משאבי Cloud KMS

בדף הזה מתוארים כל סוגי המשאבים ב-Cloud KMS. אחרי שיוצרים משאבי Cloud KMS, אי אפשר להעביר אותם למיקום אחר. מידע נוסף על היררכיית המשאבים

מקשים

מפתח Cloud KMS הוא אובייקט בעל שם שמכיל גרסת מפתח אחת או יותר, יחד עם המטא-נתונים של המפתח. מפתח קיים באוסף מפתחות אחד בדיוק, שקשור למיקום ספציפי.

אתם יכולים לאשר ולדחות גישה למפתחות באמצעות הרשאות ותפקידים של ניהול זהויות והרשאות גישה (IAM). אי אפשר לנהל את הגישה לגרסת מפתח.

השבתה או השמדה של מפתח משביתה או משמידה גם כל גרסה של המפתח.

בקטעים הבאים נסביר על המאפיינים של מפתח.

בהתאם להקשר, המאפיינים של המפתח מוצגים בפורמט שונה.

  • כשמשתמשים ב-Google Cloud CLI או ב-Cloud Key Management Service API, המאפיין מוצג כמחרוזת של אותיות רישיות, כמו SOFTWARE.
  • כשמשתמשים במסוף Google Cloud , המאפיין מוצג כמחרוזת עם אותיות רישיות בתחילת המילים, כמו Software.

בקטעים הבאים, כל פורמט מוצג במקום המתאים.

סוג

סוג המפתח קובע אם המפתח משמש לפעולות קריפטוגרפיות סימטריות או אסימטריות.

בהצפנה או בחתימה סימטרית, אותו מפתח משמש להצפנה ולפענוח של נתונים או לחתימה ולאימות של חתימה.

בהצפנה או בחתימה אסימטרית, המפתח מורכב ממפתח ציבורי וממפתח פרטי. מפתח פרטי עם המפתח הציבורי התואם שלו נקרא זוג מפתחות.

  • המפתח הפרטי הוא מידע רגיש, ונדרש כדי לפענח נתונים או כדי לחתום, בהתאם למטרה שהוגדרה למפתח.
  • המפתח הציבורי לא נחשב למידע רגיש, והוא נדרש כדי להצפין נתונים או לאמת חתימה, בהתאם למטרה שהוגדרה למפתח.

סוג המפתח הוא רכיב אחד של מטרת המפתח, ואי אפשר לשנות אותו אחרי שיוצרים את המפתח.

מטרה

מטרת המפתח מציינת לאילו סוגים של פעולות קריפטוגרפיות אפשר להשתמש במפתח, למשל הצפנה/פענוח סימטריים או חתימה אסימטרית. אתם בוחרים את המטרה כשאתם יוצרים את המפתח, ולכל הגרסאות של המפתח יש את אותה מטרה. אי אפשר לשנות את מטרת המפתח אחרי שהוא נוצר. מידע נוסף על מטרות המפתח מופיע במאמר מטרות המפתח.

רמת הגנה

רמת ההגנה של המפתח קובעת את סביבת האחסון של המפתח במצב מנוחה. רמת ההגנה יכולה להיות אחת מהאפשרויות הבאות:

  • תוכנה (SOFTWARE)
  • External_VPC (EXTERNAL_VPC)

אי אפשר לשנות את רמת ההגנה של מפתח אחרי שהוא נוצר.

הגרסה הראשית

למפתחות יכולות להיות כמה גרסאות מפתח פעילות ומופעלות בו-זמנית. למפתחות הצפנה סימטריים יש גרסת מפתח ראשית, שהיא גרסת המפתח שמשמשת כברירת מחדל להצפנת נתונים אם לא מציינים גרסת מפתח.

למפתחות אסימטריים אין גרסאות ראשיות, וצריך לציין את הגרסה כשמשתמשים במפתח.

במפתחות סימטריים ואסימטריים, אתם יכולים להשתמש בכל גרסת מפתח מופעלת כדי להצפין ולפענח נתונים, או כדי לחתום על חתימות ולאמת אותן.

גרסאות של מפתחות

כל גרסה של מפתח מכילה חומר מפתח שמשמש להצפנה או לחתימה. לכל גרסה מוקצה מספר גרסה, החל מ-1. כשמבצעים רוטציה למפתח, נוצרת גרסת מפתח חדשה. מידע נוסף על רוטציית מפתחות

כדי לפענח נתונים או לאמת חתימה, צריך להשתמש באותה גרסת מפתח ששימשה להצפנה או לחתימה על הנתונים. כדי למצוא את מזהה המשאב של גרסת המפתח, קראו את המאמר אחזור מזהה המשאב של מפתח.

אתם יכולים להשבית או להשמיד גרסאות ספציפיות של מפתחות בלי להשפיע על גרסאות אחרות. אתם יכולים גם להשבית או להשמיד את כל הגרסאות של מפתח מסוים.

אי אפשר לשלוט בגישה לגרסאות של מפתחות בנפרד מההרשאות שחלות על המפתח. כשנותנים גישה למפתח, נותנים גישה לכל הגרסאות המופעלות של המפתח הזה.

מטעמי אבטחה, אף Google Cloud חשבון משתמש לא יכול לראות או לייצא את חומר המפתח הקריפטוגרפי הגולמי שמיוצג על ידי גרסת מפתח. במקום זאת, Cloud KMS ניגש לחומר המפתח בשבילכם.

