Cloud External Key Manager

Questa pagina fornisce una panoramica di Cloud External Key Manager (Cloud EKM).

Terminologia

• External Key Manager (EKM)

  Il gestore di chiavi utilizzato al di fuori di Google Cloud per gestire le tue chiavi.

• Cloud External Key Manager (Cloud EKM)

  Un servizio Google Cloud per l'utilizzo delle chiavi esterne gestite all'interno di un EKM supportato.

• Cloud EKM tramite un VPC

  Una versione di Cloud EKM in cui Google Cloud comunica con il tuo gestore delle chiavi esterno tramite un Virtual Private Cloud (VPC). Per saperne di più, consulta la panoramica delle reti VPC.

• Gestione delle chiavi EKM da Cloud KMS

  Le tue chiavi utilizzano la modalità di gestione EKM di Cloud KMS per semplificare il processo di gestione delle chiavi esterne con il tuo partner esterno per la gestione delle chiavi e in Cloud EKM. Per saperne di più, consulta Chiavi esterne coordinate e Gestione delle chiavi EKM da Cloud KMS in questa pagina.

• Crypto space

  Un container per le tue risorse all'interno del tuo partner esterno per la gestione delle chiavi. Il tuo spazio di crittografia è identificato da un percorso univoco. Il formato del percorso Crypto Space varia in base al partner esterno per la gestione delle chiavi, ad esempio v0/cryptospaces/YOUR_UNIQUE_PATH.

• EKM gestito da partner

  Un accordo in base al quale il tuo EKM viene gestito per te da un partner di fiducia. Per saperne di più, consulta EKM gestito dai partner in questa pagina.

Panoramica

Con Cloud EKM puoi utilizzare le chiavi da te gestite in un partner di gestione delle chiavi esterne supportato per proteggere i dati inGoogle Cloud. Puoi proteggere i dati at-rest nei servizi di integrazione CMEK supportati o chiamando direttamente l'API Cloud Key Management Service.

Cloud EKM offre diversi vantaggi:

• Provenienza delle chiavi: sei tu a controllare la posizione e la distribuzione delle tue chiavi gestite esternamente. Le chiavi gestite esternamente non vengono mai memorizzate nella cache o archiviate all'interno di Google Cloud. Invece, Cloud EKM comunica direttamente con il partner esterno per la gestione delle chiavi per ogni richiesta.

• Controllo degli accessi: gestisci l'accesso alle chiavi gestite esternamente nel tuo gestore di chiavi esterno. Non puoi utilizzare una chiave gestita esternamente inGoogle Cloud senza prima concedere al progetto Google Cloud l'accesso alla chiave nel gestore di chiavi esterno. Puoi revocare l'accesso in qualunque momento.

• Gestione centralizzata delle chiavi: puoi gestire le chiavi e le policy di accesso da un'unica interfaccia utente, indipendentemente dal fatto che i dati che proteggono si trovino nel cloud o on-premise.

In tutti i casi, la chiave si trova nel sistema esterno e non viene mai inviata a Google.

Comunichi con il gestore delle chiavi esterne tramite una rete Virtual Private Cloud (VPC).

Come funziona Cloud EKM

Le versioni delle chiavi Cloud EKM sono costituite dalle seguenti parti:

• Materiale della chiave esterno: il materiale della chiave esterno di una chiave Cloud EKM è il materiale crittografico creato e archiviato nel tuo EKM. Questo materiale non lascia l'EKM e non viene mai condiviso con Google.
• Riferimento alla chiave: ogni versione della chiave Cloud EKM contiene un URI della chiave o un percorso della chiave. Si tratta di un identificatore univoco per il materiale della chiave esterna utilizzato da Cloud EKM quando richiede operazioni di crittografia utilizzando la chiave.
• Materiale della chiave interno: quando viene creata una chiave Cloud EKM simmetrica, Cloud KMS crea materiale della chiave aggiuntivo in Cloud KMS, che non lascia mai Cloud KMS. Questo materiale della chiave viene utilizzato come livello di crittografia aggiuntivo durante la comunicazione con l'EKM. Questo materiale della chiave interno non si applica alle chiavi di firma asimmetriche.

