Architettura di Cloud HSM

Questi contenuti sono stati aggiornati per l'ultima volta a ottobre 2025 e rappresentano lo status quo al momento della redazione. I criteri e i sistemi di sicurezza di Google potranno variare in futuro, in virtù del costante miglioramento della protezione per i nostri clienti.

Cloud HSM fa parte dell'architettura di Cloud Key Management Service (Cloud KMS) e fornisce il backend per il provisioning e la gestione delle chiavi protette dall'hardware. Per aiutarti a rispettare le normative aziendali e di conformità, Cloud HSM ti consente di generare le chiavi di crittografia ed eseguire operazioni crittografiche in moduli di sicurezza hardware (HSM) certificati FIPS 140-2 livello 3.

Cloud HSM fornisce due livelli di protezione per le chiavi con integrazione hardware:

  • Cloud HSM multi-tenant: le chiavi multi-tenant sono ospitate su cluster di HSM che servono più clienti Google Cloud .
  • Cloud HSM single-tenant: le chiavi single-tenant sono alloggiate in partizioni dedicate su cluster di HSM, dove ogni partizione serve un solo cliente. Crea e gestisci le tue istanze Cloud HSM a tenant singolo, che sono isolate crittograficamente da altri clientiGoogle Cloud . Le istanze Cloud HSM a tenant singolo comportano costi aggiuntivi rispetto alle chiavi Cloud HSM multi-tenant. Per ulteriori informazioni, consulta Cloud HSM single-tenant.

In questa guida, i riferimenti a Cloud HSM si riferiscono sia a Cloud HSM multi-tenant sia a Cloud HSM single-tenant.

Questo documento descrive l'architettura di Cloud HSM, incluso il modo in cui l'hardware viene gestito e le chiavi vengono attestate e create. Per saperne di più su Cloud KMS, consulta Crittografia di Cloud Key Management Service.

Panoramica

Le operazioni crittografiche includono:

  • Crittografia dei dati inattivi
  • Protezione delle chiavi private per Certificate Authority Service
  • Proteggere le chiavi di crittografia dei dati in modo che possano essere archiviate insieme ai dati criptati
  • Generazione e utilizzo di chiavi asimmetriche per operazioni crittografiche come firme digitali e autenticazione

Cloud HSM utilizza gli HSM Marvell LiquidSecurity (modelli CNL3560-NFBE-2.0-G e CNL3560-NFBE-3.0-G) con le versioni firmware 3.4 build 09 e 10. Per saperne di più sulla nostra certificazione, consulta il Certificato n. 4399. Per informazioni sui dispositivi HSM e sulle chiavi protette dall'hardware, consulta Attestazione di chiavi.

Cloud HSM multi-tenant è completamente gestito, per consentirti di proteggere i tuoi workload senza l'overhead operativo della gestione di un cluster HSM. Cloud HSM single-tenant è gestito congiuntamente dagli amministratori delle istanze e da Google. Il servizio Cloud HSM offre i seguenti vantaggi:

  • Disponibilità a livello mondiale
  • Un'API coerente e unificata
  • Scalabilità automatica in base all'utilizzo
  • Gestione centralizzata e conformità legale

Cloud HSM multi-tenant è disponibile in molte regioni Google Cloud in tutto il mondo, incluse le multiregioni che coprono aree geografiche più ampie. Cloud HSM single-tenant è disponibile in un sottoinsieme di queste regioni. Devi utilizzare l'endpoint di servizio Cloud KMS per creare e utilizzare chiavi protette dall'hardware in Cloud HSM per proteggere i tuoi dati, inclusi quelli archiviati in altri servizi Google Cloud , come BigQuery, Cloud Storage e Persistent Disk.

Con Cloud HSM, puoi utilizzare chiavi protette dall'hardware senza dover gestire l'hardware HSM. Google possiede e gestisce l'hardware HSM, inclusi il deployment, la configurazione, il monitoraggio, l'applicazione di patch e la manutenzione. Quando utilizzi Cloud HSM, i tuoi dati sono rigorosamente isolati da altri tenant e servizi in Google Cloud. L'API del piano dati di Cloud HSM, che fa parte dell'API Cloud Key Management Service, consente di gestire le chiavi protette dall'hardware in modo programmatico.

