Visão geral do Cloud Key Management Service

O Cloud Key Management Service (Cloud KMS) permite criar e gerenciar chaves criptográficas para uso em serviços compatíveis do Google Cloud e nos seus próprios aplicativos. Com o Cloud KMS, é possível fazer o seguinte:

Escolha a criptografia certa para suas necessidades

Use a tabela a seguir para identificar qual tipo de criptografia atende às suas necessidades em cada caso de uso. A melhor solução para suas necessidades pode incluir uma combinação de abordagens de criptografia. Por exemplo, é possível usar chaves de software para os dados menos sensíveis e chaves de hardware ou externas para os dados mais sensíveis. Para mais informações sobre as opções de criptografia descritas nesta seção, consulte Como proteger dados no Google Cloud nesta página. Para mais informações sobre o contrato de nível de serviço (SLA) que se aplica ao usar as chaves do Cloud KMS, do Cloud HSM e do Cloud EKM, consulte Contrato de nível de serviço.

Tipo de criptografia Custo Serviços compatíveis Recursos
Google-owned and Google-managed encryption keys (Google Cloud criptografia padrão) Incluído Todos os serviços do Google Cloud que armazenam dados do cliente
  • Não é necessário configurar.
  • Criptografa automaticamente os dados do cliente salvos em qualquer serviço do Google Cloud .
  • A maioria dos serviços faz a rotação automática das chaves.
  • Aceita criptografia com AES-256.
  • Validação FIPS 140-3 nível 1.
Chaves de criptografia gerenciadas pelo cliente: software
(chaves do Cloud KMS)		 US$ 0,06 por versão de chave Mais de 40 serviços
Chaves de criptografia gerenciadas pelo cliente: hardware
(chaves do Cloud HSM)		 US$ 1,00 a US $2,50 por versão de chave ao mês Mais de 40 serviços
  • Opcionalmente, gerenciado pelo Autokey do Cloud KMS.
  • Você controla a programação de rotação automática de chaves, os papéis e as permissões do IAM, além de ativar, desativar ou destruir versões de chaves.
  • Suporta chaves simétricas e assimétricas para criptografia e descriptografia.
  • Alterna automaticamente as chaves simétricas.
  • Oferece suporte a vários algoritmos comuns.
  • Validação FIPS 140-2 nível 3.
  • As chaves são exclusivas para um cliente.
  • É possível criar e gerenciar sua própria instância do Cloud HSM de locatário único para ter mais isolamento criptográfico e maior controle administrativo das chaves do HSM. As instâncias de locatário único do Cloud HSM geram custos adicionais.
Chaves de criptografia gerenciadas pelo cliente: externas
(chaves do Cloud EKM)		 US$ 3,00 por versão de chave por mês Mais de 30 serviços
  • Você controla os papéis e as permissões do IAM, além de ativar, desativar ou destruir versões de chaves.
  • As chaves nunca são enviadas ao Google.
  • O material da chave reside em um provedor de gerenciamento de chaves externas (EKM) compatível.
  • Os serviços compatíveis Google Cloud se conectam ao provedor de EKM pela Internet ou por uma nuvem privada virtual (VPC).
  • Suporta chaves simétricas para criptografia e descriptografia.
  • Faça a rotação manual das chaves em coordenação com o Cloud EKM e seu provedor de EKM.
  • Validação de nível 2 ou 3 do FIPS 140-2, dependendo do EKM.
  • As chaves são exclusivas para um cliente.
Criptografia do lado do cliente usando chaves do Cloud KMS O custo das versões de chave ativas depende do nível de proteção da chave. Usar bibliotecas de cliente nos aplicativos
  • Você controla a programação de rotação automática de chaves, os papéis e as permissões do IAM, além de ativar, desativar ou destruir versões de chaves.
  • Oferece suporte a chaves simétricas e assimétricas para criptografia, descriptografia, assinatura e validação de assinatura.
  • A funcionalidade varia de acordo com o nível de proteção da chave.
Cloud HSM para Google Workspace Taxa mensal fixa para cada instância, além do custo das versões de chave ativas e das operações criptográficas. Usar chaves do Cloud HSM multilocatário para criptografia do lado do cliente no Google Workspace
  • Você controla a programação de rotação automática de chaves, os papéis e as permissões do IAM, além de ativar, desativar ou destruir versões de chaves.
  • Use chaves simétricas para criptografia e descriptografia.
Chaves de criptografia fornecidas pelo cliente Pode aumentar os custos associados ao Compute Engine ou ao Cloud Storage
  • Você fornece materiais essenciais quando necessário.
  • O material da chave reside na memória. O Google não armazena permanentemente suas chaves nos nossos servidores.
Computação confidencial Custo adicional para cada VM confidencial; pode aumentar o uso de registros e os custos associados
  • Oferece criptografia em uso para VMs que processam dados ou cargas de trabalho sensíveis.
  • As chaves não podem ser acessadas pelo Google.

