Usar chaves do Cloud KMS em Google Cloud

Nesta página, explicamos como usar as chaves de criptografia gerenciadas pelo cliente do Cloud KMS em outros serviços do Google Cloud para proteger seus recursos. Para mais informações, consulte Chaves de criptografia gerenciadas pelo cliente (CMEK).

Quando um serviço é compatível com CMEK, dizemos que ele tem uma integração de CMEK. Alguns serviços, como o GKE, têm várias integrações CMEK para proteger diferentes tipos de dados relacionados ao serviço. Para uma lista de serviços com integrações de CMEK, consulte Ativar CMEK para serviços compatíveis nesta página.

Antes de começar

Antes de usar as chaves do Cloud KMS em outros serviços do Google Cloud , é preciso ter um recurso de projeto para conter as chaves do Cloud KMS. Recomendamos usar um projeto separado para os recursos do Cloud KMS que não contenha outros recursos do Google Cloud .

Integrações com CMEK

Preparar para ativar a integração com CMEK

Para saber as etapas exatas de ativação da CMEK, consulte a documentação do serviço doGoogle Cloud relevante. Encontre um link para a documentação da CMEK de cada serviço em Ativar CMEK para serviços compatíveis nesta página. Para cada serviço, siga etapas semelhantes às abaixo:

  1. Crie um keyring ou selecione um que já exista. O keyring precisa estar localizado o mais próximo possível geograficamente dos recursos que você quer proteger.

  2. No keyring selecionado, crie uma chave ou selecione uma chave atual. Verifique se o nível de proteção, a finalidade e o algoritmo da chave são adequados para os recursos que você quer proteger. Essa chave é a chave CMEK.

  3. Consiga o ID do recurso para a chave CMEK. Você vai precisar desse ID de recurso mais tarde.

  4. Conceda o papel do IAM de criptografador/descriptografador de CryptoKey (roles/cloudkms.cryptoKeyEncrypterDecrypter) na chave CMEK à conta de serviço do serviço.

Depois de criar a chave e atribuir as permissões necessárias, é possível criar ou configurar um serviço para usar a chave CMEK.

Usar chaves do Cloud KMS com serviços integrados a CMEK

As etapas a seguir usam o Secret Manager como exemplo. Para saber as etapas exatas para usar uma chave CMEK do Cloud KMS em um determinado serviço, localize esse serviço na lista de serviços integrados à CMEK.

No Secret Manager, é possível usar uma CMEK para proteger dados em repouso.

  1. No console do Google Cloud , acesse a página Secret Manager.

    Acessar o Secret Manager

  2. Para criar um secret, clique em Criar secret.

  3. Na seção Criptografia, selecione Usar uma chave de criptografia gerenciada pelo cliente (CMEK).

  4. Na caixa Chave de criptografia, faça o seguinte:

    1. Opcional: para usar uma chave em outro projeto, faça o seguinte:

      1. Clique em Trocar projeto.
      2. Digite o nome do projeto inteiro ou parcial na barra de pesquisa e selecione o projeto.
      3. Para ver as chaves disponíveis para o projeto selecionado, clique em Selecionar.

    2. Opcional: para filtrar as chaves disponíveis por local, keyring, nome ou nível de proteção, insira os termos de pesquisa na barra de filtro .

    3. Selecione uma chave na lista de chaves disponíveis no projeto selecionado. Use os detalhes de local, keyring e nível de proteção exibidos para ter certeza de que escolheu a chave correta.

    4. Se a chave que você quer usar não aparecer na lista, clique em Inserir chave manualmente e insira o ID do recurso da chave.

  5. Termine de configurar o secret e clique em Criar secret. O Secret Manager cria o secret e o criptografa usando a chave CMEK especificada.

Ativar CMEK para serviços compatíveis

Para ativar a CMEK, primeiro localize o serviço selecionado na tabela a seguir. Você pode inserir termos de pesquisa no campo para filtrar a tabela. Os produtos que se integram ao Cloud KMS ao usar chaves externas do Cloud EKM são indicados na coluna Compatível com o EKM.

Siga as instruções para cada serviço em que você quer ativar as chaves CMEK.

