Resource Cloud KMS

Halaman ini menjelaskan setiap jenis resource di Cloud KMS. Resource Cloud KMS tidak dapat dipindahkan ke lokasi lain setelah dibuat. Anda dapat mempelajari lebih lanjut hierarki resource.

Kunci

Kunci Cloud KMS adalah objek bernama yang berisi satu atau beberapa versi kunci, beserta metadata untuk kunci tersebut. Kunci ada di tepat satu key ring yang terkait dengan lokasi tertentu.

Anda dapat mengizinkan dan menolak akses ke kunci menggunakan izin dan peran Identity and Access Management (IAM). Anda tidak dapat mengelola akses ke versi kunci.

Menonaktifkan atau menghancurkan kunci juga akan menonaktifkan atau menghancurkan setiap versi kunci.

Bagian berikut membahas properti kunci.

Bergantung pada konteksnya, properti kunci ditampilkan dalam format yang berbeda.

  • Saat menggunakan Google Cloud CLI atau Cloud Key Management Service API, properti ditampilkan sebagai string huruf kapital, seperti SOFTWARE.
  • Saat menggunakan konsol Google Cloud , properti ditampilkan sebagai string dengan huruf kapital di awal, seperti Software.

Di bagian berikut, setiap format ditampilkan di tempat yang sesuai.

Jenis

Jenis kunci menentukan apakah kunci tersebut digunakan untuk operasi kriptografis simetris atau asimetris.

Dalam enkripsi atau penandatanganan simetris, kunci yang sama digunakan untuk mengenkripsi dan mendekripsi data atau untuk menandatangani dan memverifikasi tanda tangan.

Dalam enkripsi atau penandatanganan asimetris, kunci terdiri dari kunci publik dan kunci pribadi. Kunci pribadi dengan kunci publik yang sesuai disebut key pair.

  • Kunci pribadi adalah data sensitif, dan diperlukan untuk mendekripsi data atau untuk penandatanganan, bergantung pada tujuan kunci yang dikonfigurasi.
  • Kunci publik tidak dianggap sensitif, dan diperlukan untuk mengenkripsi data atau memverifikasi tanda tangan, bergantung pada tujuan kunci yang dikonfigurasi.

Jenis kunci adalah salah satu komponen dari tujuan kunci, dan tidak dapat diubah setelah kunci dibuat.

Tujuan

Tujuan kunci menunjukkan jenis operasi kriptografi yang dapat dilakukan dengan kunci tersebut—misalnya, Symmetric encrypt/decrypt atau Asymmetric signing. Anda memilih tujuan saat membuat kunci, dan semua versi kunci memiliki tujuan yang sama. Tujuan kunci tidak dapat diubah setelah kunci dibuat. Untuk informasi selengkapnya tentang tujuan kunci, lihat Tujuan kunci.

Level perlindungan

Tingkat perlindungan kunci menentukan lingkungan penyimpanan kunci dalam penyimpanan. Tingkat perlindungan adalah salah satu dari berikut ini:

  • Software (SOFTWARE)
  • External_VPC (EXTERNAL_VPC)

Tingkat perlindungan kunci tidak dapat diubah setelah kunci dibuat.

Versi utama

Kunci dapat memiliki beberapa versi kunci yang aktif dan diaktifkan sekaligus. Kunci enkripsi simetris memiliki versi kunci utama, yang merupakan versi kunci yang digunakan secara default untuk mengenkripsi data jika Anda tidak menentukan versi kunci.

Kunci asimetris tidak memiliki versi utama; Anda harus menentukan versi saat menggunakan kunci.

Untuk kunci simetris dan asimetris, Anda dapat menggunakan versi kunci yang diaktifkan untuk mengenkripsi dan mendekripsi data atau untuk menandatangani dan memvalidasi tanda tangan.

Versi kunci

Setiap versi kunci berisi materi kunci yang digunakan untuk enkripsi atau penandatanganan. Setiap versi diberi nomor versi, dimulai dari 1. Memutar kunci akan membuat versi kunci baru. Anda dapat mempelajari lebih lanjut cara merotasi kunci.

Untuk mendekripsi data atau memverifikasi tanda tangan, Anda harus menggunakan versi kunci yang sama dengan yang digunakan untuk mengenkripsi atau menandatangani data. Untuk menemukan ID resource versi kunci, lihat Mengambil ID resource kunci.

Anda dapat menonaktifkan atau menghancurkan setiap versi kunci tanpa memengaruhi versi lainnya. Anda juga dapat menonaktifkan atau menghancurkan semua versi kunci untuk kunci tertentu.

Anda tidak dapat mengontrol akses ke versi kunci secara terpisah dari izin yang berlaku pada kunci. Memberikan akses ke kunci akan memberikan akses ke semua versi kunci yang diaktifkan.

