Abilitare le chiavi di crittografia gestite dal cliente

Questo documento descrive come criptare i dati di Knowledge Catalog (in precedenza Dataplex Universal Catalog) con chiavi di crittografia gestite dal cliente (CMEK).

Panoramica

Per impostazione predefinita, Knowledge Catalog cripta i contenuti inattivi dei clienti. Knowledge Catalog gestisce la crittografia per conto tuo senza che tu debba fare altro. Questa opzione è denominata Crittografia predefinita di Google.

Se vuoi controllare le tue chiavi di crittografia, puoi utilizzare le chiavi di crittografia gestite dal cliente (CMEK) in Cloud KMS con servizi integrati con CMEK, tra cui Knowledge Catalog. L'utilizzo delle chiavi Cloud KMS ti consente di controllare il livello di protezione, la località, la pianificazione della rotazione, le autorizzazioni di utilizzo e di accesso e i limiti crittografici. Con Cloud KMS puoi inoltre visualizzare gli audit log e controllare i cicli di vita delle chiavi. Invece di Google, sei tu ad avere la proprietà e la gestione delle chiavi di crittografia della chiave (KEK) simmetriche che proteggono i tuoi dati. Puoi controllare e gestire queste chiavi in Cloud KMS.

Dopo aver configurato le risorse con le CMEK, l'esperienza di accesso alle risorse di Knowledge Catalog è simile all'utilizzo della crittografia predefinita di Google. Per saperne di più sulle opzioni di crittografia, consulta Chiavi di crittografia gestite dal cliente (CMEK).

Knowledge Catalog utilizza una CMEK per località per tutte le risorse Knowledge Catalog.

Puoi configurare una chiave CMEK a livello di organizzazione in Knowledge Catalog.

Per saperne di più sulle CMEK in generale, incluso quando e perché attivarle, consulta Chiavi di crittografia gestite dal cliente (CMEK).

Vantaggi delle CMEK

Le CMEK ti consentono di:

  • Gestisci le operazioni del ciclo di vita delle chiavi e le autorizzazioni di accesso.
  • Monitora l'utilizzo delle chiavi con l'API Key Inventory e le dashboard di utilizzo delle chiavi in Cloud KMS, che ti consentono di vedere, ad esempio, quali chiavi proteggono quali risorse. Cloud Logging ti indica quando è stato eseguito l'accesso alle chiavi e da chi.
  • Soddisfa requisiti normativi specifici gestendo le tue chiavi di crittografia.

Come funziona CMEK con Knowledge Catalog

Gli amministratori della crittografia di Knowledge Catalog nel tuo progetto Google Cloud possono configurare CMEK per Knowledge Catalog fornendo la chiave Cloud KMS. Knowledge Catalog utilizza quindi la chiave Cloud KMS specificata per criptare tutti i dati, inclusi quelli esistenti e le nuove risorse create all'interno di Knowledge Catalog.

Funzionalità supportate

Considerazioni

  • Per impostazione predefinita, il provisioning di ogni organizzazione viene eseguito utilizzando la crittografia predefinita di Google.
  • L'Organization Administrator (roles/resourcemanager.organizationAdmin) può passare alle CMEK in Knowledge Catalog per qualsiasi località.
  • Knowledge Catalog supporta le chiavi Cloud KMS, Cloud HSM e Cloud External Key Manager.
  • La rotazione delle chiavi è supportata e, una volta disponibile, la nuova versione della chiave viene utilizzata automaticamente per la crittografia dei dati. Anche i dati esistenti vengono criptati con questa nuova versione.
  • Knowledge Catalog conserva i backup dei dati per un massimo di 15 giorni. Tutti i backup creati dopo l'attivazione di CMEK vengono criptati utilizzando la chiave KMS specificata. I dati di cui è stato eseguito il backup prima dell'attivazione di CMEK rimangono criptati con la crittografia predefinita di Google per un massimo di 15 giorni.

Limitazioni

  • Il passaggio a CMEK è un processo irreversibile. Una volta scelta la crittografia CMEK, non puoi tornare alla crittografia predefinita di Google.
  • Una volta configurata una chiave Cloud KMS per Knowledge Catalog, non può essere aggiornata o modificata.
  • Knowledge Catalog supporta solo la crittografia a livello di organizzazione. Di conseguenza, la configurazione della crittografia viene impostata a livello di organizzazione per una determinata località e viene utilizzata per criptare i dati di Knowledge Catalog per tutti i progetti all'interno di quell'organizzazione e di quella località. La crittografia CMEK non è supportata per progetti specifici all'interno di un'organizzazione o di una cartella. L'impostazione delle policy dell'organizzazione relative alle CMEK richiede un'attenta valutazione.
  • Knowledge Catalog non supporta CMEK nella regione globale.

