בעזרת Cloud Key Management Service (Cloud KMS) אתם יכולים ליצור ולנהל מפתחות קריפטוגרפיים לשימוש בשירותי Google Cloud תואמים ובאפליקציות שלכם. באמצעות Cloud KMS אפשר:
- יוצרים מפתחות תוכנה או חומרה, מייבאים מפתחות קיימים ל-Cloud KMS או מקשרים מפתחות חיצוניים במערכת תואמת לניהול מפתחות חיצוניים (EKM).
- ליצור מפתחות Cloud HSM לדיירים מרובים ולהשתמש בהם עם Cloud HSM ל-Google Workspace כדי להפעיל הצפנה מצד הלקוח (CSE) ב-Google Workspace.
- ליצור ולתחזק מכונות של Single-tenant Cloud HSM, וליצור או לייבא מפתחות של Single-tenant Cloud HSM ולהשתמש בהם.
- שימוש במפתחות הצפנה בניהול הלקוח (CMEK) במוצרי Google Cloudעם שילוב של CMEK. בשילובים של CMEK, המפתחות של Cloud KMS משמשים להצפנה או ל "עטיפה" של המפתחות להצפנת נתונים (DEK). אריזת מפתחות DEK באמצעות מפתחות להצפנת מפתחות הצפנה (KEK) נקראת הצפנת מעטפה.
- משתמשים ב-Cloud KMS Autokey כדי להפוך את ההקצאה וההקצאה לאוטומטיות. עם Autokey, אתם לא צריכים להקצות מראש אוספי מפתחות, מפתחות וחשבונות שירות. במקום זאת, הם נוצרים על פי דרישה כחלק מיצירת המשאבים.
- להשתמש במפתחות של Cloud KMS לפעולות הצפנה ופענוח. לדוגמה, אתם יכולים להשתמש ב-Cloud KMS API או בספריות הלקוח כדי להשתמש במפתחות Cloud KMS להצפנה מצד הלקוח.
- שימוש במפתחות Cloud KMS כדי ליצור או לאמת חתימות דיגיטליות או חתימות של קוד אימות הודעות (MAC).
- להשתמש במפתחות Cloud KMS כדי ליצור סודות משותפים באמצעות מנגנוני אנקפסולציה של מפתחות.
בחירת ההצפנה שמתאימה לצרכים שלכם
אתם יכולים להיעזר בטבלה הבאה כדי לזהות איזה סוג הצפנה מתאים לצרכים שלכם בכל תרחיש לדוגמה. יכול להיות שהפתרון הכי טוב לצרכים שלכם יכלול שילוב של גישות הצפנה. לדוגמה, אתם יכולים להשתמש במפתחות תוכנה לנתונים הכי פחות רגישים, ובמפתחות חומרה או במפתחות חיצוניים לנתונים הכי רגישים. למידע נוסף על אפשרויות ההצפנה שמתוארות בקטע הזה, ראו הגנה על נתונים ב- Google Cloud בדף הזה. למידע נוסף על הסכם רמת השירות (SLA) שחל כשמשתמשים במפתחות Cloud KMS, Cloud HSM ו-Cloud EKM, קראו את המאמר הסכם רמת השירות.
| סוג הצפנה | עלות | שירותים תואמים | תכונות |
|---|---|---|---|
| Google-owned and Google-managed encryption keys (Google Cloud הצפנת ברירת המחדל) | כלול | כל Google Cloud השירותים שמאחסנים נתוני לקוחות |
|
| מפתחות הצפנה בניהול הלקוח – תוכנה (מפתחות Cloud KMS) |
0.06$ לכל גרסת מפתח | יותר מ-40 שירותים |
|
| מפתחות הצפנה בניהול הלקוח – חומרה (מפתחות Cloud HSM) |
$1.00 עד $2.50 לגרסת מפתח לחודש | יותר מ-40 שירותים |
|
| מפתחות הצפנה בניהול הלקוח – חיצוניים (מפתחות Cloud EKM) |
3.00$ לגרסת מפתח לחודש | יותר מ-30 שירותים |
|
| הצפנה מצד הלקוח באמצעות מפתחות Cloud KMS | העלות של גרסאות פעילות של מפתחות תלויה ברמת ההגנה על המפתח. | להשתמש בספריות לקוח באפליקציות |
|
| Cloud HSM ל-Google Workspace | תשלום חודשי קבוע לכל מכונה, בתוספת העלות של גרסאות פעילות של מפתחות ופעולות קריפטוגרפיות. | שימוש במפתחות Multi-tenant Cloud HSM להצפנה מצד הלקוח ב-Google Workspace |
|
| מפתחות הצפנה באספקת הלקוח (CSEK) | יכול להיות שהעלויות שקשורות ל-Compute Engine או ל-Cloud Storage יעלו |
