Cloud Key Management Service 概览

借助 Cloud Key Management Service (Cloud KMS)，您可以为以下各项创建和管理 CMEK 密钥： 在兼容的 Google Cloud 服务和您自己的应用中使用。 使用 Cloud KMS，您可以执行以下操作：

根据需要选择合适的加密方式

您可以使用下表确定哪种加密类型符合您的 各种应用场景所需的资源最符合您需求的解决方案可能包括： 混合加密方法例如，您可以将软件键用于 最不敏感的数据和硬件或外部密钥，用于最敏感的数据 数据。有关此部分中描述的加密选项的更多信息， 部分，请参阅保护 Google Cloud 中的数据 此页面。

加密类型 费用 兼容的服务 特性
Google 拥有的密钥和 Google 管理的密钥（Google Cloud 默认加密） 已包含 所有存储客户数据的 Google Cloud 服务
  • 无需任何配置。
  • 自动加密任何 Google Cloud 服务 Google Cloud 服务。
  • 大多数服务会自动轮替密钥。
  • 支持使用 AES-256 进行加密。
  • 已通过 FIPS 140-2 1 级验证。
客户管理的加密密钥 - 软件
（Cloud KMS 密钥）		 每个密钥版本 $0.06 超过 40 个 服务
  • 您可以控制自动密钥轮替时间表； IAM 角色和权限；启用、停用或 销毁密钥版本。
  • 同时支持对称密钥和非对称密钥 加密和 解密。
  • 自动轮播 对称密钥。
  • 支持多种常见 算法。
  • 已通过 FIPS 140-2 1 级验证。
  • 键对客户而言是唯一的。
由客户管理 加密密钥 - 硬件
（Cloud HSM 密钥）		 每个密钥版本每月 1.00 到 2.50 美元 超过 40 个 服务
  • 可通过 Cloud KMS Autokey（预览版）进行管理。
  • 您可以控制自动密钥轮替时间表； IAM 角色和权限；启用、停用或 销毁密钥版本。
  • 同时支持对称密钥和非对称密钥 加密和 解密。
  • 自动轮替对称密钥。
  • 支持多种常见 算法。
  • 已通过 FIPS 140-2 3 级验证。
  • 键对客户而言是唯一的。
由客户管理 加密密钥 - 外部
（Cloud EKM 密钥）		 每个密钥版本每月 $3.00 超过 30 服务
  • 您可以控制 IAM 角色和权限；启用、 停用或销毁密钥版本。
  • 系统绝不会将密钥发送给 Google。
  • 密钥材料位于 兼容的外部密钥 管理 (EKM) 提供方。
  • 兼容的 Google Cloud 服务会连接到 您的 EKM 提供商通过 互联网或 虚拟专用 Cloud (VPC)。
  • 支持用于以下工作负载的对称密钥： 加密和 解密。
  • 与 Cloud EKM 和 EKM 提供商协调，手动轮替密钥。
  • 已通过 FIPS 140-2 2 级或 FIPS 140-2 3 级，具体取决于 部署在 EKM 上。
  • 键对客户而言是唯一的。
客户端加密功能 使用 Cloud KMS 密钥 有效密钥版本的费用取决于密钥的保护级别。 使用客户端库 应用
  • 您可以控制自动密钥轮替时间表； IAM 角色和权限；启用、停用或 销毁密钥版本。
  • 同时支持对称密钥和非对称密钥 加密、 解密、签名和签名验证。
  • 功能因密钥保护级别而异。
客户提供的加密密钥 可能会增加与 Compute Engine 或 Cloud Storage
  • 您在需要时提供关键材料。
  • 密钥材料位于内存中 - Google 不会将您的密钥永久存储在我们的服务器上。
机密计算 每个机密虚拟机的额外费用；可能会增加日志使用量和相关费用
  • 为处理敏感数据或数据的虚拟机提供使用中加密功能 工作负载
  • Google 无法访问密钥。

