Présentation de Cloud Key Management Service

Cloud Key Management Service (Cloud KMS) vous permet de créer et de gérer des clés CMEK pour dans les services Google Cloud compatibles et dans vos propres applications. Cloud KMS vous permet d'effectuer les opérations suivantes:

• Générez des clés logicielles ou matérielles, importez les clés existantes dans Cloud KMS, ou associez des clés externes à votre clé externe compatible (EKM).

• Utilisez des clés de chiffrement gérées par le client (CMEK) dans les produits Google Cloud avec intégration des clés CMEK. Les intégrations CMEK utilisent vos clés CMEK pour chiffrer ou "encapsuler" vos clés de chiffrement des données (DEK). L'encapsulation de DEK à l'aide de clés de chiffrement de clé (KEK) est appelée chiffrement encapsulé.

• Utilisez Cloud KMS Autokey pour automatiser le provisionnement et l'attribution. Avec la fonction de clé automatique, vous n'avez pas besoin de provisionner des trousseaux de clés, des clés et des comptes de service à l'avance. Ils sont générés de la demande lors de la création des ressources.

• Utilisez des clés Cloud KMS pour les opérations de chiffrement et de déchiffrement. Pour Par exemple, vous pouvez utiliser l'API Cloud KMS ou les bibliothèques clientes utilisez vos clés Cloud KMS pour des commandes le chiffrement.

• Utiliser des clés Cloud KMS pour créer ou vérifier signatures numériques ou signatures de code d'authentification de message (MAC).

Choisissez le chiffrement adapté à vos besoins

Vous pouvez utiliser le tableau suivant pour identifier le type de chiffrement qui répond à vos besoins pour chaque cas d'utilisation. La meilleure solution pour vos besoins peut inclure plusieurs approches de chiffrement. Par exemple, vous pouvez utiliser des clés logicielles pour les données et le matériel les moins sensibles, ou les clés externes pour les clés données. Pour en savoir plus sur les options de chiffrement décrites dans ce document, consultez la section Protéger les données dans Google Cloud sur cette page.

Agent Assist AI Platform Training AlloyDB pour PostgreSQL Anti Money Laundering AI Apigee Hub d'API Apigee Application Integration Artifact Registry Sauvegarde pour GKE BigQuery Bigtable Cloud Composer Cloud Data Fusion API Cloud Healthcare Cloud Logging Cloud Run Fonctions Cloud Run Cloud SQL Cloud Storage Cloud Tasks Cloud Workstations Colab Enterprise Compute Engine Contact Center AI Insights Database Migration Service Dataflow Dataform Dataproc Dataproc Metastore Datastream Dialogflow CX Document AI Eventarc Filestore Firestore Cloud distribué de Google Google Kubernetes Engine Looker (Google Cloud Core) Memorystore pour Redis Migrate to Virtual Machines Pub/Sub Secret Manager Secure Source Manager Spanner Speaker ID Speech-to-Text Vertex AI Vertex AI Agent Builder Vertex AI Workbench Instances Vertex AI Workbench Workflows Tout Niveau 1 Niveau 2 Niveau 3 Tout effacer

