כברירת מחדל, Google Cloud מצפין באופן אוטומטי את הנתונים באחסון באמצעות מפתחות הצפנה שמנוהלים על ידי Google. אם יש לכם דרישות ספציפיות בנושא תאימות או רגולציה שקשורות למפתחות שמגנים על הנתונים, אתם יכולים להשתמש במפתחות הצפנה בניהול הלקוח (CMEK).
בעזרת CMEK, אתם יכולים להגן על הנתונים שלכם ב-Backup and DR באמצעות מפתח קריפטוגרפי שאתם שולטים בו דרך Cloud Key Management Service. כשמשתמשים ב-CMEK, מנהלים את המפתח ב-Cloud Key Management Service ושולטים בגישה באמצעות ניהול הרשאות של ניהול זהויות והרשאות גישה (IAM) במפתח. אם משביתים את ה-CMEK באופן זמני או משמידים אותו באופן סופי, הנתונים שמוגנים באמצעות המפתח הזה הופכים ללא נגישים.
איך Backup and DR משתמש ב-CMEK
ב-Backup and DR, הגיבויים מוגנים באמצעות CMEK באחת משתי דרכים, בהתאם לסוג עומס העבודה:
CMEK ברמת הכספת: משתמש במפתח Cloud Key Management Service שהוגדר ישירות בכספת הגיבוי כדי להצפין את נתוני הגיבוי.
CMEK ברמת המקור: המפתח מושפע ממפתח ההצפנה של עומס העבודה במקור ומשתמש בו, וכך נשמרת ההגנה הקיימת של CMEK.
הגדרת קונטיינר של כספת גיבוי עם CMEK
כספת גיבויים היא מאגר לוגי מאובטח ומבודד שמשמש לאחסון ולניהול של הגיבויים. כשמגדירים כספת גיבוי עם CMEK, Backup and DR משתמש במפתח הזה כדי להגן על הגיבויים שמאוחסנים בכספת.
בסוגים מסוימים של מקורות מידע, כספת גיבוי עם CMEK מצפינה את נתוני הגיבוי באמצעות המפתח של Cloud Key Management Service בכספת.
לדוגמה, אם דיסק אחד או יותר שמצורפים למכונה של Compute Engine משתמשים ב-CMEK, Backup and DR מחשיב את המכונה כמוגנת באמצעות CMEK. צריך לגבות את המקרים האלה בכספת גיבוי שמופעל בה CMEK. אם כל הדיסקים שמצורפים למופע משתמשים בהצפנה בניהול Google, צריך לאחסן את הגיבויים בכספת גיבויים שלא מוצפנת באמצעות CMEK במסוףGoogle Cloud . עם זאת, אם אתם משתמשים ב-ה-CLI של gcloud, ב-API או ב-Terraform, אתם יכולים להגדיר גיבויים למופע עם הצפנה בניהול Google כדי להשתמש בכספת גיבוי עם הפעלת CMEK. כשמאחסנים גיבוי במאגר גיבויים שמופעל בו CMEK, מפתח Cloud Key Management Service של מאגר הגיבויים מצפין את נתוני הגיבוי, בלי קשר למצב ההצפנה של הדיסק של המופע.
הגדרות שעוברות בירושה
הגיבויים מקבלים בירושה את המפתח של עומס העבודה המקורי או משתמשים ב-CMEK של כספת הגיבוי כדי להגן על הגיבויים באמצעות CMEK, בהתאם לסוג המשאב.
הצפנה באמצעות CMEK של משאב המקור
עבור סוגי עומסי עבודה שלא מאפשרים לגיבויים להשתמש במפתח שונה מעומס העבודה של המקור, Backup and DR שומר על ההצפנה של משאב המקור באמצעות מפתח ההצפנה של עומס העבודה של המקור כדי להגן על הגיבויים.
ההגדרה הזו רלוונטית לסוגי העומסים הבאים:
גיבויים של דיסקים ב-Compute Engine ושל Persistent Disk: אם עומסי העבודה של המקור משתמשים ב-CMEK, הגיבויים שלהם משתמשים באותו CMEK. אם הם משתמשים בהצפנה בניהול Google, הגיבויים שלהם מוצפנים גם הם באמצעות הצפנה בניהול Google. צריך לאחסן את הגיבויים האלה בכספת גיבוי שלא מוגדרת עם CMEK.
גיבויים של מכונות Cloud SQL: Backup and DR משתמש במפתח של מכונת מסד הנתונים המקורית כדי להצפין את הגיבוי.
