Présentation des clés de chiffrement gérées par le client (CMEK)

Cette page décrit les clés de chiffrement gérées par le client (CMEK) pour Spanner. Pour en savoir plus sur CMEK en général, y compris quand et pourquoi l'activer, consultez la documentation de Cloud Key Management Service.

Par défaut, Spanner chiffre le contenu client au repos. Spanner gère le chiffrement sans intervention de votre part. Cette option est appelée chiffrement par défaut de Google.

Si vous souhaitez contrôler vos clés de chiffrement, vous pouvez utiliser des clés de chiffrement gérées par le client (CMEK) dans Cloud KMS avec des services bénéficiant d'une intégration des CMEK, y compris Spanner. L'utilisation de clés Cloud KMS vous permet de contrôler leur niveau de protection, leur emplacement, leur calendrier de rotation, leurs autorisations d'utilisation et d'accès, ainsi que leurs limites cryptographiques. Grâce à Cloud KMS, vous pouvez également afficher les journaux d'audit et contrôler les cycles de vie des clés. Au lieu de laisser Google posséder et gérer les clés de chiffrement de clés (KEK) symétriques qui protègent vos données, c'est vous qui vous chargez de cette tâche dans Cloud KMS.

Une fois que vous avez configuré vos ressources avec des CMEK, l'accès à vos ressources Spanner est semblable à celui du chiffrement par défaut de Google. Pour en savoir plus sur les options de chiffrement, consultez Clés de chiffrement gérées par le client (CMEK).

Pour apprendre à utiliser des clés CMEK créées manuellement afin de protéger vos ressources Spanner, consultez la section Sécuriser une base de données avec CMEK.

Fonctionnalités

• Contrôle de l'contrôle des accès données : les administrateurs peuvent alterner la clé utilisée pour protéger les données au repos dans Spanner, en gérer l'accès, et la désactiver ou la détruire.
• Possibilité de réaliser des audits : si vous activez la journalisation d'audit pour l'API Cloud KMS dans votre projet, toutes les actions sur la clé, y compris celles effectuées par Spanner, sont enregistrées et visibles dans Cloud Logging. Les clés Cloud EKM sont compatibles avec Key Access Justifications, qui ajoute un champ de justification à toutes les requêtes de clé. Avec certains partenaires de gestion de clés externes, vous pouvez approuver ou refuser automatiquement ces demandes, en fonction de leur justification.
• Performances : l'utilisation de CMEK n'entraîne aucune modification des performances de Spanner ni du contrat de niveau de service.
• Prise en charge de plusieurs clés régionales : vous pouvez créer plusieurs clés Cloud KMS régionales (à région unique) pour protéger une base de données dans une configuration d'instance Spanner personnalisée, birégionale ou multirégionale.

Tarifs

Spanner facture les bases de données compatibles CMEK comme n'importe quelle autre base de données. L'activation de CMEK n'entraîne aucun coût Spanner supplémentaire. Pour en savoir plus, consultez la page Tarifs de Spanner.

Cloud KMS vous facture le coût de la clé ainsi que toutes les opérations cryptographiques effectuées avec cette clé (chaque fois que Spanner utilise la clé pour le chiffrement/déchiffrement). Nous prévoyons que ces coûts seront minimes en fonction du nombre attendu d'opérations cryptographiques générées par Spanner. Pour en savoir plus, consultez la page Tarifs de Cloud KMS.

Éléments protégés par CMEK

Dans une base de données compatible avec CMEK, Spanner utilise vos clés Cloud KMS pour protéger les données au repos. Cela inclut les données d'une base de données stockées sur disque ou sur mémoire flash.

