Cloud KMS Autokey menyederhanakan pembuatan dan penggunaan kunci enkripsi yang dikelola pelanggan (CMEK) dengan mengotomatiskan penyediaan dan penetapan. Dengan Autokey, key ring dan kunci dibuat sesuai permintaan. Akun layanan yang menggunakan kunci untuk mengenkripsi dan mendekripsi resource dibuat dan diberi peran Identity and Access Management (IAM) saat diperlukan. Administrator Cloud KMS mempertahankan kontrol dan visibilitas penuh atas kunci yang dibuat oleh Autokey, tanpa perlu merencanakan dan membuat setiap resource terlebih dahulu. Menggunakan Autokey lebih mudah daripada menyediakan kunci sendiri, dan merupakan pilihan yang direkomendasikan jika kunci yang dibuat oleh Autokey memenuhi semua persyaratan Anda.
Menggunakan kunci yang dihasilkan oleh Autokey dapat membantu Anda secara konsisten menyelaraskan dengan standar industri dan praktik yang direkomendasikan untuk keamanan data, termasuk tingkat perlindungan Cloud HSM Multi-tenant, pemisahan tugas, rotasi kunci, lokasi, dan kekhususan kunci. Autokey membuat kunci yang mengikuti pedoman umum dan pedoman khusus untuk jenis resource untuk layananGoogle Cloud yang terintegrasi dengan Cloud KMS Autokey. Setelah dibuat, kunci yang diminta menggunakan Autokey akan berfungsi secara identik dengan kunci Cloud HSM lainnya dengan setelan yang sama.
Saat Anda menggunakan Autokey, izin yang diperlukan untuk meminta kunci baru sangat minimal dan disertakan dalam peran default yang memberikan hak istimewa pembuatan resource. Artinya, developer dan pipeline infrastructure as code (IaC) Anda tidak memerlukan hak istimewa yang ditingkatkan. Autokey menyederhanakan penggunaan Terraform untuk pengelolaan kunci dan mendukung prinsip hak istimewa terendah.
Anda dapat menggunakan Autokey dengan penyimpanan kunci project khusus (sebelumnya dikenal sebagai pengelolaan kunci terpusat) atau dengan penyimpanan kunci project yang sama (sebelumnya dikenal sebagai pengelolaan kunci yang didelegasikan). Untuk menggunakan Autokey dengan penyimpanan kunci project khusus, Anda harus memiliki resource organisasi yang berisi resource folder. Saat menggunakan penyimpanan kunci project khusus, Anda mengaktifkan Autokey untuk project dalam folder, dan kunci yang dibuat oleh Autokey dibuat di project kunci yang ditetapkan untuk folder tersebut. Saat menggunakan penyimpanan kunci project yang sama, Anda mengaktifkan Autokey pada folder atau project agar Autokey dapat membuat kunci di project yang sama dengan resource yang dilindunginya.
Untuk mengetahui informasi selengkapnya tentang resource organisasi dan folder, lihat Hierarki resource.
Cloud KMS Autokey tersedia di semua lokasi Google Cloud tempat Cloud HSM tersedia. Untuk mengetahui informasi selengkapnya tentang lokasi Cloud KMS, lihat lokasi Cloud KMS. Tidak ada biaya tambahan untuk menggunakan Cloud KMS Autokey. Kunci yang dibuat menggunakan Autokey memiliki harga yang sama dengan kunci Cloud HSM lainnya. Untuk mengetahui informasi selengkapnya tentang harga, lihat Harga Cloud Key Management Service.
Untuk mengetahui informasi selengkapnya tentang Autokey, lihat Ringkasan Autokey.
Memilih antara Autokey dan opsi enkripsi lainnya
Cloud KMS dengan Autokey seperti autopilot untuk kunci enkripsi yang dikelola pelanggan: layanan ini melakukan pekerjaan atas nama Anda, sesuai permintaan. Anda tidak perlu merencanakan kunci terlebih dahulu atau membuat kunci yang mungkin tidak akan pernah diperlukan. Kunci dan penggunaan kunci konsisten. Anda dapat menentukan tempat Anda ingin Autokey digunakan dan mengontrol siapa yang dapat menggunakannya. Anda tetap memiliki kontrol penuh atas kunci yang dibuat oleh Autokey. Anda dapat menggunakan kunci Cloud KMS yang dibuat secara manual bersama dengan kunci yang dibuat menggunakan Autokey. Anda dapat menonaktifkan Autokey dan terus menggunakan kunci yang dibuatnya dengan cara yang sama seperti Anda menggunakan kunci Cloud KMS lainnya.
Cloud KMS Autokey adalah pilihan yang baik jika Anda menginginkan penggunaan kunci yang konsisten di seluruh project, dengan overhead operasional yang rendah, dan ingin mengikuti rekomendasi Google untuk kunci.
| Fitur atau kemampuan | Enkripsi default Google | Cloud KMS | Autokey Cloud KMS |
|---|---|---|---|
| Isolasi kriptografis: kunci bersifat eksklusif untuk satu akun pelanggan | Tidak | Ya | Ya |
| Pelanggan memiliki dan mengontrol kunci | Tidak | Ya | Ya |
| Developer memicu penyediaan dan penetapan kunci | Ya | Tidak | Ya |
| Kekhususan: kunci dibuat secara otomatis pada perincian kunci yang direkomendasikan | Tidak | Tidak | Ya |
| Memungkinkan Anda melakukan crypto-shredding pada data Anda | Tidak | Ya | Ya |
| Otomatis selaras dengan praktik pengelolaan kunci yang direkomendasikan | Tidak | Tidak | Ya |
| Menggunakan kunci yang didukung HSM yang mematuhi FIPS 140-2 Level 3 | Tidak | Opsional | Ya |
Jika Anda perlu menggunakan tingkat perlindungan selain HSM atau periode rotasi kustom, Anda dapat menggunakan CMEK tanpa Autokey.