Demi alasan keamanan, tidak ada akun utama Google Cloud yang dapat melihat atau mengekspor materi kunci kriptografis mentah yang diwakili oleh versi kunci. Sebagai gantinya, Cloud KMS mengakses materi kunci atas nama Anda.

Bagian berikut membahas properti versi kunci.

Negara bagian/Provinsi

Setiap versi kunci memiliki status yang memberi tahu Anda statusnya. Biasanya, status kunci akan berupa salah satu dari berikut ini:

  • Aktif
  • Nonaktif
  • Dijadwalkan untuk dimusnahkan
  • Dihancurkan

Versi kunci hanya dapat digunakan jika diaktifkan. Versi kunci dalam status apa pun selain dihancurkan akan dikenai biaya. Untuk mengetahui informasi selengkapnya tentang status versi kunci dan cara versi dapat bertransisi di antaranya, lihat Status versi kunci.

Algoritma

Algoritma versi kunci menentukan cara pembuatan materi kunci dan parameter yang diperlukan untuk operasi kriptografis. Kunci simetris dan asimetris menggunakan algoritma yang berbeda. Enkripsi dan penandatanganan menggunakan algoritma yang berbeda.

Jika Anda tidak menentukan algoritma saat membuat versi kunci baru, algoritma versi sebelumnya akan digunakan.

Terlepas dari algoritmanya, Cloud KMS menggunakan enkripsi probabilistik, sehingga teks biasa yang sama yang dienkripsi dengan versi kunci yang sama dua kali tidak akan menampilkan ciphertext yang sama.

Key ring

Key ring mengatur kunci di lokasi Google Cloud tertentu dan memungkinkan Anda mengelola kontrol akses pada grup kunci. Nama key ring tidak harus unik di seluruh project Google Cloud , tetapi harus unik dalam lokasi tertentu.

Koneksi EKM

Koneksi EKM adalah resource Cloud KMS yang mengatur koneksi VPC ke EKM lokal Anda di lokasiGoogle Cloud tertentu. Koneksi EKM memungkinkan Anda terhubung ke dan menggunakan kunci dari pengelola kunci eksternal melalui jaringan VPC. Setelah dibuat, koneksi EKM tidak dapat dihapus.

Mengambil ID resource

Beberapa panggilan API dan gcloud CLI mungkin mengharuskan Anda merujuk ke key ring, kunci, atau versi kunci berdasarkan ID resource-nya, yang merupakan string yang mewakili nama CryptoKeyVersion yang sepenuhnya memenuhi syarat. ID resource bersifat hierarkis, mirip dengan jalur sistem file. ID resource kunci juga berisi informasi tentang key ring dan lokasi.

Objek Format ID Resource
Key ring projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING
Kunci projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME
Versi kunci projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME/cryptoKeyVersions/KEY_VERSION
Koneksi EKM projects/PROJECT_ID/locations/LOCATION/ekmConnections/EKM_CONNECTION

Untuk mempelajari lebih lanjut, lihat Mendapatkan ID resource Cloud KMS.

Mengatur resource

Saat merencanakan cara mengatur resource dalam project Google Cloud Anda, pertimbangkan aturan bisnis dan cara Anda berencana mengelola akses. Anda dapat memberikan akses ke satu kunci, semua kunci di key ring, atau semua kunci dalam project. Pola organisasi berikut adalah yang umum:

  • Berdasarkan lingkungan, seperti prod, test, dan develop.
  • Menurut area kerja, seperti payroll atau insurance_claims.
  • Berdasarkan sensitivitas atau karakteristik data, seperti unrestricted, restricted, confidential, top-secret.

Siklus proses resource

Anda dapat menghapus key ring, kunci, dan versi kunci dalam beberapa situasi. Menghapus resource akan menghapusnya dari daftar resource Cloud KMS. Menghancurkan versi kunci akan menghapus materi kunci yang mendasarinya secara permanen. Saat Anda menghapus key ring, namanya akan tersedia untuk digunakan kembali, tetapi nama kunci yang dihapus tidak dapat digunakan kembali. Hal ini memastikan bahwa ID resource versi kunci bersifat unik dan selalu mengarah ke materi kunci asli untuk versi kunci tersebut, kecuali jika telah dihancurkan. Anda dapat menyimpan key ring, kunci yang diaktifkan atau dinonaktifkan, dan versi kunci yang diaktifkan, dinonaktifkan, atau dihancurkan dalam jumlah tak terbatas. Untuk mengetahui informasi selengkapnya, lihat Kuota.

Untuk mempelajari cara menghancurkan atau memulihkan versi kunci, lihat Menghancurkan dan memulihkan versi kunci.

Setelah menjadwalkan penonaktifan project Google Cloud , Anda tidak dapat mengakses resource project, termasuk resource Cloud KMS, kecuali jika Anda memulihkan project dengan mengikuti langkah-langkah untuk memulihkan project.

Langkah berikutnya