Cloud External Key Manager

Halaman ini memberikan ringkasan Cloud External Key Manager (Cloud EKM).

Terminologi

• External Key Manager (EKM)

  Pengelola kunci yang digunakan di luar Google Cloud untuk mengelola kunci Anda.

• Cloud External Key Manager (Cloud EKM)

  Layanan Google Cloud untuk menggunakan kunci eksternal Anda yang dikelola dalam EKM yang didukung.

• Cloud EKM melalui internet

  Versi Cloud EKM yang Google Cloud berkomunikasi dengan pengelola kunci eksternal Anda melalui internet.

• Cloud EKM melalui VPC

  Versi Cloud EKM yang Google Cloud berkomunikasi dengan pengelola kunci eksternal Anda melalui Virtual Private Cloud (VPC). Untuk mengetahui informasi selengkapnya, lihat Ringkasan jaringan VPC.

• Pengelolaan kunci EKM dari Cloud KMS

  Saat menggunakan Cloud EKM melalui VPC dengan partner pengelolaan kunci eksternal yang mendukung bidang kontrol Cloud EKM, Anda dapat menggunakan mode pengelolaan EKM Cloud KMS untuk menyederhanakan proses pengelolaan kunci eksternal di partner pengelolaan kunci eksternal dan di Cloud EKM. Untuk mengetahui informasi selengkapnya, lihat Kunci eksternal terkoordinasi dan Pengelolaan kunci EKM dari Cloud KMS di halaman ini.

• Ruang kripto

  Kontainer untuk resource Anda dalam partner pengelolaan kunci eksternal Anda. Ruang kripto Anda diidentifikasi oleh jalur ruang kripto yang unik. Format jalur ruang kripto bervariasi menurut partner pengelolaan kunci eksternal—misalnya, v0/cryptospaces/YOUR_UNIQUE_PATH.

• EKM yang dikelola partner

  Pengaturan saat EKM Anda dikelola untuk Anda oleh partner tepercaya. Untuk mengetahui informasi selengkapnya, lihat EKM yang dikelola partner di halaman ini.

• Key Access Justifications

  Saat Anda menggunakan Cloud EKM dengan Key Access Justifications, setiap permintaan ke partner pengelolaan kunci eksternal Anda akan menyertakan kolom yang mengidentifikasi alasan setiap permintaan. Anda dapat mengonfigurasi partner pengelolaan kunci eksternal untuk mengizinkan atau menolak permintaan berdasarkan kode Key Access Justifications yang diberikan. Untuk mengetahui informasi selengkapnya tentang Justifikasi Akses Kunci, lihat Ringkasan Justifikasi Akses Kunci.

Ringkasan

Dengan Cloud EKM, Anda dapat menggunakan kunci yang Anda kelola dalam partner pengelolaan kunci eksternal yang didukung untuk melindungi data dalam Google Cloud. Anda dapat melindungi data dalam penyimpanan di layanan integrasi CMEK yang didukung, atau dengan memanggil langsung Cloud Key Management Service API.

Cloud EKM memberikan beberapa manfaat:

• Asal kunci: Anda mengontrol lokasi dan distribusi kunci yang dikelola secara eksternal. Kunci yang dikelola secara eksternal tidak pernah di-cache atau disimpan dalam Google Cloud. Sebagai gantinya, Cloud EKM berkomunikasi secara langsung dengan partner pengelolaan kunci eksternal untuk setiap permintaan.

• Kontrol akses: Anda mengelola akses ke kunci yang dikelola secara eksternal di pengelola kunci eksternal Anda. Anda tidak dapat menggunakan kunci yang dikelola secara eksternal di Google Cloud tanpa terlebih dahulu memberikan akses Google Cloud proyek ke kunci di pengelola kunci eksternal Anda. Anda dapat mencabut akses ini kapan saja.

• Pengelolaan kunci terpusat: Anda dapat mengelola kunci dan kebijakan akses dari satu antarmuka pengguna, baik data yang dilindunginya berada di cloud maupun di infrastruktur Anda.

Dalam semua kasus, kunci berada di sistem eksternal, dan tidak pernah dikirim ke Google.

Anda dapat berkomunikasi dengan pengelola kunci eksternal melalui internet atau melalui Virtual Private Cloud (VPC).