Per utilizzare le chiavi Cloud EKM, Cloud EKM invia richieste di operazioni crittografiche al tuo EKM. Ad esempio, per criptare i dati con una chiave di crittografia simmetrica, Cloud EKM cripta prima i dati utilizzando il materiale della chiave interna. I dati crittografati sono inclusi in una richiesta all'EKM. L'EKM racchiude i dati criptati in un altro livello di crittografia utilizzando il materiale della chiave esterna, quindi restituisce il testo cifrato risultante. I dati criptati utilizzando una chiave Cloud EKM non possono essere decriptati senza il materiale della chiave esterna e il materiale della chiave interna.

La creazione e la gestione delle chiavi Cloud EKM richiede modifiche corrispondenti sia in Cloud KMS sia in EKM. Le tue chiavi sono chiavi esterne coordinate, quindi queste modifiche corrispondenti vengono gestite per te utilizzando il control plane di Cloud EKM. Per saperne di più, consulta Chiavi esterne coordinate in questa pagina.

Il seguente diagramma mostra come Cloud KMS si inserisce nel modello di gestione delle chiavi. Questo diagramma utilizza Compute Engine e BigQuery come due esempi; puoi anche visualizzare l'elenco completo dei servizi che supportano le chiavi Cloud EKM.

Attenzione: sia la versione della chiave Cloud EKM sia la chiave esterna sono necessarie per ogni richiesta di crittografia e decrittografia. Se perdi l'accesso a una delle due chiavi, i tuoi dati non possono essere recuperati. Non è possibile ricreare una versione della chiave Cloud EKM identica utilizzando lo stesso URI o percorso della chiave esterna.

Puoi scoprire le considerazioni e le limitazioni relative all'utilizzo di Cloud EKM.

Chiavi esterne coordinate

Questa sezione fornisce una panoramica del funzionamento di Cloud EKM con le chiavi esterne coordinate.

1. Configuri una connessione EKM, impostando la modalità di gestione EKM su Cloud KMS. Durante la configurazione, devi autorizzare l'EKM ad accedere alla tua rete VPC e autorizzare il account di servizio del progettoGoogle Cloud ad accedere allo spazio di crittografia nell'EKM. La connessione EKM utilizza il nome host del tuo EKM e un percorso dello spazio di crittografia che identifica le tue risorse all'interno del tuo EKM.

2. Crea una chiave esterna in Cloud KMS. Quando crei una chiave Cloud EKM utilizzando una connessione EKM su VPC con la modalità di gestione EKM di Cloud KMS abilitata, vengono eseguiti automaticamente i seguenti passaggi:

   1. Cloud EKM invia una richiesta di creazione della chiave al tuo EKM.
   2. L'EKM crea il materiale della chiave richiesto. Questo materiale delle chiavi esterno rimane nell'EKM e non viene mai inviato a Google.
   3. L'EKM restituisce un percorso della chiave a Cloud EKM.
   4. Cloud EKM crea la versione della chiave Cloud EKM utilizzando il percorso della chiave fornito dall'EKM.

3. Le operazioni di manutenzione sulle chiavi esterne coordinate possono essere avviate da Cloud KMS. Ad esempio, le chiavi esterne coordinate utilizzate per la crittografia simmetrica possono essere ruotate automaticamente in base a una pianificazione impostata. La creazione di nuove versioni delle chiavi viene coordinata nel tuo EKM da Cloud EKM. Puoi anche attivare la creazione o la distruzione delle versioni delle chiavi nel tuo EKM da Cloud KMS utilizzando la consoleGoogle Cloud , gcloud CLI, l'API Cloud KMS o le librerie client di Cloud KMS.

In Google Cloud, la chiave viene visualizzata insieme alle altre chiavi Cloud KMS e Cloud HSM, con livello di protezione EXTERNAL_VPC. La chiave Cloud EKM e la chiave del partner di gestione delle chiavi esterne collaborano per proteggere i tuoi dati. Il materiale delle chiavi esterne non viene mai esposto a Google.

