Cloud KMS con Autokey

Autokey di Cloud KMS semplifica la creazione e l'utilizzo delle chiavi di crittografia gestite dal cliente (CMEK) automatizzando il provisioning e l'assegnazione. Con Autokey, le chiavi e le chiavi automatizzate vengono generate on demand. I service account che utilizzano le chiavi per criptare e decriptare le risorse vengono creati e ricevono i ruoli Identity and Access Management (IAM) quando necessario. Gli amministratori di Cloud KMS mantengono il controllo e la visibilità completi sulle chiavi create da Autokey, senza la necessità di pianificare e creare in anticipo ogni risorsa. L'utilizzo di Autokey è più semplice rispetto al provisioning manuale delle chiavi ed è la scelta consigliata se le chiavi create da Autokey soddisfano tutti i tuoi requisiti.

L'utilizzo di chiavi generate da Autokey può aiutarti ad allinearti in modo coerente agli standard di settore e alle pratiche consigliate per la sicurezza dei dati, tra cui il livello di protezione Cloud HSM multi-tenant, la separazione dei compiti, rotazione della chiave, la località e la specificità delle chiavi. Autokey crea chiavi che seguono sia le linee guida generali sia quelle specifiche per il tipo di risorsa per i serviziGoogle Cloud che si integrano con Cloud KMS Autokey. Dopo la creazione, le chiavi richieste utilizzando Autokey funzionano in modo identico alle altre chiavi Cloud HSM con le stesse impostazioni.

Quando utilizzi Autokey, le autorizzazioni necessarie per richiedere una nuova chiave sono minime e sono incluse nei ruoli predefiniti che concedono i privilegi di creazione delle risorse. Ciò significa che i tuoi sviluppatori e le pipeline di infrastructure as code (IaC) non hanno bisogno di privilegi elevati. Autokey semplifica l'utilizzo di Terraform per la gestione delle chiavi e supporta il principio del privilegio minimo.

Puoi utilizzare Autokey con l'archiviazione delle chiavi in un progetto dedicato (precedentemente nota come gestione delle chiavi centralizzata) o con l'archiviazione delle chiavi nello stesso progetto (precedentemente nota come gestione delle chiavi delegata). Per utilizzare Autokey con l'archiviazione delle chiavi in un progetto dedicato, devi disporre di una risorsa organizzazione che contiene una risorsa cartella. Quando utilizzi l'archiviazione delle chiavi in un progetto dedicato, abiliti Autokey per i progetti all'interno di una cartella e le chiavi create da Autokey vengono create nel progetto di chiavi designato per quella cartella. Quando utilizzi l'archiviazione delle chiavi nello stesso progetto, abiliti Autokey su una cartella o un progetto per consentire ad Autokey di creare chiavi nello stesso progetto delle risorse che proteggono.

Per saperne di più sulle risorse organizzazione e cartella, consulta Gerarchia delle risorse.

Cloud KMS Autokey è disponibile in tutte le località Google Cloud in cui è disponibile Cloud HSM. Per ulteriori informazioni sulle località di Cloud KMS, consulta Località di Cloud KMS. L'utilizzo di Autokey di Cloud KMS non comporta costi aggiuntivi. Le chiavi create utilizzando Autokey hanno lo stesso prezzo di qualsiasi altra chiave Cloud HSM. Per ulteriori informazioni sui prezzi, consulta Prezzi di Cloud Key Management Service.

Per saperne di più su Autokey, consulta la panoramica di Autokey.

Scegli tra Autokey e altre opzioni di crittografia

Cloud KMS con Autokey è come un pilota automatico per le chiavi di crittografia gestite dal cliente: esegue il lavoro per tuo conto, on demand. Non è necessario pianificare le chiavi in anticipo o creare chiavi che potrebbero non essere mai necessarie. Le chiavi e il loro utilizzo sono coerenti. Puoi definire dove vuoi che venga utilizzato Autokey e controllare chi può utilizzarlo. Mantieni il controllo completo delle chiavi create da Autokey. Puoi utilizzare le chiavi Cloud KMS create manualmente insieme alle chiavi create utilizzando Autokey. Puoi disattivare Autokey e continuare a utilizzare le chiavi create nello stesso modo in cui utilizzeresti qualsiasi altra chiave Cloud KMS.