  • Quando CMEK è abilitato per Knowledge Catalog, le seguenti funzionalità non funzionano:

    • Ricerca di metadati tra organizzazioni

  • Quando abiliti CMEK in Knowledge Catalog, non eseguire la migrazione dei progetti all'interno o all'esterno dell'organizzazione CMEK. La modifica della posizione organizzativa di un progetto comporterà la perdita permanente dei metadati archiviati in Knowledge Catalog per quel progetto.

Esegui l'upgrade delle configurazioni CMEK esistenti

Se hai abilitato CMEK in Knowledge Catalog prima del 7 novembre 2025, esegui il seguente comando per estendere la copertura CMEK a Knowledge Catalog e alla ricerca di Knowledge Catalog:

  gcloud dataplex encryption-config update organizations/ORG_ID/locations/LOCATION/encryptionConfigs/default --enable-metastore-encryption
  • Sostituisci ORG_ID con l'ID dell'organizzazione che contiene la chiave.
  • Sostituisci LOCATION con la località dell'organizzazione che contiene la chiave.

Quando i dati sono criptati, potresti riscontrare un problema di disponibilità di Knowledge Catalog.

Se attivi CMEK per la prima volta dopo il 7 novembre 2025, il metastore e la ricerca di Knowledge Catalog sono inclusi nella copertura CMEK per impostazione predefinita.

Proteggi le tue chiavi di crittografia

Per garantire l'accesso continuo ai dati criptati con CMEK, segui queste best practice:

  • Assicurati che le chiavi CMEK rimangano abilitate e accessibili. Se una chiave viene disattivata o distrutta, i dati di Knowledge Catalog diventano inaccessibili. Se la chiave non è disponibile per più di 30 giorni, i dati criptati con questa chiave vengono eliminati automaticamente e non possono essere recuperati.
  • Se la chiave Cloud KMS viene eliminata e non è recuperabile, tutti i dati di Knowledge Catalog associati andranno persi definitivamente.
  • Nei casi in cui Cloud KMS non sia temporaneamente disponibile, Knowledge Catalog continua a supportare le operazioni complete nel miglior modo possibile per un massimo di un'ora. Trascorso questo periodo, i dati diventeranno temporaneamente inaccessibili come misura di protezione.
  • Quando utilizzi Cloud EKM, tieni presente che Google non controlla la disponibilità delle chiavi gestite esternamente. La mancata disponibilità della chiave a breve termine comporta l'inaccessibilità temporanea dei dati. La mancata disponibilità della chiave per 30 giorni comporta la perdita permanente dei dati.

Disponibilità di Knowledge Catalog

Le sezioni seguenti descrivono la procedura e l'impatto operativo previsto quando attivi CMEK per la tua organizzazione Knowledge Catalog.

Provisioning iniziale dell'infrastruttura

Dopo aver salvato la configurazione della crittografia, Knowledge Catalog configura l'infrastruttura necessaria. In genere, questa procedura richiede dalle 6 alle 8 ore. Durante questa fase di provisioning, mantieni l'accesso completo a tutte le funzionalità di Knowledge Catalog e i dati rimangono criptati tramite la crittografia gestita da Google. Se è impostata la policy dell'organizzazione constraints/gcp.restrictNonCmekServices, le richieste di creazione delle risorse non vanno a buon fine fino al completamento della fase di provisioning.

Crittografia dei dati e disponibilità delle API

Dopo il provisioning dell'infrastruttura, Knowledge Catalog inizia a criptare i dati esistenti archiviati all'interno dell'organizzazione. Per garantire l'integrità dei dati e prevenire potenziali incoerenze durante questo processo di crittografia, i metodi dell'API Dataplex non sono temporaneamente disponibili. Questa limitazione impedisce le operazioni di aggiornamento dei dati. Quando attivi inizialmente CMEK per Knowledge Catalog, tutti i dati esistenti vengono criptati. Si stima che questa operazione una tantum richieda fino a due ore.

Operazioni post-crittografia

Al termine della crittografia dei dati esistenti, i metodi dell'API Dataplex sono completamente disponibili. La creazione o la modifica dei dati all'interno di Knowledge Catalog viene criptata automaticamente utilizzando la CMEK configurata, senza interruzioni operative o limitazioni delle API.

Crea una chiave e attiva CMEK

Le istruzioni riportate di seguito spiegano come creare una chiave e attivare CMEK per Knowledge Catalog. Puoi utilizzare una chiave creata direttamente in Cloud KMS o una chiave gestita esternamente che rendi disponibile con Cloud EKM.

