Descripción general de Cloud Key Management Service

Cloud Key Management Service (Cloud KMS) te permite crear y administrar claves criptográficas para usarlas en servicios de Google Cloud compatibles y en tus propias aplicaciones. Con Cloud KMS, puedes hacer lo siguiente:

• Generar claves de software o hardware, importar claves existentes a Cloud KMS o vincular claves externas en tu sistema de administración de claves externas (EKM) compatible.
• Genera claves de Cloud HSM multiusuario y úsalas con Cloud HSM para Google Workspace para habilitar la encriptación del cliente (CSE) en Google Workspace.
• Crea y mantén instancias de Cloud HSM de usuario único, y crea o importa y, luego, usa claves de Cloud HSM de usuario único.
• Usa claves de encriptación administradas por el cliente (CMEK) en productos de Google Cloud con integración de CMEK. Las integraciones de CMEK usan tus claves de Cloud KMS para encriptar o "unir" tus claves de encriptación de datos (DEK). La unión de las DEK con claves de encriptación de claves (KEK) se denomina encriptación de sobre.
• Usa Autokey de Cloud KMS para automatizar el aprovisionamiento y la asignación. Con Autokey, no necesitas aprovisionar llaveros de claves, claves y cuentas de servicio con anticipación. En su lugar, se generan a pedido como parte de la creación de recursos.
• Usa claves de Cloud KMS para las operaciones de encriptación y desencriptación. Por ejemplo, puedes usar la API de Cloud KMS o las bibliotecas cliente para usar tus claves de Cloud KMS para la encriptación del cliente.
• Usa claves de Cloud KMS para crear o verificar firmas digitales o firmas de código de autenticación de mensajes (MAC).
• Usa claves de Cloud KMS para establecer secretos compartidos con mecanismos de encapsulamiento de claves.

Elige la encriptación adecuada para tus necesidades

Puedes usar la siguiente tabla para identificar qué tipo de encriptación satisface tus necesidades en cada caso de uso. La mejor solución para tus necesidades puede incluir una combinación de enfoques de encriptación. Por ejemplo, puedes usar claves de software para los datos menos sensibles y claves de hardware o externas para los datos más sensibles. Para obtener más información sobre las opciones de encriptación que se describen en esta sección, consulta Protege los datos en Google Cloud en esta página. Para obtener más información sobre el Acuerdo de Nivel de Servicio (ANS) que se aplica cuando se usan claves de Cloud KMS, Cloud HSM y Cloud EKM, consulta Acuerdo de Nivel de Servicio.

Agent Assist Agent Retrieval Agent Search AlloyDB para PostgreSQL IA para la prevención del lavado de dinero Apigee Centro de APIs de Apigee Application Integration Artifact Registry Servicio Backup and DR Copia de seguridad para GKE BigQuery Bigtable Cloud Data Fusion API de Cloud Healthcare Cloud Logging Cloud Run Cloud Run Functions Cloud SQL Cloud Storage Cloud Tasks Cloud TPU Cloud Workstations Colab Enterprise Compute Engine API de Conversational Analytics Customer Experience Insights Data Studio Database Migration Service Dataflow Dataform Dataproc Metastore Datastream Dialogflow CX Document AI Eventarc Advanced Eventarc Standard Filestore Firestore Gemini Code Assist Gemini Enterprise Gemini Enterprise - Gemini Notebook Enterprise Google Cloud Managed Lustre Google Cloud Managed Service para Apache Kafka Google Cloud NetApp Volumes Google Cloud Observability Google Distributed Cloud Google Kubernetes Engine Google Security Operations Integration Connectors Knowledge Catalog Looker (Google Cloud Core) Managed Service para Apache Airflow Managed Service para Apache Spark Memorystore for Redis Memorystore for Redis Cluster Memorystore for Valkey Migrate to Virtual Machines Parameter Manager Pub/Sub Secret Manager Secure Source Manager Security Command Center Extensiones del servicio Spanner Speech‑to‑Text Vector Search Vertex AI Vertex AI Workbench Instancias de Vertex AI Workbench Workflows Gestor de cargas de trabajo Cualquiera Nivel 1 Nivel 2 Nivel 3 Borrar todo