Cloud HSM supporta le chiavi di crittografia gestite dal cliente (CMEK) protette dall'hardware, ovunque le CMEK siano supportate dai Google Cloud servizi. Ad esempio, puoi criptare i dati nei bucket Cloud Storage o nelle tabelle Cloud SQL utilizzando una chiave Cloud HSM che gestisci. Cloud HSM multitenant supporta anche Cloud KMS Autokey per la creazione e la gestione semplificate delle CMEK.

Gestione di Cloud HSM

All'interno di Cloud HSM, i cluster di HSM vengono gestiti dagli ingegneri dell'affidabilità del sito (SRE) e dai tecnici di Google che lavorano in ogni Google Cloud data center. Google si occupa di sicurezza fisica, sicurezza logica, infrastruttura, pianificazione della capacità, espansione geografica e pianificazione del ripristino di emergenza del data center.

Astrazione dell'hardware HSM

In genere, le applicazioni comunicano direttamente con gli HSM utilizzando sia PKCS#11 sia un'API di gestione dei cluster. Questa comunicazione richiede di mantenere un codice specializzato per i workload che utilizzano o gestiscono chiavi protette dall'hardware.

Cloud HSM astrae la comunicazione dall'HSM eseguendo il proxy delle richieste di chiavi protette dall'hardware tramite l'API Cloud Key Management Service. L'astrazione riduce la necessità di codice specifico per HSM. Cloud HSM eredita la stretta integrazione con Cloud KMS.

La stretta integrazione con Cloud KMS offre notevoli vantaggi in termini di sicurezza. L'API Cloud Key Management Service riduce in modo significativo l'ampiezza dell'interfaccia HSM disponibile, riducendo il rischio in caso di violazione della sicurezza del cliente. Ad esempio, un malintenzionato non sarebbe in grado di cancellare interi HSM. Per impostazione predefinita, i tentativi di eliminare singole chiavi vengono mitigati tramite un periodo di sicurezza predefinito di 30 giorni. Puoi impostare la policy dell'organizzazione constraints/cloudkms.minimumDestroyScheduledDuration per applicare una durata minima per la durata pianificata per l'eliminazione per le nuove chiavi e la policy dell'organizzazione constraints/cloudkms.disableBeforeDestroy per eliminare le versioni delle chiavi solo se sono disabilitate. Per saperne di più, consulta Controlla la distruzione delle versioni delle chiavi.

Puoi controllare l'accesso alle risorse HSM utilizzando Identity and Access Management (IAM). La configurazione IAM ha meno probabilità di presentare errori di configurazione e bug rispetto a una soluzione HSM personalizzata. Oltre ai controlli IAM, la gestione di un'istanza Cloud HSM single-tenant richiede anche l'autenticazione a due fattori (2FA) da un quorum di almeno due approvatori designati. Quando crei un'istanza, decidi quante approvazioni sono necessarie per ogni modifica a un'istanza Single-tenant Cloud HSM. Le approvazioni richiedono challenge firmate con materiale delle chiavi private che crei al di fuori di Google Cloud.

Il seguente diagramma mostra l'architettura di Cloud HSM.

Diagramma dell'architettura di Cloud HSM.

Separazione geografica rigorosa, per progettazione

In Cloud HSM multi-tenant, puoi scegliere di rendere le chiavi disponibili a livello globale o di applicare restrizioni geografiche rigorose alle chiavi che richiedono restrizioni. Cloud HSM single-tenant è disponibile solo in singole regioni.

Spesso, gli HSM sono suddivisi in partizioni, in modo che un singolo dispositivo fisico possa funzionare come più dispositivi logici. Puoi utilizzare le partizioni per ridurre i costi di deployment nei casi in cui devi separare l'amministrazione e le chiavi HSM. Il seguente diagramma mostra le partizioni Multi-tenant Cloud HSM in tre regioni.