  1. Nel progetto Google Cloud in cui vuoi gestire le chiavi, segui questi passaggi:

    1. Abilita l'API Cloud Key Management Service.

    2. Crea chiavi automatizzate Cloud KMS nella località in cui vuoi utilizzarle.

    3. Crea una chiave utilizzando una delle seguenti opzioni:

      Se utilizzi un gestore di chiavi esterno (Cloud EKM), devi concedere al account di servizio Cloud KMS l'accesso alla tua chiave nel sistema partner di gestione delle chiavi esterne. Se ti connetti al tuo gestore delle chiavi esterno tramite un VPC, devi anche concedere al service account Cloud EKM (service-KEY_PROJECT_NUMBER@gcp-sa-ekms.) i ruoli Visualizzatore Service Directory (roles/servicedirectory.viewer) e Servizio autorizzato Private Service Connect (roles/servicedirectory.pscAuthorizedService) nel tuo progetto VPC. Per saperne di più, consulta Crea una connessione EKM.

  2. Crea e visualizza il account di servizio gestito da Google:

    gcloud beta services identity create \
    --service=dataplex.googleapis.com \
    --organization=ORG_ID

    Sostituisci ORG_ID con l'ID dell'organizzazione che contiene la chiave.

    Se ti viene richiesto di installare il componente dei comandi beta di Google Cloud CLI, inserisci Y.

    Il comando services identity di gcloud CLI crea o recupera lo specifico account di servizio gestito da Google che Knowledge Catalog può utilizzare per accedere alla chiave Cloud KMS.

    L'ID del account di servizio è formattato come service-org-ORG_ID@gcp-sa-dataplex.. Viene inoltre creato un account di servizio specifico per CMEK, formattato come service-org-ORG_ID@gcp-sa-dataplex-cmek.. Il account di servizio specifico per CMEK viene utilizzato per criptare e decriptare i dati archiviati in Knowledge Catalog. Se utilizzi i Controlli di servizio VPC per la chiave Cloud KMS, devi concedere l'accesso al account di servizio specifico per CMEK utilizzando una regola in entrata.

  3. Concedi il ruolo IAM Cloud KMS CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) al account di servizio Knowledge Catalog. Concedi questa autorizzazione sulla chiave che hai creato.

    Se utilizzi un gestore di chiavi esterno (Cloud EKM), assicurati che il sistema del gestore di chiavi esterno conceda anche le autorizzazioni di accesso al account di servizio Cloud KMS (service-KEY_PROJECT_NUMBER@gcp-sa-cloudkms.).

    Console

    1. Vai alla pagina Gestione delle chiavi.

      Vai a Gestione delle chiavi

    2. Fai clic sulle chiavi automatizzate.

    3. Nell'elenco delle chiavi disponibili, fai clic sulla chiave che hai creato.

    4. Fai clic sulla scheda Autorizzazioni.

    5. Fai clic su Concedi l'accesso.

    6. Nel riquadro Concedi l'accesso che si apre, segui questi passaggi per concedere l'accesso al account di servizio di Knowledge Catalog:

      1. In Aggiungi entità, inserisci il account di servizio service-org-ORG_ID@gcp-sa-dataplex..
      2. In Assegna ruoli, seleziona il ruolo Cloud KMS CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter).
      3. Fai clic su Salva.

    gcloud

    Concedi al account di servizio il ruolo Cloud KMS CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter):

    gcloud kms keys add-iam-policy-binding KEY_NAME \
    --location=LOCATION \
    --keyring KEY_RING \
    --project=KEY_PROJECT_ID \
    --member serviceAccount:service-org-ORG_ID@gcp-sa-dataplex. \
    --role roles/cloudkms.cryptoKeyEncrypterDecrypter

    Sostituisci quanto segue:

    • KEY_NAME: il nome della chiave
    • LOCATION: la località
    • KEY_RING: le chiavi automatizzate
    • KEY_PROJECT_ID: l'ID progetto della chiave

  4. Assegna a te il ruolo Dataplex Encryption Admin (roles/dataplex.encryptionAdmin).

    Console

    Segui le istruzioni per concedere un ruolo IAM.

    gcloud 

    gcloud organizations add-iam-policy-binding ORG_ID \
    --member='user:USER_EMAIL' \
    --role='roles/dataplex.encryptionAdmin'

    Sostituisci quanto segue:

    • ORG_ID: l'ID dell'organizzazione che contiene la chiave.
    • USER_EMAIL: l'indirizzo email dell'utente.

  5. Configura Knowledge Catalog per utilizzare la chiave CMEK.

    Console

    1. Nella console Google Cloud , vai alla pagina Knowledge Catalog.

      Vai a Knowledge Catalog

    2. Fai clic su Impostazioni.

    3. In Seleziona la regione per CMEK, seleziona una regione. La regione selezionata deve corrispondere alla località della chiave Cloud KMS.