Serviço Protegido com CMEK Compatível com EKM Tópico
Agent Assist Dados em repouso Sim Chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)
Agent Registry (pré-lançamento) Revisão de habilidade Sim Configurar CMEK para habilidades
Recuperação de agentes Dados associados às Coleções Sim Como usar chaves de criptografia gerenciadas pelo cliente
Agent Search Dados em repouso Não Chaves de criptografia gerenciadas pelo cliente
AlloyDB para PostgreSQL Dados gravados em bancos de dados Sim Como usar chaves de criptografia gerenciadas pelo cliente
IA antilavagem de dinheiro Dados em recursos de instância da AML AI Não Criptografar dados usando chaves de criptografia gerenciadas pelo cliente (CMEK)
Apigee Dados em repouso Não Introdução à CMEK
Hub de APIs da Apigee Dados em repouso Sim Criptografia
Application Integration Dados em repouso Sim Como usar chaves de criptografia gerenciadas pelo cliente
Artifact Registry Dados em repositórios Sim Como ativar chaves de criptografia gerenciadas pelo cliente
Serviço de backup e DR Contêiner do backup vault Sim Como gerenciar a criptografia do backup vault
Serviço de backup e DR Backups em repouso Sim Como gerenciar a criptografia de backup
Backup para GKE Dados no Backup para GKE Sim Sobre a criptografia CMEK do Backup para GKE
BigQuery Dados no BigQuery Sim Como proteger dados com chaves do Cloud KMS
Bigtable Dados em repouso Sim Chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)
Cloud Data Fusion Dados do ambiente Sim Como usar chaves de criptografia gerenciadas pelo cliente
API Cloud Healthcare Conjuntos de dados da API Cloud Healthcare Sim Usar chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)
Cloud Logging Dados no roteador de registros Sim Gerenciar as chaves que protegem os dados do roteador de registros
Cloud Logging Dados no armazenamento do Logging Sim Gerenciar as chaves que protegem os dados de armazenamento do Logging
Cloud Run Imagem do contêiner Sim Como usar chaves de criptografia gerenciadas pelo cliente com o Cloud Run
Cloud Run functions Dados no Cloud Run functions Sim Como usar chaves de criptografia gerenciadas pelo cliente
Cloud SQL Dados gravados em bancos de dados Sim Como usar chaves de criptografia gerenciadas pelo cliente
Cloud SQL Backups padrão e aprimorados Sim Visão geral dos backups do Cloud SQL
Cloud Storage Dados em buckets de armazenamento Sim Como usar chaves de criptografia gerenciadas pelo cliente
Cloud Tasks Corpo e cabeçalho da tarefa em repouso Sim Usar chaves de criptografia gerenciadas pelo cliente
Cloud TPU Discos permanentes Não Criptografar um disco de inicialização de VM de TPU com uma chave de criptografia gerenciada pelo cliente (CMEK)
Cloud Workstations Dados em discos de VM Sim Criptografar recursos da estação de trabalho
Colab Enterprise Ambientes de execução e arquivos de notebook Não Usar chaves de criptografia gerenciadas pelo cliente
Compute Engine Discos permanentes Sim Como proteger recursos com chaves do Cloud KMS
Compute Engine Snapshots Sim Como proteger recursos com chaves do Cloud KMS
Compute Engine Imagens personalizadas Sim Como proteger recursos com chaves do Cloud KMS
Compute Engine Imagens de máquina Sim Como proteger recursos com chaves do Cloud KMS
API Conversational Analytics Recursos do DataAgent (contexto, instruções, exemplos) Não Proteger um recurso do DataAgent com CMEK
API Conversational Analytics Recursos de conversa (mensagens, histórico de estado) Não Proteger um recurso de conversa com CMEK
Customer Experience Insights Dados em repouso Sim Chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)
Data Studio Dados em repouso Sim Chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)
Migrações homogêneas do Database Migration Service Migrações do MySQL: dados gravados em bancos de dados Sim Como usar chaves de criptografia gerenciadas pelo cliente (CMEK)
Migrações homogêneas do Database Migration Service Migrações do PostgreSQL: dados gravados em bancos de dados Sim Como usar chaves de criptografia gerenciadas pelo cliente (CMEK)
Migrações homogêneas do Database Migration Service Migrações do PostgreSQL para o AlloyDB: dados gravados em bancos de dados Sim Sobre CMEK
Migrações homogêneas do Database Migration Service Migrações do SQL Server: dados gravados em bancos de dados Sim Sobre CMEK
Migrações heterogêneas do Database Migration Service Dados em repouso do Oracle para o PostgreSQL Sim Usar chaves de criptografia gerenciadas pelo cliente (CMEK) para migrações contínuas
Dataflow Dados de estado do pipeline Sim Como usar chaves de criptografia gerenciadas pelo cliente
Dataform Dados em repositórios Sim Usar chaves de criptografia gerenciadas pelo cliente
Dataproc Metastore Dados em repouso Sim Como usar chaves de criptografia gerenciadas pelo cliente
