la connessione EKM, consulta Monitorare l'utilizzo di EKM.

Richiedere assistenza

Se riscontri un problema con Cloud EKM, contatta l'assistenza.

Passaggi successivi

• Configura Cloud EKM tramite internet.

• Crea una connessione EKM per utilizzare EKM tramite in un VPC.

• Inizia a utilizzare l'API.

• Leggi la documentazione di riferimento dell'API Cloud KMS.

• Scopri di più su Logging in Cloud KMS. Il logging si basa per le operazioni e si applica alle chiavi con protezione sia HSM che software diversi.

• Consulta le Architetture di riferimento per il deployment affidabile dei servizi Cloud EKM per consigli sulla configurazione del deployment di un servizio External Key Manager (EKM) integrato con Cloud EKM.