Cette page décrit le fonctionnement des clés de chiffrement gérées par le client (CMEK, Customer Managed Encryption Keys) avec Cloud SQL. Pour utiliser cette fonctionnalité immédiatement, consultez la section Utiliser des clés de chiffrement gérées par le client (CMEK).
La fonctionnalité CMEK est-elle adaptée à mes besoins ?
Les clés de chiffrement gérées par le client sont destinées aux organisations qui traitent des données sensibles ou réglementées pour lesquelles elles doivent gérer leurs propres clés de chiffrement.
Chiffrement géré par Google et chiffrement géré par le client
La fonctionnalité CMEK vous permet d'utiliser vos propres clés de chiffrement pour les données au repos dans Cloud SQL. Après l'ajout des clés de chiffrement gérées par le client, Cloud SQL utilise votre clé pour accéder aux données à chaque appel d'API.
Les clés de chiffrement des données (DEK, Data Encryption Key) et les clés de chiffrement de clé (KEK, Key Encryption Key) gérées par Google permettent de chiffrer Cloud SQL. Il existe deux niveaux de chiffrement :
- La clé DEK chiffre les données.
- La clé KEK chiffre la clé DEK.
L'instance Cloud SQL stocke la clé DEK chiffrée ainsi que les données chiffrées sur le disque persistant, et Google gère la clé KEK Google. Avec les clés de chiffrement gérées par le client, vous créez une clé qui encapsule la clé KEK Google. Les clés de chiffrement gérées par le client vous permettent de créer, de révoquer et de supprimer la clé KEK.
Les clés de chiffrement gérées par le client, y compris les logiciels, le matériel et les clés externes, sont toutes gérées via l'API Cloud Key Management Service.
Les schémas ci-dessous montrent le fonctionnement du chiffrement des données au repos dans une instance Cloud SQL en cas d'utilisation du chiffrement Google par défaut et en cas d'utilisation des clés de chiffrement gérées par le client.
Sans CMEK
Avec CMEK
Lors du déchiffrement des données encapsulées avec des clés de chiffrement gérées par le client, Cloud SQL utilise la clé KEK pour déchiffrer la clé DEK, puis il utilise la clé DEK non chiffrée pour déchiffrer les données au repos.
Quand Cloud SQL interagit-il avec les clés CMEK ?
| Opération | Remarques |
| Création d'une instance | Lors de la création de l'instance, vous configurez celle-ci de sorte qu'elle utilise des clés de chiffrement gérées par le client. |
| Création d'une sauvegarde | Lors des sauvegardes d'une instance pour laquelle CMEK est activé, les clés de chiffrement gérées par le client chiffrent les données utilisateur, telles que les requêtes utilisateur et les réponses à ces requêtes. Les sauvegardes d'une instance activée avec CMEK héritent de son chiffrement avec la même clé Cloud KMS que l'instance source. |
| Restauration d'une instance | Lors des restaurations d'une instance pour laquelle CMEK est activé, Cloud SQL utilise la clé pour accéder aux données de l'instance de sauvegarde en cours de restauration. Lors d'une restauration sur une autre instance, l'instance cible peut utiliser une clé différente pour le chiffrement. |
| Création d'une instance dupliquée | Lorsque vous créez une instance dupliquée avec accès en lecture d'une instance Cloud SQL dans la même région, elle hérite de la clé CMEK de l'instance parente. Si vous créez une instance dupliquée avec accès en lecture dans une région différente, vous devez sélectionner une clé CMEK dans l'autre région. Chaque région utilise son propre ensemble de clés. |
| Création de clones | Les clones d'une instance pour laquelle CMEK est activé héritent du chiffrement CMEK avec la même clé Cloud KMS que l'instance source. |
| Mise à jour d'une instance | Lors de la mise à jour d'une instance pour laquelle CMEK est activé, Cloud SQL vérifie la clé CMEK. |
Quels emplacements acceptent les instances Cloud SQL utilisant CMEK ?
CMEK est disponible dans tous les emplacements d'instances de Cloud SQL.
À propos des comptes de service
Lorsque CMEK est activé sur vos instances Cloud SQL, vous devez utiliser un compte de service pour demander un accès par clé à partir de Cloud KMS.
Pour utiliser une clé de chiffrement gérée par le client sur un projet, vous devez disposer d'un compte de service et accorder à cette clé l'accès à ce compte. Le compte de service doit être créé dans le projet et visible dans toutes les régions.
Si vous utilisez la console pour créer une instance, Cloud SQL crée automatiquement le compte de service lorsque vous choisissez l'option Clé gérée par le client (si un compte de service n'existe pas déjà). Lorsque Cloud SQL crée automatiquement le compte de service, vous n'avez pas besoin d'autorisations particulières sur votre compte utilisateur.