Gestione delle chiavi EKM da Cloud KMS

Le chiavi esterne coordinate sono rese possibili dalle connessioni EKM che utilizzano la gestione delle chiavi EKM di Cloud KMS. Se il tuo EKM supporta il control plane di Cloud EKM, puoi abilitare la gestione delle chiavi EKM da Cloud KMS per le tue connessioni EKM in modo da creare chiavi esterne coordinate. Con la gestione delle chiavi EKM da Cloud KMS abilitata, Cloud EKM può richiedere le seguenti modifiche nel tuo EKM:

• Crea una chiave: quando crei una chiave gestita esternamente in Cloud KMS utilizzando una connessione EKM compatibile, Cloud EKM invia la richiesta di creazione della chiave al tuo EKM. In caso di esito positivo, l'EKM crea la nuova chiave e il nuovo materiale della chiave e restituisce il percorso della chiave che Cloud EKM utilizzerà per accedere alla chiave.

• Ruota una chiave: quando ruoti una chiave gestita esternamente in Cloud KMS utilizzando una connessione EKM compatibile, Cloud EKM invia la richiesta di rotazione al tuo EKM. In caso di esito positivo, l'EKM crea un nuovo materiale della chiave e restituisce il percorso della chiave che Cloud EKM utilizzerà per accedere alla nuova versione della chiave.

• Distruzione di una chiave: quando distruggi una versione della chiave per una chiave gestita esternamente in Cloud KMS utilizzando una connessione EKM compatibile, Cloud KMS pianifica la distruzione della versione della chiave in Cloud KMS. Se la versione della chiave non viene ripristinata prima della fine del periodo di pianificazione della distruzione, Cloud EKM distrugge la sua parte del materiale di crittografia della chiave e invia una richiesta di distruzione al tuo EKM.

  I dati criptati con questa versione della chiave non possono essere decriptati dopo l'eliminazione della versione della chiave in Cloud KMS, anche se l'EKM non ha ancora eliminato la versione della chiave. Puoi verificare se l'EKM ha eliminato correttamente la versione della chiave visualizzando i dettagli della chiave in Cloud KMS.

Quando le chiavi nel tuo EKM vengono gestite da Cloud KMS, il materiale delle chiavi rimane comunque nel tuo EKM. Google non può effettuare richieste di gestione delle chiavi al tuo EKM senza un'autorizzazione esplicita. Google non può modificare le autorizzazioni nel sistema del tuo partner esterno per la gestione delle chiavi. Se revochi le autorizzazioni di Google nel tuo EKM, le operazioni di gestione delle chiavi tentate in Cloud KMS non riusciranno.

Compatibilità

Gestori delle chiavi supportati

Puoi archiviare le chiavi esterne nei seguenti sistemi di gestione delle chiavi esterni dei partner:

• Supportati oggi:
  • Fortanix
  • Futurex
  • Thales

Servizi che supportano CMEK con Cloud EKM

I seguenti servizi supportano l'integrazione con Cloud KMS per le chiavi esterne (Cloud EKM):

