Chiavi di crittografia gestite dal cliente

Per impostazione predefinita, Integration Connectors cripta i contenuti inattivi dei clienti. Integration Connectors gestisce la crittografia per conto tuo senza che tu debba fare altro. Questa opzione è denominata crittografia predefinita di Google.

Se vuoi controllare le tue chiavi di crittografia, puoi utilizzare le chiavi di crittografia gestite dal cliente (CMEK) in Cloud KMS con i servizi integrati con CMEK, inclusi Integration Connectors. L'utilizzo delle chiavi Cloud KMS ti consente di controllare il livello di protezione, la località, la pianificazione della rotazione, le autorizzazioni di utilizzo e di accesso e i limiti crittografici. Con Cloud KMS puoi inoltre visualizzare i log di controllo e controllare i cicli di vita delle chiavi. Invece di Google, sei tu ad avere la proprietà e la gestione delle chiavi di crittografia della chiave (KEK) simmetriche che proteggono i tuoi dati. Puoi controllare e gestire queste chiavi in Cloud KMS.

Dopo aver configurato le risorse con le chiavi CMEK, l'esperienza di accesso alle risorse di Integration Connectors è simile all'utilizzo della crittografia predefinita di Google. Per saperne di più sulle opzioni di crittografia, consulta Chiavi di crittografia gestite dal cliente (CMEK).

Prima di iniziare

Assicurati che le seguenti attività siano completate prima di utilizzare CMEK per Integration Connectors:

1. Abilita l'API Cloud KMS per il progetto in cui verranno archiviate le chiavi di crittografia.

   Abilita l'API Cloud KMS

   Suggerimento:puoi eseguire Integration Connectors e Cloud KMS nello stesso progetto Google Cloud o in progetti diversi.
2. Assegna il ruolo IAM Amministratore Cloud KMS o concedi le seguenti autorizzazioni IAM per il progetto che archivierà le chiavi di crittografia:
   • cloudkms.cryptoKeys.setIamPolicy
   • cloudkms.keyRings.create
   • cloudkms.cryptoKeys.create

   Per informazioni sulla concessione di ruoli o autorizzazioni aggiuntivi, consulta Concessione, modifica e revoca dell'accesso.

   Attenzione: il ruolo Amministratore Cloud KMS contiene le autorizzazioni per la manutenzione delle chiavi e l'eliminazione delle versioni delle chiavi. Per proteggere le risorse Cloud KMS, questo ruolo deve essere assegnato solo alle persone responsabili dell'amministrazione delle chiavi.
3. Crea un keyring e una chiave.
   Nota: il keyring deve essere creato nella stessa regione in cui hai configurato Integration Connectors.

Aggiungi il account di servizio alla chiave CMEK

Per utilizzare una chiave CMEK in Integration Connectors, devi assicurarti che il tuo account di servizio predefinito (con il formato [e-mail]) sia aggiunto e che gli sia assegnato il ruolo IAM Autore crittografia/decriptazione CryptoKey per quella chiave CMEK.

Nota: il account di servizio predefinito potrebbe non esistere se stai eseguendo il provisioning della prima regione. Per generare il account di servizio, esegui il comando gcloud beta services identity create --service=connectors.googleapis.com --project=PROJECT_ID.

1. Nella console Google Cloud , vai alla pagina Inventario chiavi.

   Vai alla pagina Inventario chiavi

2. Seleziona la casella di controllo relativa alla chiave CMEK desiderata.

   La scheda Autorizzazioni nel riquadro a destra della finestra diventa disponibile.

3. Fai clic su Aggiungi entità e inserisci l'indirizzo email del account di servizio predefinito.
4. Fai clic su Seleziona un ruolo e seleziona il ruolo Cloud KMS CryptoKey Encrypter/Decrypter dall'elenco a discesa disponibile.
5. Fai clic su Salva.

Abilita la crittografia CMEK per una regione Integration Connectors esistente

Attenzione:

• L'attivazione della crittografia CMEK per una regione di Integration Connectors non può essere annullata. Ciò significa anche che non puoi modificare il metodo di crittografia per una regione se CMEK è già abilitata e il percorso della risorsa della chiave radice non può essere aggiornato o modificato dinamicamente in una risorsa esistente.
• Puoi abilitare la chiave di crittografia gestita dal cliente per una regione di Integration Connectors solo quando tutte le connessioni in quella regione sono SUSPENDED. Pertanto, prima di attivare CMEK per una regione esistente con connessioni, devi sospendere tutte le connessioni nella regione.