Cara kerja Cloud EKM

Versi kunci Cloud EKM terdiri dari bagian-bagian berikut:

• Materi kunci eksternal: Materi kunci eksternal dari kunci Cloud EKM adalah materi kriptografis yang dibuat dan disimpan di EKM Anda. Materi ini tidak keluar dari EKM Anda dan tidak pernah dibagikan kepada Google.
• Referensi kunci: Setiap versi kunci Cloud EKM berisi URI kunci atau jalur kunci. Ini adalah ID unik untuk materi kunci eksternal yang digunakan Cloud EKM saat meminta operasi kriptografi menggunakan kunci.
• Materi kunci internal: Saat kunci Cloud EKM simetris dibuat, Cloud KMS membuat materi kunci tambahan di Cloud KMS, yang tidak pernah keluar dari Cloud KMS. Materi kunci ini digunakan sebagai lapisan enkripsi tambahan saat berkomunikasi dengan EKM Anda. Materi kunci internal ini tidak berlaku untuk kunci penandatanganan asimetris.

Untuk menggunakan kunci Cloud EKM Anda, Cloud EKM mengirim permintaan untuk operasi kriptografis ke EKM Anda. Misalnya, untuk mengenkripsi data dengan kunci enkripsi simetris, Cloud EKM terlebih dahulu mengenkripsi data menggunakan materi kunci internal. Data terenkripsi disertakan dalam permintaan ke EKM. EKM mengenkripsi data terenkripsi dalam lapisan enkripsi lain menggunakan materi kunci eksternal, lalu menampilkan ciphertext yang dihasilkan. Data yang dienkripsi menggunakan kunci Cloud EKM tidak dapat didekripsi tanpa materi kunci eksternal dan materi kunci internal.

Jika organisasi Anda telah mengaktifkan Key Access Justifications, partner pengelolaan kunci eksternal Anda akan mencatat justifikasi akses yang diberikan dan menyelesaikan permintaan hanya untuk kode alasan justifikasi yang diizinkan oleh kebijakan Key Access Justifications Anda di partner pengelolaan kunci eksternal.

Pembuatan dan pengelolaan kunci Cloud EKM memerlukan perubahan yang sesuai di Cloud KMS dan EKM. Perubahan yang sesuai ini ditangani secara berbeda untuk kunci eksternal yang dikelola secara manual dan untuk kunci eksternal terkoordinasi. Semua kunci eksternal yang diakses melalui internet dikelola secara manual. Kunci eksternal yang diakses melalui jaringan VPC dapat dikelola atau dikoordinasikan secara manual, bergantung pada mode pengelolaan EKM koneksi EKM. Mode pengelolaan EKM Manual digunakan untuk kunci yang dikelola secara manual. Mode pengelolaan EKM Cloud KMS digunakan untuk kunci eksternal terkoordinasi. Untuk mengetahui informasi selengkapnya tentang mode pengelolaan EKM, lihat Kunci eksternal yang dikelola secara manual dan Kunci eksternal terkoordinasi di halaman ini.

Diagram berikut menunjukkan cara Cloud KMS sesuai dengan model pengelolaan kunci. Diagram ini menggunakan Compute Engine dan BigQuery sebagai dua contoh; Anda juga dapat melihat daftar lengkap layanan yang mendukung kunci Cloud EKM.

Anda dapat mempelajari pertimbangan dan batasan saat menggunakan Cloud EKM.

Kunci eksternal yang dikelola secara manual

Bagian ini memberikan ringkasan luas tentang cara kerja Cloud EKM dengan kunci eksternal yang dikelola secara manual.

1. Anda membuat atau menggunakan kunci yang ada di sistem partner pengelolaan kunci eksternal yang didukung. Kunci ini memiliki URI atau jalur kunci yang unik.
2. Anda memberikan akses project Anda untuk menggunakan kunci, di sistem partner pengelolaan kunci eksternal. Google Cloud
3. Di project Google Cloud , Anda membuat versi kunci Cloud EKM menggunakan URI atau jalur kunci untuk kunci yang dikelola secara eksternal.
4. Operasi pemeliharaan seperti rotasi kunci harus dikelola secara manual antara EKM dan Cloud EKM Anda. Misalnya, operasi rotasi versi kunci atau penghancuran versi kunci harus diselesaikan baik secara langsung di EKM Anda maupun di Cloud KMS.

