Rotazione della chiave CMEK

Le chiavi di crittografia gestite dal cliente (CMEK) ti consentono di proteggere i dati nei serviziGoogle Cloud supportati con una chiave crittografica che controlli in Cloud KMS. Puoi configurare la rotazione automatica delle chiavi in base a una pianificazione prestabilita oppure puoi ruotare le chiavi manualmente. Questo documento spiega cosa succede in un servizio integrato con CMEK quando viene eseguita la rotazione della chiave Cloud KMS sottostante.

Come funziona rotazione della chiave con CMEK

Quando esegui la rotazione di una chiave in Cloud KMS, Cloud KMS crea una nuova versione della chiave. La nuova versione della chiave diventa la versione primaria e può essere utilizzata per criptare le chiavi di crittografia dei dati (DEK) che proteggono i tuoi dati. Le versioni precedenti delle chiavi vengono mantenute attive e sono disponibili per decriptare le DEK criptate con queste chiavi. Questa procedura garantisce che tu possa sempre accedere ai dati meno recenti.

Servizi diversi integrati con CMEK gestiscono rotazione della chiave in modo diverso, ma esistono tre pattern principali:

• La nuova versione della chiave protegge tutti i dati: quando il servizio rileva che una nuova versione della chiave è diventata primaria, esegue automaticamente la crittografia delle DEK criptate con la versione precedente della chiave. Le DEK che proteggono sia i nuovi dati sia quelli esistenti vengono criptate con la versione corrente della chiave primaria. La ricrittografia delle DEK esistenti potrebbe richiedere del tempo, ma la versione precedente della chiave non viene più utilizzata.
• Viene utilizzata la nuova versione della chiave: quando il servizio rileva che una nuova versione della chiave è diventata principale, le successive richieste di crittografia utilizzano la nuova versione della chiave. Le DEK che proteggono i dati per questa risorsa utilizzano un mix di versioni della chiave attuali e precedenti.
• La nuova versione della chiave non viene utilizzata: il servizio continua a criptare le DEK con la versione della chiave originale configurata al momento della creazione della risorsa, indipendentemente dall'esistenza di nuove versioni della chiave primaria.

Comportamento specifico del servizio dopo rotazione della chiave

La tabella seguente mostra il comportamento di rotazione specifico del servizio per le risorse che possono essere protette con le chiavi CMEK. La tabella seguente descrive i dettagli della rotazione per ogni tipo di risorsa o insieme di tipi di risorsa:

• Può ereditare la chiave: indica se la risorsa può ereditare una chiave da una risorsa padre.
• Can use unique key: indica se la risorsa può utilizzare la propria chiave univoca, non ereditata da una risorsa padre.
• Può modificare la chiave: indica se puoi selezionare una nuova CMEK per proteggere la risorsa mentre la aggiorni.
• Nuovi dati: indica se le nuove DEK sono criptate con la versione della chiave primaria o con la versione della chiave originale che era primaria quando è stata configurata CMEK per la risorsa.
• Dati esistenti: indica se le DEK esistenti vengono ricriptate con la versione della chiave primaria o rimangono criptate con la versione della chiave originale che era primaria quando è stata configurata CMEK per la risorsa.

Filtra per: Modello di rotazione Qualsiasi La nuova versione della chiave protegge tutti i dati La nuova versione della chiave viene utilizzata da ora in poi La nuova versione della chiave non viene utilizzata Modello di ereditarietà chiave Qualsiasi La risorsa può ereditare le chiavi Utilizzare chiavi ereditate o univoche La risorsa eredita solo le chiavi La risorsa non può ereditare le chiavi Modifica di CMEK durante l'aggiornamento Qualsiasi Può modificare CMEK Impossibile modificare CMEK Cancella tutto

