本页面介绍了如何将客户管理的加密密钥 (CMEK) 与 Memorystore for Redis 配合使用。如需立即使用此功能，请参阅使用客户管理的加密密钥 (CMEK)。
CMEK 是否适合我的企业？
如果组织具有敏感数据或受监管数据并且这些数据需要组织管理自己的加密密钥，则 CMEK 就很适合该组织。
Google 管理的加密与客户管理的加密
借助 CMEK 功能，您可以将自己的加密密钥用于 Memorystore for Redis 中的静态数据。添加客户管理的加密密钥后，每当进行 API 调用时，Memorystore 都会使用您的密钥来访问数据。
Memorystore 使用 Google 管理的数据加密密钥 (DEK) 和密钥加密密钥 (KEK) 来加密 Memorystore for Redis。因此存在两层加密：
- DEK 加密数据。
- KEK 加密 DEK。
Memorystore 实例将加密的 DEK 与加密的数据一起存储在永久性磁盘上，而 Google 负责管理 Google KEK。借助客户管理的加密密钥，您可以创建封装 Google KEK 的密钥。使用客户管理的加密密钥，您可以创建、撤消和删除 KEK。
客户管理的加密密钥通过 Cloud Key Management Service API 进行管理。
下图显示了使用默认 Google 加密与客户管理的加密密钥时，静态数据加密在 Memorystore 实例中的工作原理。
不使用 CMEK
使用 CMEK
在解密使用客户管理的加密密钥封装的数据时，Memorystore 使用 KEK 来解密 DEK，并使用未加密的 DEK 来解密静态数据。
Memorystore 何时与 CMEK 密钥交互？
| 操作 | 说明 |
|---|---|
| 创建实例 | 在创建实例期间，您可以将实例配置为使用客户管理的加密密钥。 |
| 更新实例 | Memorystore 会在更新启用了 CMEK 的实例期间检查 CMEK 密钥。 |
哪些数据是使用 CMEK 加密的？
CMEK 会对以下类型的数据进行加密：
服务账号简介
使用 CMEK 创建实例时，您必须按以下格式将 cloudkms.cryptoKeyEncrypterDecrypter 角色授予 Memorystore 服务帐号：
service-[PROJECT_NUMBER]@cloud-redis.iam.gserviceaccount.com
授予此权限后，服务帐号即可向 Cloud KMS 请求密钥访问权限。
如需了解如何向服务帐号授予此权限，请参阅向服务帐号授予对密钥的访问权限。
密钥简介
在 Cloud KMS 中，您需要创建一个密钥环，其中包含采用对称加密/解密算法的加密密钥。创建新的 Memorystore 实例时，请选择此密钥来加密该实例。您可以为密钥和 Memorystore 实例创建一个项目，也可以为它们各自创建不同的项目。
CMEK 在所有 Memorystore 实例位置都可用。密钥和密钥环区域必须设置为与 Memorystore for Redis 实例相同的区域。多区域密钥或全球区域密钥不起作用。如果区域不匹配，创建 Memorystore 实例的请求会失败。
用于 Memorystore 的 CMEK 与 Cloud External Key Manager (Cloud EKM) 兼容。
CMEK 使用以下格式：
projects/[CMEK_ENABLED_PROJECT]/locations/[REGION]/keyRings/[RING_NAME]/cryptoKeys/[KEYNAME]
如果 Memorystore 无法访问当前使用的任何密钥版本（例如，如果您停用了密钥版本），则 Memorystore 会直接关停实例，而不会无故延迟。在 Google Cloud 控制台中，已暂停的实例会在实例页面上显示一个红色感叹号提示。将鼠标悬停在提示上时，系统会显示“无状态”。一旦密钥再次可访问，Memorystore 会自动恢复该实例。
如何使 CMEK 加密的数据永远无法访问？
您可能遇到这样的情况，即您需要永久销毁使用 CMEK 加密的数据。为此，您需要销毁 CMEK 版本。您不能销毁密钥环或密钥，但可以销毁密钥的密钥版本。
如何为启用了 CMEK 的实例导出和导入数据？
如果您希望在导入或导出过程中仍使用客户管理的密钥加密数据，则必须在 Cloud Storage 存储桶上设置客户管理的加密密钥，然后再将数据导出到该密钥。
如果数据之前存储在启用了 CMEK 的 Memorystore 实例上，则在将数据导入到新的 Memorystore 实例时，不存在特殊要求或限制。
销毁/停用 CMEK 密钥版本的行为
如果您希望确保不会访问您的实例，可以通过停用客户管理的加密密钥的主密钥版本来实现。这样做会关停您的实例，而不会造成无故延迟。此外，如果任何使用中的客户管理的加密密钥已停用/销毁，Memorystore 会关停实例，而不会无故延迟。这包括 Memorystore 实例仍在使用的任何较旧的密钥版本。您可以使用 gcloud 或 Google Cloud 控制台查看您的实例是否已暂停：
对于 Google Cloud 控制台，如果您的实例已暂停，您会在 Memorystore for Redis 实例页面中的实例旁边看到红色的提示通知。将光标悬停在提示上时，提示会显示“无状态”。
对于 gcloud，如果您运行 gcloud beta redis instances describe，但在实例元数据中没有看到 state: READY、state: REPAIRING 或任何其他状态，则表示您的实例已暂停。
重新启用/恢复使用中的 CMEK 密钥版本
reenabling/restoring使用中的 CMEK 密钥版本后，实例已取消隐藏。
限制
将客户管理的加密密钥与 Memorystore 一起使用时，存在以下限制：
- 您无法在现有 Memorystore 实例上启用客户管理的加密密钥。
- 密钥、密钥环和 Memorystore 实例必须全部相同。
- 您必须为密钥使用对称加密/解密算法。
- Cloud KMS 加密和解密费率受配额限制。