En esta página, se proporciona una descripción general de Cloud External Key Manager (Cloud EKM).
Terminología
Administrador de claves externas (EKM)
El administrador de claves que usas fuera de Google Cloud para administrar tus claves.
Cloud External Key Manager (Cloud EKM)
Un servicio de Google Cloud para usar tus claves externas administradas dentro de un EKM compatible.
Cloud EKM a través de Internet
Es una versión de Cloud EKM en la que Google Cloud se comunica con tu administrador de claves externo a través de Internet.
Cloud EKM a través de una VPC
Una versión de Cloud EKM en la que Google Cloud se comunica con tu administrador de claves externo a través de una nube privada virtual (VPC). Para obtener más información, consulta la descripción general de las redes de VPC.
Administración de claves de EKM desde Cloud KMS
Cuando usas Cloud EKM a través de una VPC con un socio de administración de claves externo que admite el plano de control de Cloud EKM, puedes usar el modo de administración de EKM de Cloud KMS para simplificar el proceso de mantenimiento de claves externas en tu socio de administración de claves externo y en Cloud EKM. Para obtener más información, consulta Claves externas coordinadas y Administración de claves de EKM desde Cloud KMS en esta página.
Espacio criptográfico
Un contenedor para tus recursos dentro de tu socio de administración de claves externas. Tu espacio criptográfico se identifica con una ruta de acceso única. El formato de la ruta de acceso al espacio criptográfico varía según el socio de administración de claves externo, por ejemplo,
v0/cryptospaces/YOUR_UNIQUE_PATH.EKM administrado por socios
Un acuerdo en el que un socio de confianza administra tu EKM. Para obtener más información, consulta EKM administrado por socios en esta página.
Key Access Justifications
Cuando usas Cloud EKM con Key Access Justifications, cada solicitud a tu socio de administración de claves externo incluye un campo que identifica el motivo de cada solicitud. Puedes configurar tu socio de administración de claves externas para permitir o rechazar solicitudes según el código de Key Access Justifications proporcionado. Para obtener más información sobre Key Access Justifications, consulta la descripción general de Key Access Justifications.
Descripción general
Con Cloud EKM, puedes usar las claves que administras dentro de un socio de administración de claves externo compatible para proteger los datos en Google Cloud. Puedes proteger los datos en reposo en los servicios de integración de CMEK compatibles o llamando directamente a la API de Cloud Key Management Service.
Cloud EKM ofrece varios beneficios:
Procedencia de la clave: tú controlas la ubicación y la distribución de las claves administradas de forma externa. Las claves administradas de forma externa nunca se almacenan en caché ni se almacenan en Google Cloud. En su lugar, Cloud EKM se comunica directamente con el socio de administración de claves externo para cada solicitud.
Control de acceso: Administras el acceso a tus claves administradas de forma externa en tu administrador de claves externo. No puedes usar una clave administrada de forma externa en Google Cloud sin otorgarle primero acceso a la clave en tu administrador de claves externo al proyecto de Google Cloud. Puedes revocar este acceso en cualquier momento.
Administración de claves centralizada: Puedes administrar tus claves y políticas de acceso desde una única interfaz de usuario, ya sea que los datos que protejan residen en la nube o en tus instalaciones locales.
En todos los casos, la clave reside en el sistema externo y nunca se envía a Google.
Puedes comunicarte con tu administrador de claves externo a través de Internet o a través de una nube privada virtual (VPC).
Cómo funciona Cloud EKM
Las versiones de claves de Cloud EKM constan de las siguientes partes:
- Material de clave externo: El material de clave externo de una clave de Cloud EKM es material criptográfico creado y almacenado en tu EKM. Este material no sale de tu EKM y nunca se comparte con Google.
- Referencia de clave: Cada versión de clave de Cloud EKM contiene un URI de clave o una ruta de acceso a la clave. Este es un identificador único para el material de clave externo que usa Cloud EKM cuando solicita operaciones criptográficas con la clave.
- Material de clave interno: Cuando se crea una clave simétrica de Cloud EKM, Cloud KMS crea material de clave adicional en Cloud KMS, que nunca sale de Cloud KMS. Este material de claves se usa como una capa adicional de encriptación cuando se comunica con tu EKM. Este material de clave interno no se aplica a las claves de firma asimétricas.