Dalam Google Cloud, kunci muncul bersama kunci Cloud KMS dan Cloud HSM lainnya, dengan tingkat perlindungan EXTERNAL atau EXTERNAL_VPC. Kunci Cloud EKM dan kunci partner pengelolaan kunci eksternal bekerja sama untuk melindungi data Anda. Materi kunci eksternal tidak pernah diekspos ke Google.

Kunci eksternal yang dikoordinasikan

Bagian ini memberikan ringkasan cara kerja Cloud EKM dengan kunci eksternal yang terkoordinasi.

1. Anda menyiapkan koneksi EKM, menetapkan mode pengelolaan EKM ke Cloud KMS. Selama penyiapan, Anda harus mengizinkan EKM Anda untuk mengakses jaringan VPC Anda dan mengizinkan akun layanan projectGoogle Cloud Anda untuk mengakses ruang kripto Anda di EKM Anda. Koneksi EKM Anda menggunakan nama host EKM dan jalur ruang kripto yang mengidentifikasi resource Anda dalam EKM.

2. Anda membuat kunci eksternal di Cloud KMS. Saat Anda membuat kunci Cloud EKM menggunakan koneksi EKM over VPC dengan mode pengelolaan EKM Cloud KMS diaktifkan, langkah-langkah berikut akan terjadi secara otomatis:

   1. Cloud EKM mengirimkan permintaan pembuatan kunci ke EKM Anda.
   2. EKM Anda membuat materi kunci yang diminta. Materi kunci eksternal ini tetap berada di EKM dan tidak pernah dikirim ke Google.
   3. EKM Anda menampilkan jalur kunci ke Cloud EKM.
   4. Cloud EKM membuat versi kunci Cloud EKM Anda menggunakan jalur kunci yang disediakan oleh EKM Anda.

3. Operasi pemeliharaan pada kunci eksternal terkoordinasi dapat dimulai dari Cloud KMS. Misalnya, kunci eksternal terkoordinasi yang digunakan untuk enkripsi simetris dapat dirotasi secara otomatis sesuai jadwal yang ditetapkan. Pembuatan versi kunci baru dikoordinasikan di EKM Anda oleh Cloud EKM. Anda juga dapat memicu pembuatan atau penghancuran versi kunci di EKM dari Cloud KMS menggunakan Google Cloud konsol, gcloud CLI, Cloud KMS API, atau library klien Cloud KMS.

Dalam Google Cloud, kunci muncul bersama kunci Cloud KMS dan Cloud HSM Anda yang lain, dengan tingkat perlindungan EXTERNAL_VPC. Kunci Cloud EKM dan kunci partner pengelolaan kunci eksternal bekerja bersama untuk melindungi data Anda. Materi kunci eksternal tidak pernah diekspos ke Google.

Pengelolaan kunci EKM dari Cloud KMS

Kunci eksternal yang dikoordinasikan dimungkinkan oleh koneksi EKM yang menggunakan pengelolaan kunci EKM dari Cloud KMS. Jika EKM Anda mendukung panel kontrol Cloud EKM, Anda dapat mengaktifkan pengelolaan kunci EKM dari Cloud KMS untuk koneksi EKM Anda guna membuat kunci eksternal yang terkoordinasi. Dengan pengelolaan kunci EKM dari Cloud KMS yang diaktifkan, Cloud EKM dapat meminta perubahan berikut di EKM Anda:

• Buat kunci: Saat Anda membuat kunci yang dikelola secara eksternal di Cloud KMS menggunakan koneksi EKM yang kompatibel, Cloud EKM akan mengirimkan permintaan pembuatan kunci Anda ke EKM Anda. Jika berhasil, EKM Anda akan membuat kunci dan materi kunci baru, lalu menampilkan jalur kunci yang akan digunakan Cloud EKM untuk mengakses kunci tersebut.

• Merotasi kunci: Saat Anda merotasi kunci yang dikelola secara eksternal di Cloud KMS menggunakan koneksi EKM yang kompatibel, Cloud EKM akan mengirimkan permintaan rotasi Anda ke EKM Anda. Jika berhasil, EKM Anda akan membuat materi kunci baru dan menampilkan jalur kunci yang akan digunakan Cloud EKM untuk mengakses versi kunci baru.

