Configurar la encriptación de mensajes

Pub/Sub encripta los mensajes con claves de encriptación administradas por Google de forma predeterminada. No se requiere configuración y no es necesario modificar la forma en que accedes al servicio. Todos los mensajes se encriptan en los siguientes estados y capas:

En la capa de la aplicación, Pub/Sub encripta de forma individual los mensajes entrantes en cuanto se recibe el mensaje. Esta implementación agrega las siguientes características:

Usa claves de encriptación administradas por el cliente

Pub/Sub usa el patrón de encriptación de sobre con CMEK. De esta manera, Cloud KMS no encripta los mensajes. En cambio, se usa Cloud KMS a fin de encriptar las claves de encriptación de datos (DEK) que Pub/Sub crea para cada tema. Pub/Sub solo almacena estas DEK en formato encriptado o unido. Antes de almacenar una DEK, el servicio la envía a Cloud KMS para que se encripte con la clave de encriptación de claves (KEK) especificada en el tema. Se genera una DEK nueva para cada tema cada seis horas, aproximadamente.

Antes de que Pub/Sub publique mensajes en una suscripción, los encripta con la DEK más nueva que se generó para el tema. Pub/Sub desencripta los mensajes poco antes de entregarlos a los suscriptores.

Pub/Sub usa una cuenta de servicio de Google Cloud para acceder a Cloud KMS. Pub/Sub mantiene de forma interna la cuenta de servicio para cada proyecto, por lo que no estará visible en tu lista de cuentas de servicio. La cuenta de servicio tiene el formato service-${PROJECT_NUMBER}@gcp-sa-pubsub.iam.gserviceaccount.com. Para que la característica CMEK funcione, debes otorgar a esta cuenta la función de Encriptador/Desencriptador de CryptoKey de Cloud KMS en Identity and Acess Management.

Configura temas

Puedes configurar CMEK con la consola de Google Cloud o la herramienta de línea de comandos de gcloud. Para cumplir con los requisitos previos, debes haber hecho lo siguiente:

Consulta la Guía de inicio rápido a fin de obtener instrucciones para realizar estas tareas.

Debido a que los recursos de Pub/Sub son globales, te recomendamos que uses las claves globales de Cloud KMS a fin de configurar temas habilitados para CMEK. Según las ubicaciones de los publicadores y suscriptores de un tema, el uso de una clave regional de Cloud KMS podría generar dependencias innecesarias en los vínculos de red entre regiones.

Usa la consola de Google Cloud

Puedes usar el diálogo de creación de temas de la consola de Google Cloud para agregar tus claves de encriptación. Consulta la guía de inicio rápido de la consola de Google Cloud para obtener información sobre cómo acceder a ese diálogo.

Si no ves el menú desplegable Selecciona una clave administrada por el cliente, asegúrate de haber habilitado la API de KMS para el proyecto.

La consola de Google Cloud:

  • Simplifica la configuración de Cloud IAM y te garantiza que la cuenta de servicio de Pub/Sub tenga los permisos adecuados.

  • Te permite configurar la encriptación en el cuadro de diálogo de creación de temas.

Uso de la línea de comandos

En este ejemplo, se muestra cómo usar Google Cloud CLI para configurar CMEK en un tema:


   # Grant the Pub/Sub service account the Cloud KMS CryptoKey
   # Encrypter/Decrypter role. This service account is different
   # from the service account you are using to authorize requests to Google Cloud.

   gcloud projects add-iam-policy-binding ${PROJECT_ID} --member=\
      "serviceAccount:service-${PROJECT_NUMBER}@gcp-sa-pubsub.iam.gserviceaccount.com" \
      --role='roles/cloudkms.cryptoKeyEncrypterDecrypter'

   # Create a topic that uses customer-managed encryption, using the
   # --topic-encryption-key argument to specify the Cloud KMS key to use
   # for protecting message data.

   KEY_ID=projects/${PROJECT_ID}/locations/global/keyRings/my-key-ring/cryptoKeys/my-crypto-key
   alias pubsub="gcloud pubsub"
   pubsub topics create $TOPIC_NAME --topic-encryption-key=$KEY_ID

   # Confirm that the topic is configured for customer-managed encryption,
   # indicated by the presence of the kmsKeyName specified on the topic.

   pubsub topics describe $TOPIC_NAME
     

Registros de auditoría

Cloud KMS produce registros de auditoría cuando Pub/Sub usa las claves para encriptar o desencriptar mensajes, y cuando estas se habilitan o inhabilitan. Esto es útil para depurar problemas relacionados con la disponibilidad de publicación o entrega.