Puoi utilizzare CMEK per criptare e decriptare i dati supportati memorizzati in una regione (chiamata anche località). Per abilitare la crittografia CMEK per una regione Integration Connectors esistente:

1. Nella console Google Cloud , vai alla pagina Integration Connectors > Connessioni.

   Vai alla pagina di tutte le connessioni.

2. Filtra le connessioni per la posizione richiesta.

   Verrà visualizzato un elenco di tutte le connessioni per la località (regione) specificata.

3. Sospendi tutte le connessioni nella regione.
4. Vai alla pagina Integration Connectors > Regions (Integration Connectors > Regioni). Elenca tutte le regioni in cui è disponibile Integration Connectors.
5. Per la regione in cui vuoi abilitare CMEK, fai clic su Modifica crittografia nel menu Azioni. Viene visualizzato il riquadro Modifica crittografia.
6. Seleziona Chiave di crittografia gestita dal cliente (CMEK), quindi seleziona la chiave richiesta dall'elenco a discesa Chiave gestita dal cliente.

   Potrebbe esserti chiesto di concedere il ruolo cloudkms.cryptoKeyEncrypterDecrypter al account di servizio. Fai clic su Concedi.

7. Fai clic su Fine.

Abilita la crittografia CMEK per una nuova regione di Integration Connectors

Attenzione: l'attivazione della crittografia CMEK per una regione di Integration Connectors non può essere annullata. Inoltre, il percorso della risorsa della chiave principale non può essere aggiornato o modificato dinamicamente in una risorsa esistente.

Puoi utilizzare CMEK per criptare e decriptare i dati supportati memorizzati in una regione (chiamata anche località). Per abilitare la crittografia CMEK per una nuova regione di Integration Connectors, segui questi passaggi:

1. Nella console Google Cloud , vai alla pagina Integration Connectors > Regioni.

   Vai alla pagina Regioni.

2. Fai clic su Provision new region (Esegui provisioning di una nuova regione). Viene visualizzata la pagina di creazione della regione.
3. Seleziona la regione richiesta dall'elenco a discesa Regione.
4. Nella sezione Impostazioni avanzate, seleziona Chiave di crittografia gestita dal cliente (CMEK), quindi seleziona la chiave richiesta dall'elenco a discesa Chiave gestita dal cliente.

   Potrebbe esserti chiesto di concedere il ruolo cloudkms.cryptoKeyEncrypterDecrypter al account di servizio. Fai clic su Concedi.

5. Fai clic su Fine.

Rotazione e ricrittografia delle chiavi

Quando una chiave CMEK viene ruotata, i dati esistenti non vengono criptati nuovamente in modo automatico con la nuova versione della chiave e Integration Connectors non supporta la nuova crittografia manuale. Tuttavia, i dati rimangono accessibili finché le versioni della chiave attive precedenti non vengono disattivate o eliminate.

Quote di Cloud KMS e Integration Connectors

Quando utilizzi CMEK in Integration Connectors, i tuoi progetti possono utilizzare le quote per le richieste crittografiche di Cloud KMS. Ad esempio, le chiavi CMEK possono consumare queste quote per ogni chiamata di crittografia e decriptazione.

Le operazioni di crittografia e decrittazione che utilizzano le chiavi CMEK influiscono sulle quote di Cloud KMS nei seguenti modi:

• Per le chiavi CMEK software generate in Cloud KMS, non viene consumata alcuna quota Cloud KMS.
• Per le chiavi CMEK hardware, a volte chiamate chiavi Cloud HSM, le operazioni di crittografia e decrittografia vengono conteggiate in base alle quote Cloud HSM nel progetto che contiene la chiave.
• Per le chiavi CMEK esterne, a volte chiamate chiavi Cloud EKM, le operazioni di crittografia e decrittografia vengono conteggiate in base alle quote Cloud EKM nel progetto che contiene la chiave.

Per maggiori informazioni, consulta Quote di Cloud KMS.