|
|
| Confidential Computing | עלות נוספת לכל Confidential VM; עשויה להגדיל את השימוש ביומנים ואת העלויות שקשורות אליהם |
|
הגנה על נתונים ב- Google Cloud
Google-owned and Google-managed encryption keys (Google Cloud הצפנה כברירת מחדל)
כברירת מחדל, הנתונים באחסון ב- Google Cloud מוגנים באמצעות מפתחות ב-Keystore,שירות ניהול המפתחות הפנימי של Google Cloud. המפתחות ב-Keystore מנוהלים באופן אוטומטי על ידי Google Cloud, בלי שאתם צריכים להגדיר שום דבר. רוב השירותים מבצעים רוטציה של המפתחות באופן אוטומטי. ב-Keystore יש תמיכה בגרסה ראשית של מפתח ובמספר מוגבל של גרסאות ישנות יותר של מפתחות. גרסת המפתח הראשית משמשת להצפנת מפתחות חדשים להצפנת נתונים. עדיין אפשר להשתמש בגרסאות ישנות יותר של המפתח כדי לפענח מפתחות קיימים להצפנת נתונים. אתם לא יכולים לראות או לנהל את המפתחות האלה, או לבדוק את יומני השימוש במפתחות. אותו מפתח להצפנת מפתחות הצפנה יכול לשמש לנתונים מכמה לקוחות.
ההצפנה הזו כברירת מחדל משתמשת במודולים קריפטוגרפיים שתואמים לתקן FIPS 140-3 ברמה 1.
מפתחות הצפנה בניהול הלקוח (CMEK)
מפתחות Cloud KMS שמשמשים להגנה על המשאבים שלכם בשירותים שמשולבים ב-CMEK הם מפתחות הצפנה בניהול הלקוח (CMEK). אתם יכולים להיות הבעלים של מפתחות ה-CMEK ולשלוט בהם, ולהקצות את המשימות של יצירת המפתחות והקצאת המפתחות ל-Cloud KMS Autokey. השימוש ב-Autokey פשוט יותר מהקצאת מפתחות בעצמכם, וזו האפשרות המומלצת אם המפתחות שנוצרו על ידי Autokey עומדים בכל הדרישות שלכם. מידע נוסף על הקצאה אוטומטית של מפתחות CMEK זמין במאמר Cloud Key Management Service עם Autokey.
אתם יכולים להשתמש במפתחות של Cloud KMS בשירותים תואמים כדי לעמוד ביעדים הבאים:
מפתחות ההצפנה הם שלכם.
שליטה במפתחות ההצפנה וניהול שלהם, כולל בחירת המיקום, רמת ההגנה, היצירה, בקרת הגישה, הרוטציה, השימוש וההשמדה.
למחוק באופן סלקטיבי נתונים שמוגנים על ידי המפתחות שלכם במקרה של סיום העסקה או כדי לטפל באירועי אבטחה (crypto-shredding).
יצירת מפתחות ייעודיים לדייר יחיד שיוצרים גבול קריפטוגרפי סביב הנתונים.
תיעוד ביומן של גישה ניהולית וגישה לנתונים של מפתחות הצפנה.
לעמוד בתקנות קיימות או עתידיות שדורשות את אחד מהיעדים האלה.
כשמשתמשים במפתחות Cloud KMS עם שירותים שמשולבים ב-CMEK, אפשר להשתמש בכללי מדיניות של הארגון כדי לוודא שהשימוש ב-CMEK מתבצע בהתאם למדיניות. לדוגמה, אתם יכולים להגדיר מדיניות ארגונית שתוודא שהמשאבים התואמים של Google Cloud משתמשים במפתחות Cloud KMS להצפנה. במדיניות הארגון אפשר גם לציין באיזה פרויקט צריכים להיות משאבי המפתחות.
התכונות ורמת ההגנה תלויות ברמת ההגנה של המפתח:
מפתחות תוכנה – אתם יכולים ליצור מפתחות תוכנה ב-Cloud KMS ולהשתמש בהם בכל המיקומים של Google Cloud . אפשר ליצור מפתחות סימטריים עם רוטציה אוטומטית או מפתחות אסימטריים עם רוטציה ידנית. מפתחות תוכנה בניהול הלקוח משתמשים במודולים של קריפטוגרפיה בתוכנה עם אישור FIPS 140-3 ברמה 1. אתם גם יכולים לשלוט בתקופת הרוטציה, בתפקידים ובהרשאות של ניהול הזהויות והרשאות הגישה (IAM) ובמדיניות הארגון שחלה על המפתחות. אתם יכולים להשתמש במפתחות התוכנה עם הרבה משאבים Google Cloudתואמים.