Cloud KMS Autokey è una buona scelta se vuoi un utilizzo coerente delle chiavi tra i progetti, con un overhead operativo ridotto, e vuoi seguire i suggerimenti di Google per le chiavi.

Funzionalità o capacità	Crittografia predefinita di Google	Cloud KMS	Cloud KMS Autokey
Isolamento crittografico: le chiavi sono esclusive per l'account di un cliente	No	Sì	Sì
Il cliente possiede e controlla le chiavi	No	Sì	Sì
Lo sviluppatore attiva il provisioning e l'assegnazione delle chiavi	Sì	No	Sì
Specificità: le chiavi vengono create automaticamente con la granularità delle chiavi consigliata	No	No	Sì
Consente di eseguire la distruzione crittografica dei dati	No	Sì	Sì
Si allinea automaticamente alle pratiche consigliate per la gestione delle chiavi	No	No	Sì
Utilizza chiavi supportate da HSM conformi allo standard FIPS 140-2 di livello 3	No	Facoltativo	Sì

Se devi utilizzare un livello di protezione diverso da HSM o un periodo di rotazione personalizzato, puoi utilizzare CMEK senza Autokey.

Servizi compatibili

La tabella seguente elenca i servizi compatibili con Cloud KMS Autokey:

Servizio	Risorse protette	Granularità della chiave
AlloyDB per PostgreSQL	alloydb.googleapis.com/Cluster alloydb.googleapis.com/Backup L'integrazione tra AlloyDB per PostgreSQL e Cloud KMS Autokey è disponibile solo per le risorse create utilizzando Terraform o l'API REST.	Una chiave per risorsa
Apigee	apigee.googleapis.com/Organization apigee.googleapis.com/Instance L'integrazione tra Apigee e Cloud KMS Autokey è disponibile solo per le risorse create utilizzando Terraform o l'API REST.	Una chiave per risorsa
hub delle API Apigee	apihub.googleapis.com/ApiHubInstance L'integrazione tra l'hub delle API Apigee e Cloud KMS Autokey è disponibile solo per le risorse create utilizzando Terraform o l'API REST.	Una chiave per risorsa
Artifact Registry	artifactregistry.googleapis.com/Repository Autokey crea le chiavi durante la creazione del repository, utilizzate per tutti gli artefatti archiviati.	Una chiave per risorsa
Servizio di Backup e DR	backupdr.googleapis.com/BackupVault	Una chiave per risorsa
Backup per GKE	gkebackup.googleapis.com/BackupPlan L'integrazione tra Backup per GKE e Cloud KMS Autokey è disponibile solo per le risorse create utilizzando Terraform o l'API REST.	Una chiave per risorsa
BigQuery	bigquery.googleapis.com/Dataset Autokey crea chiavi predefinite per i set di dati. Le tabelle, i modelli, le query e le tabelle temporanee all'interno di un set di dati utilizzano la chiave predefinita del set di dati. Autokey non crea chiavi per risorse BigQuery diverse dai set di dati. Per proteggere le risorse che non fanno parte di un set di dati, devi creare le tue chiavi predefinite a livello di progetto o di organizzazione.	Una chiave per risorsa
Bigtable	bigtableadmin.googleapis.com/Cluster Autokey crea chiavi per i cluster. Autokey non crea chiavi per le risorse Bigtable diverse dai cluster. L'integrazione tra Bigtable e Cloud KMS Autokey è disponibile solo per le risorse create utilizzando Terraform o Google Cloud SDK.	Una chiave per cluster
Cloud Run	run.googleapis.com/Service run.googleapis.com/Job	Una chiave per località all'interno di un progetto
Cloud SQL	sqladmin.googleapis.com/Instance Autokey non crea chiavi per le risorse Cloud SQL BackupRun. Quando crei un backup di un'istanza Cloud SQL, il backup viene criptato con la chiave gestita dal cliente dell'istanza principale. L'integrazione tra Cloud SQL e Cloud KMS Autokey è disponibile solo per le risorse create utilizzando Terraform o l'API REST.	Una chiave per risorsa
