密钥管理系统

密钥管理系统 (KMS) 服务集中管理加密密钥，并在 Management API 服务器中运行。

本页面向平台管理员组内的受众群体，例如 IT 管理员或安全工程师，他们负责在 Google Distributed Cloud (GDC) 气隙环境中管理和使用加密密钥。如需了解更多 信息，请参阅 GDC 气隙环境文档的受众群体。

支持的密钥

KMS 支持以下密钥进行数据平面操作：

密钥基元 密钥基元 (API) 说明 默认算法
AEAD aeadkey 使用 AES-256 执行身份验证加密的带关联数据的加密认证 (AEAD) 密钥。

密钥的组成部分表示以下内容：
  • AES-256：256 位高级加密标准 (AES) 对称密钥算法。此算法是默认算法。
 AES_256_GCM
Signing signingkey 使用椭圆曲线 支持提供非对称签名的签名密钥。

密钥的组成部分表示以下内容：
  • EC：椭圆曲线密钥。
  • P384：EC 曲线的大小。
  • SHA384：签名中使用的摘要算法。此算法是默认算法。
 EC_SIGN_P384_SHA384

根密钥类型

KMS 在内部使用根密钥来加密密钥材料，然后再将材料写入磁盘；从磁盘读取材料时，KMS 会解密材料。 KMS 会检索每个操作的根密钥。

KMS 支持每个组织使用一个根密钥，该密钥会在部署 KMS 时自动创建。根密钥会封装所有非根密钥。使用每个密钥上的 RootKeyID 字段来标识根密钥。

如果根密钥泄露或需要定期轮换，您可以 轮换根密钥。此过程会将旧根密钥替换为新根密钥，新根密钥将成为主密钥并封装所有非根密钥。

根密钥类型 根密钥类型 (API) 说明
Local Root kms.gdc.goog/local-root 根密钥加密材料作为 Kubernetes Secret 存储在 Management API 服务器中。