• Menghancurkan kunci: Saat Anda menghancurkan versi kunci untuk kunci yang dikelola secara eksternal di Cloud KMS menggunakan koneksi EKM yang kompatibel, Cloud KMS menjadwalkan penghancuran versi kunci di Cloud KMS. Jika versi kunci tidak dipulihkan sebelum periode dijadwalkan untuk penghancuran berakhir, Cloud EKM akan menghancurkan bagian materi kriptografis kunci dan mengirimkan permintaan penghancuran ke EKM Anda.

  Data yang dienkripsi dengan versi kunci ini tidak dapat didekripsi setelah versi kunci dihancurkan di Cloud KMS, meskipun EKM belum menghancurkan versi kunci. Anda dapat melihat apakah EKM telah berhasil menghancurkan versi kunci dengan melihat detail kunci di Cloud KMS.

Saat kunci di EKM Anda dikelola dari Cloud KMS, materi kunci tetap berada di EKM Anda. Google tidak dapat membuat permintaan pengelolaan kunci apa pun ke EKM Anda tanpa izin eksplisit. Google tidak dapat mengubah izin atau kebijakan Alasan Akses Kunci di sistem partner pengelolaan kunci eksternal Anda. Jika Anda mencabut izin Google di EKM, operasi pengelolaan kunci yang dicoba di Cloud KMS akan gagal.

Kompatibilitas

Pengelola kunci yang didukung

Anda dapat menyimpan kunci eksternal di sistem partner pengelolaan kunci eksternal berikut:

• Didukung hari ini:
  • Fortanix
  • Futurex
  • Thales

Layanan yang mendukung CMEK dengan Cloud EKM

Layanan berikut mendukung integrasi dengan Cloud KMS untuk kunci eksternal (Cloud EKM):

• Agent Assist
• AlloyDB untuk PostgreSQL
• Hub API Apigee
• Application Integration
• Artifact Registry
• Pencadangan untuk GKE
• BigQuery
• Bigtable
• Cloud Composer
• Cloud Data Fusion
• Cloud Healthcare API
• Cloud Logging: Data di Log Router dan Data di penyimpanan Logging
• Cloud Run
• Cloud Run Functions
• Cloud SQL
• Cloud Storage
• Cloud Tasks
• Cloud Workstations
• Compute Engine: Persistent disk, Snapshot, Image kustom, dan Image mesin
• Insight Berbasis Percakapan
• Database Migration Service: Migrasi MySQL - Data yang ditulis ke database, Migrasi PostgreSQL - Data yang ditulis ke database, Migrasi PostgreSQL ke AlloyDB - Data yang ditulis ke database, Migrasi SQL Server - Data yang ditulis ke database, dan Data Oracle ke PostgreSQL saat tidak digunakan
• Dataflow
• Dataform
• Katalog Universal Dataplex
• Dataproc: Data cluster Dataproc di disk VM dan data Dataproc Serverless di disk VM
• Dataproc Metastore
• Dialogflow CX
• Document AI
• Eventarc Standard
• Filestore
• Firestore
• Google Cloud Managed Service for Apache Kafka
• Google Distributed Cloud
• Google Kubernetes Engine: Data di disk VM dan Secret lapisan aplikasi
• Integration Connectors
• Looker (Google Cloud core)
• Memorystore for Redis
• Migrate to Virtual Machines: Data yang dimigrasikan dari sumber VM VMware, AWS, dan Azure dan Data yang dimigrasikan dari sumber disk dan image mesin
• Pengelola Parameter
• Pub/Sub
• Secret Manager
• Secure Source Manager
• Spanner
• ID Pembicara (GA Terbatas)
• Speech-to-Text
• Vertex AI
• Instance Vertex AI Workbench
• Workflows

Pertimbangan

• Saat Anda menggunakan kunci Cloud EKM, Google tidak memiliki kontrol atas ketersediaan kunci yang dikelola secara eksternal di sistem partner pengelolaan kunci eksternal. Jika Anda kehilangan kunci yang Anda kelola di luar Google Cloud, Google tidak dapat memulihkan data Anda.