Certaines exceptions s'appliquent. Les types de données suivants sont protégés par le chiffrement au repos par défaut de Google, et non par la clé CMEK :

• Un sous-ensemble de clés de ligne qui marquent les limites de plages
• Les données de débogage, y compris les vidages de mémoire et les journaux opérationnels
• Les données en transit ou en mémoire
• Les métadonnées de base de données

Dans Spanner, il existe trois niveaux de chiffrement. Les données au repos sont stockées sous la forme de fragments de sous-fichiers, et chaque fragment est chiffré au niveau du stockage avec une clé de chiffrement individuelle. La clé utilisée pour chiffrer les données contenues dans un fragment est appelée "clé de chiffrement des données" (DEK, Data Encryption Key). En raison du volume élevé de clés chez Google, et de la nécessité d'une faible latence et d'une haute disponibilité, ces clés sont stockées à proximité des données qu'elles chiffrent. Les DEK sont elles-mêmes chiffrées (ou "encapsulées") à l'aide d'une clé de chiffrement de clé (KEK, Key Encryption Key). Enfin, chaque KEK est chiffrée avec votre clé CMEK.

Lorsque vous effectuez une rotation de la clé CMEK, Spanner rechiffre uniquement les KEK intermédiaires avec la dernière version principale de la clé CMEK. Une fois le rechiffrement terminé, la désactivation ou la suppression des versions antérieures de la clé CMEK ne désactive pas l'accès à la base de données. Vous pouvez également afficher les versions de clé utilisées pour protéger une base de données.

Avec CMEK

Sans CMEK

Activer CMEK

Pour utiliser CMEK pour les bases de données Spanner, vous devez créer une base de données et spécifier la clé Cloud KMS au moment de la création de la base de données. Spanner peut accéder à la clé en votre nom après avoir accordé le Chiffreur/Déchiffreur de CryptoKeys Cloud KMS (roles/cloudkms.cryptoKeyEncrypterDecrypter) rôle à un compte de service Spanner géré par Google. Pour obtenir des instructions détaillées, consultez la section Sécuriser une base de données avec CMEK.

Les API d'accès aux données de Spanner data access APIs, telles que celles utilisées pour gérer les sessions et exécuter des transactions sur les données, sont exactement les mêmes pour CMEK et Google-owned and Google-managed encryption keys. Les applications n'ont pas besoin de spécifier de clé ni de configuration de chiffrement lors de la lecture ou de l'écriture de données. Tout le chiffrement est géré par le service.

Remarque : Une fois que vous avez activé CMEK dans votre base de données Spanner, vous ne pouvez plus modifier sa configuration de chiffrement, sauf si vous sauvegardez et restaurez la base de données, ou si vous l'exportez, puis l'importez à nouveau dans Spanner.

Gérer les clés

Les opérations de gestion des clés sont effectuées à l'aide de Cloud KMS. Spanner ne peut ni détecter, ni exploiter les modifications d'une clé avant que celles-ci ne soient propagées par Cloud KMS. La propagation de certaines opérations, telles que la désactivation ou la destruction d'une clé, peut prendre jusqu'à trois heures. Les modifications apportées aux autorisations se propagent généralement beaucoup plus rapidement.

Une fois la base de données créée, Spanner appelle Cloud KMS environ toutes les cinq minutes pour s'assurer que la clé est toujours valide.

Si Spanner détecte que votre clé Cloud KMS a été désactivée ou détruite, une opération visant à rendre votre base de données inaccessible commence immédiatement. Tous les appels suivants à la base de données, y compris les sessions, les lectures, et les écritures, renvoient une erreur FAILED_PRECONDITION : KMS key required by the Spanner resource is not accessible. Si les appels de Spanner's à Cloud KMS détectent qu'une clé précédemment désactivée a été réactivée, Cloud KMS restaure automatiquement l'accès à la base de données Spanner.

De plus, si une base de données est protégée par plusieurs clés régionales et que toutes les clés sont désactivées ou détruites, Spanner commence immédiatement à rendre votre base de données inaccessible. Si Spanner détecte que seul un sous-ensemble des clés de la base de données est désactivé ou détruit, il désactive la base de données sur une période de 12 heures. Il est fortement déconseillé de désactiver ou de détruire uniquement un sous-ensemble de clés dans une base de données compatible avec CMEK, car cela peut entraîner un comportement incertain. Pour éviter cela, vous pouvez utiliser la métrique Clés CMEK Spanner (instance/replica/cmek/total_keys) pour déclencher une alerte si un sous-ensemble de clés est désactivé ou détruit. Pour en savoir plus, consultez la section Créer une alerte pour la désactivation d'un sous-ensemble de clés CMEK.

