客戶自行管理的加密金鑰

本頁說明客戶自行管理的加密金鑰。如需其他加密選項的相關資訊,請參閱資料加密選項。如需這項功能的使用範例,請參閱使用客戶自行管理的加密金鑰

總覽

除了 Google 代管加密金鑰之外,您還可以選擇使用 Cloud Key Management Service 產生的金鑰。這類金鑰又稱為「客戶自行管理的加密金鑰」。如果您是使用客戶自行管理的加密密鑰,您的加密金鑰就會儲存在 Cloud KMS 中。接著保管加密金鑰的專案可獨立於包含值區的專案,藉此提供更佳的授權區隔

什麼時候會使用金鑰?

將客戶自行管理的加密金鑰套用於物件時,Cloud Storage 會在加密時使用金鑰:

  • 物件資料。
  • 物件的 CRC32C 總和檢查碼。
  • 物件的 MD5 雜湊。

Cloud Storage 會使用標準伺服器端金鑰來加密物件的剩餘中繼資料,包括物件的名稱。這讓您可以讀取和更新一般中繼資料,以及列出和刪除物件,而無需客戶自行管理的加密金鑰。但是,您必須要有足夠的權限才能執行所有操作。

例如,如果物件是使用客戶自行管理的加密金鑰進行加密,則必須使用該金鑰對物件執行操作,例如下載或將其移動。如果您嘗試讀取物件中繼資料但未提供金鑰,則只會收到中繼資料 (例如物件名稱和 Content-Type),而無法取得物件的 CRC32C 總和檢查碼或 MD5 雜湊。如果您在物件中繼資料要求中提供金鑰,則物件的 CRC32C 總和檢查碼和 MD5 雜湊就會隨附於中繼資料。

服務帳戶

您需要使用服務帳戶才能透過客戶自行管理的金鑰來加密及解密。一旦授權 Cloud Storage 服務帳戶存取加密金鑰,該服務帳戶就會加密下列項目:

在 Cloud Storage 中加入或重寫物件時,如果您同時具有值區的預設金鑰和要求包含的特定金鑰,則 Cloud Storage 會使用特定金鑰來加密物件。

如果要求者想讀取使用客戶自行管理金鑰加密的物件,如同平常一樣直接存取物件即可。要求期間,服務帳戶會自動解密要求的物件,其條件如下:

  • 服務帳戶仍有使用該金鑰解密的權限。
  • 您尚未停用或刪除該金鑰。

如果沒有滿足任何一個條件,服務帳戶就不會解密資料,而要求就會失敗。

金鑰資源

Cloud KMS 金鑰資源的格式如下所示:

projects/[PROJECT_STORING_KEYS]/locations/[LOCATION]/keyRings/[KEY_RING_NAME]/cryptoKeys/[KEY_NAME]

其中:

  • [PROJECT_STORING_KEYS] 是與金鑰相關聯的專案 ID。例如:my-pet-project
  • [LOCATION] 是金鑰位置。例如:us-east1
  • [KEY_RING_NAME] 是金鑰環的名稱。例如:my-key-ring
  • [KEY_NAME] 是金鑰的名稱。例如:my-key

限制

下列限制適用於客戶自行管理的加密金鑰:

  • Cloud SQL 匯出到 Cloud StorageCloud Dataflow 目前不支援使用客戶自行管理的加密金鑰加密的物件。

  • 如果您的來源物件是用客戶自行管理的加密金鑰進行加密,或者目標物件會使用客戶自行管理加密金鑰進行加密,則無法使用 JSON API 複製物件方法。在這種情況下,請改用重寫物件方法

  • 當一或多個來源物件使用客戶自行管理的加密金鑰進行加密時,您無法使用 JSON API 組合物件方法

  • 您不能透過更新物件的中繼資料來使用客戶自行管理的加密金鑰將物件加密。請改將金鑰加入物件重寫的一部分。

  • 您建立 Cloud KMS 金鑰的位置必須與待加密資料的位置相同。例如,如果您的值區位於 us-east1,那麼您也必須在 us-east1 中建立這個值區中的所有 Cloud KMS 金鑰加密物件。如要瞭解可用的 Cloud KMS 位置,請參閱 Cloud KMS 位置一文。

  • 您不能將客戶自行管理的加密金鑰指定為 Storage Transfer Service 移轉作業的一部分,而且任何在來源物件上的這類金鑰也不適用於經過移轉的物件。先對值區設定預設的客戶自行管理金鑰,再執行移轉作業。

與客戶提供加密金鑰的關係

除了客戶自行管理的加密金鑰,Cloud Storage 也提供由客戶提供的加密金鑰,做為控管資料加密的方式之一。您可使用不同的加密方法來加密單一值區中的不同物件,但請注意下列事項:

  • 一次只能用其中一種方法來加密單一物件。

  • 如果您的值區有預設的客戶自行管理金鑰,而要求中又指定了客戶提供的金鑰,則 Cloud Storage 會使用客戶提供的金鑰來加密該物件。

  • 您可對值區預先設定客戶自行管理的金鑰,但不能在值區上預先設定客戶提供的金鑰。

本頁內容對您是否有任何幫助?請提供意見:

傳送您對下列選項的寶貴意見...

這個網頁
Cloud Storage
需要協助嗎?請前往我們的支援網頁