Cloud Key Management Service (Cloud KMS) consente di creare e gestire le chiavi di crittografia da utilizzare nei servizi Google Cloud compatibili e nelle tue applicazioni. Utilizzando Cloud KMS, puoi:
- Genera chiavi software o hardware, importa chiavi esistenti in Cloud KMS o collega chiavi esterne nel tuo sistema di gestione delle chiavi esterne (EKM) compatibile.
- Genera chiavi Cloud HSM e utilizzale con Cloud HSM per Google Workspace per attivare la crittografia lato client (CSE) in Google Workspace.
- Utilizza le chiavi di crittografia gestite dal cliente (CMEK) nei prodotti Google Cloud con integrazione CMEK. Le integrazioni CMEK utilizzano le chiavi Cloud KMS per criptare o "aggregare" le chiavi di crittografia dei dati (DEK). Il wrapping delle DEK con chiavi di crittografia della chiave (KEK) è chiamato crittografia envelope.
- Utilizza Cloud KMS Autokey per automatizzare il provisioning e l'assegnazione. Con Autokey, non devi eseguire il provisioning di chiavi automatizzate, chiavi e service account in anticipo. Vengono invece generate su richiesta durante la creazione delle risorse.
- Utilizza le chiavi Cloud KMS per le operazioni di crittografia e decrittografia. Ad esempio, puoi utilizzare l'API Cloud KMS o le librerie client per utilizzare le chiavi Cloud KMS per la crittografia lato client.
- Utilizza le chiavi Cloud KMS per creare o verificare firme digitali o firme del codice di autenticazione del messaggio (MAC).
Scegliere la crittografia giusta per le tue esigenze
Puoi utilizzare la seguente tabella per identificare il tipo di crittografia più adatto alle tue esigenze per ogni caso d'uso. La soluzione migliore per le tue esigenze potrebbe includere un mix di approcci di crittografia. Ad esempio, puoi utilizzare chiavi software per i dati meno sensibili e chiavi hardware o esterne per i dati più sensibili. Per ulteriori informazioni sulle opzioni di crittografia descritte in questa sezione, vedi Protezione dei dati in Google Cloud in questa pagina.
| Tipo di crittografia | Costo | Servizi compatibili | Funzionalità |
|---|---|---|---|
| Google-owned and Google-managed encryption keys (Google Cloud crittografia predefinita) | Inclusa | Tutti i Google Cloud servizi che archiviano i dati dei clienti |
|
| Chiavi di crittografia
gestite dal cliente - software (chiavi Cloud KMS) |
0,06 $ per versione della chiave | Più di 40 servizi |
|
| Chiavi di crittografia
gestite dal cliente - hardware (chiavi Cloud HSM) |
Da 1,00 $ a 2,50 $per versione della chiave al mese | Più di 40 servizi |
|
| Chiavi di crittografia gestite dal cliente - esterne (chiavi Cloud EKM) |
3 $ per versione della chiave al mese | 30+ servizi |
|
| Crittografia lato client utilizzando le chiavi Cloud KMS | Il costo delle versioni della chiave attive dipende dal livello di protezione della chiave. | Utilizza le librerie client nelle tue applicazioni |
|
| Cloud HSM per Google Workspace | Tariffa mensile fissa per ogni istanza, più il costo delle versioni di chiavi attive e delle operazioni crittografiche. | Utilizzare le chiavi Cloud HSM per la crittografia lato client in Google Workspace |
|
| Chiavi di crittografia fornite dal cliente | Potrebbe aumentare i costi associati a Compute Engine o Cloud Storage |
|
|
| Confidential Computing | Costo aggiuntivo per ogni VM confidenziale; potrebbe aumentare l'utilizzo dei log e i costi associati |
|
Protezione dei dati in Google Cloud
Google-owned and Google-managed encryption keys (crittografia predefinitaGoogle Cloud )
Per impostazione predefinita, i dati at-rest in Google Cloud sono protetti da chiavi in Keystore, Google Cloudil Key Management Service interno. Le chiavi in Keystore vengono gestite automaticamente da Google Cloud, senza richiedere alcuna configurazione da parte tua. La maggior parte dei servizi ruota automaticamente le chiavi per te. Keystore supporta una versione chiave primaria e un numero limitato di versioni precedenti della chiave. La versione chiave primaria viene utilizzata per criptare le nuove chiavi di crittografia dei dati. Le versioni precedenti della chiave possono comunque essere utilizzate per decriptare le chiavi di crittografia dei dati esistenti. Non puoi visualizzare o gestire queste chiavi né esaminare i log di utilizzo delle chiavi. I dati di più clienti potrebbero utilizzare la stessa chiave di crittografia della chiave.
Questa crittografia predefinita utilizza moduli crittografici convalidati come conformi allo standard FIPS 140-2 livello 1.