Avertissement : Si une base de données reste désactivée pendant plus de sept jours consécutifs, Spanner la supprime automatiquement. Pour éviter toute perte définitive de données, ne laissez pas les clés CMEK dans un état inaccessible pendant une période prolongée.

Si une clé Cloud KMS est supprimée et ne peut pas être récupérée, toute base de données Spanner chiffrée avec cette clé devient définitivement inaccessible.

Nous vous déconseillons vivement de désactiver ou de détruire uniquement un sous-ensemble de clés dans une base de données CMEK qui utilise plusieurs clés. Vous devez désactiver toutes les clés de la base de données.

Créer une alerte pour la désactivation d'un sous-ensemble de clés CMEK

Vous pouvez utiliser la métrique Clés CMEK Spanner (/instance/replica/cmek/total_keys) pour déclencher une alerte si un sous-ensemble de clés CMEK est désactivé ou détruit. Pour créer cette règle d'alerte, développez les étapes et les paramètres suivants :

Procédure permettant de créer une règle d'alerte

Pour créer une règle d'alerte, procédez comme suit :

1. Dans la Google Cloud console, accédez à la  Alertes page :

   Accéder à la page Alertes

   Si vous utilisez la barre de recherche pour trouver cette page, sélectionnez le résultat dont le sous-titre est Monitoring.

2. Si vous n'avez pas créé vos canaux de notification et que vous souhaitez être averti, cliquez sur Modifier les canaux de notification et ajoutez vos canaux de notification. Revenez à la page Alertes après avoir ajouté vos canaux.
3. Sur la page Alertes, cliquez sur Créer une règle.
4. Pour sélectionner la ressource, la métrique et les filtres, développez le menu Sélectionner une métrique, puis utilisez les valeurs du tableau Nouvelle condition :
   1. (Facultatif) Pour limiter le menu aux entrées pertinentes, saisissez le nom de la ressource ou de la métrique dans la barre de filtre.
   2. Sélectionner un type de ressource Par exemple, sélectionnez Instance de VM.
   3. Sélectionnez une catégorie de métriques. Par exemple, sélectionnez instance.
   4. Sélectionnez une métrique. Par exemple, sélectionnez Utilisation du processeur.
   5. Sélectionnez Appliquer.
5. Cliquez sur Suivant, puis configurez le déclencheur de règle d'alerte. Pour renseigner ces champs, utilisez les valeurs du tableau Configurer le déclencheur d'alerte.
6. Cliquez sur Suivant.

7. Facultatif : Pour ajouter des notifications à votre règle d'alerte, cliquez sur Canaux de notification. Dans la boîte de dialogue, sélectionnez un ou plusieurs canaux de notification dans le menu, puis cliquez sur OK.

   Pour recevoir une notification en cas d'ouverture et de fermeture d'un incident, cochez la case Notifier en cas de fermeture des incidents. Par défaut, les notifications ne sont envoyées que lorsque des incidents sont ouverts.

8. (Facultatif) Mettez à jour la durée de fermeture automatique de l'incident. Ce champ détermine à quel moment Monitoring ferme les incidents en l'absence de données de métriques.
9. Facultatif : Cliquez sur Documentation, puis ajoutez les informations à inclure dans le message de notification.
10. Cliquez sur Nom de l'alerte et saisissez un nom pour la règle d'alerte.
11. Cliquez sur Créer une règle.