Diagramma della geografia di Cloud HSM che utilizza partizioni Cloud HSM multi-tenant.

Per isolare le chiavi per ogni regione e multi-regione, ogni regione Cloud HSM è associata a una chiave di wrapping HSM regionale separata (consulta il diagramma in Creazione delle chiavi). Per supportare l'alta affidabilità, la chiave di wrapping viene clonata nelle partizioni di ogni HSM che si trova fisicamente nella regione. Le chiavi regionali HSM non escono dall'HSM in quella località. La clonazione consente agli HSM nella stessa regione di gestire lo stesso insieme di chiavi del cliente e garantisce che gli HSM al di fuori della regione non possano gestire queste chiavi.

Cloud HSM crea anche multi-regioni utilizzando chiavi di wrapping. Tutte le chiavi dei clienti per una multi-regione vengono sottoposte a wrapping utilizzando una chiave di wrapping presente su una partizione in tutte le località che costituiscono la multi-regione. Il servizio utilizza lo stesso hardware per più regioni, ma fornisce lo stesso forte isolamento tra regioni e multiregioni che esiste tra regioni diverse.

Lo schema di regionalizzazione richiede che le chiavi di wrapping vengano replicate solo nelle partizioni appropriate. Ogni modifica alla configurazione deve essere approvata da più membri del team di Cloud HSM prima di diventare attiva. I tecnici dei data center non possono accedere alla configurazione, al runtime o allo spazio di archiviazione di un HSM.

Quando crei chiavi in un'istanza Single-tenant Cloud HSM, le chiavi di wrapping nelle partizioni dedicate assicurano che le chiavi non possano essere pubblicate al di fuori delle partizioni o della regione.

Gestione centralizzata

In un data center convenzionale che ospita HSM, la gestione degli HSM e delle relative risorse è completamente separata dalla gestione di altre chiavi protette dall'hardware. Cloud HSM è strettamente integrato in Google Cloud, il che ti consente di gestire facilmente le risorse Cloud HSM. Ad esempio, puoi gestire quanto segue:

  • Puoi gestire le chiavi protette dall'hardware insieme alle altre chiavi in Cloud KMS e alle chiavi gestite esternamente in Cloud External Key Manager (Cloud EKM).
  • Puoi gestire l'accesso alle chiavi protette dall'hardware all'interno di IAM.
  • I costi delle operazioni di crittografia che utilizzano chiavi protette dall'hardware vengono riportati nella fatturazione Cloud.
  • Puoi utilizzare le chiavi protette dall'hardware in modo trasparente in tutti i servizi Google Cloudche supportano la crittografia delle risorse utilizzando CMEK. Le integrazioni CMEK richiedono che la chiave CMEK e i dati che cripta si trovino in posizioni geografiche compatibili. A causa della rigorosa limitazione geografica delle chiavi Cloud HSM, anche tutta la crittografia e la decrittografia dei dati CMEK sono geograficamente limitate.
  • Le operazioni amministrative sulle chiavi protette dall'hardware vengono sempre registrate a livello di API in Cloud Audit Logs. Puoi anche scegliere di attivare il logging dell'accesso ai dati. Per saperne di più, consulta Informazioni sugli audit log di Cloud KMS.
  • Google collabora direttamente con il produttore dell'HSM per mantenere aggiornati l'hardware e il software di ogni HSM e per individuare e risolvere i problemi in tempo reale. In caso di exploit zero-day sull'HSM, Google può disattivare selettivamente i percorsi del codice interessati sui cluster HSM interessati fino alla correzione dell'exploit.
  • Puoi monitorare le tue chiavi, incluse quelle protette dall'hardware e le risorse che criptano, utilizzando le dashboard di monitoraggio dell'utilizzo delle chiavi.

