Por padrão, Google Cloud o criptografa automaticamente os dados em repouso usando chaves de criptografia gerenciadas pelo Google. Se você tiver requisitos regulatórios ou de compliance específicos relacionados às chaves que protegem seus dados, use chaves de criptografia gerenciadas pelo cliente (CMEK).
Com a CMEK, é possível proteger os dados de backup e DR usando uma chave criptográfica controlada pelo Cloud Key Management Service. Ao usar a CMEK, você gerencia a chave no Cloud Key Management Service e controla o acesso gerenciando as permissões do Identity and Access Management na chave. Se você desativar temporariamente ou destruir permanentemente a CMEK, os dados protegidos por essa chave ficarão inacessíveis.
Como o Backup e DR usa a CMEK
O Backup e DR protege os backups usando a CMEK de uma das duas maneiras, dependendo do tipo de carga de trabalho:
CMEK no nível do vault: usa a chave do Cloud Key Management Service configurada diretamente no backup vault para criptografar os dados de backup.
CMEK no nível da origem: herda e usa a chave de criptografia da carga de trabalho de origem, preservando a proteção CMEK atual.
Como configurar um contêiner de backup vault com CMEK
Um backup vault é um contêiner lógico seguro e isolado usado para armazenar e gerenciar seus backups. Ao configurar um backup vault com uma CMEK, o Backup e DR usa essa chave para proteger os backups armazenados dentro do vault.
Para alguns tipos de recursos, um backup vault ativado para CMEK criptografa os dados de backup usando a chave do Cloud Key Management Service do vault.
Por exemplo, se um ou mais discos anexados a uma instância do Compute Engine usarem a CMEK, o Backup e DR considerará a instância protegida pela CMEK. É necessário fazer backup dessas instâncias em um backup vault ativado para CMEK. Se todos os discos anexados à instância usarem a criptografia gerenciada pelo Google, no Google Cloud console, será necessário armazenar os backups em um backup vault não CMEK. No entanto, se você usar a CLI gcloud, a API ou o Terraform, poderá configurar backups para uma instância com criptografia gerenciada pelo Google para usar um backup vault ativado para CMEK. Ao armazenar um backup em um backup vault ativado para CMEK, a chave do Cloud Key Management Service do vault criptografa os dados de backup, independentemente do status de criptografia do disco da instância.
Configurações herdadas
Os backups herdam a chave da carga de trabalho de origem ou usam a CMEK do backup vault para proteger os backups usando a CMEK, dependendo do tipo de recurso.
Criptografia usando a CMEK do recurso de origem
Para tipos de carga de trabalho que não permitem que os backups usem uma chave diferente da carga de trabalho de origem, o Backup e DR preserva a criptografia do recurso de origem usando a própria chave de criptografia da carga de trabalho de origem para proteger os backups.
Isso se aplica aos seguintes tipos de carga de trabalho:
Backups de disco do Compute Engine e disco permanente: se as cargas de trabalho de origem usarem a CMEK, os backups também usarão a mesma CMEK. Se eles usarem a criptografia gerenciada pelo Google, os backups também usarão a criptografia gerenciada pelo Google. É necessário armazenar esses backups em um backup vault que não esteja configurado com a CMEK.
Backups de instâncias do Cloud SQL: o Backup e DR usa a chave da instância de banco de dados original para criptografar o backup.
Para realizar essas operações e acessar a chave do Cloud Key Management Service do recurso de origem, o Backup e DR usa o agente de serviço. É necessário conceder ao agente de serviço as permissões necessárias do IAM na chave de origem.
Tipos de chaves de criptografia usadas por tipo de carga de trabalho
A tabela a seguir resume qual chave de criptografia é usada para backups de diferentes tipos de carga de trabalho:
| Carga de trabalho | Chave de criptografia usada em backups | Status da compatibilidade com a CMEK |
|---|---|---|
| Instância do Compute Engine | CMEK do backup vault | Com suporte |
| Disco do Compute Engine | A chave de criptografia do disco de origem | Com suporte |
| Cloud SQL | A chave de criptografia da instância de origem | Com suporte |
| Cluster do AlloyDB | Chave CMEK do backup vault | Com suporte. O suporte à criptografia CMEK de clusters do AlloyDB criptografados com GMEK e clusters do AlloyDB criptografados com CMEK é fornecido pela proteção de backup aprimorada por meio do Backup e DR. |
| Instância do Filestore | CMEK do backup vault | Com suporte |
| Google Cloud VMware Engine, banco de dados Oracle e banco de dados SQL Server | - | Indisponível |
Considerações sobre o uso da CMEK para o Filestore
Para backups aprimorados, o Backup e DR usa a CMEK do backup vault usando o agente de serviço de Backup e DR para criptografar o backup no backup vault.
Limitações
O suporte do Backup e DR para CMEK tem as seguintes limitações:
A proteção CMEK só é compatível com instâncias do Compute Engine, Persistent Disk, cargas de trabalho do Filestore, Cloud SQL e backups de clusters do AlloyDB armazenados em backup vaults.
Só é possível configurar a CMEK em um backup vault no momento da criação.
Não é possível ativar, desativar ou alterar a CMEK em um backup vault atual.
A chave do Cloud Key Management Service precisa estar no mesmo local que o backup vault. Um backup vault em uma região precisa usar uma chave da mesma região. Um backup vault multirregional precisa usar uma chave da mesma multirregião.
Os backups entre regiões precisam usar uma chave da mesma região que o backup vault.
As restaurações entre regiões de instâncias do Compute Engine protegidas por CMEK só são compatíveis com a CLI gcloud, a API ou o Terraform. Para instruções, consulte Restaurar de um backup vault ativado para CMEK.
O Backup e DR não oferece suporte a chaves de criptografia fornecidas pelo cliente (CSEK).
O backup vault padrão e o plano de backup padrão usam a criptografia gerenciada pelo Google. Para usar a CMEK, é necessário criar um novo backup vault e ativar explicitamente a CMEK.
Revogação de chaves e backups aprimorados
Para backups aprimorados, a carga de trabalho de origem e o backup vault usam agentes de serviço diferentes para acessar a CMEK.
Agente de serviço do Cloud SQL: se você revogar o acesso à CMEK do agente de serviço do Cloud SQL, a instância de origem será suspensa.
Agente de serviço de Backup e DR: os backups aprimorados atuais permanecem restauráveis enquanto o agente de serviço de Backup e DR mantiver o acesso à CMEK. A revogação do acesso do agente de serviço de Backup e DR impede que novos backups sejam criados e que os backups atuais sejam restaurados.
Preços
O Backup e DR não cobra taxas adicionais pelo uso da CMEK. No entanto, você recebe cobranças pelo uso das chaves no Cloud Key Management Service. Para mais informações, consulte Preços do Cloud Key Management Service.
A seguir
- Saiba como usar a CMEK com o Backup e DR