Paramètres pour la règle d'alerte CMEK

Nouvelle condition Champ	Valeur
Ressource et métrique	Dans le menu Ressources, sélectionnez Instance Spanner. Dans le menu Catégories de métriques, sélectionnez Instance. Dans le menu Métriques, sélectionnez Clés CMEK. (Le type de métrique est spanner.googleapis.com/instance/replica/cmek/total_keys).
Filter	instance_id = INSTANCE_ID is_key_revoked = TRUE
Dans toutes les séries temporelles Regrouper les séries temporelles par	database
Dans toutes les séries temporelles Agrégation de séries temporelles	sum
Fenêtre glissante	10 m
Fenêtrage glissant	mean

Champ Configurer le déclencheur d'alerte	Valeur
Type de condition	Threshold
Déclencheur d'alerte	Any time series violates
Position du seuil	Above threshold
Seuil	0
Fenêtre de nouveau test	1 hr

Nouvelle condition Champ	Valeur
Ressource et métrique	Dans le menu Ressources, sélectionnez Instance Spanner. Dans le menu Catégories de métriques, sélectionnez Instance. Dans le menu Métriques, sélectionnez Clés CMEK. (Le type de métrique est spanner.googleapis.com/instance/replica/cmek/total_keys).
Filter	instance_id = INSTANCE_ID is_key_revoked = FALSE
Dans toutes les séries temporelles Regrouper les séries temporelles par	database
Dans toutes les séries temporelles Agrégation de séries temporelles	sum
Fenêtre glissante	10 m
Fenêtrage glissant	mean

Champ Configurer le déclencheur d'alerte	Valeur
Type de condition	Threshold
Déclencheur d'alerte	Any time series violates
Position du seuil	Above threshold
Seuil	0
Fenêtre de nouveau test	1 hr

Champ Configurer le déclencheur d'alerte	Valeur
Déclencheur à plusieurs conditions	All conditions are met

Une fois l'alerte créée, si Spanner détecte qu'un sous-ensemble de clés CMEK a été désactivé, un élément de résumé d'incident s'affiche dans le tableau Incidents de la page Détails de la règle de l'alerte. Vous pouvez également configurer des canaux de notification facultatifs. Pour en savoir plus, consultez la page Créer et gérer des canaux de notification.

Traitement de l'état d'indisponibilité d'une clé

Dans de rares cas, par exemple pendant les périodes d'indisponibilité de Cloud KMS, Spanner peut ne pas être en mesure de récupérer l'état de votre clé à partir de Cloud KMS.

Si votre base de données Spanner est protégée par une clé activée au moment où Spanner ne peut pas communiquer avec Cloud KMS, Spanner continue à prendre en charge les opérations de base de données complètes du mieux qu'il peut sur une période d'une heure maximum afin de minimiser l'impact d'un tel incident sur votre charge de travail. Au bout d'une heure, si Spanner ne parvient toujours pas à se connecter à Cloud KMS, il commence à mettre la base de données hors connexion par mesure de protection. Les données de votre base de données Spanner restent inaccessibles jusqu'à ce que la base de données puisse se reconnecter à Cloud KMS et que Cloud KMS réponde que la clé est bien active.

Inversement, si votre base de données Spanner est protégée par une clé désactivée au moment où Spanner est d'abord incapable de communiquer avec Cloud KMS, elle reste inaccessible jusqu'à ce qu'elle puisse se reconnecter à Cloud KMS et que vous ayez réactivé votre clé.

Si vous utilisez plusieurs clés régionales pour protéger une base de données Spanner, seules les instances dupliquées protégées par une clé résidant dans la région Cloud KMS indisponible sont affectées par l'indisponibilité.

Remarques importantes concernant les clés externes

Lorsque vous utilisez une clé Cloud EKM, Google n'a aucun contrôle sur la disponibilité de votre clé gérée en externe dans le système partenaire de gestion des clés externes.

Si une clé gérée en externe n'est pas disponible, Spanner continue de prendre en charge les opérations de base de données complètes du mieux qu'il peut pendant une heure au maximum. Au bout d'une heure, si Spanner ne parvient toujours pas à se connecter à Cloud KMS, il commence à mettre la base de données hors connexion par mesure de protection. Les appels à la base de données échouent avec une FAILED_PRECONDITION erreur : External key error: Could not find a key resource at the key URI.

Si vous utilisez plusieurs clés Cloud EKM pour protéger votre base de données Spanner, seules les instances dupliquées protégées par la clé indisponible sont affectées par l'indisponibilité.

