静态加密

Google Distributed Cloud (GDC) 网闸隔离配置提供全面的安全策略，通过自动静态加密等功能帮助保护您的数据。静态加密是一种安全措施，可防止未经授权访问存储在非易失性存储空间（即使断电也能保留数据的存储空间）中的数据，例如磁盘（包括固态硬盘）和备份介质。 GDC 会对静态内容进行加密，而无需您执行任何操作。

本文档介绍了 GDC 中的默认静态加密机制，并介绍了客户管理的加密密钥 (CMEK) 功能，该功能可让您控制用于保护存储数据的加密密钥。

本文档假定读者对加密和加密数据类型有基本的了解，并且适用于在 GDC 中管理安全事务的人员（例如 IT 管理员或安全工程师）。如需了解详情， 请参阅 GDC 网闸隔离配置文档的受众群体。

受保护的客户数据类型

客户数据是指客户或最终用户通过其账号下的服务提供给 GDC 的数据。 GDC 处理以下两类客户数据：

  • 客户内容：您自行生成或提供给 GDC 的数据，例如存储数据、磁盘快照和 Identity and Access Management (IAM) 政策。如本文档中所述，默认静态加密主要用于保护客户内容。

  • 客户元数据：所有其他客户数据。客户元数据可以包括自动生成的项目编号、时间戳、IP 地址、对象的字节大小或虚拟机器类型。GDC 会在合理的范围内保护客户元数据，以满足一贯的性能和持续运行的需要。

静态加密的优势

静态加密具有以下优势：

  • 减少未经授权的物理访问对存储在磁盘上的数据的影响。 即使攻击者获得了对存储设备的物理访问权限，他们也无法读取或解密数据，因为磁盘只会公开加密的数据，而没有加密密钥。
  • 将安全策略的重点放在密钥管理上。由于数据已加密，因此保护加密密钥是防止未经授权访问数据的一项重要安全措施。
  • 提供重要的隐私保护机制。当 GDC 对静态数据进行加密时，它会限制系统和工程师对数据的访问权限。

默认加密层

GDC 会使用多层加密自动加密所有静态存储的客户内容。这种分层方法意味着，即使某一层遭到入侵，数据也不太可能泄露。这些层在客户工作负载使用的主要存储类型中实现，包括以下类型：

  • 块存储

    • 硬件级加密： 利用符合 FIPS 140-2 标准的自加密驱动器 (SED)。这些 SED 的加密密钥存储在外部硬件安全模块 (HSM) 中，提供符合 FIPS 140-3 标准的存储。
    • 软件级加密： 实现一个名为卷加密 (VE) 的额外层。每个块存储卷都使用唯一的 XTS-AES-256 密钥进行加密。这些卷专用密钥也存储在外部 HSM 中，并作为 CMEK 进行管理。

客户管理的加密密钥

借助客户管理的加密密钥 (CMEK)，您可以控制用于保护 GDC 中静态数据的密钥。默认情况下，存储在 GDC 中的所有数据都会使用经过 FIPS 140 验证的加密模块和 HSM 支持的密钥进行静态加密，而无需进行任何设置或配置。

CMEK 具有以下优势，可帮助您满足合规性要求：

  • 控制： 您可以控制密钥，包括删除密钥。
  • 透明度： 您可以审核对密钥的访问权限，以帮助确保您的数据受到保护。
  • 加密擦除： 采用 CMEK 可为数据泄露补救和离职提供这种高保证的数据销毁方法。您可以删除受保护数据的带外密钥。
  • 集中执行： 集中管理的加密密钥可创建一个位置来执行访问政策和审核密钥使用情况。

CMEK 资源类型

CMEK 是平台管理员组可以监控、审核和删除的加密密钥。您可以使用 HSM API 或 密钥管理系统 (KMS)通过 Kubernetes 资源管理这些密钥。

CMEK Kubernetes 资源有两种类型：

  • CTMKey：使用 Thales CipherTrust Manager (CTM) 在 HSM 中直接创建和管理的 Kubernetes 资源。您可以使用 kubectl 与 HSM API 交互来管理 CTMKey 资源。

    块存储等服务使用 CTMKey 资源作为 CMEK。

  • AEADKey：由 KMS 管理的 Kubernetes 资源。借助 KMS，您可以创建和管理自己的加密和签名密钥。KMS 使用 HSM 支持的根密钥来封装 AEADKey 材料，确保其静态加密。虽然信任根仍然是 HSM，但 KMS 提供了额外的密钥管理层。您可以使用 kubectl 与 KMS API 交互来管理 AEADKey 资源。

    对象存储桶加密等服务使用 AEADKey 资源作为 CMEK。

GDC 中支持 CMEK 的服务

当您创建在 GDC 服务中存储数据的资源时，这些服务会自动生成用于保护数据的加密密钥，并将其作为 CMEK 资源提供。

只有部分服务支持 CMEK 轮替。如需了解有关密钥轮替的说明，请参阅每项服务的文档。

以下 GDC 服务支持 CMEK：

  • 块存储：加密每个块存储设备。
  • 虚拟机 (VM) 磁盘：加密虚拟机磁盘。
  • 数据库服务：加密数据库实例的数据。请注意，数据库的备份不在 CMEK 的范围内，而是使用备份存储系统的设置进行加密。
  • 用户容器工作负载：加密 Kubernetes 元数据和 etcd 集群。容器工作负载使用的永久性卷 (PV) 作为块存储加密的一部分进行加密。
  • 存储：使用由 存储桶级 KMS AEAD 密钥封装的唯一 AES-256-GCM 密钥加密每个对象。