De forma predeterminada, Google Cloud encripta los datos en reposo de manera automática con claves de encriptación administradas por Google. Si tienes requisitos normativos o de cumplimiento específicos relacionados con las claves que protegen los datos, puedes usar las claves de encriptación administradas por el cliente (CMEK).
Con CMEK, puedes proteger tus datos de Backup and DR con una clave criptográfica que controlas a través de Cloud Key Management Service. Cuando usas CMEK, administras la clave en Cloud Key Management Service y controlas el acceso mediante la administración de los permisos de Identity and Access Management en la clave. Si inhabilitas de forma temporal o destruyes de forma permanente la CMEK, los datos protegidos por esa clave se vuelven inaccesibles.
Cómo Backup and DR usa CMEK
Backup and DR protege las copias de seguridad con CMEK de una de estas dos maneras, según el tipo de carga de trabajo:
CMEK a nivel de backup vault: Usa la clave de Cloud Key Management Service configurada directamente en la backup vault para encriptar los datos de la copia de seguridad.
CMEK a nivel de origen: Hereda y usa la clave de encriptación de la carga de trabajo de origen, lo que preserva su protección CMEK existente.
Configura un contenedor de backup vault con CMEK
Una backup vault es un contenedor lógico seguro y aislado que se usa para almacenar y administrar tus copias de seguridad. Cuando configuras una backup vault con una CMEK, Backup and DR usa esa clave para proteger las copias de seguridad almacenadas dentro de la backup vault.
Para algunos tipos de recursos, una backup vault habilitada para CMEK encripta los datos de la copia de seguridad con la clave de Cloud Key Management Service de la backup vault.
Por ejemplo, si uno o más discos conectados a una instancia de Compute Engine usan CMEK, Backup and DR considera que la instancia está protegida por CMEK. Debes crear una copia de seguridad de esas instancias en una backup vault habilitada para CMEK. Si todos los discos conectados a la instancia usan la encriptación administrada por Google, en la Google Cloud consola, debes almacenar las copias de seguridad en una backup vault que no sea de CMEK. Sin embargo, si usas la CLI de gcloud, la API o Terraform, puedes configurar copias de seguridad para una instancia con encriptación administrada por Google para usar una backup vault habilitada para CMEK. Cuando almacenas una copia de seguridad en una backup vault habilitada para CMEK, la clave de Cloud Key Management Service de la backup vault encripta los datos de la copia de seguridad, independientemente del estado de encriptación del disco de la instancia.
Configuración heredada
Las copias de seguridad heredan la clave de la carga de trabajo de origen o usan la CMEK de la backup vault para proteger las copias de seguridad con CMEK, según el tipo de recurso.
Encriptación con la CMEK del recurso de origen
Para los tipos de cargas de trabajo que no permiten que las copias de seguridad usen una clave diferente de la carga de trabajo de origen, Backup and DR preserva la encriptación del recurso de origen mediante el uso de la clave de encriptación propia de la carga de trabajo de origen para proteger las copias de seguridad.
Esto se aplica a los siguientes tipos de cargas de trabajo:
Copias de seguridad de discos de Compute Engine y Persistent Disk: Si las cargas de trabajo de origen usan CMEK, sus copias de seguridad también usan la misma CMEK. Si usan la encriptación administrada por Google, sus copias de seguridad también usan la encriptación administrada por Google. Debes almacenar estas copias de seguridad en una backup vault que no esté configurada con CMEK.
Copias de seguridad de instancias de Cloud SQL: Backup and DR usa la clave de la instancia de base de datos original para encriptar la copia de seguridad.
Para realizar estas operaciones y acceder a la clave de Cloud Key Management Service del recurso de origen, Backup and DR usa su agente de servicio. Debes otorgar al agente de servicio los permisos de IAM necesarios en la clave de origen.
Tipos de claves de encriptación que se usan por tipo de carga de trabajo
En la siguiente tabla, se resume qué clave de encriptación se usa para las copias de seguridad de diferentes tipos de cargas de trabajo:
| Carga de trabajo | Clave de encriptación usada para la copia de seguridad | Estado de compatibilidad con CMEK |
|---|---|---|
| Instancia de Compute Engine | CMEK de la backup vault | Admitido |
| Disco de Compute Engine | La clave de encriptación del disco de origen | Admitido |
| Cloud SQL | La clave de encriptación de la instancia de origen | Admitido |
| Clúster de AlloyDB | Clave CMEK de la backup vault | Compatible. La protección de copia de seguridad mejorada a través de Backup and DR proporciona compatibilidad con la encriptación de CMEK de clústeres de AlloyDB encriptados con GMEK y clústeres de AlloyDB encriptados con CMEK. |
| Instancia de Filestore | CMEK de la backup vault | Admitido |
| Google Cloud VMware Engine, base de datos de Oracle y base de datos de SQL Server | - | No compatible |
Consideraciones para usar CMEK para Filestore
Para las copias de seguridad mejoradas, Backup and DR usa la CMEK de la backup vault con el agente de servicio de Backup and DR para encriptar la copia de seguridad en la backup vault.
Limitaciones
La compatibilidad de Backup and DR con CMEK tiene las siguientes limitaciones:
La protección de CMEK solo es compatible con las instancias de Compute Engine, Persistent Disk, las cargas de trabajo de Filestore, Cloud SQL y las copias de seguridad de clústeres de AlloyDB almacenadas en backup vaults.
Solo puedes configurar CMEK en una backup vault en el momento de la creación.
No puedes habilitar, inhabilitar ni cambiar CMEK en una backup vault existente.
La clave de Cloud Key Management Service debe estar en la misma ubicación que la backup vault. Una backup vault en una región debe usar una clave de la misma región. Una backup vault multirregional debe usar una clave de la misma multirregión.
Las copias de seguridad entre regiones deben usar una clave de la misma región que la backup vault.
Los restablecimientos entre regiones de instancias de Compute Engine protegidas por CMEK solo son compatibles con la gcloud CLI, la API o Terraform. Para obtener instrucciones, consulta Cómo restablecer desde una backup vault habilitada para CMEK.
Backup and DR no admite claves de encriptación proporcionadas por el cliente (CSEK).
La backup vault predeterminada y el plan de copias de seguridad predeterminado usan la encriptación administrada por Google. Para usar CMEK, debes crear una backup vault nueva y habilitar CMEK de forma explícita.
Revocación de claves y copias de seguridad mejoradas
Para las copias de seguridad mejoradas, la carga de trabajo de origen y la backup vault usan diferentes agentes de servicio para acceder a la CMEK.
Agente de servicio de Cloud SQL: Si revocas el acceso a la CMEK desde el agente de servicio de Cloud SQL, la instancia de origen se suspende.
Agente de servicio de Backup and DR: Las copias de seguridad mejoradas existentes siguen siendo restablecibles siempre que el agente de servicio de Backup and DR conserve el acceso a la CMEK. Si revocas el acceso desde el agente de servicio de Backup and DR, se impide que se creen copias de seguridad nuevas y que se restablezcan las existentes.
Precios
Backup and DR no cobra tarifas adicionales por usar CMEK. Sin embargo, se te cobra por el uso de tus claves en Cloud Key Management Service. Para obtener más información, consulta los precios de Cloud Key Management Service.
¿Qué sigue?
- Obtén más información para usar CMEK con Backup and DR.