Chiavi di crittografia gestite dal cliente (CMEK)
Le chiavi Cloud KMS utilizzate per proteggere le risorse nei servizi integrati con CMEK sono chiavi di crittografia gestite dal cliente (CMEK). Puoi possedere e controllare le chiavi CMEK, delegando la creazione e l'assegnazione delle chiavi a Cloud KMS Autokey. Per scoprire di più sull'automazione del provisioning per le CMEK, consulta Cloud Key Management Service con Autokey.
Puoi utilizzare le chiavi Cloud KMS nei servizi compatibili per raggiungere i seguenti obiettivi:
Possedere le chiavi di crittografia.
Controlla e gestisci le chiavi di crittografia, inclusi scelta della posizione, livello di protezione, creazione, controllo dell'accesso, rotazione, utilizzo e distruzione.
Elimina selettivamente i dati protetti dalle tue chiavi in caso di offboarding o per correggere eventi di sicurezza (distruzione crittografica).
Crea chiavi dedicate e single-tenant che stabiliscono un limite crittografico intorno ai tuoi dati.
Registra l'accesso amministrativo e ai dati alle chiavi di crittografia.
Rispetto delle normative attuali o future che richiedono uno di questi obiettivi.
Quando utilizzi le chiavi Cloud KMS con i servizi integrati con CMEK, puoi utilizzare i criteri dell'organizzazione per assicurarti che le CMEK vengano utilizzate come specificato nei criteri. Ad esempio, puoi impostare una policy dell'organizzazione che garantisca che le risorse compatibili Google Cloud utilizzino le chiavi Cloud KMS per la crittografia. I criteri dell'organizzazione possono anche specificare in quale progetto devono risiedere le risorse chiave.
Le funzionalità e il livello di protezione forniti dipendono dal livello di protezione della chiave:
Chiavi software: puoi generare chiavi software in Cloud KMS e utilizzarle in tutte le Google Cloud posizioni. Puoi creare chiavi simmetriche con rotazione automatica o chiavi asimmetriche con rotazione manuale. Le chiavi software gestite dal cliente utilizzano moduli di crittografia software convalidati FIPS 140-2 livello 1. Hai anche il controllo del periodo di rotazione, dei ruoli e delle autorizzazioni di Identity and Access Management (IAM) e dei criteri dell'organizzazione che regolano le chiavi. Puoi utilizzare le chiavi software con molte risorse compatibili Google Cloud.
Chiavi software importate: puoi importare chiavi software che hai creato altrove per utilizzarle in Cloud KMS. Puoi importare nuove versioni della chiave per ruotare manualmente le chiavi importate. Puoi utilizzare i ruoli e le autorizzazioni IAM e i criteri dell'organizzazione per controllare l'utilizzo delle chiavi importate.
Chiavi hardware e Cloud HSM: puoi generare chiavi hardware in un cluster di moduli di sicurezza hardware (HSM) FIPS 140-2 di livello 3. Hai il controllo sul periodo di rotazione, sui ruoli e sulle autorizzazioni IAM e sui criteri dell'organizzazione che regolano le chiavi. Quando crei chiavi HSM utilizzando Cloud HSM, Google Cloudgestisce i cluster HSM al posto tuo. Puoi utilizzare le chiavi HSM con molte risorse compatibili Google Cloud, ovvero gli stessi servizi che supportano le chiavi software. Per il massimo livello di conformità alla sicurezza, utilizza le chiavi hardware.
Chiavi esterne e Cloud EKM: puoi utilizzare le chiavi che si trovano in un gestore di chiavi esterno (EKM). Cloud EKM ti consente di utilizzare le chiavi archiviate in un gestore delle chiavi supportato per proteggere le tue risorseGoogle Cloud . Puoi connetterti al tuo EKM tramite internet o tramite un Virtual Private Cloud (VPC). Alcuni Google Cloud servizi che supportano le chiavi Cloud KMS non supportano le chiavi Cloud EKM.
Chiavi Cloud KMS
Puoi utilizzare le chiavi Cloud KMS nelle applicazioni personalizzate utilizzando le librerie client Cloud KMS o l'API Cloud KMS. Le librerie client e l'API ti consentono di criptare e decriptare i dati, firmarli e convalidare le firme.
Chiavi Cloud HSM
Puoi utilizzare le chiavi Cloud HSM in Cloud HSM per Google Workspace per gestire le chiavi utilizzate per la crittografia lato client (CSE) in Google Workspace. Puoi eseguire l'onboarding di Cloud HSM per Google Workspace.
Chiavi di crittografia fornite dal cliente (CSEK)
Cloud Storage e Compute Engine possono utilizzare le chiavi di crittografia fornite dal cliente (CSEK). Con le chiavi di crittografia fornite dal cliente, memorizzi il materiale della chiave e lo fornisci a Cloud Storage o Compute Engine quando necessario. Google Cloud non memorizza in alcun modo le tue chiavi di crittografia lato client.Confidential Computing
In Compute Engine, GKE e Dataproc puoi utilizzare la piattaforma Confidential Computing per criptare i dati in uso. Confidential Computing garantisce che i tuoi dati rimangano privati e criptati anche durante l'elaborazione.