本页面介绍了如何将 CMEK 与 Cloud SQL 配合使用。如需立即使用此功能，请参阅使用 CMEK。
CMEK 是否适合我的企业？
如果组织具有敏感数据或受监管数据并且这些数据需要组织管理自己的加密密钥，则 CMEK 就很适合该组织。
Google 管理的加密与客户管理的加密
借助 CMEK 功能，您可以将自己的加密密钥用于 Cloud SQL 中的静态数据。添加 CMEK 后，无论何时进行 API 调用，Cloud SQL 都可以使用您的密钥来访问数据。
Cloud SQL 使用 Google 管理的数据加密密钥 (DEK) 和密钥加密密钥 (KEK) 来加密 Cloud SQL。因此存在两层加密：
- DEK 加密数据。
- KEK 加密 DEK。
Cloud SQL 实例将加密的 DEK 与加密的数据一起存储在永久性磁盘上，而 Google 管理 Google KEK。借助 CMEK，您可以创建封装 Google KEK 的密钥。还可以创建、撤消和删除 KEK。
客户管理的加密密钥（包括软件、硬件和外部密钥）均通过 Cloud Key Management Service API 进行管理。
下图分别展示了在使用默认 Google 加密与使用 CMEK 时，静态数据加密在 Cloud SQL 实例中的工作原理。
不使用 CMEK
使用 CMEK
在解密使用 CMEK 封装的数据时，Cloud SQL 会使用 KEK 来解密 DEK，并使用未加密的 DEK 来解密静态数据。
Cloud SQL 何时与 CMEK 密钥进行交互？
| 操作 | 备注 |
| 创建实例 | 在创建实例期间，您可以将实例配置为使用 CMEK。 |
| 创建备份 | 在对启用了 CMEK 的实例进行备份期间，CMEK 会加密用户查询和响应等用户数据。启用了 CMEK 的实例中的备份会继承与来源实例具有相同 Cloud KMS 密钥的加密。 |
| 恢复实例 | 在对启用了 CMEK 的实例进行恢复期间，Cloud SQL 会使用该密钥访问待恢复的备份实例上的数据。当恢复到不同实例时，目标实例可使用不同的密钥进行加密。 |
| 创建副本 | 在同一区域中创建 Cloud SQL 实例的读取或故障切换副本时，该副本会从父实例继承 CMEK。如果您在不同区域中创建读取或故障切换副本，则必须从其他区域选择 CMEK。每个区域都使用自己的一组密钥。 |
| 创建克隆 | 启用了 CMEK 的实例中的克隆会继承与来源实例具有相同 Cloud KMS 密钥的 CMEK 加密。 |
| 更新实例 | 在对启用了 CMEK 的实例进行更新期间，Cloud SQL 会检查 CMEK 密钥。 |
哪些位置支持启用了 CMEK 的 Cloud SQL 实例？
CMEK 在所有 Cloud SQL 实例位置均可用。
服务账号简介
在 Cloud SQL 实例启用 CMEK 后，您需要使用服务账号向 Cloud KMS 请求密钥访问权限。
如需在项目上使用 CMEK，您必须拥有服务账号，并且必须向该服务账户授予 CMEK 访问权限。该服务账号必须存在于项目内。该服务账号在所有区域均可见。
如果您使用控制台创建实例，Cloud SQL 会在您首次选择客户管理的密钥选项时自动创建服务账号（如果服务账号尚不存在）。Cloud SQL 自动创建服务账号时，您不需要对您的用户账号具有特殊权限。
密钥简介
在 Cloud KMS 中，您需要创建一个包含加密密钥的密钥环，并设置位置。在创建新的 Cloud SQL 实例时，您可以选择使用此密钥来加密该实例。
在新建使用 CMEK 的 Cloud SQL 实例时，您需要知道密钥 ID 和密钥区域。您必须将新的 Cloud SQL 实例置于与该实例关联的 CMEK 所在的区域中。您可以为密钥和 Cloud SQL 实例创建一个项目，也可以为它们分别创建不同的项目。
CMEK 使用以下格式：
projects/[CMEK_ENABLED_PROJECT]/locations/[REGION]/keyRings/[RING_NAME]/cryptoKeys/[KEYNAME]
如果 Cloud SQL 无法访问密钥（例如，您停用密钥版本），则 Cloud SQL 将暂停该实例。该密钥再次可供访问后，Cloud SQL 会自动恢复该实例。
轮替密钥时，使用该密钥加密的实例不会自动使用新的主密钥版本重新加密。您可以使用新的主密钥版本重新加密任何现有 CMEK 主实例或副本。如需详细了解如何在密钥轮替后重新加密 Cloud SQL 实例或副本，请参阅重新加密现有的启用了 CMEK 的实例或副本。
外部密钥管理器
您可以使用存储在外部密钥管理器（例如 Fortinix、Ionic 或 Thales）中的密钥作为客户管理的加密密钥。如需了解如何将外部密钥与 Cloud KMS 搭配使用，请参阅 Cloud External Key Manager (Cloud EKM)。
Key Access Justifications
您可以在 Cloud EKM 中使用 Key Access Justifications (KAJ)。KAJ 可让您查看每个 Cloud EKM 请求的原因。此外，根据提供的理由，您可以自动批准或拒绝请求。如需了解详情，请参阅概览。
因此，KAJ 通过为每次解密数据的尝试提供理由来提供对数据的额外控制。
如需了解如何将密钥与 Cloud SQL 实例搭配使用，请参阅创建具有 CMEK 的 Cloud SQL 实例。
如何使 CMEK 加密的数据永远无法访问？
您可能遇到这样的情况，即您需要永久销毁使用 CMEK 加密的数据。为此，您需要销毁 CMEK 版本。您不能销毁密钥环或密钥，但可以销毁密钥的密钥版本。
如何为启用了 CMEK 的实例导出和导入数据？
如果您希望在导出或导入期间仍使用客户管理的密钥加密数据，则必须先在 Cloud Storage 存储桶上设置 CMEK，然后再将数据导出到其中。如果数据此前存储在启用了 CMEK 的实例上，则将数据导入到新实例时不存在特殊要求或限制。
限制
使用 CMEK 时，存在以下限制：
- 您无法在现有实例上启用 CMEK。
- 您无法为与主实例位于同一区域的副本分配其他密钥。对于跨区域副本，您需要为副本区域创建新密钥。
- 您无法为克隆分配其他密钥。
- 您无法使用 CMEK 进行加密：
- 外部服务器（外部主实例和外部副本）
- 实例元数据，例如实例 ID、数据库版本、机器类型、标志、备份时间表等。
- 您无法使用 CMEK 来加密传输中的用户数据，例如用户查询和响应。
后续步骤
- 了解 Google Cloud Platform 中的静态加密。
- 了解如何创建启用了 CMEK 的实例。
- 了解 Cloud Key Management Service (Cloud KMS)。
- 了解 Cloud KMS 资源的配额。
- 了解 IAM 服务账号。
- 了解如何为密钥添加 Key Access Justifications。
- 查找使用 CMEK 的其他产品。