Cloud Build provides customer-managed encryption keys (CMEK) compliance by encrypting the build-time disco persistente with an ephemeral key that is generated for each build. No se requiere configuración. La clave se genera una vez para cada compilación.
Una vez que comienza una compilación, solo los procesos de compilación que la requieren pueden acceder a la clave durante la vida útil de la compilación. Luego, la clave se limpia de la memoria y se destruye.
La clave no se retiene en ningún lugar, los ingenieros de Google o el personal de asistencia no pueden acceder a ella y no se puede restablecer. No se puede acceder de forma permanente a los datos protegidos con esa clave una vez que se completa la compilación.
¿Cómo funciona la encriptación de clave efímera?
Cloud Build es compatible con CMEK mediante el uso de claves efímeras, lo que le permite ser totalmente coherente y compatible con una configuración habilitada con CMEK.
Cloud Build hace lo siguiente para garantizar que los discos persistentes en tiempo de compilación se encripten con una clave efímera:
Cloud Build crea una clave de encriptación aleatoria de 256 bits para encriptar cada disco persistente en tiempo de compilación.
Cloud Build aprovecha la característica de Clave de encriptación suministrada por el cliente (CSEK) del disco persistente para usar esta nueva clave de encriptación como clave de encriptación del disco persistente.
Cloud Build destruye la clave efímera en cuanto se crea el disco. La clave nunca se registra ni se escribe en ningún almacenamiento persistente y se vuelve irrecuperable.
Cuando se completa la compilación, el disco persistente se borra y no quedan rastros de la clave ni datos encriptados del disco persistente en ninguna parte de la infraestructura de Google.
¿Cuándo no se aplica la encriptación de clave efímera?
Cuando creas o activas una compilación mediante la duplicación de fuente (y no a través de los activadores de GitHub), tu código fuente se almacena en Cloud Storage o en Cloud Source Repositories. Tienes el control total sobre la ubicación de almacenamiento del código, incluido el control de su encriptación.
Registros de compilaciones
Cloud Build ofrece varias opciones para almacenar tus registros de compilación. Para cumplir con CMEK, debes almacenar tus registros solo en Cloud Logging o en tu propio bucket de Cloud Storage.