Servizio e risorse	Può ereditare la chiave	Può utilizzare una chiave univoca	Può cambiare la chiave	Nuovi dati	Dati esistenti
Agent Retrieval vectorsearch.googleapis.com/Collection vectorsearch.googleapis.com/Index	No	Sì	No	Utilizza la nuova versione della chiave primaria	Utilizza la versione della chiave originale
Application Integration integrations.googleapis.com/IntegrationVersion integrations.googleapis.com/AuthConfig integrations.googleapis.com/Execution integrations.googleapis.com/Suspension integrations.googleapis.com/TestCase integrations.googleapis.com/Template	No	Sì	Sì	Utilizza la nuova versione della chiave primaria	Utilizza la versione della chiave originale
BigQuery bigquery.googleapis.com/Dataset bigquery.googleapis.com/Table	Sì	Sì	Sì	Utilizza la nuova versione della chiave primaria	Utilizza la versione della chiave originale
Cloud Storage storage.googleapis.com/Bucket	No	Sì	Sì	Utilizza la nuova versione della chiave primaria	Utilizza la versione della chiave originale
Cloud Storage storage.googleapis.com/Object	Sì	Sì	No	N/A: questa risorsa è immutabile.	Utilizza la versione della chiave originale
Insight sulla customer experience contactcenterinsights.googleapis.com/* Nota:Customer Experience Insights utilizza una chiave per progetto per regione; questa chiave viene ereditata da tutte le risorse in quella regione.	Sì	No	No	Sconosciuto	Sconosciuto
Dataflow dataflow.googleapis.com/Job	No	Sì	No	Utilizza la nuova versione della chiave primaria	Utilizza la nuova versione della chiave primaria
Eventarc Advanced eventarc.googleapis.com/MessageBus eventarc.googleapis.com/Pipeline eventarc.googleapis.com/GoogleApiSource	No	Sì	Sì	Utilizza la versione originale della chiave	Utilizza la versione della chiave originale
Eventarc Standard eventarc.googleapis.com/Channel	No	Sì	Sì	Utilizza la versione originale della chiave	Utilizza la versione della chiave originale
Eventarc Standard eventarc.googleapis.com/Trigger	Sì	No	Sì	Utilizza la versione originale della chiave	Utilizza la versione della chiave originale
Filestore file.googleapis.com/instance file.googleapis.com/backup	No	Sì	No	Utilizza la nuova versione della chiave primaria	Utilizza la versione della chiave originale
Firestore firestore.googleapis.com/Database datastore.googleapis.com/Database	No	Sì	No	Utilizza la nuova versione della chiave primaria	Utilizza la nuova versione della chiave primaria
Gemini Code Assist cloudaicompanion.googleapis.com/CodeRepositoryIndex	No	Sì	No	Utilizza la versione originale della chiave	Utilizza la versione della chiave originale
Pub/Sub pubsub.googleapis.com/Topic	No	Sì	Sì	Utilizza la nuova versione della chiave primaria	Utilizza la versione della chiave originale
Secure Source Manager securesourcemanager.googleapis.com/Instance	No	Sì	No	Utilizza la versione originale della chiave	Utilizza la versione della chiave originale
Spanner storage.googleapis.com/instances.databases storage.googleapis.com/instances.backups	Sì	Sì	No	Utilizza la nuova versione della chiave primaria	Utilizza la versione della chiave originale
Speech-to-Text speech.googleapis.com/Config	No	Sì	Sì	Utilizza la nuova versione della chiave primaria	Utilizza la versione della chiave originale
Speech-to-Text speech.googleapis.com/CustomClass speech.googleapis.com/Endpoint speech.googleapis.com/Model speech.googleapis.com/PhraseSet speech.googleapis.com/Recognizer	Sì	No	Sì	Utilizza la nuova versione della chiave primaria	Utilizza la versione della chiave originale
Workflow workflows.googleapis.com/Workflow	No	Sì	Sì	Utilizza la versione originale della chiave	Utilizza la versione della chiave originale
Workflow workflowexecutions.googleapis.com/Execution	Sì	No	No	Utilizza la versione originale della chiave	Utilizza la versione della chiave originale

Passaggi successivi

• Scopri come ruotare una chiave.
• Leggi la panoramica delle chiavi di crittografia gestite dal cliente (CMEK).