Cloud KMS Autokey 通过自动预配和分配来简化客户管理的加密密钥 (CMEK) 的创建和使用。借助 Autokey，您无需在需要使用密钥环、密钥和服务帐号之前对其进行规划和预配。相反，Autokey 会在创建资源时按需生成密钥，并依赖于委派的权限，而不是 Cloud KMS 管理员。
使用由 Autokey 生成的密钥可帮助您始终符合行业标准和数据安全推荐做法，包括 HSM 保护级别、职责分离、密钥轮替、位置和密钥特异性。Autokey 会为与 Cloud KMS Autokey 集成的 Google Cloud 服务创建遵循一般准则和特定于资源类型的密钥。创建完成后，使用 Autokey 请求的密钥的作用与具有相同设置的其他 Cloud HSM 密钥相同。
Autokey 还可以简化使用 Terraform 管理密钥的过程，让您不必再运行基础架构即服务并获得更高的密钥创建权限。
如需使用 Autokey，您必须拥有包含文件夹资源的组织资源。如需详细了解组织和文件夹资源，请参阅资源层次结构。
Cloud KMS Autokey 在提供 Cloud HSM 的所有 Google Cloud 位置都可用。如需详细了解 Cloud KMS 位置，请参阅 Cloud KMS 位置。使用 Cloud KMS Autokey 不会产生额外费用。使用 Autokey 创建的密钥与任何其他 Cloud HSM 密钥的价格相同。如需详细了解价格，请参阅 Cloud Key Management Service 价格。
如需详细了解 Autokey，请参阅 Autokey 概览。
在 Autokey 和其他加密选项之间进行选择
带有 Autokey 的 Cloud KMS 就像是客户管理的加密密钥的自动驾驶仪：它会按需代表您执行工作。您无需提前规划密钥，也无需创建可能永远不需要的密钥。密钥和密钥用法一致。您可以定义要在其中使用 Autokey 的文件夹，并控制哪些人可以使用 Autokey。您可以保留对 Autokey 创建的密钥的完全控制权。您可以将手动创建的 Cloud KMS 密钥与使用 Autokey 创建的密钥搭配使用。您可以停用 Autokey，并继续使用它创建的密钥，就像使用任何其他 Cloud KMS 密钥一样。
如果您希望跨项目一致地使用密钥、同时降低运营开销，并且希望遵循 Google 关于密钥的建议，Cloud KMS Autokey 是一个不错的选择。
| 特性或功能 | Google 默认加密方式 | Cloud KMS | Cloud KMS Autokey |
|---|---|---|---|
| 加密隔离：密钥专属于一个客户的账号 | 否 | 是 | 是 |
| 客户拥有和控制密钥 | 否 | 是 | 是 |
| 开发者触发密钥配置和分配 | 是 | 否 | 是 |
| 明确性：密钥是以建议的密钥粒度自动创建的 | 否 | 否 | 是 |
| 加密数据 | 否 | 是 | 是 |
| 自动符合推荐的密钥管理做法 | 否 | 否 | 是 |
| 使用由 HSM 支持的密钥，且符合 FIPS 140-2 3 级 | 否 | 可选 | 是 |
如果您需要使用 HSM 以外的保护级别或自定义轮替周期，可以在不使用 Autokey 的情况下使用 CMEK。
兼容的服务
下表列出了与 Cloud KMS Autokey 兼容的服务：
| 服务 | 受保护资源 | 键粒度 |
|---|---|---|
| Cloud Storage |
存储桶中的对象使用存储桶默认密钥。Autokey 不会为 |
每个存储桶一个键 |
| Compute Engine |
快照将使用您要为其创建快照的磁盘的密钥。
Autokey 不会为 |
每个资源一个密钥 |
| BigQuery |
Autokey 会为数据集创建默认键。数据集中的表、模型、查询和临时表使用数据集默认键。 Autokey 不会为数据集以外的 BigQuery 资源创建键。如需保护不属于数据集的资源，您必须在项目或组织级别创建自己的默认密钥。 |
每个资源一个密钥 |
| Secret Manager |
Secret Manager 仅在使用 Terraform 或 REST API 创建资源时与 Cloud KMS Autokey 兼容。 |
一个项目中的每个位置一个密钥 |
后续步骤
- 如需详细了解 Cloud KMS Autokey 的工作原理，请参阅 Autokey 概览。