• Tinjau panduan tentang partner dan region pengelolaan kunci eksternal saat memilih lokasi untuk kunci Cloud EKM Anda.

• Tinjau Perjanjian Tingkat Layanan (SLA) Cloud EKM.

• Berkomunikasi dengan layanan eksternal melalui internet dapat menyebabkan masalah keandalan, ketersediaan, dan latensi. Untuk aplikasi dengan toleransi rendah terhadap jenis risiko ini, pertimbangkan untuk menggunakan Cloud HSM atau Cloud KMS untuk menyimpan materi kunci Anda.

  • Jika kunci eksternal tidak tersedia, Cloud KMS akan menampilkan error FAILED_PRECONDITION dan memberikan detail dalam PreconditionFailure detail error.

    Aktifkan logging audit data untuk menyimpan catatan semua error yang terkait dengan Cloud EKM. Pesan error berisi informasi mendetail untuk membantu menunjukkan sumber error. Contoh error umum adalah saat partner pengelolaan kunci eksternal tidak merespons permintaan dalam jangka waktu yang wajar.

  • Anda memerlukan kontrak dukungan dengan partner pengelolaan kunci eksternal. Google Cloud Dukungan hanya dapat membantu mengatasi masalah di Google Cloud layanan dan tidak dapat membantu secara langsung mengatasi masalah pada sistem eksternal. Terkadang, Anda harus bekerja sama dengan dukungan di kedua sisi untuk memecahkan masalah interoperabilitas.

• Cloud EKM dapat digunakan dengan Bare Metal Rack HSM untuk membuat solusi HSM tenant tunggal yang terintegrasi dengan Cloud KMS. Untuk mempelajari lebih lanjut, pilih partner Cloud EKM yang mendukung HSM tenant tunggal dan tinjau persyaratan untuk Bare Metal Rack HSM.

• Aktifkan logging audit di pengelola kunci eksternal Anda untuk merekam akses dan penggunaan kunci EKM Anda.

Pembatasan

• Saat Anda membuat kunci Cloud EKM menggunakan API atau Google Cloud CLI, kunci tersebut tidak boleh memiliki versi kunci awal. Hal ini tidak berlaku untuk kunci Cloud EKM yang dibuat menggunakan konsolGoogle Cloud .
• Rotasi otomatis tidak didukung untuk kunci eksternal yang dikelola secara manual.
• Operasi Cloud EKM tunduk pada kuota tertentu selain kuota pada operasi Cloud KMS.

Kunci enkripsi simetris

• Kunci enkripsi simetris hanya didukung untuk hal berikut:
  • Kunci enkripsi yang dikelola pelanggan (CMEK) di layanan integrasi yang didukung.
  • Enkripsi dan dekripsi simetris menggunakan Cloud KMS secara langsung.
• Data yang dienkripsi oleh Cloud EKM menggunakan kunci yang dikelola secara eksternal tidak dapat didekripsi tanpa menggunakan Cloud EKM.

Kunci penandatanganan asimetris

• Kunci penandatanganan asimetris terbatas pada subset algoritma Cloud KMS.
• Kunci penandatanganan asimetris hanya didukung untuk kasus penggunaan berikut:
  • Penandatanganan asimetris menggunakan Cloud KMS secara langsung.
  • Kunci penandatanganan kustom dengan Persetujuan Akses.
• Setelah algoritma penandatanganan asimetris ditetapkan pada kunci Cloud EKM, algoritma tersebut tidak dapat diubah.
• Penandatanganan harus dilakukan di kolom data.

Pengelola kunci eksternal dan region

Cloud EKM harus dapat mengakses kunci Anda dengan cepat untuk menghindari error. Saat membuat kunci Cloud EKM, pilih Google Cloud lokasi yang secara geografis dekat dengan lokasi kunci partner pengelolaan kunci eksternal. Lihat dokumentasi partner pengelolaan kunci eksternal Anda untuk menentukan lokasi yang didukung.

• Cloud EKM melalui internet: tersedia di sebagian besar Google Cloud lokasi tempat Cloud KMS tersedia, termasuk lokasi regional dan multi-regional.
• Cloud EKM melalui VPC: tersedia di sebagian besar lokasi regional tempat Cloud KMS tersedia. Cloud EKM melalui VPC tidak tersedia di lokasi multiregional.