Datastream Dados em trânsito Sim Como usar chaves de criptografia gerenciadas pelo cliente (CMEK)
Dialogflow CX Dados em repouso Sim Chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)
Document AI Dados em repouso e dados em uso Sim Chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)
Eventarc Advanced (pré-lançamento) Dados em repouso Sim Usar chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)
Eventarc Standard Dados em repouso Sim Usar chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)
Filestore Dados em repouso Sim Criptografar dados com chaves de criptografia gerenciadas pelo cliente
Firestore Dados em repouso Sim Usar chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)
Gemini Code Assist Dados em repouso Não Criptografar dados com chaves de criptografia gerenciadas pelo cliente
Gemini Enterprise Dados em repouso Não Chaves de criptografia gerenciadas pelo cliente
Gemini Enterprise - Gemini Notebook Enterprise Dados em repouso Não Chaves de criptografia gerenciadas pelo cliente
Google Cloud Managed Lustre Dados em repouso Sim Usar chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)
Serviço gerenciado do Google Cloud para Apache Kafka Dados associados a temas Sim Configurar a criptografia de mensagens
Google Cloud NetApp Volumes Dados em repouso Sim Criar uma política de CMEK
Google Cloud Observability (pré-lançamento) Dados em repouso Sim Definir padrões para buckets de observabilidade
Google Distributed Cloud Dados em nós do Edge Sim Segurança do armazenamento local
Google Kubernetes Engine Dados em discos de VM Sim Como usar chaves de criptografia gerenciadas pelo cliente (CMEK)
Google Kubernetes Engine Secrets da camada de aplicativos Sim Criptografia de Secrets da camada de aplicativos
Integration Connectors Dados em repouso Sim Métodos de criptografia
Knowledge Catalog Dados em repouso Sim Chaves de criptografia gerenciadas pelo cliente
Looker (Google Cloud Core) Dados em repouso Sim Ativar a CMEK para o Looker (Google Cloud Core)
Serviço gerenciado para Apache Airflow Dados do ambiente Sim Como usar chaves de criptografia gerenciadas pelo cliente
Serviço Gerenciado para Apache Spark Dados do cluster em discos de VM Sim Chaves de criptografia gerenciadas pelo cliente
Serviço Gerenciado para Apache Spark Dados sem servidor em discos de VM Sim Chaves de criptografia gerenciadas pelo cliente
Memorystore for Redis Dados em repouso Sim Chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)
Memorystore for Redis Cluster Dados em repouso Sim Usar chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)
Memorystore for Valkey Dados em repouso Sim Usar chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)
Migrate to Virtual Machines Dados migrados de origens de VM da VMware, da AWS e do Azure Sim Usar CMEK para criptografar dados armazenados durante uma migração
Migrate to Virtual Machines Dados migrados de fontes de imagens de disco e de máquina Sim Usar CMEK para criptografar dados em imagens de máquina e discos de destino
Gerenciador de parâmetros Payloads de versão do parâmetro Sim Ativar chaves de criptografia gerenciadas pelo cliente para o Gerenciador de Parâmetros
Pub/Sub Dados associados a temas Sim Como configurar a criptografia de mensagens
Secret Manager Payloads secretos Sim Ativar chaves de criptografia gerenciadas pelo cliente para o Secret Manager
Secure Source Manager Instâncias Sim Criptografar dados com chaves de criptografia gerenciadas pelo cliente
Security Command Center Dados em repouso Sim Ativar CMEK para o Security Command Center
Service Extensions (pré-lançamento) Dados de plug-ins Não Usar chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)
Spanner Dados em repouso Sim Chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)
Speech-to-Text Dados em repouso Sim Como usar chaves de criptografia gerenciadas pelo cliente
Pesquisa vetorial Dados em repouso Não Chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)
Vertex AI Dados associados aos recursos Sim Como usar chaves de criptografia gerenciadas pelo cliente
Notebooks gerenciados do Vertex AI Workbench (descontinuados) Dados do usuário em repouso Não Chaves de criptografia gerenciadas pelo cliente
Notebooks do Vertex AI Workbench gerenciados pelo usuário (descontinuado) Dados em discos de VM Não Chaves de criptografia gerenciadas pelo cliente
Instâncias do Vertex AI Workbench Dados em discos de VM Sim Chaves de criptografia gerenciadas pelo cliente
Workflows Dados em repouso Sim Usar chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)
Workload Manager Dados de avaliação do tipo de regra personalizada Sim Ativar chaves de criptografia gerenciadas pelo cliente para avaliações