Praktik terbaik untuk Cloud HSM for Google Workspace

Dokumen ini menguraikan praktik terbaik untuk mengonfigurasi Cloud HSM untuk Google Workspace guna membantu melindungi materi kunci Anda dari penghancuran dan penghapusan yang tidak disengaja atau tidak sah, membantu memastikan ketersediaan tinggi dan ketahanan untuk kunci kriptografis penting, serta membantu memenuhi persyaratan peraturan dan kepatuhan.

Dokumen ini ditujukan bagi arsitek cloud, tim keamanan, dan administrator Google Workspace yang bertanggung jawab atas keamanan dan ketahanan operasional kunci enkripsi yang digunakan dalam enkripsi sisi klien (CSE) untuk Google Workspace. Dokumen ini mengasumsikan bahwa Anda sudah memahami Cloud HSM untuk Google Workspace dan telah menyelesaikan proses aktivasi.

Mengurangi hilangnya materi utama

Risiko keamanan dapat muncul saat akun utama memegang peran yang memberikan izin untuk menyelesaikan tindakan destruktif, terutama yang berada di luar cakupan kerja biasa akun utama. Misalnya, pengguna dengan peran Project Owner (roles/owner) yang terlalu luas dapat menghancurkan materi utama yang digunakan untuk CSE Google Workspace, sehingga data terenkripsi tidak dapat diakses secara permanen.

Bagian berikut menjelaskan praktik yang membantu mengurangi risiko penghancuran dan penghapusan kunci yang tidak disengaja dan berbahaya dengan menghapus izin untuk menghancurkan atau menghapus materi kunci Cloud KMS yang digunakan oleh enkripsi sisi klien (CSE) Google Workspace dan membatasi penghancuran kunci.

Menerapkan kebijakan penolakan IAM level folder

Kebijakan penolakan IAM memungkinkan Anda menolak izin ke akun utama, meskipun izin tersebut diberikan oleh peran yang dimiliki akun utama. Misalnya, meskipun pengguna memiliki peran Project Owner (roles/owner), kebijakan penolakan IAM tingkat folder dapat mencegahnya menghancurkan atau menghapus kunci. Dengan menempatkan project Cloud HSM di dalam folder dan menerapkan kebijakan penolakan di tingkat folder, Anda membuat pembatas yang mencegah penghancuran dan penghapusan kunci saat kebijakan diterapkan. Kebijakan tolak yang diterapkan tidak dapat dibatalkan tanpa peran seperti Admin Tolak (roles/iam.denyAdmin) di folder.

Pastikan peran administrasi folder seperti Admin Folder (roles/resourcemanager.folderAdmin) dan Tolak Admin (roles/iam.denyAdmin) hanya diberikan kepada principal yang juga tidak memiliki peran Admin Cloud KMS (roles/cloudkms.admin) di project tempat kunci Cloud HSM Anda berada. Pemisahan tugas ini memastikan bahwa tidak ada satu pun akun utama yang dapat mengelola dan menghancurkan kunci.

Tetapkan kebijakan penolakan berdasarkan contoh konfigurasi berikut:

displayName: Deny KMS key destruction and deletion
rules:
- description: "Denies destroy and delete permissions on Cloud KMS keys for all principals."
  denyRule:
    deniedPrincipals:
    - "principalSet://goog/public:all"
    deniedPermissions:
    - "cloudkms.googleapis.com/cryptoKeyVersions.destroy"
    - "cloudkms.googleapis.com/cryptoKeys.delete"

Untuk mengetahui informasi selengkapnya tentang kebijakan penolakan IAM, lihat Ringkasan kebijakan penolakan IAM.

Menerapkan batasan Kebijakan Organisasi untuk penghancuran kunci

Selain IAM, Anda dapat menerapkan panduan keamanan di tingkat organisasi atau folder menggunakan batasan Kebijakan Organisasi. Batasan ini berfungsi sebagai persyaratan ketat yang membatasi jenis resource yang dapat dibuat dan cara resource tersebut dapat dikonfigurasi. Batasan Kebijakan Organisasi yang Diterapkan tidak dapat dilewati, bahkan oleh akun utama yang memiliki izin yang diperlukan untuk menyelesaikan tindakan yang dilarang. Batasan Kebijakan Organisasi yang Diterapkan tidak dapat dibatalkan tanpa peran seperti Administrator Kebijakan Organisasi (roles/orgpolicy.policyAdmin) di organisasi.

  • Durasi pemusnahan minimum (constraints/cloudkms.minimumDestroyScheduledDuration): Mewajibkan durasi dijadwalkan untuk dimusnahkan minimum (misalnya, 90 atau 120 hari) di semua kunci dalam organisasi atau resource tempat kebijakan diaktifkan. Batasan ini mencegah pengguna mempersingkat periode pemulihan di bawah nilai minimum yang dikonfigurasi.
  • Nonaktifkan sebelum hancurkan (constraints/cloudkms.disableBeforeDestroy): Mewajibkan versi kunci berada dalam status DISABLED sebelum dapat dijadwalkan untuk dihancurkan. Batasan ini menambahkan langkah wajib ke alur kerja penghancuran, sehingga meningkatkan visibilitas tindakan dalam log audit.