Beberapa lokasi, termasuk global dan nam-eur-asia1, tidak tersedia untuk Cloud EKM. Untuk mempelajari lokasi yang mendukung Cloud EKM, lihat Lokasi Cloud KMS.

Penggunaan multi-region

Saat Anda menggunakan kunci yang dikelola secara eksternal dengan multi-region, metadata kunci tersedia di beberapa pusat data dalam multi-region. Metadata ini mencakup informasi yang diperlukan untuk berkomunikasi dengan partner pengelolaan kunci eksternal. Jika aplikasi Anda melakukan failover dari satu pusat data ke pusat data lain dalam multi-region, pusat data baru akan memulai permintaan kunci. Pusat data baru mungkin memiliki karakteristik jaringan yang berbeda dari pusat data sebelumnya, termasuk jarak dari partner pengelolaan kunci eksternal dan kemungkinan terjadinya waktu tunggu. Sebaiknya Anda hanya menggunakan multi-region dengan Cloud EKM jika pengelola kunci eksternal yang Anda pilih memberikan latensi rendah ke semua area multi-region tersebut.

EKM yang dikelola partner

EKM yang dikelola partner memungkinkan Anda menggunakan Cloud EKM melalui partner berdaulat tepercaya yang mengelola sistem EKM untuk Anda. Dengan EKM yang dikelola partner, partner Anda membuat dan mengelola kunci yang Anda gunakan di Cloud EKM. Partner memastikan bahwa EKM Anda mematuhi persyaratan kedaulatan.

Saat Anda mengaktifkan partner berdaulat, partner akan menyediakan resource di Google Cloud dan EKM Anda. Resource ini mencakup project Cloud KMS untuk mengelola kunci Cloud EKM Anda dan koneksi EKM yang dikonfigurasi untuk pengelolaan kunci EKM dari Cloud KMS. Partner Anda membuat resource di lokasi Google Cloud sesuai dengan persyaratan residensi data Anda.

Setiap kunci Cloud EKM mencakup metadata Cloud KMS, yang memungkinkan Cloud EKM mengirim permintaan ke EKM Anda untuk melakukan operasi kriptografi menggunakan materi kunci eksternal yang tidak pernah keluar dari EKM Anda. Kunci Cloud EKM simetris juga mencakup materi kunci internal Cloud KMS yang tidak pernah keluar dari Google Cloud. Untuk mengetahui informasi selengkapnya tentang sisi internal dan eksternal kunci Cloud EKM, lihat Cara kerja Cloud EKM di halaman ini.

Untuk mengetahui informasi selengkapnya tentang EKM yang dikelola partner, lihat Mengonfigurasi Cloud KMS yang dikelola partner.

Memantau penggunaan Cloud EKM

Anda dapat menggunakan Cloud Monitoring untuk memantau koneksi EKM Anda. Metrik berikut dapat membantu Anda memahami penggunaan EKM:

• cloudkms.googleapis.com/ekm/external/request_latencies
• cloudkms.googleapis.com/ekm/external/request_count

Untuk mengetahui informasi selengkapnya tentang metrik ini, lihat metrik cloudkms. Anda dapat membuat dasbor untuk melacak metrik ini. Untuk mempelajari cara menyiapkan dasbor untuk memantau koneksi EKM, lihat Memantau penggunaan EKM.

Mendapatkan dukungan

Jika Anda mengalami masalah dengan Cloud EKM, hubungi Dukungan.

Langkah berikutnya

• Mulai menggunakan API.

• Siapkan Cloud EKM melalui internet.

• Buat koneksi EKM untuk menggunakan EKM melalui VPC.

• Baca Referensi Cloud KMS API.

• Pelajari Logging di Cloud KMS. Pencatatan log didasarkan pada operasi, dan berlaku untuk kunci dengan tingkat perlindungan HSM dan software.

• Lihat Arsitektur referensi untuk deployment layanan Cloud EKM yang andal untuk mengetahui rekomendasi tentang cara mengonfigurasi deployment layanan External Key Manager (EKM) yang terintegrasi dengan Cloud EKM.