Cloud Storage	storage.googleapis.com/Bucket Gli oggetti all'interno di un bucket di archiviazione utilizzano la chiave predefinita del bucket. Autokey non crea chiavi per le risorse storage.object.	Una chiave per bucket
Compute Engine	compute.googleapis.com/Disk compute.googleapis.com/Image compute.googleapis.com/Instance compute.googleapis.com/MachineImage Gli snapshot utilizzano la chiave del disco di cui stai creando uno snapshot. Autokey non crea chiavi per le risorse compute.snapshot.	Una chiave per risorsa
Google Kubernetes Engine	container.googleapis.com/Cluster L'integrazione tra Google Kubernetes Engine e Cloud KMS Autokey è disponibile solo per le risorse create utilizzando Terraform o l'API REST.	Una chiave per cluster
Dataflow	dataflow.googleapis.com/Job	Una chiave per risorsa
Datastream	datastream.googleapis.com/Stream L'integrazione tra Datastream e Cloud KMS Autokey è disponibile solo per le risorse create utilizzando Terraform o l'API REST.	Una chiave per risorsa
Document AI	documentai.googleapis.com/Processor La chiave che protegge un processore deve trovarsi nella stessa località del processore, ad eccezione delle multi-regioni: us-central1 per la multi-regione us e europe-west4 per la multi-regione eu. Per un processore multiregionale, crea l'handle della chiave nella regione corrispondente.	Una chiave per risorsa
Managed Service for Apache Airflow	composer.googleapis.com/Environment	Una chiave per risorsa
Managed Service for Apache Spark	dataproc.googleapis.com/Cluster dataproc.googleapis.com/SessionTemplate dataproc.googleapis.com/WorkflowTemplate dataproc.googleapis.com/Batch dataproc.googleapis.com/Session	Per le risorse Cluster, SessionTemplate e WorkflowTemplate: una chiave per risorsa Per le risorse Batch e Sessione: una chiave per località all'interno di un progetto
Memorystore for Redis	redis.googleapis.com/Instance redis.googleapis.com/Cluster L'integrazione tra Memorystore for Redis e Cloud KMS Autokey è disponibile solo per le risorse create utilizzando Terraform o l'API REST.	Una chiave per risorsa
Memorystore for Valkey	memorystore.googleapis.com/Instance L'integrazione tra Memorystore for Valkey e Cloud KMS Autokey è disponibile solo per le risorse create utilizzando Terraform o l'API REST.	Una chiave per risorsa
Migrate to Virtual Machines	vmmigration.googleapis.com/MigratingVm vmmigration.googleapis.com/Source L'integrazione tra Migrate to Virtual Machines e Cloud KMS Autokey è disponibile solo per le risorse create utilizzando Terraform o l'API REST.	Una chiave per risorsa
Pub/Sub	pubsub.googleapis.com/Topic	Una chiave per risorsa
Secret Manager	secretmanager.googleapis.com/Secret L'integrazione tra Secret Manager e Cloud KMS Autokey è disponibile solo per le risorse create utilizzando Terraform o l'API REST.	Una chiave per località all'interno di un progetto
Secure Source Manager	securesourcemanager.googleapis.com/Instance	Una chiave per risorsa
Spanner	spanner.googleapis.com/Database L'integrazione tra Spanner e Cloud KMS Autokey è disponibile solo per le risorse create utilizzando Terraform o l'API REST.	Una chiave per risorsa
Filestore	file.googleapis.com/Instance file.googleapis.com/Backup	Una chiave per risorsa
Workflow	workflows.googleapis.com/Workflow L'integrazione tra Workflows e Cloud KMS Autokey è disponibile solo per le risorse create utilizzando Terraform o l'API REST.	Una chiave per risorsa

Passaggi successivi

• Per scoprire di più sul funzionamento di Cloud KMS Autokey, consulta la panoramica di Autokey.