Chiavi di crittografia gestite dal cliente (CMEK)

Questo documento fornisce una panoramica sull'utilizzo di Cloud Key Management Service (Cloud KMS) per le chiavi di crittografia gestite dal cliente (CMEK). L'utilizzo di CMEK di Cloud KMS ti offre la proprietà e il controllo delle chiavi che proteggono i tuoi dati a riposo in Google Cloud.

Confronto tra CMEK e Google-owned and Google-managed encryption keys

Le chiavi Cloud KMS che crei sono chiavi gestite dal cliente. Google Cloud I servizi che utilizzano le tue chiavi sono considerati dotati di un' integrazione CMEK. I seguenti fattori distinguono la crittografia at-rest predefinita di dalle chiavi gestite dal cliente: Google Cloud

Tipo di chiave Gestita dal cliente Google-owned and Google-managed encryption key (Crittografia predefinita di Google)

Può visualizzare i metadati delle chiavi

Sì

No

Proprietà delle chiavi1

Cliente

Google

Può gestire2 e controllare3 le chiavi

Controllo manuale del cliente

Google

Supporta i requisiti normativi per le chiavi gestite dal cliente

Sì

No

Condivisione delle chiavi

Unica per un cliente

I dati di più clienti sono in genere protetti da chiavi di crittografia della chiave (KEK) condivise.

Controllo della rotazione della chiave

Sì

No

Policy dell'organizzazione CMEK

Sì

 No

Log amministrativo e accesso ai dati alle chiavi di crittografia

Sì

No

Separazione logica dei dati tramite crittografia

Sì

No

Prezzi

 Varia in base al livello di protezione

Nessun costo

1 Il proprietario della chiave indica chi detiene i diritti sulla chiave. Le chiavi di tua proprietà hanno accesso limitato o nessun accesso da parte di Google.

2 La gestione delle chiavi include le seguenti attività:

  • Crea chiavi.
  • Scegli il livello di protezione delle chiavi.
  • Assegna l'autorità per la gestione delle chiavi.
  • Controlla l'accesso alle chiavi.
  • Controlla l'utilizzo delle chiavi.
  • Imposta e modifica il periodo di rotazione delle chiavi o attiva una rotazione delle chiavi.
  • Modifica lo stato della chiave.
  • Elimina le versioni delle chiavi.

3 Il controllo delle chiavi significa impostare i controlli sul tipo di chiavi e su come vengono utilizzate, rilevare le variazioni e pianificare azioni correttive, se necessario. Puoi controllare le tue chiavi, ma delegare la gestione delle chiavi a una terza parte.

Crittografia predefinita con Google-owned and Google-managed encryption keys

Tutti i dati archiviati in Google Cloud sono criptati in modalità non attiva mediante gli stessi sistemi avanzati di gestione delle chiavi che Google Cloud utilizza per i propri dati criptati. Questi sistemi di gestione delle chiavi forniscono controlli e processi di revisione rigorosi per l'accesso alle chiavi e processi di revisione, oltre a criptare i dati utente at-rest utilizzando lo standard di crittografia AES-256. Google Cloud possiede e controlla le chiavi utilizzate per criptare i tuoi dati. Non puoi visualizzare o gestire queste chiavi né esaminare i log di utilizzo delle chiavi. I dati di più clienti potrebbero utilizzare la stessa chiave di crittografia della chiave (KEK). Non sono richieste attività di configurazione, impostazione o gestione.

Chiavi di crittografia gestite dal cliente (CMEK)

Le chiavi di crittografia gestite dal cliente sono chiavi di crittografia di tua proprietà. Questa funzionalità ti consente di avere un maggiore controllo sulle chiavi utilizzate per criptare i dati at-rest all'interno dei servizi supportati Google Cloud , e fornisce un limite crittografico intorno ai tuoi dati.

I servizi che supportano CMEK hanno un' integrazione CMEK. L'integrazione CMEK è una tecnologia di crittografia lato server che puoi utilizzare al posto della Google Cloudcrittografia predefinita di. Dopo aver configurato CMEK, le operazioni per criptare e decriptare le risorse vengono gestite dall'agente di servizio delle risorse. Poiché i servizi integrati con CMEK gestiscono l'accesso alla risorsa criptata, la crittografia e la decrittografia possono avvenire in modo trasparente, senza che l'utente finale debba fare alcuno sforzo. L'esperienza di accesso alle risorse è simile all'utilizzo della crittografia predefinita di Google Cloud. Per ulteriori informazioni sull'integrazione CMEK, consulta Che cosa fornisce un servizio integrato con CMEK.

Puoi utilizzare un numero illimitato di versioni delle chiavi per ogni chiave.

Per scoprire se un servizio supporta le CMEK, consulta l' elenco dei servizi supportati.

L'utilizzo di Cloud KMS comporta costi correlati al numero di versioni delle chiavi e alle operazioni di crittografia con queste versioni delle chiavi.

Quando utilizzare le chiavi di crittografia gestite dal cliente

Puoi utilizzare le CMEK nei servizi compatibili per raggiungere i seguenti obiettivi:

  • Possedere le chiavi di crittografia.

  • Controllare e gestire le chiavi di crittografia, inclusa la scelta della località, del livello di protezione, della creazione, del controllo dell'accesso, della rotazione, dell'utilizzo e della distruzione.

