Questa pagina spiega come utilizzare le chiavi di crittografia gestite dal cliente di Cloud KMS in altri Google Cloud servizi per proteggere le tue risorse. Per ulteriori informazioni, consulta Chiavi di crittografia gestite dal cliente (CMEK).
Quando un servizio supporta CMEK, si dice che ha un'integrazione CMEK. Alcuni servizi, come GKE, hanno più integrazioni CMEK per proteggere diversi tipi di dati correlati al servizio. Per un elenco dei servizi con integrazioni CMEK, vedi Attivare CMEK per i servizi supportati in questa pagina.
Prima di iniziare
Prima di poter utilizzare le chiavi Cloud KMS in altri servizi Google Cloud , devi disporre di una risorsa di progetto che contenga le chiavi Cloud KMS. Ti consigliamo di utilizzare un progetto separato per le risorse Cloud KMS che non contenga altre risorse Google Cloud .
Integrazioni CMEK
Preparati ad attivare l'integrazione di CMEK
Per i passaggi esatti per abilitare CMEK, consulta la documentazione del servizioGoogle Cloud pertinente. Puoi trovare un link alla documentazione CMEK per ogni servizio nella sezione Attivare CMEK per i servizi supportati di questa pagina. Per ogni servizio, puoi aspettarti di seguire passaggi simili a quelli che seguono:
Crea un keyring o selezionane uno esistente. Il portachiavi deve trovarsi il più vicino possibile alle risorse che vuoi proteggere.
Nel keyring selezionato, crea una chiave o seleziona una chiave esistente. Assicurati che il livello di protezione, lo scopo e l'algoritmo della chiave siano appropriati per le risorse che vuoi proteggere. Questa chiave è la chiave CMEK.
Ottieni l'ID risorsa per la chiave CMEK. Avrai bisogno di questo ID risorsa in un secondo momento.
Concedi il ruolo IAM Autore crittografia/decrittografia CryptoKey (
roles/cloudkms.cryptoKeyEncrypterDecrypter) per la chiave CMEK al account di servizio per il servizio.
Dopo aver creato la chiave e assegnato le autorizzazioni richieste, puoi creare o configurare un servizio per utilizzare la chiave CMEK.
Utilizzare le chiavi Cloud KMS con i servizi integrati con CMEK
I seguenti passaggi utilizzano Secret Manager come esempio. Per i passaggi esatti per utilizzare una chiave CMEK di Cloud KMS in un determinato servizio, individua il servizio nell'elenco dei servizi integrati con CMEK.
In Secret Manager, puoi utilizzare una CMEK per proteggere i dati at-rest.
Nella console Google Cloud , vai alla pagina Secret Manager.
Per creare un secret, fai clic su Crea secret.
Nella sezione Crittografia, seleziona Utilizza una chiave di crittografia gestita dal cliente (CMEK).
Nella casella Chiave di crittografia, procedi nel seguente modo:
(Facoltativo) Per utilizzare una chiave in un altro progetto:
- Fai clic su Cambia progetto.
- Inserisci tutto o parte del nome del progetto nella barra di ricerca, poi seleziona il progetto.
- Per visualizzare le chiavi disponibili per il progetto selezionato, fai clic su Seleziona.
(Facoltativo) Per filtrare le chiavi disponibili in base a posizione, portachiavi, nome o livello di protezione, inserisci i termini di ricerca nella barra dei filtri .
Seleziona una chiave dall'elenco delle chiavi disponibili nel progetto selezionato. Puoi utilizzare i dettagli di posizione, keyring e livello di protezione visualizzati per assicurarti di scegliere la chiave corretta.
Se la chiave che vuoi utilizzare non è visualizzata nell'elenco, fai clic su Inserisci chiave manualmente e inserisci l'ID risorsa della chiave.
Completa la configurazione del secret, quindi fai clic su Crea secret. Secret Manager crea il secret e lo cripta utilizzando la chiave CMEK specificata.
Abilita CMEK per i servizi supportati
Per abilitare CMEK, individua prima il servizio che ti interessa nella tabella seguente. Puoi inserire i termini di ricerca nel campo per filtrare la tabella. Tutti i servizi di questo elenco supportano chiavi software e hardware (HSM). I prodotti che si integrano con Cloud KMS quando si utilizzano chiavi Cloud EKM esterne sono indicati nella colonna EKM supportato.
Segui le istruzioni per ogni servizio per cui vuoi abilitare le chiavi CMEK.