Tipo de encriptación	Costo	Servicios compatibles	Funciones
Google-owned and Google-managed encryption keys (Google Cloud encriptación predeterminada)	Incluido	Todos los servicios de Google Cloud que almacenan datos de clientes	No se requiere configuración. Encripta automáticamente los datos de los clientes guardados en cualquier servicio de Google Cloud . La mayoría de los servicios rotan las claves automáticamente. Admite la encriptación con AES-256. Validación con FIPS 140-3 de nivel 1.
Claves de encriptación administradas por el cliente: software (claves de Cloud KMS)	$0.06 por versión de clave	Más de 40 servicios	Controlas el programa de rotación automática de claves, los roles y permisos de IAM, y habilitas, inhabilitas o destruyes las versiones de claves. Admite claves simétricas y asimétricas para la encriptación y desencriptación. Rota las claves simétricas automáticamente. Admite varios algoritmos comunes. Validación con FIPS 140-3 de nivel 1. Las claves son exclusivas de un cliente.
Claves de encriptación administradas por el cliente: hardware (claves de Cloud HSM)	De $1.00 a $2.50 por versión de clave al mes	Más de 40 servicios	De manera opcional, se administra a través de Autokey de Cloud KMS. Tú controlas el programa de rotación automática de claves, los roles y permisos de IAM, y habilitas, inhabilitas o destruyes las versiones de claves. Admite claves simétricas y asimétricas para la encriptación y desencriptación. Rota las claves simétricas automáticamente. Admite varios algoritmos comunes. Validación con FIPS 140-2 de nivel 3. Las claves son exclusivas de un cliente. Puedes crear y administrar tu propia instancia de Cloud HSM de usuario único para tener más aislamiento criptográfico y un mayor control administrativo de tus claves de HSM. Las instancias de Cloud HSM de usuario único generan costos adicionales.
Claves de encriptación administradas por el cliente: externas (claves de Cloud EKM)	$3.00 por versión de clave al mes	Más de 30 servicios	Tú controlas los roles y permisos de IAM, y habilitas, inhabilitas o destruyes las versiones de claves. Las claves nunca se envían a Google. El material de claves reside en un proveedor de administración de claves externas (EKM) compatible. Los servicios de Google Cloud compatibles se conectan a tu proveedor de EKM a través de Internet o una nube privada virtual (VPC). Admite claves simétricas para la encriptación y desencriptación. Rota tus claves de forma manual en coordinación con Cloud EKM y tu proveedor de EKM. Validado según el nivel 2 o 3 del estándar FIPS 140-2, según el EKM. Las claves son exclusivas de un cliente.
Encriptación del cliente con claves de Cloud KMS	El costo de las versiones de claves activas depende del nivel de protección de la clave.	Usa bibliotecas cliente en tus aplicaciones	Tú controlas el programa de rotación automática de claves, los roles y permisos de IAM, y habilitas, inhabilitas o destruyes las versiones de claves. Admite claves simétricas y asimétricas para la encriptación, desencriptación, firma y validación de firmas. La funcionalidad varía según el nivel de protección de la clave.
Cloud HSM para Google Workspace	Tarifa plana mensual por cada instancia, más el costo de las versiones de claves activas y las operaciones criptográficas.	Usa claves de Cloud HSM multiusuario para la encriptación del cliente en Google Workspace	Tú controlas el programa de rotación automática de claves, los roles y permisos de IAM, y habilitas, inhabilitas o destruyes las versiones de claves. Usa claves simétricas para la encriptación y la desencriptación.
Claves de encriptación proporcionadas por el cliente	Podría aumentar los costos asociados con Compute Engine o Cloud Storage	Cloud Storage Compute Engine Precaución: Las claves de encriptación proporcionadas por el cliente para Compute Engine están obsoletas.	Proporcionas materiales clave cuando es necesario. El material de la clave reside en la memoria. Google no almacena tus claves de forma permanente en nuestros servidores.
Confidential Computing	Costo adicional por cada Confidential VM; puede aumentar el uso de registros y los costos asociados	Compute Engine GKE Managed Service para Apache Spark	Proporciona encriptación en uso para las VMs que manejan datos o cargas de trabajo sensibles. Google no puede acceder a las claves.