Type de chiffrement	Coût	Services compatibles	Fonctionnalités
Clés détenues et gérées par Google (chiffrement par défaut de Google Cloud)	Incluse	Tous les services Google Cloud qui stockent des données client	Aucune configuration n'est requise. Elle crypte automatiquement les données client enregistrées service Google Cloud. La plupart des services effectuent automatiquement une rotation des clés. Compatible avec le chiffrement AES-256. Certification FIPS 140-2 niveau 1.
Clés de chiffrement gérées par le client : logiciel (clés Cloud KMS)	0,06 $ par version de clé	Plus de 40 services	Vous pouvez contrôler le calendrier de rotation automatique des clés, les rôles et autorisations IAM, et activer, désactiver ou détruire des versions de clé. Compatible avec les clés symétriques et asymétriques pour le chiffrement et le déchiffrement. Rotation automatique symétriques. Compatible avec plusieurs algorithmes courants. Certification FIPS 140-2 de niveau 1. Les clés sont propres à chaque client.
Clés de chiffrement gérées par le client – matériel (clés Cloud HSM)	1 à 2,50 $ par version de clé et par mois	Plus de 40 services	Éventuellement géré via Cloud KMS Autokey. Vous pouvez contrôler le calendrier de rotation automatique des clés, les rôles et autorisations IAM, et activer, désactiver ou détruire des versions de clé. Compatible avec les clés symétriques et asymétriques pour le chiffrement et le déchiffrement. Il effectue automatiquement la rotation des clés symétriques. Compatible avec plusieurs algorithmes courants. Certification FIPS 140-2 niveau 3. Les clés sont propres à un client.
Clés de chiffrement gérées par le client – externes (clés Cloud EKM)	3 $ par version de clé et par mois	Plus de 30 services	Vous contrôlez les rôles et les autorisations IAM, activer, désactiver ou détruire des versions de clé. Les clés ne sont jamais envoyées à Google. Le matériel de clé réside dans un fournisseur de gestion de clés externes (EKM) compatible. Les services Google Cloud compatibles se connectent à votre fournisseur de gestion des clés externes via Internet ou un cloud privé virtuel (VPC). Accepte les clés symétriques pour le chiffrement et le déchiffrement. Alternez manuellement vos clés en coordination avec Cloud EKM et votre fournisseur EKM. Certification FIPS 140-2 niveau 2 ou FIPS 140-2 niveau 3, en fonction sur l'EKM. Les clés sont propres à chaque client.
Chiffrement côté client à l'aide de clés Cloud KMS	Le coût des versions de clé actives dépend du niveau de protection de la clé.	utiliser des bibliothèques clientes ; dans vos applications	Vous pouvez contrôler le calendrier de rotation automatique des clés, les rôles et autorisations IAM, et activer, désactiver ou détruire des versions de clé. Compatible avec les clés symétriques et asymétriques pour le chiffrement, le déchiffrement, la signature et la validation de signature. Les fonctionnalités varient selon le niveau de protection des clés.
Clés de chiffrement fournies par le client	Peut augmenter les coûts associés à Compute Engine ou à Cloud Storage	Compute Engine Cloud Storage	Vous fournissez des matériaux de clé si nécessaire. Le matériel de clé réside en mémoire. Google ne stocke pas vos clés de manière permanente sur ses serveurs.
Informatique confidentielle	Coût supplémentaire pour chaque VM confidentielle. Peut augmenter l'utilisation des journaux et les coûts associés	Compute Engine GKE Dataproc	Fournit le chiffrement en cours d'utilisation pour les VM qui gèrent des données ou des charges de travail sensibles. Google ne peut pas accéder aux clés.

Protéger les données dans Google Cloud

Clés détenues et gérées par Google (chiffrement par défaut de Google Cloud)

Par défaut, les données au repos dans Google Cloud sont protégées par des clés Keystore, le service interne de gestion des clés de Google. Les clés du Keystore sont gérées automatiquement par Google, sans qu'aucune configuration ne soit requise de votre part. La plupart des services effectuent automatiquement la rotation des clés. Le keystore accepte une clé primaire et un nombre limité d'anciennes versions de clé. La version de clé principale est utilisée pour chiffrer les nouvelles clés de chiffrement des données. Les anciennes versions de clé peuvent toujours être utilisées pour déchiffrer les clés de chiffrement des données existantes. Vous ne pouvez pas afficher ni gérer ces clés, ni consulter les journaux d'utilisation des clés. Les données de plusieurs clients peuvent utiliser la même clé de chiffrement de clé.

Ce chiffrement par défaut utilise des modules de chiffrement Conformité FIPS 140-2 niveau 1.

Remarque :Le chiffrement par défaut de Google Cloud n'est pas une fonctionnalité Cloud Key Management Service. Pour en savoir plus sur les paramètres par défaut de Google Cloud, consultez Chiffrement au repos par défaut.

Clés de chiffrement gérées par le client (CMEK)

Les clés Cloud KMS qui servent à protéger vos ressources Les services intégrés à des CMEK sont des clés de chiffrement gérées par le client (CMEK). Vous pouvez posséder et contrôler les CMEK, tout en déléguant les tâches de création et d'attribution de clés à Cloud KMS Autokey. Pour en savoir plus sur l'automatisation du provisionnement des CMEK, consultez la page Cloud Key Management Service avec Autokey.

Vous pouvez utiliser vos clés Cloud KMS dans des services compatibles pour vous aider à atteindre les objectifs suivants :

• Possédez vos clés de chiffrement.

• Contrôlez et gérez vos clés de chiffrement, y compris le choix de l'emplacement, le niveau de protection, la création, le contrôle des accès, la rotation, l'utilisation et la destruction.

• Supprimez de manière sélective les données protégées par vos clés en cas de départ ou pour remédier aux événements de sécurité (crypto-destruction).