• Agent Assist
• Agent Registry (anteprima)
• Recupero agente
• AlloyDB per PostgreSQL
• Hub delle API Apigee
• Application Integration
• Artifact Registry
• Servizio di Backup e DR: Container del vault di backup e Backup at rest
• Backup per GKE
• BigQuery
• Bigtable
• Cloud Data Fusion
• API Cloud Healthcare
• Cloud Logging: Dati nel router dei log e Dati nello spazio di archiviazione di Logging
• Cloud Run
• Cloud Run Functions
• Cloud SQL: Dati scritti nei database e Backup standard e avanzati
• Cloud Storage
• Cloud Tasks
• Cloud Workstations
• Compute Engine: Persistent Disk, snapshot, immagini personalizzate, e immagini macchina
• Insight sulla customer experience
• Data Studio
• Database Migration Service: Migrazioni MySQL - Dati scritti nei database, Migrazioni PostgreSQL - Dati scritti nei database, Migrazioni da PostgreSQL ad AlloyDB - Dati scritti nei database, Migrazioni SQL Server - Dati scritti nei database, e Dati Oracle in PostgreSQL at-rest
• Dataflow
• Dataform
• Dataproc Metastore
• Datastream
• Dialogflow CX
• Document AI
• Eventarc Advanced (Anteprima)
• Eventarc Standard
• Filestore
• Firestore
• Google Cloud Managed Lustre
• Google Cloud Managed Service per Apache Kafka
• Google Cloud NetApp Volumes
• Google Cloud Observability (Anteprima)
• Google Distributed Cloud
• Google Kubernetes Engine: Dati su dischi VM e Secret a livello di applicazione
• Integration Connectors
• Knowledge Catalog
• Looker (Google Cloud core)
• Managed Service for Apache Airflow
• Managed Service for Apache Spark: Dati del cluster su dischi VM e Dati serverless su dischi VM
• Memorystore for Redis
• Memorystore for Redis Cluster
• Memorystore for Valkey
• Migrate to Virtual Machines: Dati di cui è stata eseguita la migrazione da origini VM VMware, AWS e Azure e Dati di cui è stata eseguita la migrazione da origini di immagini disco e macchina
• Parameter Manager
• Pub/Sub
• Secret Manager
• Secure Source Manager
• Security Command Center
• Spanner
• Speech-to-Text
• Vertex AI
• Istanze Vertex AI Workbench
• Workflows
• Workload Manager

Importante: tutti gli altri servizi non sono compatibili con Cloud External Key Manager per CMEK.

Nota: se la chiave Cloud EKM non è elencata nella console Google Cloud quando configuri i servizi CMEK, copia prima il nome della risorsa. Poi seleziona Non trovi il token? Inserisci il nome risorsa della chiave e inserisci il nome risorsa della chiave acquisito in precedenza.

Considerazioni

• Quando utilizzi una chiave Cloud EKM, Google non ha alcun controllo sulla disponibilità della chiave gestita esternamente nel sistema del partner di gestione delle chiavi esterne. Se perdi le chiavi che gestisci al di fuori di Google Cloud, Google non può recuperare i tuoi dati.

• Consulta le linee guida relative ai partner e alle regioni per la gestione delle chiavi esterne quando scegli le località per le chiavi Cloud EKM.

• La comunicazione con un servizio esterno tramite internet può causare problemi di affidabilità, disponibilità e latenza. Per le applicazioni con una bassa tolleranza per questi tipi di rischi, valuta la possibilità di utilizzare Cloud HSM o Cloud KMS per archiviare il materiale delle chiavi.

  • Se una chiave esterna non è disponibile, Cloud KMS restituisce un errore FAILED_PRECONDITION e fornisce i dettagli nell'errore PreconditionFailure.

    Abilita l'audit logging dei dati per conservare un record di tutti gli errori relativi a Cloud EKM. I messaggi di errore contengono informazioni dettagliate per aiutarti a individuare l'origine dell'errore. Un esempio di errore comune è quando un partner di gestione delle chiavi esterne non risponde a una richiesta entro un periodo di tempo ragionevole.

  • Devi avere un contratto di assistenza con il partner esterno per la gestione delle chiavi. L'assistenzaGoogle Cloud può aiutarti solo con i problemi relativi ai serviziGoogle Cloud e non può assisterti direttamente con i problemi relativi ai sistemi esterni. A volte, per risolvere i problemi di interoperabilità, devi collaborare con l'assistenza di entrambe le parti.

• Cloud EKM può essere utilizzato con Bare Metal Rack HSM per creare una soluzione HSM autonoma integrata con Cloud KMS. Per saperne di più, scegli un partner Cloud EKM che supporti gli HSM single-tenant ed esamina i requisiti per Bare Metal Rack HSM. Questo è diverso da Cloud HSM single-tenant e devi valutare attentamente quale soluzione soddisfa meglio i tuoi requisiti.

• Abilita l'audit logging nel gestore di chiavi esterno per acquisire l'accesso e l'utilizzo delle chiavi EKM.