Como proteger dados em Google Cloud

Google-owned and Google-managed encryption keys (Google Cloud criptografia padrão)

Por padrão, os dados em repouso no Google Cloud são protegidos por chaves no Keystore,o serviço interno de gerenciamento de chaves do Google Cloud. As chaves no Keystore são gerenciadas automaticamente pelo Google Cloud, sem necessidade de configuração. A maioria dos serviços faz a rotação automática das chaves para você. O Keystore é compatível com uma versão chave primária e um número limitado de versões de chave mais antigas. A versão da chave primária é usada para criptografar novas chaves de criptografia de dados. As versões mais antigas ainda podem ser usadas para descriptografar as chaves de criptografia de dados atuais. Não é possível visualizar ou gerenciar essas chaves nem analisar os registros de uso delas. Os dados de vários clientes podem usar a mesma chave de criptografia de chaves.

Essa criptografia padrão usa módulos criptográficos validados para serem compatíveis com o FIPS 140-3 Nível 1.

Chaves de criptografia gerenciadas pelo cliente (CMEKs)

As chaves do Cloud KMS usadas para proteger seus recursos em serviços integrados a CMEK são chaves de criptografia gerenciadas pelo cliente (CMEKs). É possível ter e controlar CMEKs, além de delegar tarefas de criação e atribuição de chaves à chave automática do Cloud KMS. Usar o Autokey é mais simples do que provisionar chaves por conta própria e é a opção recomendada se as chaves criadas pelo Autokey atenderem a todos os seus requisitos. Para saber como automatizar o provisionamento de CMEKs, consulte Cloud Key Management Service com Autokey.

É possível usar as chaves do Cloud KMS em serviços compatíveis para ajudar você a atingir as seguintes metas:

  • Tenha suas próprias chaves de criptografia.

  • Controle e gerencie suas chaves de criptografia, incluindo a escolha do local, o nível de proteção, a criação, o controle de acesso, a rotação, o uso e a destruição.

  • Exclua seletivamente os dados protegidos pelas suas chaves em caso de desligamento ou para corrigir eventos de segurança (criptografia).

  • Crie chaves dedicadas de locatário único que estabelecem um limite criptográfico em torno dos seus dados.

  • Registrar o acesso administrativo e de dados às chaves de criptografia.

  • Atender às regulamentações atuais ou futuras que exigem qualquer uma dessas metas.

Ao usar chaves do Cloud KMS com serviços integrados a CMEK, é possível usar políticas da organização para garantir que as CMEKs sejam usadas conforme especificado nas políticas. Por exemplo, é possível definir uma política da organização que garanta que os recursos compatíveis do Google Cloud usem as chaves do Cloud KMS para criptografia. As políticas da organização também podem especificar em qual projeto os recursos de chave precisam residir.