À propos des clés
Dans Cloud KMS, vous devez créer un trousseau avec une clé de chiffrement, et y associer un emplacement. Lorsque vous créez une instance Cloud SQL, vous sélectionnez cette clé pour chiffrer l'instance.
Lorsque vous créez des instances Cloud SQL qui utilisent des clés de chiffrement gérées par le client, vous devez connaître l'ID et la région de ces clés. Vous devez placer les nouvelles instances Cloud SQL dans la région où se trouve la clé de chiffrement gérée par le client associée à l'instance. Vous pouvez créer un projet unique pour les clés et les instances Cloud SQL, ou un projet distinct pour chaque élément.
Les clés de chiffrement gérées par le client utilisent le format suivant :
projects/[CMEK_ENABLED_PROJECT]/locations/[REGION]/keyRings/[RING_NAME]/cryptoKeys/[KEYNAME]
Si Cloud SQL ne parvient pas à accéder à la clé (par exemple, si vous désactivez la version de clé), il suspend l'instance. Lorsque la clé redevient accessible, Cloud SQL réactive automatiquement l'instance.
Lorsque vous effectuez une rotation de clés, les instances chiffrées avec l'une de ces clés ne sont pas automatiquement chiffrées avec la nouvelle version de clé primaire. Vous pouvez rechiffrer toute instance principale ou instance répliquée CMEK existante avec la nouvelle version de clé primaire. Pour en savoir plus sur le rechiffrement d'une instance ou d'une instance répliquée Cloud SQL après une rotation des clés, consultez Rechiffrer une instance ou une instance répliquée existante sur laquelle l'option CMEK est activée.
Gestionnaires de clés externes
Vous pouvez utiliser des clés stockées dans des gestionnaires de clés externes, tels que Fortinix, Ionic ou Thales, en tant que clés de chiffrement gérées par le client. Pour apprendre à utiliser des clés externes avec Cloud KMS, consultez la page Cloud External Key Manager (Cloud EKM).
Key Access Justifications
Vous pouvez utiliser Key Access Justifications (KAJ) dans Cloud EKM. KAJ vous permet d'afficher la raison de chaque requête Cloud EKM. De plus, selon la justification fournie, vous pouvez approuver ou refuser automatiquement une requête. Pour en savoir plus, consultez la présentation.
Ainsi, KAJ offre un contrôle supplémentaire sur vos données en justifiant chaque tentative de déchiffrement des données.
Pour en savoir plus sur l'utilisation de vos clés avec des instances Cloud SQL, consultez la page Créer une instance Cloud SQL avec CMEK.
Comment rendre les données chiffrées par CMEK définitivement inaccessibles ?
Vous pouvez être amené à détruire définitivement des données chiffrées avec CMEK. Cette opération implique de supprimer la version correspondante de la clé de chiffrement gérée par le client. Vous ne pouvez pas détruire le trousseau ou la clé, mais vous pouvez supprimer les versions de la clé.
Comment exporter et importer des données depuis et vers une instance utilisant CMEK ?
Si vous souhaitez que vos données restent chiffrées avec une clé gérée par le client lors d'une exportation ou d'une importation, vous devez définir cette clé sur le bucket Cloud Storage avant d'exporter des données. Il n'existe pas d'exigences ni de restrictions particulières concernant l'importation de données vers une nouvelle instance lorsque ces données étaient précédemment stockées sur une instance utilisant une clé de chiffrement gérée par le client.
Restrictions
Les restrictions suivantes s'appliquent en cas d'utilisation de clés de chiffrement gérées par le client :
- Vous ne pouvez pas activer les clés de chiffrement gérées par le client sur une instance existante.
- Vous ne pouvez pas attribuer une clé différente à une instance répliquée située dans la même région que l'instance principale. Pour les instances répliquées interrégionales, vous devez créer une clé pour la région dupliquée.
- Vous ne pouvez pas attribuer une clé différente à un clone.
- Vous ne pouvez pas utiliser des clés de chiffrement gérées par le client pour chiffrer les éléments suivants :
- Serveurs externes (instances primaires externes et instances dupliquées externes)
- Métadonnées d'instance, telles que l'ID d'instance, la version de la base de données, le type de machine, les options, le planning des sauvegardes, etc.
- Vous ne pouvez pas utiliser de clés de chiffrement gérées par le client pour chiffrer les données utilisateur en transit, telles que les requêtes utilisateur et les réponses à ces requêtes.
Étape suivante
- Découvrez le chiffrement au repos dans Google Cloud Platform.
- Découvrez comment créer une instance avec CMEK activé.
- Découvrez Cloud Key Management Service (Cloud KMS).
- Apprenez-en plus sur les quotas pour les ressources Cloud KMS.
- Familiarisez-vous avec les comptes de service IAM.
- Découvrez comment ajouter la fonctionnalité Key Access Justifications à vos clés.
- Recherchez d'autres produits qui utilisent CMEK.