Pour plus d'informations sur l'utilisation des clés externes, consultez la documentation de Cloud External Key Manager.

Avertissement : Si une base de données reste désactivée pendant plus de sept jours consécutifs, Spanner la supprime automatiquement. Pour éviter toute perte définitive de données, ne laissez pas les clés externes dans un état inaccessible pendant une période prolongée.

Si une clé externe est supprimée et ne peut pas être récupérée, toute base de données Spanner chiffrée avec cette clé devient définitivement inaccessible.

Sauvegarde et restauration

Vous pouvez utiliser CMEK or Google-owned and Google-managed encryption keys pour protéger les sauvegardes Spanner backups. Par défaut, une sauvegarde utilise la même configuration de chiffrement que sa base de données, mais vous pouvez ignorer ce comportement en spécifiant une configuration de chiffrement différente lors de la création de la sauvegarde. Si la sauvegarde est compatible avec les CMEK, elle est chiffrée à l'aide de la version principale de la clé KMS au moment de la création de la sauvegarde. Une fois la sauvegarde créée, la clé et la version de clé associées ne peuvent plus être modifiées, même si la clé KMS est alternée. Pour en savoir plus, consultez la section Sauvegarder une base de données.

Lorsque vous restaurez une base de données à partir d' une sauvegarde, la base de données restaurée utilise par défaut la même configuration de chiffrement que la sauvegarde. Vous pouvez ignorer ce comportement en spécifiant une autre configuration de chiffrement lors de la restauration de la base de données. Pour restaurer une sauvegarde avec CMEK activé, la clé et la version de clé utilisées pour chiffrer la sauvegarde doivent être disponibles. Pour en savoir plus, consultez la section Restaurer à partir d'une sauvegarde.

Vous pouvez effectuer des opérations de sauvegarde telles que la création, la copie et la restauration sur une base de données chiffrée avec plusieurs clés régionales.

Toutes les sauvegardes créées par des planifications de sauvegarde peuvent être protégées par CMEK ou Google-owned and Google-managed encryption keys.

Partitionnement géographique

Vous pouvez utiliser CMEK ou Google-owned and Google-managed encryption keys pour protéger les bases de données Spanner qui utilisent le partitionnement géographique. Lorsque vous utilisez le partitionnement géographique, vous devez utiliser une clé Cloud KMS régionale pour chaque emplacement d'instance dupliquée, y compris ceux de la configuration de partition d'instance. Les clés multirégionales ne sont pas acceptées. Chaque clé Cloud KMS régionale doit se trouver dans la même région que l'emplacement de partition d'instance ou d'instance dupliquée Spanner correspondant.

Par exemple, si votre base de données Spanner se trouve dans la configuration d'instance multirégionale nam3, avec des partitions d'instance situées dans europe-west1 et europe-west2, vous devez créer des clés Cloud KMS dans les régions suivantes :

• us-east4 (partie de nam3)
• us-east1 (partie de nam3)
• us-central1 (partie de nam3)
• europe-west1 (emplacement de la partition d'instance)
• europe-west2 (emplacement de la partition d'instance)

Pour en savoir plus, consultez la section Sécuriser une base de données avec CMEK.

Journalisation

Vous pouvez auditer les requêtes envoyées par Spanner en votre nom à Cloud KMS dans Logging, si vous avez activé la journalisation d'audit pour l'API Cloud KMS dans votre projet. Ces entrées de journal Cloud KMS sont visibles dans Logging.

Exiger ou limiter l'utilisation de CMEK dans votre organisation

Vous pouvez définir des règles à l'échelle de l'organisation concernant l'utilisation de la protection CMEK dans différents Google Cloud produits, y compris Spanner. Ces règles vous permettent d'effectuer les opérations suivantes :

• Exiger que les nouvelles bases de données Spanner créées par votre organisation utilisent la protection CMEK.

• Limiter les clés Cloud KMS de votre organisation disponibles pour la protection CMEK.

Pour en savoir plus, consultez la page Règles d'administration CMEK.

Étape suivante

• Découvrez comment sécuriser une base de données avec CMEK.