מפתחות תוכנה מיובאים – אתם יכולים לייבא מפתחות תוכנה שיצרתם במקום אחר כדי להשתמש בהם ב-Cloud KMS. כדי לבצע רוטציה ידנית של מפתחות מיובאים, אתם יכולים לייבא גרסאות מפתח חדשות. אתם יכולים להשתמש בתפקידים ובהרשאות של IAM ובכללי מדיניות של הארגון כדי לנהל את השימוש במפתחות המיובאים.
מפתחות חומרה עם Cloud HSM לכמה דיירים – אתם יכולים ליצור מפתחות חומרה באשכול של מודולי אבטחה לחומרה (HSM) עם הסמכת FIPS 140-2 ברמה 3. אתם יכולים לשלוט בתקופת הרוטציה, בתפקידים ובהרשאות ב-IAM ובכללי המדיניות של הארגון שחלים על המפתחות. כשאתם יוצרים מפתחות HSM באמצעות Cloud HSM, Google Cloudמנהל את אשכולות ה-HSM בשבילכם. אתם יכולים להשתמש במפתחות HSM עם הרבה משאבים תואמים Google Cloud – אותם שירותים שתומכים במפתחות תוכנה. כדי לעמוד בדרישות האבטחה המחמירות ביותר, השתמשו במפתחות חומרה.
מפתחות חומרה עם Cloud HSM לדייר יחיד – אתם יכולים ליצור מפתחות חומרה באשכול של מחיצות ייעודיות במודולי אבטחה לחומרה (HSMs) עם הסמכת FIPS 140-2 ברמה 3, שנמצאים בשליטתכם. אתם יכולים לשלוט בתקופת הרוטציה, בתפקידים ובהרשאות ב-IAM ובכללי המדיניות של הארגון שחלים על המפתחות שלכם. כשיוצרים מכונה של Cloud HSM לדייר יחיד, Google Cloud מארח את אשכולות ה-HSM כדי שלא תצטרכו לעשות את זה, אבל אתם שולטים בגישה למכונה ומתחזקים אותה באמצעות קוורום של אדמינים ייעודיים. כדי לבצע פעולות במכונות, צריך להשתמש באימות דו-שלבי באמצעות מפתחות אבטחה שבבעלותכם מחוץ ל-Google Cloud. אתם יכולים להשתמש במפתחות HSM של דייר יחיד עם הרבה משאבים תואמים Google Cloud – אותם שירותים שתומכים במפתחות תוכנה. כדי לעמוד בדרישות האבטחה המחמירות ביותר, עם בידוד קריפטוגרפי, צריך להשתמש במפתחות חומרה.
מפתחות חיצוניים ו-Cloud EKM – אתם יכולים להשתמש במפתחות שנמצאים במנהל מפתחות חיצוני (EKM). שירות Cloud EKM מאפשר להשתמש במפתחות ששמורים במנהל מפתחות נתמך כדי לאבטח את המשאבים ב-Google Cloud . אפשר להתחבר ל-EKM דרך האינטרנט או דרך ענן וירטואלי פרטי (VPC). חלק מהשירותים של Google Cloud שתומכים במפתחות של Cloud KMS לא תומכים במפתחות של Cloud EKM.
מפתחות Cloud KMS
אתם יכולים להשתמש במפתחות Cloud KMS באפליקציות בהתאמה אישית באמצעות ספריות הלקוח של Cloud KMS או Cloud KMS API. ספריות הלקוח וה-API מאפשרים להצפין ולפענח נתונים, לחתום על נתונים ולאמת חתימות.
Cloud HSM עם כמה דיירים ל-Google Workspace
אתם יכולים להשתמש במפתחות של Multi-tenant Cloud HSM ב-Cloud HSM ל-Google Workspace כדי לנהל את המפתחות שמשמשים להצפנה מצד הלקוח (CSE) ב-Google Workspace. איך מתחילים להשתמש ב-Cloud HSM ב-Google Workspace
מפתחות הצפנה באספקת הלקוח (CSEK)
ב-Cloud Storage וב-Compute Engine אפשר להשתמש במפתחות הצפנה באספקת הלקוח (CSEK). כשמשתמשים במפתחות הצפנה באספקת הלקוח, אתם מאחסנים את חומר המפתח ומספקים אותו ל-Cloud Storage או ל-Compute Engine לפי הצורך. Google Cloud לא מאחסנת את מפתחות ה-CSEK שלכם בשום צורה.Confidential Computing
אתם יכולים להשתמש בפלטפורמת Confidential Computing כדי להצפין את הנתונים בשימוש. טכנולוגיית Confidential Computing מבטיחה שהנתונים שלכם יישארו פרטיים ומוצפנים גם בזמן העיבוד.