• Créez des clés dédiées et mono-locataires qui établissent une limite cryptographique autour de vos données.

• Journalisez l'accès administratif et aux données aux clés de chiffrement.

• Respecter les réglementations actuelles ou futures qui imposent l'un de ces objectifs.

Lorsque vous utilisez des clés Cloud KMS avec services intégrés CMEK, vous pouvez utiliser des règles d'administration pour garantir que les CMEK sont utilisées comme indiqué règles. Par exemple, vous pouvez définir une règle d'administration qui garantit que vos comptes compatibles avec vos ressources Google Cloud utilisent pour le chiffrement. Les règles d'administration de l'organisation peuvent également spécifier le projet dans lequel les ressources clés doivent résider.

Les fonctionnalités et le niveau de protection fournis dépendent du niveau de protection de la clé :

• Clés logicielles : vous pouvez générer des clés logicielles dans Cloud KMS et et les utiliser dans tous les emplacements Google Cloud. Toi peuvent créer des clés symétriques avec rotation automatique ; des clés asymétriques avec rotation manuelle. Les clés logicielles gérées par le client utilisent Logiciel certifié FIPS 140-2 niveau 1 modules de cryptographie. Vous contrôlez aussi la période de rotation, Rôles et autorisations IAM (Identity and Access Management), règles d'administration qui régissent vos clés. Vous pouvez utiliser vos clés logicielles avec plus de 40 ressources Google Cloud compatibles.

• Clés logicielles importées : vous pouvez importer des clés logicielles que vous avez créées ailleurs pour les utiliser dans Cloud KMS. Vous pouvez importer de nouvelles versions de clé pour faire pivoter manuellement les clés importées. Vous pouvez utiliser des rôles IAM autorisations et règles d'administration pour régir l'utilisation de vos clés importées.

• Clés matérielles et Cloud HSM : vous pouvez générer des clés matérielles dans un cluster de modules de sécurité matériels (HSM, Hardware Security Module) certifiés FIPS 140-2 de niveau 3. Vous pouvez contrôler la période de rotation, les rôles et les autorisations IAM, ainsi que les règles d'administration de l'organisation qui régissent vos clés. Lorsque vous créez des clés HSM à l'aide de Cloud HSM, Google gère les clusters HSM à votre place. Vous pouvez utiliser vos clés HSM avec plus de 40 ressources Google Cloud compatibles, les mêmes services que ceux compatibles avec les clés logicielles. Pour obtenir le niveau de conformité de sécurité le plus élevé, utilisez des clés matérielles.

• Clés externes et Cloud EKM : vous pouvez utiliser des clés résidant un gestionnaire de clés externe (EKM). Cloud EKM vous permet d'utiliser les clés conservées un gestionnaire de clés compatible pour sécuriser votre aux ressources Google Cloud. Vous pouvez vous connecter à votre EKM via Internet ou via un cloud privé virtuel (VPC). Certains services Google Cloud qui prennent en charge les clés logicielles ou matérielles clés Cloud EKM.

Clés Cloud KMS

Vous pouvez utiliser vos clés Cloud KMS dans des applications personnalisées à l'aide de la classe bibliothèques clientes Cloud KMS ; API Cloud KMS : Les bibliothèques clientes et l'API vous permettent de chiffrer et de déchiffrer des données, de les signer et de valider les signatures.

Clés de chiffrement fournies par le client (CSEK)

Cloud Storage et Compute Engine peuvent utiliser clés de chiffrement fournies par le client (CSEK). Clés de chiffrement fournies par le client de chiffrement, vous stockez le matériel de clé et le fournissez Cloud Storage ou Compute Engine, selon les besoins. Google ne stocker vos CSEK de quelque manière que ce soit.

Remarque : La compatibilité avec CSEK n'est pas une fonctionnalité de Cloud Key Management Service. Pour en savoir plus sur CSEK, consultez Clés de chiffrement fournies par le client Cloud Storage ou Clés de chiffrement fournies par le client Compute Engine

Informatique confidentielle

Dans Compute Engine, GKE et Dataproc, vous pouvez utiliser la plate-forme Confidential Computing pour chiffrer vos données utilisées. L'informatique confidentielle garantit que vos données restent privées et chiffrées, même pendant leur traitement.

Remarque :L'informatique confidentielle n'est pas une fonctionnalité de Cloud KMS. Pour en savoir plus sur l'informatique confidentielle, consultez la page Informatique confidentielle.