Para usar tus claves de Cloud EKM, este servicio envía solicitudes de operaciones criptográficas a tu EKM. Por ejemplo, para encriptar datos con una clave de encriptación simétrica, Cloud EKM primero encripta los datos con el material de clave interno. Los datos encriptados se incluyen en una solicitud al EKM. El EKM une los datos encriptados en otra capa de encriptación con el material de clave externo y, luego, muestra el texto cifrado resultante. Los datos encriptados con una clave de Cloud EKM no se pueden desencriptar sin el material de la clave externa ni el material de la clave interna.
Si tu organización habilitó Key Access Justifications, tu socio de administración de claves externas registrará la justificación de acceso proporcionada y completará la solicitud solo para los códigos de motivo de justificación que permita tu política de Key Access Justifications en el socio de administración de claves externas.
La creación y administración de claves de Cloud EKM requiere los cambios correspondientes en Cloud KMS y el EKM. Estos cambios correspondientes se manejan de manera diferente para las claves externas administradas de forma manual y para las claves externas coordinadas. Todas las claves externas a las que se accede a través de Internet se administran de forma manual. Las claves externas a las que se accede a través de una red de VPC se pueden administrar o coordinar de forma manual, según el modo de administración del EKM del EKM a través de la conexión de VPC. El modo de administración de EKM manual se usa para las claves administradas de forma manual. El modo de administración de EKM de Cloud KMS se usa para claves externas coordinadas. Para obtener más información sobre los modos de administración de EKM, consulta Claves externas administradas de forma manual y Claves externas coordinadas en esta página.
En el siguiente diagrama, se muestra cómo Cloud KMS encaja en el modelo de administración de claves. En este diagrama, se usan Compute Engine y BigQuery como dos ejemplos. También puedes ver la lista completa de servicios compatibles con las claves Cloud EKM.
Puedes obtener información sobre las consideraciones y las restricciones cuando usas Cloud EKM.
Claves externas administradas de forma manual
En esta sección, se proporciona una descripción general de cómo funciona Cloud EKM con una clave externa administrada de forma manual.
- Creas o usas una clave existente en un sistema asociado de administración de claves externo compatible. Esta clave tiene un URI único o ruta de acceso a la clave.
- Debes otorgar a tu proyecto de Google Cloud acceso para usar la clave en el sistema de socios de administración de claves externas.
- En tu proyecto de Google Cloud, crea una versión de clave de Cloud EKM con el URI o la ruta de la clave para la administrada de forma externa.
- Las operaciones de mantenimiento, como la rotación de claves, deben administrarse de forma manual entre tu EKM y Cloud EKM. Por ejemplo, las operaciones de rotación o destrucción de versiones de claves deben completarse directamente en tu EKM y en Cloud KMS.
Dentro de Google Cloud, la clave aparece junto a tus otras claves de Cloud KMS y Cloud HSM, con nivel de protección EXTERNAL o EXTERNAL_VPC. La clave de Cloud EKM y la clave del socio de administración de claves externo trabajan juntas para proteger tus datos. El material de clave externo nunca se expone a Google.
Claves externas coordinadas
En esta sección, se proporciona una descripción general de cómo funciona Cloud EKM con una clave externa coordinada.
Configuras un EKM a través de una conexión de VPC y estableces el modo de administración de EKM en Cloud KMS. Durante la configuración, debes autorizar a tu EKM para que acceda a tu red de VPC y autorizar a la cuenta de servicio de tu proyecto de Google Cloud para que acceda a tu espacio criptográfico en tu EKM. Tu conexión de EKM usa el nombre de host de tu EKM y una ruta de espacio criptográfico que identifica tus recursos dentro de tu EKM.
Crea una clave externa en Cloud KMS. Cuando creas una clave de EKM de Cloud con un EKM a través de una conexión de VPC con el modo de administración de EKM de Cloud KMS habilitado, se realizan automáticamente los siguientes pasos:
- Cloud EKM envía una solicitud de creación de claves a tu EKM.
- Tu EKM crea el material de clave solicitado. Este material de clave externo permanece en el EKM y nunca se envía a Google.
- Tu EKM muestra una ruta de acceso a la clave a Cloud EKM.