    4. In Seleziona chiave di crittografia, seleziona la chiave che hai creato.

    5. Fai clic su Salva.

      Il completamento del processo di crittografia dei dati richiede un po' di tempo. Al termine della procedura, viene visualizzato il seguente messaggio: Data Encryption is complete. Your selected CMEK key is now protecting your data.

    gcloud

    1. Imposta la configurazione della crittografia in Knowledge Catalog:

      gcloud dataplex encryption-config create default \
    --location=LOCATION \
    --organization=ORG_ID \
    --key=KEY_RESOURCE_ID

      Sostituisci quanto segue:

      • ORG_ID: l'ID dell'organizzazione che contiene la chiave.
      • KEY_RESOURCE_ID: l'ID risorsa della chiave, ad esempio projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME. Sostituisci PROJECT_ID con l'ID progetto della chiave.

    2. Verifica che il processo di crittografia sia stato completato:

      gcloud dataplex encryption-config describe default \
    --location=LOCATION \
    --organization=ORG_ID

    Il completamento del processo di crittografia dei dati richiede un po' di tempo. Al termine della procedura, viene visualizzato il seguente messaggio: encryptionState: COMPLETED.

Logging e monitoraggio

Controlla le richieste di Knowledge Catalog a Cloud KMS attivando l'audit logging per l'API Cloud Key Management Service.

Policy dell'organizzazione CMEK

Google Cloud fornisce vincoli delle policy dell'organizzazione per applicare l'utilizzo di CMEK e controllare le chiavi Cloud KMS consentite all'interno della tua organizzazione. Questi vincoli contribuiscono a garantire che i dati all'interno di Knowledge Catalog siano protetti in modo coerente da CMEK.

  • constraints/gcp.restrictNonCmekServices impone l'utilizzo obbligatorio di CMEK per le risorse di Knowledge Catalog.

    • L'aggiunta di dataplex.googleapis.com all'elenco dei nomi dei servizi Google Cloud e l'impostazione del vincolo su Deny impediscono la creazione di risorse Knowledge Catalog che non dispongono della protezione CMEK.

    • Se non viene specificata una chiave Cloud KMS per la località richiesta nelle impostazioni di crittografia CMEK, le richieste di creazione di risorse all'interno di Knowledge Catalog non andranno a buon fine.

    • Questa policy viene convalidata a livello di singolo progetto di risorse.

  • constraints/gcp.restrictCmekCryptoKeyProjects limita la selezione delle chiavi Cloud KMS per CMEK alle gerarchie di risorse designate.

    • Configurando un elenco di indicatori della gerarchia delle risorse (progetti, cartelle o organizzazioni) e impostando il vincolo su Allow, Knowledge Catalog è limitato all'utilizzo delle chiavi CMEK solo dalle località specificate.

    • Se viene fornita una chiave Cloud KMS di un progetto non consentito, le richieste di creazione di risorse protette da CMEK in Knowledge Catalog non andranno a buon fine.

    • Questa policy viene convalidata a livello di progetto delle risorse durante la creazione delle risorse.

    • Questa policy viene convalidata a livello di organizzazione durante la configurazione delle impostazioni di crittografia CMEK.

    • Per evitare incoerenze, assicurati che le configurazioni a livello di progetto siano in linea con le policy a livello di organizzazione.

Per saperne di più sulla configurazione delle policy dell'organizzazione, consulta Policy dell'organizzazione CMEK.

Autorizzazioni CMEK per DataScan di Knowledge Catalog

Per creare scansioni del profilo o della qualità dei dati su risorse BigQuery criptate con CMEK, concedi il ruolo Autore crittografia/decrittografia CryptoKey Cloud KMS (roles/cloudkms.cryptoKeyEncrypterDecrypter) sulla chiave Cloud KMS che protegge il set di dati BigQuery agli agenti di servizio Knowledge Catalog e BigQuery.

Concedi il ruolo roles/cloudkms.cryptoKeyEncrypterDecrypter all'agente di servizio Knowledge Catalog:

gcloud kms keys add-iam-policy-binding KEY_NAME \
    --location=LOCATION \
    --keyring=KEYRING_NAME \
    --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-dataplex." \
    --role="roles/cloudkms.cryptoKeyEncrypterDecrypter"

Concedi il ruolo roles/cloudkms.cryptoKeyEncrypterDecrypter all'agente di servizio BigQuery:

gcloud kms keys add-iam-policy-binding KEY_NAME \
    --location=LOCATION \
    --keyring=KEYRING_NAME \
    --member="serviceAccount:bq-PROJECT_NUMBER@bigquery-encryption." \
    --role="roles/cloudkms.cryptoKeyEncrypterDecrypter"

Sostituisci quanto segue:

  • KEY_NAME: il nome della chiave Cloud KMS che protegge il set di dati BigQuery.
  • LOCATION: la posizione delle chiavi automatizzate.
  • KEYRING_NAME: il nome delle chiavi automatizzate.
  • PROJECT_NUMBER: il tuo numero di progetto Google Cloud .

Passaggi successivi

  • Scopri di più su CMEK.