Esperienza utente e di sviluppo

Poiché Google è responsabile della gestione degli HSM, Cloud HSM offre vantaggi significativi per sviluppatori e utenti finali. Quando utilizzi Cloud HSM multi-tenant, non devi fare nulla per gestire i cluster HSM. Quando utilizzi Cloud HSM single-tenant, sei responsabile delle operazioni di manutenzione continua del cluster tramite gcloud CLI.

Esistono quattro principali user personas per l'utilizzo di Cloud HSM:

  • Utenti finali: Cloud HSM è solitamente trasparente per gli utenti finali dei tuoi prodotti e delle tue risorse. Ad esempio, se le tue risorse Google Cloud sono protette con una CMEK, i dati vengono criptati e decriptati automaticamente in base alle esigenze degli utenti da parte dei service agent.
  • Sviluppatori: gli sviluppatori utilizzano le chiavi Cloud HSM. Se utilizzi Autokey, gli sviluppatori possono richiedere nuove chiavi on demand. Se non utilizzi Autokey, gli amministratori Cloud KMS creano e gestiscono le chiavi che gli sviluppatori possono utilizzare.
  • Amministratori Cloud KMS: gli amministratori Cloud KMS sono responsabili della creazione e della rotazione delle chiavi Cloud HSM. Possono anche gestire le impostazioni di Autokey o le policy dell'organizzazione, se queste responsabilità non sono gestite da amministratori dell'organizzazione dedicati.
  • Amministratori di Cloud HSM single-tenant: se utilizzi Cloud HSM single-tenant, devi avere un team di amministratori di cui ti fidi per approvare le operazioni di creazione e manutenzione sulle tue istanze Cloud HSM single-tenant. Ruoli IAM separati controllano chi è autorizzato a proporre, approvare ed eseguire modifiche all'istanza. Le modifiche non possono essere applicate senza previa approvazione, che richiede l'autenticazione del quorum tramite chiavi 2FA.

HSM su scala Google

Quando utilizzi hardware on-premise o in data center, l'hardware può creare un collo di bottiglia delle prestazioni o diventare un single point of failure. Cloud HSM è progettato per essere estremamente resiliente a carichi di lavoro imprevedibili e guasti hardware. Il backend di Cloud HSM utilizza un pool di HSM in ogni regione per garantire alta affidabilità e scalabilità. Questo pool di HSM consente a Cloud HSM di fornire anche un throughput elevato. Per saperne di più, consulta Monitora e regola le quote di Cloud KMS.

Tutte le chiavi dei clienti vengono archiviate con wrapping con una chiave di wrapping regionale nel database Cloud KMS e possono essere scartate solo da un HSM nella regione come parte di un'operazione di crittografia. Questo wrapping presenta i seguenti vantaggi:

  • La durabilità di una chiave non è legata a un HSM specifico o a un sottoinsieme di HSM in una regione.
  • Ogni cliente di Cloud HSM sperimenta la scalabilità e la disponibilità complete dei cluster Cloud HSM che gestiscono le sue chiavi.
  • Cloud HSM può gestire un insieme di chiavi molto più grande di quello che può essere archiviato su un HSM.
  • L'aggiunta o la sostituzione di un HSM è rapida e sicura.

Progettazione di API unificate

Cloud HSM e Cloud KMS condividono un'API comune per il piano di gestione e dei dati. I dettagli interni della comunicazione con un HSM sono astratti dal chiamante.

Di conseguenza, non sono necessarie modifiche al codice per aggiornare un'applicazione esistente che utilizza chiavi software in Cloud KMS per supportare chiavi protette dall'hardware. Invece, aggiorna il nome risorsa della chiave da utilizzare.

Supporto PKCS#11

Puoi utilizzare l'API Cloud Key Management Service per connettere le tue applicazioni esistenti a Cloud HSM per gestire le chiavi di crittografia. La libreria PKCS#11 ti consente di utilizzare chiavi protette dall'hardware per firmare i tuoi file binari e gestire le sessioni web TLS.

Sicurezza e conformità legale

Cloud HSM ha ottenuto la conformità a numerosi regolamenti, tra cui FedRAMP High, C5:2020 e OSPAR. Inoltre, Cloud HSM ti aiuta a garantire la conformità legale per i tuoi carichi di lavoro nel cloud.