Protección de datos en Google Cloud

Google-owned and Google-managed encryption keys (Google Cloud encriptación predeterminada)

De forma predeterminada, los datos en reposo en Google Cloud están protegidos por claves en Keystore,el servicio de administración de claves interno de Google Cloud. Las claves en Keystore se administran automáticamente con Google Cloud, sin que debas realizar ninguna configuración. La mayoría de los servicios rotan las claves automáticamente. Keystore admite una versión de clave primaria y una cantidad limitada de versiones de clave anteriores. La versión de la clave primaria se usa para encriptar claves de encriptación de datos nuevas. Las versiones de claves más antiguas se pueden seguir usando para desencriptar las claves de encriptación de datos existentes. No puedes ver ni administrar estas claves, ni revisar los registros de uso de claves. Los datos de varios clientes pueden usar la misma clave de encriptación de claves.

Esta encriptación predeterminada usa módulos criptográficos que se validan para que cumplan con el nivel 1 del estándar FIPS 140-3.

Nota:La encriptación predeterminada de Google Cloud no es una función de Cloud Key Management Service. Para obtener más información sobre la encriptación predeterminada de Google Cloud , consulta Encriptación en reposo predeterminada.

Claves de encriptación administradas por el cliente (CMEK)

Las claves de Cloud KMS que se usan para proteger tus recursos en los servicios integrados en CMEK son claves de encriptación administradas por el cliente (CMEK). Puedes poseer y controlar las CMEK, mientras delegas las tareas de creación y asignación de claves a la clave automática de Cloud KMS. Usar Autokey es más sencillo que aprovisionar claves por tu cuenta, y es la opción recomendada si las claves que crea Autokey cumplen con todos tus requisitos. Para obtener más información sobre cómo automatizar el aprovisionamiento de CMEK, consulta Cloud Key Management Service con Autokey.

Puedes usar tus claves de Cloud KMS en servicios compatibles para ayudarte a cumplir con los siguientes objetivos:

• Ser propietario de las claves de encriptación

• Controlar y administrar tus claves de encriptación, incluida la elección de su ubicación, su nivel de protección, creación, control de acceso, rotación, uso y destrucción

• Borrar de forma selectiva los datos protegidos por tus claves en caso de una desvinculación o para corregir incidentes de seguridad (destrucción criptográfica)

• Crea claves dedicadas de usuario único que establezcan un límite criptográfico para tus datos.

• Registrar el acceso administrativo y a los datos en las claves de encriptación

• Cumplir con las reglamentaciones actuales o futuras que requieran cualquiera de estos objetivos

Cuando usas claves de Cloud KMS con servicios integrados en CMEK, puedes usar políticas de la organización para garantizar que las CMEK se usen como se especifica en las políticas. Por ejemplo, puedes establecer una política de la organización que garantice que tus recursos de Google Cloud compatibles usen tus claves de Cloud KMS para la encriptación. Las políticas de la organización también pueden especificar en qué proyecto deben residir los recursos de claves.

Las funciones y el nivel de protección proporcionados dependen del nivel de protección de la clave:

• Claves de software: Puedes generar claves de software en Cloud KMS y usarlas en todas las ubicaciones de Google Cloud . Puedes crear claves simétricas con rotación automática o claves asimétricas con rotación manual. Las claves de software administradas por el cliente usan módulos de criptografía de software validados con el nivel 1 del estándar FIPS 140-3. También tienes control sobre el período de rotación, los roles y permisos de Identity and Access Management (IAM), y las políticas de la organización que rigen tus claves. Puedes usar tus claves de software con muchos recursos compatibles Google Cloud.