כדי לבצע את הפעולות האלה ולגשת למפתח Cloud Key Management Service של משאב המקור, Backup and DR משתמש בסוכן השירות שלו. צריך להעניק לסוכן השירות את הרשאות ה-IAM הנדרשות במפתח המקור.
סוגי מפתחות הצפנה שנעשה בהם שימוש לפי סוג עומס העבודה
בטבלה הבאה מפורט מפתח ההצפנה שמשמש לגיבוי של סוגים שונים של עומסי עבודה:
| עומס עבודה | מפתח ההצפנה שמשמש לגיבוי | סטטוס התמיכה ב-CMEK |
|---|---|---|
| מכונה של Compute Engine | CMEK בכספת גיבוי | נתמך |
| דיסק של Compute Engine | מפתח ההצפנה של דיסק המקור | נתמך |
| Cloud SQL | מפתח ההצפנה של מופע המקור | נתמך |
| אשכול AlloyDB | מפתח CMEK של כספת הגיבוי | יש תמיכה הגנה משופרת על גיבויים באמצעות Backup and DR מספקת תמיכה בהצפנת CMEK של אשכולות AlloyDB מוצפנים ב-GMEK ושל אשכולות AlloyDB מוצפנים ב-CMEK. |
| מופע Filestore | CMEK בכספת גיבוי | נתמך |
| Google Cloud VMware Engine, מסד נתונים של Oracle ומסד נתונים של SQL Server | - | לא נתמך |
שיקולים לשימוש ב-CMEK ב-Filestore
לגיבויים משופרים, שירות Backup and DR משתמש ב-CMEK של כספת הגיבוי באמצעות סוכן שירות Backup and DR כדי להצפין את הגיבוי בכספת הגיבוי.
מגבלות
יש מגבלות מסוימות לתמיכה ב-CMEK ב-Backup and DR:
הגנה באמצעות CMEK נתמכת רק במקרים הבאים: מכונות Compute Engine, דיסקים מתמידים, עומסי עבודה של Filestore, Cloud SQL וגיבויים של אשכולות AlloyDB שנשמרים במאגרי גיבויים.
אפשר להגדיר CMEK בכספת גיבוי רק בזמן היצירה.
אי אפשר להפעיל, להשבית או לשנות את ה-CMEK בכספת גיבוי קיימת.
המפתח של Cloud Key Management Service צריך להיות באותו מיקום כמו מאגר הגיבוי. בכספת גיבוי באזור מסוים צריך להשתמש במפתח מאותו אזור. בכספת גיבוי שפועלת במספר אזורים צריך להשתמש במפתח מאותו אזור גיאוגרפי נרחב יותר שכולל מספר אזורים.
בגיבויים חוצי-אזורים צריך להשתמש במפתח מאותו אזור שבו נמצא כספת הגיבוי.
שחזור בין אזורים של מכונות Compute Engine שמוגנות באמצעות CMEK נתמך רק דרך ה-CLI של gcloud, API או Terraform. הוראות מפורטות מופיעות במאמר שחזור ממאגר גיבוי עם הפעלה של CMEK.
Backup and DR לא תומך במפתחות הצפנה באספקת הלקוח (CSEK).
כברירת מחדל, כספת הגיבוי ותוכנית הגיבוי משתמשות בהצפנה שמנוהלת על ידי Google. כדי להשתמש ב-CMEK, צריך ליצור כספת גיבוי חדשה ולהפעיל את CMEK באופן מפורש.
ביטול מפתחות וגיבויים משופרים
בגיבויים משופרים, עומס העבודה של המקור וכספת הגיבוי משתמשים בסוכני שירות שונים כדי לגשת ל-CMEK.
סוכן שירות של Cloud SQL: אם תבטלו את הגישה למפתח ה-CMEK מסוכן השירות של Cloud SQL, מופע המקור יושעה.
סוכן שירות הגיבוי וה-DR: גיבויים משופרים קיימים עדיין ניתנים לשחזור כל עוד לסוכן שירות הגיבוי וה-DR יש גישה ל-CMEK. ביטול הגישה של סוכן שירות הגיבוי וה-DR ימנע יצירה של גיבויים חדשים וימנע שחזור של גיבויים קיימים.
תמחור
ב-Backup and DR לא נגבות עמלות נוספות על שימוש ב-CMEK. עם זאת, תחויבו על השימוש במפתחות ב-Cloud Key Management Service. מידע נוסף זמין במאמר בנושא תמחור של Cloud Key Management Service.