- Cloud EKM crea la versión de tu clave de Cloud EKM con la ruta de acceso a la clave que proporciona tu EKM.
Las operaciones de mantenimiento en las claves externas coordinadas se pueden iniciar desde Cloud KMS. Por ejemplo, las claves externas coordinadas que se usan para la encriptación simétrica se pueden rotar automáticamente en un programa establecido. Cloud EKM coordina la creación de versiones de claves nuevas en tu EKM. También puedes activar la creación o destrucción de versiones de claves en tu EKM desde Cloud KMS con la consola de Google Cloud, la gcloud CLI, la API de Cloud KMS o las bibliotecas cliente de Cloud KMS.
Dentro de Google Cloud, la clave aparece junto a tus otras claves de Cloud KMS y Cloud HSM, con nivel de protección EXTERNAL_VPC. La clave de Cloud EKM y la clave del socio de administración de claves externas trabajan juntas para proteger tus datos. El material de clave externo nunca se expone a Google.
Administración de claves de EKM desde Cloud KMS
Las claves externas coordinadas son posibles gracias a las conexiones de EKM a través de VPC que usan la administración de claves de EKM desde Cloud KMS. Si tu EKM admite el plano de control de Cloud EKM, puedes habilitar la administración de claves de EKM desde Cloud KMS para tu EKM a través de conexiones de VPC para crear claves externas coordinadas. Con la administración de claves de EKM de Cloud KMS habilitada, Cloud EKM puede solicitar los siguientes cambios en tu EKM:
Crear una clave: Cuando creas una clave administrada de forma externa en Cloud KMS con un EKM compatible a través de una conexión de VPC, Cloud EKM envía tu solicitud de creación de claves a tu EKM. Si la operación es exitosa, el EKM crea la clave y el material de clave nuevos, y muestra la ruta de acceso a la clave que Cloud EKM usará para acceder a ella.
Rotar una clave: Cuando rota una clave administrada de forma externa en Cloud KMS con un EKM compatible a través de una conexión de VPC, Cloud EKM envía tu solicitud de rotación a tu EKM. Si se realiza correctamente, el EKM crea un nuevo material de clave y muestra la ruta de acceso de la clave para que el EKM de Cloud la use para acceder a la nueva versión de clave.
Destruir una clave: Cuando destruyes una versión de clave de una clave administrada de forma externa en Cloud KMS con un EKM compatible a través de una conexión de VPC, Cloud KMS programa la destrucción de la versión de clave en Cloud KMS. Si la versión de clave no se restablece antes de que finalice el período programado para su destrucción, Cloud EKM destruirá su parte del material criptográfico de la clave y enviará una solicitud de destrucción a tu EKM.
Los datos encriptados con esta versión de clave no se pueden desencriptar después de que se destruya la versión de clave en Cloud KMS, incluso si el EKM aún no la destruyó. Para ver si el EKM destruyó correctamente la versión de clave, consulta los detalles de la clave en Cloud KMS.
Cuando las claves de tu EKM se administran desde Cloud KMS, el material de clave sigue residiendo en tu EKM. Google no puede realizar solicitudes de administración de claves a tu EKM sin permiso explícito. Google no puede cambiar los permisos ni las políticas de Key Access Justifications en tu sistema de socios de administración de claves externas. Si revocas los permisos de Google en tu EKM, fallarán las operaciones de administración de claves que se intenten en Cloud KMS.