Layanan yang kompatibel
Tabel berikut mencantumkan layanan yang kompatibel dengan Cloud KMS Autokey:
| Layanan | Resource yang dilindungi | Perincian kunci |
|---|---|---|
| AlloyDB untuk PostgreSQL |
Integrasi antara AlloyDB untuk PostgreSQL dan Cloud KMS Autokey hanya tersedia untuk resource yang dibuat menggunakan Terraform atau REST API. |
Satu kunci per resource |
| Apigee |
Integrasi antara Apigee dan Cloud KMS Autokey hanya tersedia untuk resource yang dibuat menggunakan Terraform atau REST API. |
Satu kunci per resource |
| Hub API Apigee |
Integrasi antara hub API Apigee dan Cloud KMS Autokey hanya tersedia untuk resource yang dibuat menggunakan Terraform atau REST API. |
Satu kunci per resource |
| Artifact Registry |
Autokey membuat kunci selama pembuatan Repositori, yang digunakan untuk semua artefak yang disimpan. |
Satu kunci per resource |
| Backup and DR Service |
|
Satu kunci per resource |
| Pencadangan untuk GKE |
Integrasi antara Pencadangan untuk GKE dan Cloud KMS Autokey hanya tersedia untuk resource yang dibuat menggunakan Terraform atau REST API. |
Satu kunci per resource |
| BigQuery |
Autokey membuat kunci default untuk set data. Tabel, model, kueri, dan tabel sementara dalam set data menggunakan kunci default set data. Autokey tidak membuat kunci untuk resource BigQuery selain set data. Untuk melindungi resource yang bukan bagian dari set data, Anda harus membuat kunci default sendiri di level project atau organisasi. |
Satu kunci per resource |
| Bigtable |
Autokey membuat kunci untuk cluster. Autokey tidak membuat kunci untuk resource Bigtable selain cluster. Integrasi antara Bigtable dan Cloud KMS Autokey hanya tersedia untuk resource yang dibuat menggunakan Terraform atau Google Cloud SDK. |
Satu kunci per cluster |
| Cloud Run |
|
Satu kunci per lokasi dalam satu project |
| Cloud SQL |
Autokey tidak membuat kunci untuk resource Integrasi antara Cloud SQL dan Autokey Cloud KMS hanya tersedia untuk resource yang dibuat menggunakan Terraform atau REST API. |
Satu kunci per resource |
| Cloud Storage |
Objek dalam bucket penyimpanan menggunakan kunci default bucket. Autokey tidak membuat kunci untuk resource |
Satu kunci per bucket |
| Compute Engine |
Snapshot menggunakan kunci untuk disk yang Anda buat snapshot-nya.
Autokey tidak membuat kunci untuk resource |
Satu kunci per resource |
| Google Kubernetes Engine |
Integrasi antara Google Kubernetes Engine dan Cloud KMS Autokey hanya tersedia untuk resource yang dibuat menggunakan Terraform atau REST API. |
Satu kunci per cluster |
| Dataflow |
|
Satu kunci per resource |
| Datastream |
Integrasi antara Datastream dan Cloud KMS Autokey hanya tersedia untuk resource yang dibuat menggunakan Terraform atau REST API. |
Satu kunci per resource |
| Document AI |
Kunci yang melindungi pemroses harus berada di lokasi yang sama dengan pemroses, kecuali untuk multi-region: |
Satu kunci per resource |
| Managed Service untuk Apache Airflow |
|
Satu kunci per resource |
| Managed Service untuk Apache Spark |
|
Untuk resource Cluster, SessionTemplate, dan WorkflowTemplate: Satu kunci per resource Untuk resource Batch dan Sesi: Satu kunci per lokasi dalam sebuah project |
| Memorystore for Redis |
Integrasi antara Memorystore for Redis dan Cloud KMS Autokey hanya tersedia untuk resource yang dibuat menggunakan Terraform atau REST API. |
Satu kunci per resource |
| Memorystore for Valkey |
Integrasi antara Memorystore untuk Valkey dan Cloud KMS Autokey hanya tersedia untuk resource yang dibuat menggunakan Terraform atau REST API. |
Satu kunci per resource |
| Migrate to Virtual Machines |
Integrasi antara Migrate to Virtual Machines dan Cloud KMS Autokey hanya tersedia untuk resource yang dibuat menggunakan Terraform atau REST API. |
Satu kunci per resource |
| Pub/Sub |
|
Satu kunci per resource |
| Secret Manager |
Integrasi antara Secret Manager dan Cloud KMS Autokey hanya tersedia untuk resource yang dibuat menggunakan Terraform atau REST API. |
Satu kunci per lokasi dalam satu project |
| Secure Source Manager |
|
Satu kunci per resource |
| Spanner |
Integrasi antara Spanner dan Cloud KMS Autokey hanya tersedia untuk resource yang dibuat menggunakan Terraform atau REST API. |
Satu kunci per resource |
| Filestore |
|
Satu kunci per resource |
| Workflows |
Integrasi antara Workflows dan Cloud KMS Autokey hanya tersedia untuk resource yang dibuat menggunakan Terraform atau REST API. |
Satu kunci per resource |
Langkah berikutnya
- Untuk mempelajari lebih lanjut cara kerja Cloud KMS Autokey, lihat Ringkasan Autokey.