Attestazione di chiavi di crittografia

Ogni volta che generi o importi una chiave Cloud HSM, l'HSM genera un'attestazione firmata con una chiave di firma associata alla partizione. L'attestazione contiene informazioni sugli attributi della chiave. La chiave di firma è supportata da catene di certificati che hanno origine sia in Google sia nel produttore dell'HSM. Puoi scaricare l'attestazione e i certificati per verificare l'autenticità dell'attestazione e convalidare le proprietà della chiave e dell'HSM che l'ha generata o importata.

La catena di certificati ti consente di verificare quanto segue:

  • L'hardware e il firmware HSM sono originali.
  • La partizione HSM e l'HSM sono gestiti da Google.
  • L'HSM è in modalità operativa FIPS.

I contenuti dell'attestazione ti consentono di verificare quanto segue:

  • La chiave non è estraibile.
  • La chiave è stata generata per la tua CryptoKeyVersion.
  • La chiave pubblica in una coppia di chiavi asimmetriche corrisponde a una chiave privata protetta dall'hardware.
  • Il materiale della chiave di una chiave simmetrica importata corrisponde al valore che hai sottoposto a wrapping.

Importazione sicura delle chiavi direttamente negli HSM

Puoi importare in modo sicuro le chiavi esistenti in Cloud HSM per mantenere un backup del materiale delle chiavi al di fuori di Google Cloudo per semplificare la migrazione di determinati workload in Google Cloud. La procedura di importazione delle chiavi non consente a Google di accedere direttamente al materiale della chiave non sottoposto a wrapping. Cloud HSM fornisce un'attestazione per la chiave di wrapping generata dall'HSM per convalidare che non si sia verificato alcun accesso.

Poiché l'importazione delle chiavi potrebbe creare rischi per la sicurezza e la conformità consentendo agli utenti di importare chiavi da origini sconosciute, i ruoli IAM separati consentono un controllo granulare su chi può importare le chiavi in un progetto. Le chiavi importate possono essere distinte dalla dichiarazione di attestazione generata dall'HSM al momento dell'importazione.

Per saperne di più, consulta Importare una chiave in Cloud Key Management Service.

Procedure di sicurezza rigorose salvaguardano l'hardware HSM

Come previsto dallo standard FIPS 140-2 livello 3, i dispositivi HSM dispongono di meccanismi integrati per proteggere dalle manomissioni fisiche e fornire prove di queste ultime.

Oltre alle garanzie fornite dall'hardware HSM stesso, l'infrastruttura per Cloud HSM è gestita in base alla Panoramica della progettazione della sicurezza dell'infrastruttura di Google.

Le seguenti procedure documentate e verificabili proteggono l'integrità di ogni HSM durante il provisioning, il deployment e la produzione:

  • Tutte le configurazioni HSM devono essere verificate da più SRE di Cloud HSM prima che l'HSM possa essere distribuito in un data center.
  • Dopo che un HSM è stato messo in servizio, la modifica della configurazione può essere avviata e verificata solo da più SRE di Cloud HSM.
  • Un HSM può ricevere solo firmware firmato dal produttore dell'HSM.
  • L'hardware HSM non è esposto direttamente a nessuna rete.
  • I server che ospitano hardware HSM non possono eseguire processi non autorizzati.

Le mansioni degli operatori di sistema sono definite nelle procedure operative standard. Gli operatori di sistema non possono accedere, utilizzare o estrarre il materiale delle chiavi dei clienti durante lo svolgimento delle loro mansioni.

Isolamento di servizi e tenant

L'architettura di Cloud HSM garantisce che gli HSM siano protetti da interferenze dannose o involontarie da parte di altri servizi o tenant.

Un HSM che fa parte di questa architettura accetta richieste solo da Cloud HSM e il servizio Cloud HSM accetta richieste solo dal servizio Cloud KMS. Il servizio Cloud KMS impone che i chiamanti dispongano delle autorizzazioni IAM appropriate sulle chiavi che tentano di utilizzare. Le richieste non autorizzate non raggiungono gli HSM.

