Ringkasan Cloud Key Management Service

Cloud Key Management Service (Cloud KMS) memungkinkan Anda membuat dan mengelola kunci kriptografis untuk digunakan di layanan Google Cloud yang kompatibel dan di aplikasi Anda sendiri. Dengan menggunakan Cloud KMS, Anda dapat melakukan hal berikut:

• Buat kunci software, impor kunci yang ada ke Cloud KMS, atau tautkan kunci eksternal di sistem pengelolaan kunci eksternal (EKM) yang kompatibel.
• Gunakan kunci enkripsi yang dikelola pelanggan (CMEK) di produk Google Cloud dengan integrasi CMEK. Integrasi CMEK menggunakan kunci Cloud KMS Anda untuk mengenkripsi atau "menggabungkan" kunci enkripsi data (DEK) Anda. Menggabungkan DEK dengan kunci enkripsi kunci (KEK) disebut enkripsi menyeluruh.
• Menggunakan kunci Cloud KMS untuk operasi enkripsi dan dekripsi. Misalnya, Anda dapat menggunakan Cloud KMS API atau library klien untuk menggunakan kunci Cloud KMS Anda untuk enkripsi sisi klien.
• Gunakan kunci Cloud KMS untuk membuat atau memverifikasi tanda tangan digital atau tanda tangan kode autentikasi pesan (MAC).
• Gunakan kunci Cloud KMS untuk membuat rahasia bersama menggunakan mekanisme enkapsulasi kunci.

Memilih enkripsi yang tepat untuk kebutuhan Anda

Anda dapat menggunakan tabel berikut untuk mengidentifikasi jenis enkripsi yang memenuhi kebutuhan Anda untuk setiap kasus penggunaan. Solusi terbaik untuk kebutuhan Anda mungkin mencakup kombinasi pendekatan enkripsi. Misalnya, Anda dapat menggunakan kunci software untuk data yang paling tidak sensitif dan kunci eksternal untuk data yang paling sensitif. Untuk mengetahui informasi tambahan tentang opsi enkripsi yang dijelaskan di bagian ini, lihat Melindungi data di Google Cloud di halaman ini.

Agent Assist Agent Retrieval Agent Search AlloyDB untuk PostgreSQL Anti Money Laundering AI Apigee Hub API Apigee Application Integration Artifact Registry Backup and DR Service Pencadangan untuk GKE BigQuery Bigtable Cloud Data Fusion Cloud Healthcare API Cloud Logging Cloud Run Cloud Run Functions Cloud SQL Cloud Storage Cloud Tasks Cloud TPU Cloud Workstations Colab Enterprise Compute Engine Conversational Analytics API Customer Experience Insights Data Studio Database Migration Service Dataflow Dataform Dataproc Metastore Datastream Dialogflow CX Document AI Eventarc Advanced Eventarc Standard Filestore Firestore Gemini Code Assist Gemini Enterprise Gemini Enterprise - Gemini Notebook Enterprise Google Cloud Managed Lustre Google Cloud Managed Service untuk Apache Kafka Google Cloud NetApp Volumes Google Cloud Observability Google Distributed Cloud Google Kubernetes Engine Google Security Operations Integration Connectors Knowledge Catalog Looker (Google Cloud core) Managed Service untuk Apache Airflow Managed Service untuk Apache Spark Memorystore for Redis Memorystore for Redis Cluster Memorystore for Valkey Migrate to Virtual Machines Parameter Manager Pub/Sub Secret Manager Secure Source Manager Security Command Center Service Extensions Spanner Speech-to-Text Penelusuran Vektor Vertex AI Vertex AI Workbench Instance Vertex AI Workbench Workflows Workload Manager Semua Level 1 Level 2 Level 3 Hapus semua