Attenzione: quando utilizzi le chiavi Cloud EKM, esiste il rischio che la chiave diventi non disponibile. A seconda dei servizi che utilizzi, ciò può causare errori irreversibili o dati inaccessibili. Ad esempio, se utilizzi una chiave CMEK esterna per criptare i secret a livello di applicazione di Google Kubernetes Engine, i nodi potrebbero non essere disponibili se non riescono a decriptare i secret. L'impossibilità di accedere alla chiave esterna può anche causare la perdita permanente dei dati. Ad esempio, se la chiave CMEK utilizzata per criptare un database Spanner non è disponibile per più di 30 giorni consecutivi, Spanner elimina automaticamente il database. Quando la versione della chiave corrente non è disponibile, non puoi recuperare i dati eseguendo la rotazione a una nuova versione della chiave. Per una migliore disponibilità, valuta l'utilizzo di Cloud EKM su VPC o delle chiavi Cloud HSM.

Limitazioni

• Quando crei una chiave Cloud EKM utilizzando l'API o Google Cloud CLI, non deve avere una versione iniziale della chiave. Questo non si applica alle chiavi Cloud EKM create utilizzando la consoleGoogle Cloud .
• Le operazioni di Cloud EKM sono soggette a quote specifiche oltre alle quote sulle operazioni di Cloud KMS.

Chiavi di crittografia simmetrica

• Le chiavi di crittografia simmetrica sono supportate solo per i seguenti elementi:
  • Chiavi di crittografia gestite dal cliente (CMEK) nei servizi di integrazione supportati.
  • Crittografia e decrittografia simmetriche utilizzando direttamente Cloud KMS.
• I dati criptati da Cloud EKM utilizzando una chiave gestita esternamente non possono essere decriptati senza utilizzare Cloud EKM.

Chiavi di firma asimmetriche

• Le chiavi di firma asimmetrica sono limitate a un sottoinsieme di algoritmi Cloud KMS.
• Le chiavi di firma asimmetriche sono supportate solo per i seguenti casi d'uso:
  • Firma asimmetrica utilizzando direttamente Cloud KMS.
  • Chiave di firma personalizzata con Access Approval.
• Una volta impostato un algoritmo di firma asimmetrico su una chiave Cloud EKM, questo non può essere modificato.
• La firma deve essere apposta nel campo data.

EKM gestito dal partner

EKM gestito dal partner ti consente di utilizzare Cloud EKM tramite un partner sovrano di fiducia che gestisce il tuo sistema EKM per te. Con l'EKM gestito dal partner, il tuo partner crea e gestisce le chiavi che utilizzi in Cloud EKM. Il partner garantisce che il tuo EKM sia conforme ai requisiti di sovranità.

Quando esegui l'onboarding con il tuo fornitore partner per la sovranità, quest'ultimo esegue il provisioning delle risorse in Google Cloud e nel tuo EKM. Queste risorse includono un progetto Cloud KMS per gestire le chiavi Cloud EKM e una connessione EKM configurata per la gestione delle chiavi EKM da Cloud KMS. Il tuo partner crea risorse in località Google Cloud in base ai tuoi requisiti di residenza dei dati.

Ogni chiave Cloud EKM include i metadati di Cloud KMS, che consentono a Cloud EKM di inviare richieste al tuo EKM per eseguire operazioni crittografiche utilizzando il materiale delle chiavi esterne che non lascia mai il tuo EKM. Le chiavi Cloud EKM simmetriche includono anche il materiale delle chiavi interne di Cloud KMS che non lascia mai Google Cloud. Per saperne di più sui lati interni ed esterni delle chiavi Cloud EKM, consulta Come funziona Cloud EKM in questa pagina.

Per saperne di più su EKM gestito dai partner, consulta Configura Cloud KMS gestito dai partner.

Passaggi successivi

• Inizia a utilizzare l'API.

• Crea una connessione EKM per utilizzare EKM su VPC.

• Leggi il riferimento API Cloud KMS.

• Scopri di più su Logging in Cloud KMS. Il logging si basa sulle operazioni e si applica alle chiavi con livelli di protezione HSM e software.