Untuk mengetahui informasi selengkapnya, lihat Mengontrol pemusnahan versi kunci.

Memaksimalkan periode penghancuran kunci

Saat dijadwalkan untuk dimusnahkan, versi kunci akan memasuki periode "penghapusan sementara". Saat versi kunci berada dalam status dijadwalkan untuk dimusnahkan, Anda dapat memulihkan kunci untuk membatalkan pemusnahan kunci. Menetapkan periode yang dapat dikonfigurasi ini ke durasi maksimum 120 hari membantu memastikan Anda memiliki waktu yang cukup untuk memulihkan versi kunci yang secara tidak sengaja atau dengan niat jahat dijadwalkan untuk dihancurkan. Anda hanya dapat menetapkan nilai ini saat membuat kunci.

Saat Anda memulihkan versi kunci yang dijadwalkan untuk dimusnahkan, status versi kunci ditetapkan ke DISABLED. Kemudian, Anda harus mengaktifkan kembali versi kunci untuk memulihkan akses ke data Google Workspace terenkripsi Anda.

Perintah gcloud CLI berikut membuat kunci yang didukung HSM dengan durasi penghancuran terjadwal 120 hari:

gcloud kms keys create KEY_NAME \
    --location LOCATION \
    --keyring KEY_RING \
    --purpose encryption \
    --protection-level hsm \
    --destroy-scheduled-duration 120d

Ganti kode berikut:

  • KEY_NAME: nama kunci.
  • LOCATION: lokasi Cloud KMS key ring.
  • KEY_RING: nama key ring yang berisi kunci.

Untuk menerapkan durasi ini di semua kunci dalam organisasi, bukan menetapkannya di setiap kunci, Anda dapat menentukan dan menerapkan batasan Kebijakan Organisasi kustom. Contoh batasan berikut hanya mengizinkan pengguna membuat kunci jika durasi penghancuran terjadwal antara 90 dan 120 hari:

name: organizations/ORGANIZATION_ID/customConstraints/custom.limitScheduledDestruction
resourceTypes:
- cloudkms.googleapis.com/CryptoKey
methodTypes:
- CREATE
condition: "resource.destroyScheduledDuration >= duration('7776000s') && resource.destroyScheduledDuration <= duration('10368000s')"
actionType: ALLOW
displayName: Require scheduled destruction duration between 90 and 120 days
description: Allows key creation only if the destroyScheduledDuration is between 90 and 120 days.

Ganti ORGANIZATION_ID dengan ID numerik organisasi Anda.

Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi durasi penghancuran terjadwal, lihat Menghancurkan dan memulihkan versi kunci. Untuk mengetahui informasi selengkapnya tentang penggunaan batasan Kebijakan Organisasi kustom dengan Cloud KMS, lihat Membuat batasan Kebijakan Organisasi kustom untuk Cloud KMS.

Melindungi infrastruktur dan project Anda

Pembatasan yang dibahas sebelumnya dalam dokumen ini berfokus pada pencegahan penghancuran dan penghapusan kunci. Namun, Anda juga memerlukan pembatasan untuk mencegah penghapusan project utama. Gunakan pembatasan berikut untuk mengamankan lingkungan project yang menyimpan kunci Google Workspace Anda.

Menegakkan hak gadai proyek

Lien project mencegah project dihapus. Bahkan pengguna dengan peran Project Owner (roles/owner) tidak dapat menghentikan project saat lien aktif. Cara ini adalah cara paling efektif untuk mencegah penghapusan project secara tidak sengaja atau tanpa otorisasi tempat kunci Google Workspace Anda berada.

Untuk mengetahui informasi selengkapnya tentang lien project, lihat Melindungi project dengan lien.

Memahami jendela pemulihan project

Jika project berhasil dihapus—misalnya, setelah hak gadai project (Pratinjau) dihapus—project akan memasuki periode pemulihan 30 hari. Selama waktu ini, pengguna dengan peran Project Owner (roles/owner) atau Organization Admin (roles/resourcemanager.organizationAdmin) dapat memulihkan project. Setelah 30 hari, project dan semua kunci di dalamnya akan dihapus secara permanen.

Sebaiknya Anda tetap mempertahankan hak gadai project dan hanya mengandalkan periode pemulihan sebagai upaya terakhir.

Untuk mengetahui informasi selengkapnya tentang pemulihan project, lihat Memulihkan project yang dihapus.

Menggunakan Kontrol Layanan VPC

Kontrol Layanan VPC memungkinkan Anda menentukan perimeter keamanan di sekitar project Cloud HSM Anda. Hal ini membantu memastikan bahwa Cloud KMS API hanya dapat diakses dari jaringan tepercaya atau identitas tertentu, sehingga mengurangi risiko tindakan administratif yang tidak sah dari luar lingkungan perusahaan Anda.