Le chiavi Cloud HSM multi-tenant sono soggette anche a quote per le operazioni crittografiche. Queste quote proteggono la tua capacità di eseguire i workload contribuendo a prevenire tentativi involontari o dannosi di sovraccaricare il servizio. Le quote predefinite si basano sui pattern di utilizzo osservati. Le quote sono significativamente inferiori alla capacità del servizio e possono essere aumentate su richiesta.

Flussi di richieste

Questa sezione mostra come l'architettura di Cloud HSM si applica in pratica, illustrando i passaggi per diversi tipi di richieste. Questi flussi evidenziano le parti di Cloud HSM. Per ulteriori informazioni sui passaggi comuni a tutte le chiavi, consulta Approfondimento di Cloud Key Management Service.

Creazione di chiavi

Quando crei una chiave protetta dall'hardware, l'API Cloud Key Management Service non crea il materiale della chiave, ma richiede all'HSM di crearlo.

Un HSM può creare chiavi solo nelle posizioni che supporta. Per Cloud HSM multi-tenant, ogni partizione di un HSM contiene una chiave di wrapping che corrisponde a una località Cloud KMS. Per un'istanza Cloud HSM single-tenant, la partizione dedicata utilizza una chiave di wrapping dedicata alla tua istanza. La chiave di wrapping è condivisa tra tutte le partizioni che supportano la posizione Cloud KMS o l'istanza Cloud HSM single-tenant.

Il seguente diagramma mostra come vengono eseguite il wrapping delle chiavi protette dall'hardware in Cloud KMS.

Diagramma di creazione della chiave HSM.

La procedura di creazione delle chiavi è la seguente:

  1. Il servizio Google Front End (GFE) instrada la richiesta di creazione della chiave a un server Cloud KMS nella località che corrisponde alla richiesta.
  2. L'API Cloud Key Management Service verifica l'identità del chiamante, l'autorizzazione del chiamante a creare chiavi nel progetto e che il chiamante abbia una quota di richieste di scrittura sufficiente. Se il chiamante richiede una chiave Cloud HSM single-tenant, l'API verifica anche che l'istanza Cloud HSM single-tenant selezionata sia disponibile.
  3. L'API Cloud Key Management Service inoltra la richiesta a Cloud HSM.
  4. Cloud HSM interagisce direttamente con l'HSM. L'HSM:
    1. Crea la chiave e la esegue il wrapping con la chiave di wrapping specifica della località o dell'istanza.
    2. Crea l'attestazione per la chiave e la firma con la chiave di firma della partizione.
  5. Dopo che Cloud HSM restituisce la chiave sottoposta a wrapping e l'attestazione a Cloud KMS, l'API Cloud Key Management Service esegue il wrapping della chiave sottoposta a wrapping HSM in base alla gerarchia delle chiavi Cloud KMS, quindi la scrive nel progetto.

Questo design garantisce che la chiave non possa essere unificata o utilizzata al di fuori di un HSM, non possa essere estratta dall'HSM ed esista nel suo stato unificato solo all'interno di posizioni specificate.

Operazioni crittografiche

Quando esegui un'operazione di crittografia in Cloud KMS, non devi sapere se stai utilizzando una chiave protetta dall'hardware o dal software. Quando l'API Cloud Key Management Service rileva che un'operazione coinvolge una chiave protetta dall'hardware, inoltra la richiesta a un HSM nella stessa località. Di seguito sono riportati i passaggi per un'operazione di crittografia:

  1. Il GFE instrada la richiesta a un server Cloud KMS nella località appropriata. L'API Cloud Key Management Service verifica l'identità del chiamante, l'autorizzazione del chiamante ad accedere alla chiave ed eseguire l'operazione, nonché la quota del progetto per le operazioni di crittografia.
  2. L'API Cloud Key Management Service recupera la chiave con wrapping dal datastore e decripta un livello di crittografia utilizzando la chiave master di Cloud KMS. La chiave è ancora sottoposta a wrapping con la chiave di wrapping HSM per la località KMS.
  3. L'API Cloud Key Management Service rileva che il livello di protezione è HSM o HSM_SINGLE_TENANT e invia la chiave parzialmente un-wrapped, insieme agli input per l'operazione di crittografia, a Cloud HSM.
  4. Cloud HSM si interfaccia direttamente con l'HSM. L'HSM completa le seguenti operazioni:
    1. Verifica che la chiave con wrapping e i relativi attributi non siano stati modificati.
    2. Estrae la chiave e la carica nell'archivio HSM.
    3. Esegue l'operazione di crittografia e restituisce il risultato.
  5. L'API Cloud Key Management Service restituisce il risultato al chiamante.

Le operazioni di crittografia che utilizzano chiavi protette dall'hardware vengono eseguite interamente all'interno di un HSM nella località configurata e solo il risultato è visibile al chiamante.

Questo diagramma mostra la differenza tra la creazione di chiavi protette da hardware e chiavi protette da software in Cloud KMS.

Integrazioni CMEK

Tutte le chiavi protette dall'hardware sono chiavi di crittografia gestite dal cliente (CMEK). La configurazione di un servizio abilitato per CMEK per l'utilizzo delle chiavi Cloud HSM è semplice: basta scegliere una chiave con un livello di protezione HSM o HSM_SINGLE_TENANT seguendo le istruzioni specifiche per il servizio.

Quando un chiamante legge o scrive dati in un servizio abilitato a CMEK, non ha bisogno dell'autorizzazione diretta per utilizzare la chiave e non ha bisogno di sapere se la chiave è archiviata in un HSM.

Il flusso delle operazioni CMEK è lo stesso per le chiavi protette da hardware e per quelle protette da software, con le seguenti eccezioni quando si utilizzano chiavi protette da hardware:

  • La richiesta dal servizio abilitato per CMEK viene avviata all'interno della rete di Google e non deve attraversare il GFE.
  • L'API Cloud Key Management Service verifica che il account di servizio per il servizio abilitato per CMEK disponga delle autorizzazioni appropriate per utilizzare la chiave. L'API Cloud Key Management Service non convalida le autorizzazioni dell'utente finale del servizio abilitato per CMEK.

Cloud HSM è obbligatorio se vuoi utilizzare Autokey per eseguire il provisioning delle chiavi Cloud KMS. Autokey consente al service agent di Cloud KMS di eseguire il provisioning automatico delle chiavi protette dall'hardware su richiesta. Per saperne di più, consulta Provisioning automatico per CMEK.

Utilizza i tuoi HSM

Gli HSM utilizzati da Cloud HSM sono gestiti da Google. Tuttavia, in determinate circostanze, la tua organizzazione potrebbe voler utilizzare i propri HSM per archiviare le chiavi protette dall'hardware per i tuoi carichi di lavoro. Ad esempio, l'utilizzo dei tuoi HSM può aiutarti a eseguire la migrazione dei carichi di lavoro a Google Cloud.

Solo in determinate località, Google offre un HSM-as-a-service dell'infrastruttura che fornisce operazioni con chiavi di crittografia per transazioni crittografiche sicure inGoogle Cloud. I prodotti sono noti come Bare Metal Rack HSM e Bare Metal HSM. Con Bare Metal Rack HSM o Bare Metal HSM, acquisti e configuri i tuoi HSM e poi li spedisci ai data center di Google, in modo che possano essere ospitati da Google. Mantieni l'accesso logico completo agli HSM e devi collaborare direttamente con il fornitore degli HSM per gestire e risolvere i problemi dei dispositivi. Google fornisce sicurezza fisica e di rete, spazio rack, alimentazione e integrazione di rete a pagamento. Per saperne di più, consulta Bare Metal Rack HSM e Bare Metal HSM.

Passaggi successivi

Per ulteriori informazioni, consulta le seguenti risorse: