Cloud Key Management Service (Cloud KMS) consente di creare e gestire le chiavi di crittografia da utilizzare nei servizi Google Cloud compatibili e nelle tue applicazioni. Con Cloud KMS puoi:
- Genera chiavi software o hardware, importa chiavi esistenti in Cloud KMS o collega chiavi esterne nel tuo sistema di gestione delle chiavi (EKM) esterno compatibile.
- Genera chiavi Cloud HSM multi-tenant e utilizzale con Cloud HSM per Google Workspace per abilitare la crittografia lato client (CSE) in Google Workspace.
- Crea e gestisci istanze Cloud HSM single-tenant e crea o importa e poi utilizza le chiavi Cloud HSM single-tenant.
- Utilizza le chiavi di crittografia gestite dal cliente (CMEK) nei prodotti Google Cloudcon integrazione CMEK. Le integrazioni CMEK utilizzano le chiavi Cloud KMS per criptare o "aggregare" le chiavi di crittografia dei dati (DEK). L'aggregazione delle DEK con le chiavi di crittografia delle chiavi (KEK) è chiamata crittografia envelope.
- Utilizza Cloud KMS Autokey per automatizzare il provisioning e l'assegnazione. Con Autokey, non è necessario eseguire il provisioning di chiavi automatizzate, chiavi e service account in anticipo. Vengono invece generate on demand durante la creazione delle risorse.
- Utilizza le chiavi Cloud KMS per le operazioni di crittografia e decriptazione. Ad esempio, puoi utilizzare l'API Cloud KMS o le librerie client per utilizzare le chiavi Cloud KMS per la crittografia lato client.
- Utilizza le chiavi Cloud KMS per creare o verificare firme digitali o firme di codici di autenticazione dei messaggi (MAC).
- Utilizza le chiavi Cloud KMS per stabilire secret condivisi utilizzando i meccanismi di incapsulamento delle chiavi.
Scegli la crittografia giusta per le tue esigenze
Puoi utilizzare la seguente tabella per identificare il tipo di crittografia che soddisfa le tue esigenze per ogni caso d'uso. La soluzione migliore per le tue esigenze potrebbe includere una combinazione di approcci di crittografia. Ad esempio, potresti utilizzare chiavi software per i dati meno sensibili e chiavi hardware o esterne per i dati più sensibili. Per ulteriori informazioni sulle opzioni di crittografia descritte in questa sezione, consulta Protezione dei dati in Google Cloud in questa pagina. Per saperne di più sull'accordo sul livello del servizio (SLA) applicabile quando utilizzi le chiavi Cloud KMS, Cloud HSM e Cloud EKM, consulta l'accordo sul livello del servizio.
| Tipo di crittografia | Costo | Servizi compatibili | Funzionalità |
|---|---|---|---|
| Google-owned and Google-managed encryption keys (Google Cloud crittografia predefinita) | Incluso | Tutti i servizi Google Cloud che archiviano i dati dei clienti |
|
| Chiavi di crittografia gestite dal cliente - software (chiavi Cloud KMS) |
0,06 $ per versione della chiave | Oltre 40 servizi |
|
| Chiavi di crittografia gestite dal cliente - hardware (chiavi Cloud HSM) |
Da 1,00 $ a 2,50 $per versione della chiave al mese | Oltre 40 servizi |
|
| Chiavi di crittografia gestite dal cliente - esterne (chiavi Cloud EKM) |
3,00 $ per versione della chiave al mese | Oltre 30 servizi |
|
| Crittografia lato client con chiavi Cloud KMS | Il costo delle versioni della chiave attive dipende dal livello di protezione della chiave. | Utilizza le librerie client nelle tue applicazioni |
|
| Cloud HSM per Google Workspace | Costo fisso mensile per ogni istanza, più il costo delle versioni delle chiavi attive e delle operazioni di crittografia. | Utilizza le chiavi Cloud HSM multi-tenant per la crittografia lato client in Google Workspace |
|
| Chiavi di crittografia fornite dal cliente | Potrebbe aumentare i costi associati a Compute Engine o Cloud Storage |
|
|
| Confidential Computing | Costo aggiuntivo per ogni Confidential VM; potrebbe aumentare l'utilizzo dei log e i costi associati |
|
Protezione dei dati in Google Cloud
Google-owned and Google-managed encryption keys (Google Cloud crittografia predefinita)
Per impostazione predefinita, i dati at-rest in Google Cloud sono protetti da chiavi in Keystore,il Key Management Service interno di Google Cloud. Le chiavi in Keystore vengono gestite automaticamente da Google Cloud, senza che sia necessaria alcuna configurazione da parte tua. La maggior parte dei servizi ruota automaticamente le chiavi per te. Keystore supporta una versione chiave primaria e un numero limitato di versioni precedenti della chiave. La versione della chiave primaria viene utilizzata per criptare le nuove chiavi di crittografia dei dati. Le versioni precedenti della chiave possono comunque essere utilizzate per decriptare le chiavi di crittografia dei dati esistenti. Non puoi visualizzare o gestire queste chiavi né esaminare i log di utilizzo delle chiavi. I dati di più clienti potrebbero utilizzare la stessa chiave di crittografia della chiave.
Questa crittografia predefinita utilizza moduli crittografici convalidati per essere conformi allo standard FIPS 140-3 livello 1.
Chiavi di crittografia gestite dal cliente (CMEK)
Le chiavi Cloud KMS utilizzate per proteggere le risorse nei servizi integrati con CMEK sono chiavi di crittografia gestite dal cliente (CMEK). Puoi possedere e controllare le CMEK, delegando al contempo le attività di creazione e assegnazione delle chiavi a Cloud KMS Autokey. L'utilizzo di Autokey è più semplice rispetto al provisioning manuale delle chiavi ed è la scelta consigliata se le chiavi create da Autokey soddisfano tutti i tuoi requisiti. Per scoprire di più sull'automazione del provisioning per le CMEK, consulta Cloud Key Management Service con Autokey.
Puoi utilizzare le chiavi Cloud KMS nei servizi compatibili per raggiungere i seguenti obiettivi:
Possiedi le tue chiavi di crittografia.
Controlla e gestisci le tue chiavi di crittografia, inclusa la scelta della località, del livello di protezione, della creazione, controllo dell'accesso, della rotazione, dell'utilizzo e della distruzione.
Elimina in modo selettivo i dati protetti dalle tue chiavi in caso di offboarding o per rimediare a eventi di sicurezza (crypto-shredding).
Crea chiavi single-tenant dedicate che stabiliscono un confine crittografico attorno ai tuoi dati.
Registra l'accesso amministrativo e ai dati per le chiavi di crittografia.
Soddisfare le normative attuali o future che richiedono uno di questi obiettivi.
Quando utilizzi le chiavi Cloud KMS con i servizi integrati con CMEK, puoi utilizzare le policy dell'organizzazione per assicurarti che le CMEK vengano utilizzate come specificato nelle policy. Ad esempio, puoi impostare una policy dell'organizzazione che garantisca che le tue risorse Google Cloud compatibili utilizzino le tue chiavi Cloud KMS per la crittografia. Le policy dell'organizzazione possono anche specificare in quale progetto devono risiedere le risorse della chiave.
Le funzionalità e il livello di protezione forniti dipendono dal livello di protezione della chiave:
Chiavi software: puoi generare chiavi software in Cloud KMS e utilizzarle in tutte le località Google Cloud . Puoi creare chiavi simmetriche con rotazione automatica o chiavi asimmetriche con rotazione manuale. Le chiavi software gestite dal cliente utilizzano moduli di crittografia software convalidati FIPS 140-3 livello 1. Hai anche il controllo sul periodo di rotazione, sui ruoli e sulle autorizzazioni di Identity and Access Management (IAM) e sulle policy dell'organizzazione che regolano le tue chiavi. Puoi utilizzare le tue chiavi software con molte risorse compatibili Google Cloud.
Chiavi software importate: puoi importare chiavi software create altrove per utilizzarle in Cloud KMS. Puoi importare nuove versioni delle chiavi per ruotare manualmente le chiavi importate. Puoi utilizzare i ruoli e le autorizzazioni IAM e le policy dell'organizzazione per gestire l'utilizzo delle chiavi importate.
Chiavi hardware con Cloud HSM multi-tenant: puoi generare chiavi hardware in un cluster di moduli di sicurezza hardware (HSM) FIPS 140-2 livello 3. Hai il controllo sul periodo di rotazione, sui ruoli e sulle autorizzazioni IAM e sulle policy dell'organizzazione che regolano le tue chiavi. Quando crei chiavi HSM utilizzando Cloud HSM, Google Cloudgestisce i cluster HSM, quindi non devi farlo tu. Puoi utilizzare le tue chiavi HSM con molte risorse compatibili Google Cloud, ovvero gli stessi servizi che supportano le chiavi software. Per il massimo livello di conformità della sicurezza, utilizza i token hardware.
Chiavi hardware con Cloud HSM single-tenant: puoi generare chiavi hardware in un cluster di partizioni dedicate in moduli di sicurezza hardware (HSM) FIPS 140-2 livello 3 che controlli. Hai il controllo sul periodo di rotazione, sui ruoli e sulle autorizzazioni IAM e sulle policy dell'organizzazione che regolano le tue chiavi. Quando crei un'istanza Cloud HSM single-tenant, Google Cloud ospita i cluster HSM in modo che tu non debba farlo, ma controlli l'accesso all'istanza e la gestisci con un quorum di amministratori designati. Le operazioni sulle istanze richiedono l'autenticazione a due fattori utilizzando i token di sicurezza di tua proprietà esterni aGoogle Cloud. Puoi utilizzare le tue chiavi HSM single-tenant con molte risorse Google Cloud compatibili, gli stessi servizi che supportano le chiavi software. Per il massimo livello di conformità della sicurezza con l'isolamento crittografico, utilizza le chiavi hardware.
Chiavi esterne e Cloud EKM: puoi utilizzare le chiavi che risiedono in un gestore di chiavi esterno (EKM). Cloud EKM ti consente di utilizzare le chiavi conservate in un gestore delle chiavi supportato per proteggere le tue risorseGoogle Cloud . Puoi connetterti all'EKM tramite internet o tramite un Virtual Private Cloud (VPC). Alcuni Google Cloud servizi che supportano le chiavi Cloud KMS non supportano le chiavi Cloud EKM.
Chiavi Cloud KMS
Puoi utilizzare le tue chiavi Cloud KMS in applicazioni personalizzate utilizzando le librerie client di Cloud KMS o l'API Cloud KMS. Le librerie client e l'API consentono di criptare e decriptare i dati, firmarli e convalidare le firme.
Cloud HSM multi-tenant per Google Workspace
Puoi utilizzare le tue chiavi Cloud HSM multi-tenant in Cloud HSM per Google Workspace per gestire le chiavi utilizzate per la crittografia lato client (CSE) in Google Workspace. Puoi eseguire l'onboarding in Cloud HSM per Google Workspace.
Chiavi di crittografia fornite dal cliente (CSEK)
Cloud Storage e Compute Engine possono utilizzare chiavi di crittografia fornite dal cliente (CSEK). Con le chiavi di crittografia fornite dal cliente, memorizzi il materiale della chiave e lo fornisci a Cloud Storage o Compute Engine quando necessario. Google Cloud non memorizza in alcun modo le tue CSEK.Confidential Computing
Puoi utilizzare la piattaforma Confidential Computing per criptare i dati in uso. Confidential Computing garantisce che i tuoi dati rimangano privati e criptati anche durante l'elaborazione.