  • Generare materiale delle chiavi in Cloud KMS o importare materiale delle chiavi gestito al di fuori di Google Cloud.

  • Impostare una policy relativa a dove devono essere utilizzate le chiavi.

  • Eliminare selettivamente i dati protetti dalle chiavi in caso di offboarding o per correggere eventi di sicurezza (crypto-shredding).

  • Creare e utilizzare chiavi uniche per un cliente, stabilendo un limite crittografico intorno ai dati.

  • Registrare l'accesso amministrativo e l'accesso ai dati alle chiavi di crittografia.

  • Rispettare le normative attuali o future che richiedono uno di questi obiettivi.

Che cosa fornisce un servizio integrato con CMEK

Come la crittografia predefinita di Google Cloud, CMEK è una crittografia envelope lato server, simmetrica, dei dati dei clienti. La differenza rispetto alla crittografia predefinita di Google Cloud's è che la protezione CMEK utilizza una chiave controllata da un cliente.

  • I servizi cloud con integrazione CMEK utilizzano le chiavi create in Cloud KMS per proteggere le risorse.

  • I servizi integrati con Cloud KMS utilizzano la crittografia simmetrica.

  • Scegli il livello di protezione della chiave.

  • Tutte le chiavi sono AES-GCM a 256 bit.

  • Il materiale delle chiavi non esce mai dal limite del sistema Cloud KMS.

  • Le chiavi simmetriche vengono utilizzate per la crittografia e la decrittografia nel modello di crittografia envelope.

I servizi integrati con CMEK gestiscono l'accesso alle risorse

L'entità che crea o visualizza le risorse nel servizio integrato con CMEK non richiede il ruolo Cloud KMS CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) per la CMEK utilizzata per proteggere la risorsa.

Ogni risorsa di progetto ha un account di servizio speciale chiamato a agente di servizio che esegue la crittografia e la decrittografia con chiavi gestite dal cliente. Dopo aver concesso all'agente di servizio l'accesso a una CMEK, questo agente di servizio utilizzerà la chiave per proteggere le risorse di tua scelta.

Quando un richiedente vuole accedere a una risorsa criptata con una chiave gestita dal cliente, l'agente di servizio tenta automaticamente di decriptare la risorsa richiesta. Se l'agente di servizio ha l'autorizzazione per decriptare utilizzando la chiave e non hai disattivato o distrutto la chiave, l'agente di servizio fornisce l'utilizzo della chiave per la crittografia e la decrittografia. In caso contrario, la richiesta non va a buon fine.

Non è richiesto alcun accesso aggiuntivo al richiedente e, poiché l'agente di servizio gestisce la crittografia e la decrittografia in background, l'esperienza utente per l'accesso alle risorse è simile all'utilizzo della crittografia predefinita di Google Cloud.

Pianificazione e creazione delle CMEK

Quando utilizzi le CMEK, devi pianificare e creare chiavi, chiavi automatizzate e località delle risorse prima di poter creare risorse protette. Puoi quindi utilizzare le chiavi per proteggere le risorse.

Per i passaggi esatti per attivare CMEK, consulta la documentazione del servizio pertinente Google Cloud Alcuni servizi, come GKE, hanno più integrazioni CMEK per proteggere diversi tipi di dati correlati al servizio. Puoi prevedere di seguire passaggi simili ai seguenti:

  1. Crea una chiave automatizzata di Cloud KMS o scegli una chiave automatizzata esistente. Quando crei la chiave automatizzata, scegli una località geograficamente vicina alle risorse che stai proteggendo. La chiave automatizzata può trovarsi nello stesso progetto delle risorse che stai proteggendo o in progetti diversi. L'utilizzo di progetti diversi ti offre un maggiore controllo sui ruoli IAM e contribuisce a supportare la separazione dei compiti.

  2. Crea o importa una chiave Cloud KMS nella chiave automatizzata scelta. Questa chiave è la CMEK.

  3. Concedi il ruolo IAM Autore crittografia/decriptazione CryptoKey (roles/cloudkms.cryptoKeyEncrypterDecrypter) sulla CMEK al service account del servizio.

  4. Quando crei una risorsa, configurala in modo che utilizzi la CMEK. Ad esempio, puoi configurare una tabella BigQuery per proteggere i dati at rest nella tabella.

Affinché un richiedente possa accedere ai dati, non ha bisogno dell'accesso diretto alla CMEK.

Se il service agent ha il ruolo Autore crittografia/decriptazione CryptoKey, il servizio può criptare e decriptare i dati. Se revochi questo ruolo o se disattivi o distruggi la CMEK, non è possibile accedere ai dati.

Conformità CMEK

Alcuni servizi hanno integrazioni CMEK e ti consentono di gestire le chiavi autonomamente. Alcuni servizi offrono invece la conformità CMEK, il che significa che i dati temporanei e la chiave effimera non vengono mai scritti su disco. Per un elenco completo dei servizi integrati e conformi, consulta Servizi compatibili con CMEK.

Policy dell'organizzazione CMEK

Google Cloud offre vincoli dei criteri dell'organizzazione per garantire un utilizzo coerente di CMEK in una risorsa organizzazione. Questi vincoli forniscono ai criteri amministratori dell'organizzazione i controlli per richiedere l'utilizzo di CMEK e per specificare limitazioni e controlli sulle chiavi Cloud KMS utilizzate per la protezione CMEK, tra cui:

Passaggi successivi