Sistema de gestión de claves

El servicio del sistema de gestión de claves (KMS) gestiona de forma centralizada las claves criptográficas y se ejecuta en el servidor de la API Management.

Esta página está dirigida a los usuarios del grupo de administradores de la plataforma, como los administradores de TI o los ingenieros de seguridad, que son responsables de gestionar y usar las claves criptográficas en el entorno aislado de Google Distributed Cloud (GDC). Para obtener más información, consulta Audiencias de la documentación aislada de GDC.

Claves admitidas

KMS admite las siguientes claves para sus operaciones del plano de datos:

Primitiva de clave Primitiva de clave (API) Descripción Algoritmo predeterminado
AEAD aeadkey La clave de cifrado autenticado con datos asociados (AEAD) que realiza el cifrado autenticado mediante AES-256.

Los componentes de la clave representan lo siguiente:
  • AES-256: algoritmo de clave simétrica del estándar de cifrado avanzado (AES) de 256 bits. Este es el algoritmo predeterminado.
 AES_256_GCM
Signing signingkey La clave de firma que proporciona una firma asimétrica mediante la compatibilidad con la curva elíptica.

Los componentes de la clave representan lo siguiente:
  • EC: la clave de curva elíptica.
  • P384: el tamaño de la curva EC.
  • SHA384: el algoritmo de resumen utilizado en la firma. Este algoritmo es el predeterminado.
 EC_SIGN_P384_SHA384

Tipos de claves raíz

KMS usa claves raíz internamente para encriptar el material de claves antes de escribirlo en el disco y lo desencripta cuando lo lee del disco. El KMS recupera la clave raíz de cada operación.

El KMS admite una sola clave raíz por organización, que se crea automáticamente cuando se implementa un KMS. La clave raíz encapsula todas las claves que no son raíz. Usa el campo RootKeyID de cada clave para identificar la clave raíz.

Si tu clave raíz se ve comprometida o quieres cambiarla periódicamente, puedes rotar una clave raíz. Este proceso sustituye la clave raíz antigua por una nueva, que se convierte en la clave principal y envuelve todas las claves que no son raíz.

Tipo de clave raíz Tipo de clave raíz (API) Descripción
Local Root (default) kms.gdc.goog/local-root El material criptográfico de la clave raíz se almacena en el servidor de la API Management como un secreto de Kubernetes.