Compatibilidad
Administradores de claves compatibles
Puede almacenar claves externas en los siguientes sistemas de administración de claves externas:
Servicios que admiten CMEK con Cloud EKM
Los siguientes servicios admiten la integración con Cloud KMS para claves externas (Cloud EKM):
- Agent Assist
- AlloyDB para PostgreSQL
- Concentrador de APIs de Apigee
- Artifact Registry
- Copia de seguridad para GKE
- BigQuery
- Bigtable
- Cloud Composer
- Cloud Data Fusion
- API de Cloud Healthcare
- Cloud Logging: Datos en el router de registros y Datos en el almacenamiento de registros
- Cloud Run
- Funciones de Cloud Run
- Cloud SQL
- Cloud Storage
- Cloud Tasks
- Cloud Workstations
- Compute Engine: Discos persistentes , Instantáneas , Imágenes personalizadas , y Imágenes de máquinas
- Estadísticas de conversación
- Database Migration Service: Migraciones de MySQL: datos escritos en bases de datos , Migraciones de PostgreSQL: datos escritos en bases de datos , Migraciones de PostgreSQL a AlloyDB: datos escritos en bases de datos , y Datos en reposo de Oracle a PostgreSQL
- Dataflow
- Dataform
- Dataproc: Datos de clústeres de Dataproc en discos de VM y datos sin servidor de Dataproc en discos de VM
- Dataproc Metastore
- Dialogflow CX
- Document AI
- Eventarc Standard
- Filestore
- Firestore
- Google Cloud Managed Service para Apache Kafka
- Google Distributed Cloud
- Google Kubernetes Engine: Datos en discos de VM y Secretos de la capa de la aplicación
- Looker (Google Cloud Core)
- Memorystore para Redis
- Migrate to Virtual Machines: Datos migrados desde fuentes de VMs de VMware, AWS y Azure y Datos migrados desde fuentes de imágenes de disco y máquina
- Pub/Sub
- Secret Manager
- Secure Source Manager
- Spanner
- Speaker ID (Disponibilidad general restringida)
- Speech-to-Text
- Vertex AI
- Instancias de Vertex AI Workbench
- Workflows
Consideraciones
Cuando usas una clave de Cloud EKM, Google no tiene control sobre la disponibilidad de tu clave administrada de forma externa en el sistema de socios de administración de claves externas. Si pierdes las claves que administras fuera de Google Cloud, Google no puede recuperar tus datos.
Revisa los lineamientos sobre socios y regiones de administración de claves externas cuando elijas las ubicaciones para tus claves de Cloud EKM.
La comunicación con un servicio externo a través de Internet puede generar problemas de confiabilidad, disponibilidad y latencia. En el caso de las aplicaciones con una tolerancia baja a este tipo de riesgos, considera usar Cloud HSM o Cloud KMS para almacenar tu material de claves.
Si una clave externa no está disponible, Cloud KMS muestra un error
FAILED_PRECONDITIONy proporciona detalles en el errorPreconditionFailure.Habilita el registro de auditoría de datos para mantener un registro de todos los errores relacionados con el EKM de Cloud. Los mensajes de error contienen información detallada para ayudar a identificar la fuente del error. Un ejemplo de un error común es cuando un socio externo de administración de claves no responde a una solicitud en un plazo razonable.
Necesitas un contrato de asistencia con el socio de administración de claves externas. El equipo de asistencia de Google Cloud solo puede ayudarte con problemas en los servicios de Google Cloud y no puede ayudarte directamente con problemas en sistemas externos. A veces, debes trabajar con el equipo de asistencia de ambos lados para solucionar problemas de interoperabilidad.
Cloud EKM se puede usar con Bare Metal Rack HSM para crear una solución de HSM de un solo inquilino integrada en Cloud KMS. Para obtener más información, elige un socio de Cloud EKM que admita HSM de usuario único y revisa los requisitos para los HSM para bastidor Bare Metal.
Habilita el registro de auditoría en tu administrador de claves externas para capturar el acceso y el uso de tus claves de EKM.
Restricciones
- No se admite la rotación automática.
- Cuando creas una clave de Cloud EKM con la API o Google Cloud CLI, no debe tener una versión de clave inicial. Esto no se aplica a las claves de Cloud EKM que se crearon mediante la consola de Google Cloud.
- Las operaciones de Cloud EKM están sujetas a cuotas específicas, además de las cuotas de las operaciones de Cloud KMS.
Claves de encriptación simétrica
- Las claves de encriptación simétricas solo se admiten para lo siguiente:
- Claves de encriptación administradas por el cliente (CMEK) en los servicios de integración compatibles
- Encriptación y desencriptación simétricas con Cloud KMS directamente
- Los datos que Cloud EKM encripta con una clave administrada de forma externa no se pueden desencriptar sin usar Cloud EKM.
Claves de firma asimétricas
- Las claves de firma asimétrica se limitan a un subconjunto de algoritmos de Cloud KMS.
- Las claves de firma asimétrica solo se admiten para los siguientes casos de uso:
- Una vez que se configura un algoritmo de firma asimétrica en una clave de Cloud EKM, no se puede modificar.
- La firma se debe realizar en el campo
data.
Administradores y regiones de claves externas
Cloud EKM debe poder acceder a tus claves rápidamente para evitar un error. Cuando crees una clave de Cloud EKM, elige una ubicación de Google Cloud que esté geográficamente cerca de la ubicación de la clave del socio de administración de claves externas. Consulta la documentación de tu socio de administración de claves externas para determinar qué ubicaciones admiten.
- Cloud EKM a través de Internet: Disponible en la mayoría de las ubicaciones de Google Cloud en las que está disponible Cloud KMS, incluidas las ubicaciones regionales y multirregionales.
- Cloud EKM a través de una VPC: Disponible en la mayoría de las ubicaciones regionales en las que está disponible Cloud KMS. Cloud EKM a través de una VPC no está disponible en ubicaciones multirregionales.
Algunas ubicaciones, como global y nam-eur-asia1, no están disponibles para la EKM de Cloud. Para obtener información sobre las ubicaciones que admiten Cloud EKM, consulta Ubicaciones de Cloud KMS.
Uso multirregión
Cuando usas una clave administrada de forma externa con una multirregión, los metadatos de la clave están disponibles en varios centros de datos dentro de la multirregión. Estos metadatos incluyen la información necesaria para comunicarse con el socio de administración de claves externas. Si tu aplicación falla de un centro de datos a otro dentro de la multirregión, el nuevo centro de datos inicia solicitudes de claves. Es posible que el nuevo centro de datos tenga características de red diferentes del centro de datos anterior, incluida la distancia del socio externo de administración de claves y la probabilidad de tiempos de espera. Te recomendamos que solo uses una configuración multirregional con Cloud EKM si el administrador de claves externo que elegiste proporciona una latencia baja a todas las áreas de esa configuración.
EKM administrado por socios
La administración de EKM por parte de un socio te permite usar Cloud EKM a través de un socio soberano confiable que administra tu sistema de EKM por ti. Con el EKM administrado por socios, tu socio crea y administra las claves que usas en Cloud EKM. El socio se asegura de que tu EKM cumpla con los requisitos de soberanía.
Cuando te incorporas a tu socio soberano, este aprovisiona recursos en Google Cloud y en tu EKM. Estos recursos incluyen un proyecto de Cloud KMS para administrar tus claves de Cloud EKM y un EKM a través de una conexión de VPC configurada para la administración de claves de EKM desde Cloud KMS. Tu socio crea recursos en ubicaciones de Google Cloud según tus requisitos de residencia de datos.
Cada clave de Cloud EKM incluye metadatos de Cloud KMS, lo que permite que Cloud EKM envíe solicitudes a tu EKM para realizar operaciones criptográficas con el material de claves externo que nunca sale de tu EKM. Las claves simétricas de EKM de Cloud también incluyen material de claves interno de Cloud KMS que nunca sale de Google Cloud. Para obtener más información sobre los lados interno y externo de las claves de Cloud EKM, consulta Cómo funciona Cloud EKM en esta página.
Para obtener más información sobre la administración de EKM por parte de socios, consulta Cómo configurar Cloud KMS administrado por socios.
Supervisa el uso de Cloud EKM
Puedes usar Cloud Monitoring para supervisar tu conexión de EKM. Las siguientes métricas pueden ayudarte a comprender el uso de tu EKM:
cloudkms.googleapis.com/ekm/external/request_latenciescloudkms.googleapis.com/ekm/external/request_count
Para obtener más información sobre estas métricas, consulta métricas de cloudkms. Puedes crear un panel para hacer un seguimiento de estas métricas. Para obtener información sobre cómo configurar un panel para supervisar tu conexión de EKM, consulta Cómo supervisar el uso de EKM.
Obtén asistencia
Si tienes un problema con Cloud EKM, comunícate con el equipo de asistencia.
¿Qué sigue?
Crea una conexión de EKM para usar EKM a través de la VPC.
Comienza a usar la API.
Obtén más información sobre Logging en Cloud KMS. El registro se basa en operaciones y se aplica a claves con niveles de protección de software y HSM.
Consulta Arquitecturas de referencia para una implementación confiable de los servicios de Cloud EKM para obtener recomendaciones sobre la configuración de una implementación de servicio de External Key Manager (EKM) integrada en Cloud EKM.