Schlüsselverwaltungssystem

Der KMS-Dienst (Key Management System) verwaltet kryptografische Schlüssel zentral und wird auf dem Management API-Server ausgeführt.

Diese Seite richtet sich an Nutzer in der Gruppe der Plattformadministratoren, z. B. IT-Administratoren oder Sicherheitsexperten, die für die Verwaltung und Verwendung von kryptografischen Schlüsseln in Google Distributed Cloud (GDC) Air-Gapped verantwortlich sind. Weitere Informationen finden Sie unter Zielgruppen für die Air-Gap-Dokumentation für GDC.

Unterstützte Schlüssel

KMS unterstützt die folgenden Schlüssel für seine Vorgänge auf Datenebene:

Schlüssel-Primitive Schlüssel-Primitive (API) Beschreibung Standardalgorithmus
AEAD aeadkey Der Schlüssel für die authentifizierte Verschlüsselung mit zugehörigen Daten (AEAD), mit dem die authentifizierte Verschlüsselung mit AES-256 durchgeführt wird.

Die Komponenten des Schlüssels stehen für Folgendes:
  • AES-256: Der symmetrische Schlüsselalgorithmus mit 256-Bit-AES (Advanced Encryption Standard). Dieser Algorithmus ist der Standardalgorithmus.
 AES_256_GCM
Signing signingkey Der Signaturschlüssel, der asymmetrische Signaturen mit Unterstützung für elliptische Kurven ermöglicht.

Die Komponenten des Schlüssels stehen für Folgendes:
  • EC: Der Schlüssel für elliptische Kurven.
  • P384: Die Größe der EC-Kurve.
  • SHA384: Der beim Signieren verwendete Digest-Algorithmus. Dieser Algorithmus ist der Standardalgorithmus.
 EC_SIGN_P384_SHA384

Stammschlüsseltypen

Der KMS verwendet intern Stammschlüssel, um Schlüsselmaterial zu verschlüsseln, bevor er es auf die Festplatte schreibt, und entschlüsselt das Material beim Lesen von der Festplatte. Der KMS ruft den Root-Schlüssel für jeden Vorgang ab.

Das KMS unterstützt einen einzelnen Stammschlüssel pro Organisation, der automatisch erstellt wird, wenn ein KMS bereitgestellt wird. Der Stammschlüssel verpackt alle Schlüssel, die keine Stammschlüssel sind. Verwenden Sie das Feld RootKeyID für jeden Schlüssel, um den Stammschlüssel zu identifizieren.

Wenn Ihr Stammschlüssel kompromittiert wird oder Sie ihn regelmäßig rotieren möchten, können Sie einen Stammschlüssel rotieren. Bei diesem Vorgang wird der alte Stammschlüssel durch einen neuen ersetzt, der zum primären Schlüssel wird und alle Nicht-Stammschlüssel umschließt.

Stammschlüsseltyp Root Key Type (API) Beschreibung
Local Root (default) kms.gdc.goog/local-root Das kryptografische Material des Stammschlüssels wird als Kubernetes-Secret auf dem Management API-Server gespeichert.