Os recursos e o nível de proteção fornecidos dependem do nível de proteção da chave:

  • Chaves de software: é possível gerar chaves de software no Cloud KMS e usá-las em todos os locais do Google Cloud . É possível criar chaves simétricas com rotação automática ou chaves assimétricas com rotação manual. As chaves de software gerenciadas pelo cliente usam módulos de criptografia de software validados pelo FIPS 140-3 nível 1. Você também tem controle sobre o período de rotação, os papéis e as permissões do Identity and Access Management (IAM) e as políticas da organização que regem suas chaves. É possível usar as chaves de software com muitos recursos compatíveis Google Cloud.

  • Chaves de software importadas: é possível importar chaves de software criadas em outro lugar para uso no Cloud KMS. É possível importar novas versões de chave para fazer a rotação manual das chaves importadas. É possível usar papéis e permissões do IAM e políticas da organização para controlar o uso das chaves importadas.

  • Chaves de hardware com o Cloud HSM multilocatário: é possível gerar chaves de hardware em um cluster de módulos de segurança de hardware (HSMs) FIPS 140-2 nível 3. Você tem controle sobre o período de rotação, os papéis e as permissões do IAM e as políticas da organização que regem suas chaves. Quando você cria chaves HSM usando o Cloud HSM,o Google Cloud gerencia os clusters de HSM para que você não precise fazer isso. É possível usar as chaves do HSM com muitos recursos compatíveis Google Cloud, os mesmos serviços que aceitam chaves de software. Para o nível mais alto de conformidade de segurança, use chaves de hardware.

  • Chaves de hardware com o Cloud HSM de locatário único: é possível gerar chaves de hardware em um cluster de partições dedicadas em módulos de segurança de hardware (HSMs) FIPS 140-2 nível 3 que você controla. Você tem controle sobre o período de rotação, os papéis e as permissões do IAM e as políticas da organização que regem suas chaves. Quando você cria uma instância do Cloud HSM de locatário único,o Google Cloud hospeda os clusters de HSM para que você não precise fazer isso, mas você controla o acesso à instância e a mantém com um quórum de administradores designados. As operações de instância exigem autenticação de dois fatores usando chaves de segurança que você possui fora doGoogle Cloud. É possível usar as chaves de HSM de locatário único com muitos recursos Google Cloud compatíveis, os mesmos serviços que aceitam chaves de software. Para o nível mais alto de conformidade de segurança com isolamento criptográfico, use chaves de hardware.

  • Chaves externas e Cloud EKM: é possível usar chaves que residem em um gerenciador de chaves externas (EKM, na sigla em inglês). Com o Cloud EKM, é possível usar chaves mantidas em um gerenciador de chaves compatível para proteger seus recursos doGoogle Cloud . É possível se conectar ao EKM pela Internet ou por uma nuvem privada virtual (VPC). Alguns Google Cloud serviços compatíveis com chaves do Cloud KMS não são compatíveis com chaves do Cloud EKM.

Para saber quais locais do Cloud KMS são compatíveis com quais níveis de proteção, consulte Locais do Cloud KMS.

Chaves do Cloud KMS

É possível usar as chaves do Cloud KMS em aplicativos personalizados usando as bibliotecas de cliente do Cloud KMS ou a API Cloud KMS. As bibliotecas de cliente e a API permitem criptografar e descriptografar dados, assinar dados e validar assinaturas.

Cloud HSM multilocatário para o Google Workspace

É possível usar as chaves do Cloud HSM multilocatário no Cloud HSM para o Google Workspace para gerenciar as chaves usadas na criptografia do lado do cliente (CSE) no Google Workspace. É possível integrar o Cloud HSM para Google Workspace.

Chaves de criptografia fornecidas pelo cliente (CSEKs)

O Cloud Storage e o Compute Engine podem usar chaves de criptografia fornecidas pelo cliente (CSEKs). Com as chaves de criptografia fornecidas pelo cliente, você armazena o material da chave e o fornece ao Cloud Storage ou ao Compute Engine quando necessário. OGoogle Cloud não armazena suas CSEKs de forma alguma.

Computação confidencial

Use a plataforma de Computação Confidencial para criptografar seus dados em uso. A Computação confidencial garante que seus dados permaneçam privados e criptografados mesmo durante o processamento.