Jenis enkripsi	Layanan yang kompatibel	Fitur
Google-owned and Google-managed encryption keys (Google Cloud enkripsi default)	Semua layanan Google Cloud yang menyimpan data pelanggan	Tidak memerlukan konfigurasi. Otomatis mengenkripsi data pelanggan yang disimpan di layanan Google Cloud apa pun. Sebagian besar layanan otomatis merotasi kunci. Mendukung enkripsi menggunakan AES-256. Tervalidasi FIPS 140-3 Level 1.
Kunci enkripsi yang dikelola pelanggan - software (kunci Cloud KMS)	40+ layanan	Anda mengontrol jadwal rotasi kunci otomatis; peran dan izin IAM; mengaktifkan, menonaktifkan, atau menghancurkan versi kunci. Mendukung kunci simetris dan asimetris untuk enkripsi dan dekripsi. Otomatis merotasi kunci simetris. Mendukung beberapa algoritma umum. Tervalidasi FIPS 140-3 Level 1. Kunci bersifat unik untuk pelanggan.
Kunci enkripsi yang dikelola pelanggan - eksternal (Kunci Cloud EKM)	30+ layanan	Anda mengontrol peran dan izin IAM; mengaktifkan, menonaktifkan, atau menghancurkan versi kunci. Kunci tidak pernah dikirim ke Google. Materi kunci berada di penyedia pengelolaan kunci eksternal (EKM) yang kompatibel. Layanan Google Cloud yang kompatibel terhubung ke penyedia EKM Anda melalui Virtual Private Cloud (VPC). Mendukung kunci simetris untuk enkripsi dan dekripsi. Merotasi kunci Anda secara manual melalui koordinasi dengan Cloud EKM dan penyedia EKM Anda. Tervalidasi FIPS 140-2 Level 2 atau FIPS 140-2 Level 3, bergantung pada EKM. Kunci bersifat unik untuk pelanggan.
Enkripsi sisi klien menggunakan kunci Cloud KMS	Menggunakan library klien di aplikasi Anda	Anda mengontrol jadwal rotasi kunci otomatis; peran dan izin IAM; mengaktifkan, menonaktifkan, atau menghancurkan versi kunci. Mendukung kunci simetris dan asimetris untuk enkripsi, dekripsi, penandatanganan, dan validasi tanda tangan. Fungsi bervariasi menurut tingkat perlindungan kunci.
Kunci enkripsi yang disediakan pelanggan	Cloud Storage	Anda menyediakan materi kunci saat diperlukan. Materi kunci berada dalam memori - Google tidak menyimpan kunci Anda secara permanen di server kami.

Catatan: Harga bervariasi berdasarkan jenis enkripsi dan tingkat perlindungan. Untuk mengetahui informasi selengkapnya, lihat detail harga yang dibagikan kepada Anda oleh Google Cloud.

Melindungi data di Google Cloud

Google-owned and Google-managed encryption keys (Google Cloud enkripsi default)

Secara default, data dalam penyimpanan di Google Cloud dilindungi oleh kunci di Keystore,layanan pengelolaan kunci internal Google Cloud. Kunci di Keystore dikelola secara otomatis oleh Google Cloud, tanpa perlu konfigurasi dari Anda. Sebagian besar layanan otomatis merotasi kunci untuk Anda. Keystore mendukung versi kunci utama dan sejumlah versi kunci lama yang terbatas. Versi kunci utama digunakan untuk mengenkripsi kunci enkripsi data baru. Versi kunci yang lebih lama masih dapat digunakan untuk mendekripsi kunci enkripsi data yang ada. Anda tidak dapat melihat atau mengelola kunci ini atau meninjau log penggunaan kunci. Data dari beberapa pelanggan mungkin menggunakan kunci enkripsi kunci yang sama.

Enkripsi default ini menggunakan modul kriptografis yang divalidasi agar mematuhi FIPS 140-3 Level 1.

Catatan:Enkripsi default Google Cloud bukan merupakan fitur Cloud Key Management Service.