保护 Google Cloud 中的数据

Google 拥有的密钥和 Google 管理的密钥（Google Cloud 默认加密）

默认情况下，Google Cloud 中的静态数据受 密钥库，Google 的内部密钥管理服务。密钥库中的密钥由系统管理 由 Google 自动配置，无需您进行任何配置。大多数人 服务会自动为您轮替密钥。密钥库支持主键 以及数量有限的旧密钥版本。主密钥版本用于加密新的加密数据密钥。您仍然可以使用旧版密钥版本 对现有数据加密密钥进行解密。您无法查看或管理这些钥匙或 查看密钥使用情况日志。来自多个客户的数据可能使用相同的键 加密密钥。

此默认加密功能使用经过验证符合 FIPS 140-2 1 级要求的加密模块。

客户管理的加密密钥 (CMEK)

用于在集成了 CMEK 的服务中保护资源的 Cloud KMS 密钥是客户管理的加密密钥 (CMEK)。您可以拥有和控制 CMEK，同时将密钥创建和分配任务委托给 Cloud KMS Autokey（预览版）。学习内容 如需详细了解如何自动预配 CMEK，请参阅使用 Cloud Key Management Service 的 Autokey。

您可以使用 Cloud KMS 密钥 兼容的服务，可帮助您实现以下目标：

  • 拥有加密密钥。

  • 控制和管理加密密钥，包括选择位置、 保护级别、创建、访问权限控制、轮替、使用和销毁。

  • 在用户退出或退出账号时，有选择地删除受密钥保护的数据 以修复安全事件（密钥销毁）。

  • 创建用于建立加密边界的专用单租户密钥 围绕您的数据。

  • 记录对加密密钥的管理和数据访问。

  • 符合现行或未来要求达成以上任一目标的法规。

将 Cloud KMS 密钥用于 CMEK 集成服务，则可以使用 组织政策以确保按照 政策。例如，您可以设置组织政策，确保兼容的 Google Cloud 资源使用 Cloud KMS 密钥进行加密。组织政策还可以指定 关键资源的位置。

提供的功能和保护级别取决于 键：

  • 软件密钥 - 您可以在 Cloud KMS 中生成软件密钥， 在所有 Google Cloud 位置使用它们。您 可以创建自动轮替对称密钥， 手动轮替的非对称密钥。客户管理的软件密钥用于 通过 FIPS 140-2 1 级验证的软件 加密模块。此外，您还可以控制轮替周期 Identity and Access Management (IAM) 角色和权限以及组织政策 用来管理您的密钥您可以将软件密钥与超过 40 个 兼容的 Google Cloud 资源。

  • 导入的软件密钥 - 您可以导入自己创建的软件密钥 以便在 Cloud KMS 中使用您可以将新的密钥版本 手动轮替导入的密钥。您可以使用 IAM 角色 权限和组织政策来控制所导入密钥的使用情况。

  • 硬件密钥和 Cloud HSM - 您可以在 Google Cloud 控制台中生成硬件密钥， FIPS 140-2 3 级硬件集群 安全模块 (HSM)。轮替周期由您掌控 IAM 角色和权限以及 管理您的密钥当您使用 Cloud HSM 创建 HSM 密钥时，Google 因此，您无需手动管理 HSM 集群。您可以使用您的 HSM 密钥 以及超过 40 种 Google Cloud 的 资源，即支持 软件密钥。为实现最高级别的安全合规性，请使用硬件 键。

  • 外部密钥和 Cloud EKM - 您可以使用 外部密钥管理器 (EKM)。借助 Cloud EKM，您可以使用存储的密钥 支持的密钥管理器，以确保 Google Cloud 资源。您可以连接到 EKM 通过互联网或 Virtual Private Cloud (VPC)。部分 Google Cloud 不支持软件密钥或硬件密钥的服务 Cloud EKM 密钥。

Cloud KMS 密钥

您可以在自定义应用中使用 Cloud KMS 密钥，只需使用 Cloud KMS 客户端库或 Cloud KMS API。客户端库 和 API 可用于加密和解密数据、签署数据以及验证签名。

客户提供的加密密钥 (CSEK)

Cloud Storage 和 Compute Engine 可以使用 客户提供的加密密钥 (CSEK)。使用客户提供的加密密钥时，您可以存储密钥材料，并在需要时将其提供给 Cloud Storage 或 Compute Engine。Google 不会 以任何方式存储您的 CSEK。

机密计算

在 Compute Engine、GKE 和 Dataproc 中 使用机密计算平台加密使用中的数据。 机密计算可确保您的数据的私密性和加密性 处理文件。