Località di Cloud KMS

All'interno di un progetto, le risorse di Cloud Key Management Service possono essere create in una delle numerose località. Queste rappresentano le regioni geografiche in cui una risorsa Cloud KMS è archiviata e accessibile. La posizione di una chiave influisce sulle prestazioni delle applicazioni che la utilizzano. Alcune risorse, come le chiavi Cloud HSM, non sono disponibili in tutte le località.

Il materiale delle chiavi per le chiavi Cloud KMS e Cloud HSM è limitato alla regione selezionata durante l'inattività e l'utilizzo.

Le tabelle seguenti elencano le località disponibili per l'utilizzo in Cloud KMS per diverse parti del mondo. Puoi filtrare queste località in base a tipo di località, supporto di Cloud HSM e supporto di Cloud EKM:

Tipi di località per Cloud KMS

Puoi creare risorse Cloud KMS, Cloud HSM e Cloud EKM in diversi tipi di località in Google Cloud, a seconda dei tuoi requisiti di disponibilità. Le località vengono aggiunte regolarmente. Per informazioni specifiche su ogni località, vedi Località.

Puoi scoprire di più su come scegliere il tipo di località migliore.

Per Cloud KMS sono disponibili i seguenti tipi di località:

• Località a singola regione: i data center di una località a singola regione si trovano in una posizione geografica specifica. Ad esempio, una risorsa creata nella regione us-central1 si trova negli Stati Uniti centrali.
• Località multiregionali: i data center di una località multiregionale sono distribuiti su un'ampia area geografica. Ad esempio, una risorsa creata nella regione multiregionale europe viene mantenuta in più data center all'interno dell'Unione Europea. Non puoi scegliere quali data center all'interno della multiregione conterranno i tuoi dati.
• Località globale: la località global è una multi-regione speciale. I suoi data center sono distribuiti in tutto il mondo. Non puoi scegliere quali data center all'interno della multiregione globale conterranno i tuoi dati.

Scegliere il tipo di località migliore

In generale, progetta l'applicazione in modo che tutti i suoi componenti siano vicini tra loro geograficamente e ai client dell'applicazione. La posizione delle chiavi è un aspetto importante della progettazione dell'applicazione. Dopo la creazione, una chiave non può essere spostata o esportata.

Quando utilizzi una località multiregionale, ad esempio la multiregione europe, le risorse vengono mantenute in più data center distribuiti nella multiregione. La creazione e l'aggiornamento delle chiavi in località multiregionali, inclusa la località global, potrebbero essere meno efficienti rispetto all'utilizzo di una località con una sola regione. Per maggiori informazioni, consulta Lettura e scrittura in località multiregionali.

Utilizza la posizione global se tutte le seguenti condizioni sono vere:

• I componenti dell'applicazione vengono distribuiti a livello globale.
• Esegui letture o scritture poco frequenti, ma utilizzi spesso altre operazioni crittografiche.
• Le tue chiavi non hanno requisiti di residenza geografica.
• Non utilizzi chiavi esterne.

Per le integrazioni delle chiavi di crittografia gestite dal cliente (CMEK), devi utilizzare la stessa posizione esatta delle altre risorse correlate all'integrazione. Alcune integrazioni CMEK non supportano la località global. Per saperne di più sulle integrazioni CMEK, consulta Chiavi di crittografia gestite dal cliente (CMEK).

Le risorse Cloud EKM si basano sulla connettività tra Google Cloud e un Key Management Service esterno, al di fuori di Google Cloud. Per le risorse Cloud External Key Manager, seleziona una località geograficamente il più vicino possibile alla località in cui le chiavi sono archiviate nel Key Management Service esterne.

Cloud HSM dipende dalla disponibilità di hardware fisico nei data center di una località. Per le risorse Cloud HSM, seleziona una località che supporti Cloud HSM.

Le risorse Cloud HSM hanno quote specifiche per la località. Le quote di Cloud KMS sono globali.

Le località multiregionali hanno quote separate, indipendenti da quelle delle località a singola regione. Ad esempio, per creare risorse Cloud HSM nella multiregione eur5, devi avere una quota HSM in eur5, anche se hai già una quota nelle singole regioni che partecipano a eur5, come europe-west2.

Lettura e scrittura in località multiregionali

La lettura e la scrittura di risorse o metadati associati in località multiregionali, inclusa la località global, potrebbero essere più lente rispetto alla lettura o alla scrittura da una singola regione.

• Quando crei o leggi le versioni delle chiavi, è sempre necessario il consenso tra i data center che archiviano il materiale della chiave. Le letture e le scritture in una singola regione sono spesso più efficienti di quelle in una località multiregionale.
• Quando esegui operazioni di crittografia, ad esempio quando cripti o decripti i dati, non è necessario il consenso. Per le operazioni di crittografia, le località multiregionali si comportano in modo simile alle località di una singola regione.
• Quando memorizzi le chiavi in una o più località geograficamente vicine ai dati che proteggono o convalidano, le operazioni crittografiche sono in genere più efficienti.

I compromessi tra prestazioni e disponibilità sono unici per ogni applicazione. Le località multiregionali, inclusa global, sono più adatte ai workload con molte operazioni di lettura.

Determinazione delle regioni disponibili

Puoi utilizzare Google Cloud CLI o l'API Cloud Key Management Service per ottenere un elenco delle regioni disponibili.

gcloud kms locations list

Passaggi successivi

• Scopri di più su aree geografiche e regioni in Google Cloud.
• Consulta l'elenco completo delle località cloud.