Memastikan kedaulatan materi kunci dengan kunci yang diimpor (BYOK)

Untuk sebagian besar organisasi, sebaiknya Anda mengizinkan Cloud HSM membuat dan mengelola materi kunci untuk Anda.

Namun, jika Anda memerlukan kemampuan "bawa kunci Anda sendiri (BYOK)", Anda dapat membuat materi kunci Anda di infrastruktur lokal dan mengimpornya ke Cloud HSM. Pendekatan BYOK ini memungkinkan Anda memenuhi persyaratan seperti mempertahankan salinan materi kunci di tempat yang independen—misalnya, untuk memenuhi mandat kedaulatan data atau untuk memulihkan dari kehilangan materi kunci yang parah. Pendekatan ini memberi Anda salinan materi kunci yang independen yang dapat Anda impor ulang jika versi kunci di Cloud KMS dihancurkan.

Mengimpor ulang ke versi yang sama

Cloud KMS memungkinkan Anda mengimpor ulang materi kunci yang identik ke dalam versi kunci yang dihancurkan, sehingga ID resource dan URI sama dengan versi kunci yang diimpor asli. Dengan begitu, Anda dapat terus menggunakan konfigurasi Google Workspace yang sama. Saat Anda mengimpor ulang versi kunci yang digunakan dalam konfigurasi Google Workspace, akses data akan dipulihkan segera setelah versi kunci selesai diimpor.

Untuk mengetahui informasi selengkapnya tentang mengimpor ulang versi kunci yang dihancurkan, lihat Mengimpor ulang versi kunci yang dihancurkan.

Perlindungan tingkat lanjut dengan Single-tenant Cloud HSM

Untuk pelanggan yang memerlukan tingkat isolasi tertinggi, Cloud HSM dengan satu tenant menyediakan partisi HSM khusus. Instance Cloud HSM Single-tenant Anda dibuat dan dikelola menggunakan autentikasi kuorum, yang memerlukan persetujuan dari jumlah minimum anggota kuorum yang dikonfigurasi sebelum melakukan operasi penting, seperti menghapus instance Cloud HSM Single-tenant. Hal ini membantu mencegah satu akun yang disusupi menghancurkan instance HSM Cloud Single-tenant Anda. Praktik berikut berlaku saat Anda menggunakan Cloud HSM Single-tenant. Untuk mengetahui informasi selengkapnya, lihat Autentikasi berbasis kuorum.

Memisahkan infrastruktur dan kunci di seluruh project

Buat instance Cloud HSM Single-tenant dan kunci Google Workspace Anda di project yang terpisah. Memisahkan project resource membantu memastikan bahwa pengguna dengan peran administratif di project kunci tidak memiliki otoritas atas instance Single-tenant Cloud HSM yang mendasarinya. Pemisahan tugas ini antara pengelolaan infrastruktur dan pengelolaan kunci mengurangi risiko tindakan tingkat infrastruktur yang tidak sah.

Untuk mengetahui informasi selengkapnya tentang Cloud HSM Single-tenant, lihat Ringkasan Cloud HSM Single-tenant.

Ringkasan praktik terbaik

Tabel berikut meringkas praktik terbaik yang direkomendasikan dalam dokumen ini:

Topik Tugas
Kebijakan penolakan IAM Terapkan kebijakan penolakan tingkat folder untuk memblokir penghancuran dan penghapusan kunci, bahkan untuk pengguna dengan hak istimewa tinggi.
Batasan kebijakan organisasi. Terapkan batasan untuk mewajibkan periode pemulihan minimum dan mengharuskan kunci dinonaktifkan sebelum dapat dihancurkan.
Periode dijadwalkan untuk dimusnahkan
  • Buat kunci Anda dengan nilai dijadwalkan untuk dihancurkan yang ditetapkan maksimum 120 hari. Atau, Anda dapat memilih durasi yang lebih pendek, tetapi pastikan durasinya cukup lama untuk memastikan kunci dapat dipulihkan jika dijadwalkan untuk dihancurkan.
  • Anda dapat menggunakan batasan Kebijakan Organisasi kustom untuk memastikan bahwa semua kunci dibuat dengan durasi yang sesuai dengan kebutuhan Anda.
Hak gadai proyek Terapkan lien project untuk mencegah penghapusan project yang menyimpan kunci enkripsi Anda.
Perimeter Kontrol Layanan VPC Tentukan perimeter Kontrol Layanan VPC untuk membatasi akses Cloud KMS API ke jaringan dan identitas tepercaya.
Impor ulang BYOK Buat materi kunci secara lokal dan gunakan impor ulang untuk memulihkan versi kunci yang dihancurkan tanpa mengubah nama resource.
Arsitektur lintas project Jika Anda menggunakan Cloud HSM Single-tenant, pisahkan instance dan kunci Cloud HSM Single-tenant di berbagai project untuk menerapkan pemisahan tugas.

Langkah berikutnya