בקטעים הבאים נסביר על המאפיינים של גרסת מפתח.

מדינה

לכל גרסת מפתח יש מצב שמציין את הסטטוס שלה. בדרך כלל, מצב המפתח יהיה אחד מהבאים:

  • מופעל
  • מושבת
  • מתוזמן להשמדה
  • הושמד

אפשר להשתמש בגרסת מפתח רק כשהיא מופעלת. גרסאות של מפתחות בכל מצב שהוא לא "הושמד" כרוכות בעלויות. במאמר מצבים של גרסאות מפתחות תוכלו לקרוא מידע נוסף על המצבים של גרסאות המפתחות ועל האופן שבו גרסאות יכולות לעבור בין המצבים.

אלגוריתם

האלגוריתם של גרסת המפתח קובע איך נוצר חומר המפתח ואת הפרמטרים שנדרשים לפעולות קריפטוגרפיות. מפתחות סימטריים ואסימטריים משתמשים באלגוריתמים שונים. ההצפנה והחתימה משתמשות באלגוריתמים שונים.

אם לא מציינים אלגוריתם כשיוצרים גרסת מפתח חדשה, המערכת משתמשת באלגוריתם של הגרסה הקודמת.

בלי קשר לאלגוריתם, Cloud KMS משתמש בהצפנה הסתברותית, כך שאותו טקסט פשוט שמוצפן פעמיים באמצעות אותה גרסת מפתח לא מחזיר את אותו טקסט מוצפן.

אוספי מפתחות

אוסף מפתחות מארגן את המפתחות במיקום ספציפי ב- Google Cloudומאפשר לכם לנהל את בקרת הגישה לקבוצות של מפתחות. השם של אוסף המפתחות לא חייב להיות ייחודי בפרויקט ב- Google Cloud , אבל הוא חייב להיות ייחודי במיקום נתון.

חיבורי EKM

חיבור EKM הוא משאב של Cloud KMS שמארגן חיבורי VPC ל-EKM המקומיים במיקום ספציפי שלGoogle Cloud . חיבור EKM מאפשר להתחבר למנהל מפתחות חיצוני ולהשתמש במפתחות ממנו ברשת VPC. אחרי שיוצרים חיבור EKM, אי אפשר למחוק אותו.

אחזור מזהה של משאב

בחלק מהקריאות ל-API וב-CLI של gcloud, יכול להיות שתצטרכו להפנות לאוסף מפתחות, למפתח או לגרסת מפתח באמצעות מזהה המשאב שלו, שהוא מחרוזת שמייצגת את השם המלא של CryptoKeyVersion. מזהי המשאבים הם היררכיים, בדומה לנתיב של מערכת קבצים. מזהה המשאב של המפתח מכיל גם מידע על אוסף המפתחות והמיקום.

אובייקט הפורמט של מזהה המשאב
אוסף מפתחות projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING
מפתח projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME
גרסת המפתח projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME/cryptoKeyVersions/KEY_VERSION
חיבור ל-EKM projects/PROJECT_ID/locations/LOCATION/ekmConnections/EKM_CONNECTION

מידע נוסף זמין במאמר קבלת מזהה משאב של Cloud KMS.

ארגון המשאבים

כשאתם מתכננים איך לארגן את המשאבים בפרויקט ב- Google Cloud, כדאי להביא בחשבון את הכללים העסקיים שלכם ואת האופן שבו אתם מתכננים לנהל את הגישה. אתם יכולים לתת גישה למפתח אחד, לכל המפתחות באוסף מפתחות או לכל המפתחות בפרויקט. אלה דפוסי הארגון הנפוצים:

  • לפי סביבה, כמו prod,‏ test ו-develop.
  • לפי אזור עבודה, כמו payroll או insurance_claims.
  • לפי רגישות או מאפייני הנתונים, כמו unrestricted, restricted, confidential, top-secret.

מחזורי חיים של משאבים

בנסיבות מסוימות אפשר למחוק אוספי מפתחות, מפתחות וגרסאות של מפתחות. מחיקת משאב מסירה אותו מרשימות המשאבים של Cloud KMS. השמדה של גרסת מפתח מוחקת באופן סופי את חומר המפתחות הבסיסי שלה. כשמוחקים אוסף מפתחות, אפשר להשתמש שוב בשם שלו, אבל אי אפשר להשתמש שוב בשמות של מפתחות שנמחקו. כך מובטח שמזהה המשאב של גרסת המפתח יהיה ייחודי ותמיד יצביע על חומר המפתח המקורי של גרסת המפתח הזו, אלא אם הוא הושמד. אתם יכולים לאחסן מספר בלתי מוגבל של אוספי מפתחות, מפתחות פעילים או מושבתים וגרסאות מפתח פעילות, מושבתות או מושמדות. מידע נוסף זמין במאמר מכסות.

במאמר השמדה ושחזור של גרסאות מפתחות מוסבר איך להשמיד או לשחזר גרסת מפתח.

אחרי שמתזמנים את ההשבתה של פרויקט ב- Google Cloud , אי אפשר לגשת למשאבים של הפרויקט, כולל למשאבי Cloud KMS, אלא אם משחזרים את הפרויקט לפי השלבים לשחזור פרויקט.

המאמרים הבאים