Kunci enkripsi yang dikelola pelanggan (CMEK)

Kunci Cloud KMS yang digunakan untuk melindungi resource Anda di layanan yang terintegrasi dengan CMEK adalah kunci enkripsi yang dikelola pelanggan (CMEK).

Anda dapat menggunakan kunci Cloud KMS di layanan yang kompatibel untuk membantu Anda mencapai tujuan berikut:

• Miliki kunci enkripsi Anda sendiri.

• Kontrol dan kelola kunci enkripsi Anda, termasuk pilihan lokasi, tingkat perlindungan, pembuatan, kontrol akses, rotasi, penggunaan, dan penghancuran.

• Menghapus data yang dilindungi oleh kunci Anda secara selektif jika terjadi off-boarding atau untuk memulihkan peristiwa keamanan (crypto-shredding).

• Buat kunci khusus tenant tunggal yang menetapkan batas kriptografis di sekitar data Anda.

• Mencatat akses administratif dan data ke kunci enkripsi.

• Memenuhi peraturan saat ini atau mendatang yang memerlukan salah satu sasaran ini.

Saat menggunakan kunci Cloud KMS dengan layanan yang terintegrasi dengan CMEK, Anda dapat menggunakan kebijakan organisasi untuk memastikan bahwa CMEK digunakan sebagaimana ditentukan dalam kebijakan. Misalnya, Anda dapat menetapkan kebijakan organisasi yang memastikan bahwa resource Google Cloud yang kompatibel menggunakan kunci Cloud KMS Anda untuk enkripsi. Kebijakan organisasi juga dapat menentukan project tempat resource kunci harus berada.

Fitur dan tingkat perlindungan yang diberikan bergantung pada tingkat perlindungan kunci:

• Kunci software - Anda dapat membuat kunci software di Cloud KMS dan menggunakannya di semua lokasi Google Cloud . Anda dapat membuat kunci simetris dengan rotasi otomatis atau kunci asimetris dengan rotasi manual. Kunci software yang dikelola pelanggan menggunakan modul kriptografi software yang divalidasi FIPS 140-3 Level 1. Anda juga memiliki kontrol atas periode rotasi, peran dan izin Identity and Access Management (IAM), serta kebijakan organisasi yang mengatur kunci Anda. Anda dapat menggunakan kunci software dengan banyak resource yang kompatibel Google Cloud.

• Kunci software yang diimpor - Anda dapat mengimpor kunci software yang Anda buat di tempat lain untuk digunakan di Cloud KMS. Anda dapat mengimpor versi kunci baru untuk merotasi kunci yang diimpor secara manual. Anda dapat menggunakan peran dan izin IAM serta kebijakan organisasi untuk mengatur penggunaan kunci yang diimpor.

• Kunci eksternal dan Cloud EKM - Anda dapat menggunakan kunci yang berada di pengelola kunci eksternal (EKM). Dengan Cloud EKM, Anda dapat menggunakan kunci yang disimpan di pengelola kunci yang didukung untuk mengamankan resourceGoogle Cloud Anda. Anda terhubung ke EKM melalui Virtual Private Cloud (VPC). Beberapa Google Cloud layanan yang mendukung kunci Cloud KMS tidak mendukung kunci Cloud EKM.

Kunci Cloud KMS

Anda dapat menggunakan kunci Cloud KMS di aplikasi kustom menggunakan library klien Cloud KMS atau Cloud KMS API. Library klien dan API memungkinkan Anda mengenkripsi dan mendekripsi data, menandatangani data, serta memvalidasi tanda tangan.

Kunci enkripsi yang disediakan pelanggan (CSEK)

Cloud Storage dapat menggunakan kunci enkripsi yang disediakan pelanggan (CSEK). Dengan kunci enkripsi yang disediakan pelanggan, Anda menyimpan materi kunci dan memberikannya ke Cloud Storage saat diperlukan. Google Cloud tidak menyimpan CSEK Anda dengan cara apa pun.

Catatan: Dukungan CSEK bukan fitur Cloud Key Management Service.