客户管理的加密密钥 (CMEK) 概览

本页面介绍了如何将 CMEK 与 Cloud SQL 配合使用。如需立即使用此功能,请参阅使用 CMEK

CMEK 是否适合我的企业?

如果组织具有敏感数据或受监管数据并且这些数据需要组织管理自己的加密密钥,则 CMEK 就很适合该组织。

Google 管理的加密与客户管理的加密

借助 CMEK 功能,您可以将自己的加密密钥用于 Cloud SQL 中的静态数据。添加 CMEK 后,无论何时进行 API 调用,Cloud SQL 都可以使用您的密钥来访问数据。

Cloud SQL 使用 Google 管理的数据加密密钥 (DEK) 和密钥加密密钥 (KEK) 来加密 Cloud SQL。因此存在两层加密:

  1. DEK 加密数据。
  2. KEK 加密 DEK。

Cloud SQL 实例将加密的 DEK 与加密的数据一起存储在永久性磁盘上,而 Google 管理 Google KEK。借助 CMEK,您可以创建封装 Google KEK 的密钥。还可以创建、撤消和删除 KEK。

客户管理的加密密钥(包括软件、硬件和外部密钥)均通过 Cloud Key Management Service API 进行管理。

下图分别展示了在使用默认 Google 加密与使用 CMEK 时,静态数据加密在 Cloud SQL 实例中的工作原理。

不使用 CMEK

数据会上传到 Google,然后进行分块,每个区块使用自己的数据加密密钥进行加密。数据加密密钥使用密钥加密密钥进行封装。如果使用默认 Google 加密,系统会从 Google 的内部密钥库检索密钥加密密钥。加密的区块和封装的加密密钥分布在 Google 的存储基础架构中。

使用 CMEK

数据会上传到 Google,然后进行分块,每个区块使用自己的数据加密密钥进行加密。数据加密密钥使用密钥加密密钥进行封装。通过使用 Cloud KMS 的 CMEK,系统会从 Cloud KMS 中检索密钥加密密钥。加密的区块和封装的加密密钥分布在 Google 的存储基础架构中。

在解密使用 CMEK 封装的数据时,Cloud SQL 会使用 KEK 来解密 DEK,并使用未加密的 DEK 来解密静态数据。

数据区块使用 DEK 进行加密,使用封装的 DEK 进行存储。系统会将解封 DEK 的请求发送到 KMS 存储空间,该存储空间用于存储不可导出的 KEK。KMS 存储空间返回解封后的 DEK。

Cloud SQL 何时与 CMEK 密钥进行交互?

操作 备注
创建实例 在创建实例期间,您可以将实例配置为使用 CMEK。
创建备份 在对启用了 CMEK 的实例进行备份期间,CMEK 会加密用户查询和响应等用户数据。启用了 CMEK 的实例中的备份会继承与来源实例具有相同 Cloud KMS 密钥的加密。
恢复实例 在对启用了 CMEK 的实例进行恢复期间,Cloud SQL 会使用该密钥访问待恢复的备份实例上的数据。当恢复到不同实例时,目标实例可使用不同的密钥进行加密。
创建副本 启用了 CMEK 的实例中的读取和故障转移副本会继承与主实例具有相同 Cloud KMS 密钥的 CMEK 加密。
创建克隆 启用了 CMEK 的实例中的克隆会继承与来源实例具有相同 Cloud KMS 密钥的 CMEK 加密。
更新实例 在对启用了 CMEK 的实例进行更新期间,Cloud SQL 会检查 CMEK 密钥。

哪些位置支持启用了 CMEK 的 Cloud SQL 实例?

CMEK 在所有 Cloud SQL 实例位置均可用。

了解服务帐号

在 Cloud SQL 实例启用 CMEK 后,您需要使用服务帐号向 Cloud KMS 请求密钥访问权限。

如需在项目上使用 CMEK,您必须拥有服务帐号,并且必须向该服务帐户授予 CMEK 访问权限。该服务帐号必须存在于项目内。该服务帐号在所有区域均可见。

如果您使用控制台创建实例,Cloud SQL 会在您首次选择客户管理的密钥选项时自动创建服务帐号(如果服务帐号尚不存在)。Cloud SQL 自动创建服务帐号时,您不需要对您的用户帐号具有特殊权限。

了解密钥

在 Cloud KMS 中,您需要创建一个包含加密密钥的密钥环,并设置位置。在创建新的 Cloud SQL 实例时,您可以选择使用此密钥来加密该实例。

在新建使用 CMEK 的 Cloud SQL 实例时,您需要知道密钥 ID 和密钥区域。您必须将新的 Cloud SQL 实例置于与该实例关联的 CMEK 所在的区域中。您可以为密钥和 Cloud SQL 实例创建一个项目,也可以为它们分别创建不同的项目。

CMEK 使用以下格式:

projects/[CMEK_ENABLED_PROJECT]/locations/[REGION]/keyRings/[RING_NAME]/cryptoKeys/[KEYNAME]

如果 Cloud SQL 无法访问密钥(例如,您停用密钥版本),则 Cloud SQL 将暂停该实例。该密钥再次可供访问后,Cloud SQL 会自动恢复该实例。

轮替密钥时,使用该密钥加密的实例不会使用新的主密钥版本重新加密。

外部密钥管理器

您可以使用存储在外部密钥管理器(例如 Fortinix、Ionic 或 Thales)中的密钥作为客户管理的加密密钥。如需了解如何将外部密钥与 Cloud KMS 搭配使用,请参阅 Cloud External Key Manager

如何使 CMEK 加密的数据永远无法访问?

您可能遇到这样的情况,即您需要永久销毁使用 CMEK 加密的数据。为此,您需要销毁 CMEK 版本。您不能销毁密钥环或密钥,但可以销毁密钥的密钥版本。

如何为启用了 CMEK 的实例导出和导入数据?

如果您希望在导出或导入期间仍使用客户管理的密钥加密数据,则必须先在 Cloud Storage 存储分区上设置 CMEK,然后再将数据导出到其中。如果数据此前存储在启用了 CMEK 的实例上,则将数据导入到新实例时不存在特殊要求或限制。

限制

使用 CMEK 时,存在以下限制:

  • 您无法在现有实例上启用 CMEK。
  • 您无法在现有实例上轮替密钥版本。
  • 您无法为副本分配其他密钥版本。
  • 您无法为克隆分配其他密钥版本。
  • 您无法使用 CMEK 进行加密:
    • 外部服务器(外部主实例和外部副本)
    • 实例元数据,例如实例 ID、数据库版本、机器类型、标志、备份时间表等。
  • 您无法使用 CMEK 来加密传输中的用户数据,例如用户查询和响应。

后续步骤