Las claves de Cloud KMS se adjuntan a los registros de auditoría de los recursos de tema de Pub/Sub. Pub/Sub no incluye ninguna otra información relacionada con Cloud KMS.

Precios y costos

Para las siguientes solicitudes de Pub/Sub, el uso de CMEK genera costos por acceso al servicio de Cloud KMS según los pricing de Pub/Sub:

  • Para cada tema que usa CMEK, se encripta una DEK nueva y se almacena cada seis horas.

  • La clave se usa para desencriptar la DEK cada seis minutos. La desencriptación ocurre tres veces, una para cada zona de la región donde se ejecuta el servicio de Pub/Sub.

Por ejemplo, supongamos que un tema tiene lo siguiente:

  • Al menos una suscripción

  • Clientes publicadores y suscriptores en la misma región

La cantidad de operaciones criptográficas de Cloud KMS se puede estimar de la siguiente manera:

1 key access for ENCRYPT * (30 days / month * 24 hours / day) / 6 hours
 + 3 key accesses for DECRYPT
   * (30 days / month * 24 hours / day * 60 minutes / hour ) / 6 minutes
   = 21,720 Cloud KMS key access events
Dada una estructura de precios en la que las operaciones criptográficas cuestan $0.03 por 10,000 operaciones, el uso anterior costaría alrededor de $0.07. Consulta Precios de Cloud KMS para obtener la información de precios más reciente.

En la práctica, las claves se pueden obtener con mayor o menor frecuencia según los patrones de acceso. Ten en cuenta que estos números son solo estimaciones.

Supervisa y soluciona problemas

Los problemas con el acceso a la clave pueden provocar los siguientes efectos:

  • Demoras en la entrega del mensaje

  • Errores de publicación

Supervisa los errores de solicitud de extracción y publicación con las siguientes metrics, agrupadas por response_class y response_code:

  • topic/send_request_count
  • subscription/pull_request_count
  • subscription/streaming_pull_response_count

La respuesta de StreamingPull tiene una tasa de error del 100%. Esto es una indicación de que la transmisión finalizó, no de que las solicitudes estén fallando. Para supervisar StreamingPull, busca el código de respuesta FAILED_PRECONDITION.

La publicación y la entrega de mensajes pueden fallar con errores FAILED_PRECONDITION por varias razones.

En las suscripciones de envío, no hay forma de detectar problemas de entrega específicos de CMEK directamente. En cambio, puedes hacer lo siguiente:

  • Supervisar el tamaño y la antigüedad de las tareas pendientes de una suscripción de envío mediante subscription/num_unacked_messages

  • Supervisar subscription/oldest_unacked_message_age para detectar picos inusuales

  • Usar los errores de publicación y los registros de auditoría de CMEK para detectar problemas

Inhabilita y vuelve a habilitar las claves

Hay dos maneras de evitar que Pub/Sub desencripte tus datos de mensajes:

Aunque ninguna de las dos operaciones garantiza la revocación de acceso instantánea, los cambios de IAM se suelen propagar más rápido. Para obtener más información, consulta Coherencia de los recursos de Cloud KMS y Propagación de cambios de acceso.

Cuando Pub/Sub no puede acceder a una clave de Cloud KMS, la publicación y entrega de mensajes con StreamingPull o la extracción fallan con errores FAILED_PRECONDITION. Se detendrá la entrega de mensajes a los extremos de envío. Para reanudar la entrega y la publicación, restablece el acceso a la clave de Cloud KMS.

Una vez que la clave de Cloud KMS sea accesible para Pub/Sub, la publicación estará disponible en un período de 12 horas y la entrega de mensajes se reanudará en 2 horas.

Aunque es poco probable que las interrupciones intermitentes de menos de un minuto en Cloud KMS interrumpan significativamente la publicación y la entrega, la falta de disponibilidad extendida de Cloud KMS tiene el mismo efecto que la revocación de claves.