Sistema de gestão de chaves

O serviço do sistema de gestão de chaves (KMS) gere centralmente as chaves criptográficas e é executado no servidor da API Management.

Esta página destina-se a públicos-alvo no grupo de administradores da plataforma, como administradores de TI ou engenheiros de segurança, que são responsáveis pela gestão e utilização de chaves criptográficas no Google Distributed Cloud (GDC) isolado. Para mais informações, consulte a documentação sobre públicos-alvo para GDC com isolamento de ar.

Chaves suportadas

O KMS suporta as seguintes chaves para as respetivas operações do plano de dados:

Primitiva de chave Primitivo de chave (API) Descrição Algoritmo predefinido
AEAD aeadkey A chave de encriptação autenticada com dados associados (AEAD) que realiza a encriptação autenticada através de AES-256.

Os componentes da chave representam o seguinte:
  • AES-256: o algoritmo de chave simétrica Advanced Encryption Standard (AES) de 256 bits. Este algoritmo é o algoritmo predefinido.
 AES_256_GCM
Signing signingkey A chave de assinatura que fornece assinatura assimétrica através do suporte de curva elíptica.

Os componentes da chave representam o seguinte:
  • EC: a chave de curva elíptica.
  • P384: o tamanho da curva de EC.
  • SHA384: o algoritmo de resumo usado na assinatura. Este algoritmo é o algoritmo predefinido.
 EC_SIGN_P384_SHA384

Tipos de chaves de raiz

O KMS usa chaves principais internamente para encriptar o material das chaves antes de escrever o material no disco e desencripta o material quando lê a partir do disco. O KMS obtém a chave principal para cada operação.

O KMS suporta uma única chave raiz por organização, que é criada automaticamente quando um KMS é implementado. A chave principal envolve todas as chaves que não são principais. Use o campo RootKeyID em cada chave para identificar a chave raiz.

Se a sua chave principal for comprometida ou para uma rotação periódica, pode rodar uma chave principal. Este processo substitui a chave principal antiga por uma nova, que se torna a chave principal e envolve todas as chaves não principais.

Tipo de chave de raiz Tipo de chave principal (API) Descrição
Local Root (default) kms.gdc.goog/local-root O material criptográfico da chave raiz é armazenado no servidor da API Management como um segredo do Kubernetes.