• Claves de software importadas: Puedes importar claves de software que creaste en otro lugar para usarlas en Cloud KMS. Puedes importar versiones de claves nuevas para rotar de forma manual las claves importadas. Puedes usar roles y permisos de IAM, y políticas de la organización para controlar el uso de tus claves importadas.

• Claves de hardware con Cloud HSM multiusuario: Puedes generar claves de hardware en un clúster de módulos de seguridad de hardware (HSM) FIPS 140-2 de nivel 3. Tienes control sobre el período de rotación, los roles y permisos de IAM, y las políticas de la organización que rigen tus claves. Cuando creas claves de HSM con Cloud HSM, Google Cloud administra los clústeres de HSM para que no tengas que hacerlo. Puedes usar tus claves de HSM con muchos recursos compatibles Google Cloud, los mismos servicios que admiten claves de software. Para obtener el nivel más alto de cumplimiento de seguridad, usa llaves de hardware.

• Claves de hardware con Cloud HSM de usuario único: Puedes generar claves de hardware en un clúster de particiones dedicadas en módulos de seguridad de hardware (HSM) FIPS 140-2 de nivel 3 que controlas. Tienes control sobre el período de rotación, los roles y permisos de IAM, y las políticas de la organización que rigen tus claves. Cuando creas una instancia de Cloud HSM de usuario único, Google Cloud aloja los clústeres de HSM para que no tengas que hacerlo, pero tú controlas el acceso a la instancia y la mantienes con un quórum de administradores designados. Las operaciones de instancia requieren la autenticación de dos factores con llaves de seguridad que poseas fuera de Google Cloud. Puedes usar tus claves de HSM de usuario único con muchos recursos compatibles de Google Cloud, los mismos servicios que admiten claves de software. Para obtener el nivel más alto de cumplimiento de seguridad con aislamiento criptográfico, usa claves de hardware.

• Claves externas y Cloud EKM: Puedes usar claves que residen en un administrador de claves externo (EKM). Cloud EKM te permite usar claves que se encuentran en un administrador de claves compatible para proteger tus recursos deGoogle Cloud . Puedes conectarte a tu EKM a través de Internet o de una nube privada virtual (VPC). Algunos servicios de Google Cloud que admiten claves de Cloud KMS no admiten claves de Cloud EKM.

Para obtener más información sobre qué ubicaciones de Cloud KMS admiten qué niveles de protección, consulta Ubicaciones de Cloud KMS.

Claves de Cloud KMS

Puedes usar tus claves de Cloud KMS en aplicaciones personalizadas con las bibliotecas cliente de Cloud KMS o la API de Cloud KMS. Las bibliotecas cliente y la API te permiten encriptar y desencriptar datos, firmar datos y validar firmas.

Cloud HSM multiusuario para Google Workspace

Puedes usar tus claves de Cloud HSM multiusuario en Cloud HSM para Google Workspace con el objetivo de administrar las claves que se usan para la encriptación del cliente (CSE) en Google Workspace. Puedes incorporar Cloud HSM para Google Workspace.

Claves de encriptación proporcionadas por el cliente (CSEK)

Precaución: Las claves de encriptación proporcionadas por el cliente (CSEK) para Compute Engine están obsoletas. Para obtener más información sobre las alternativas, consulta Baja de CSEK en Compute Engine.

Cloud Storage y Compute Engine pueden usar claves de encriptación proporcionadas por el cliente (CSEK). Con las claves de encriptación proporcionadas por el cliente, almacenas el material de la clave y lo proporcionas a Cloud Storage o Compute Engine cuando sea necesario. Google Cloud no almacena tus CSEK de ninguna manera.

Nota: La compatibilidad con CSEK no es una función de Cloud Key Management Service. Para obtener más información sobre las CSEK, consulta Claves de encriptación proporcionadas por el cliente de Cloud Storage o Claves de encriptación proporcionadas por el cliente de Compute Engine.

Confidential Computing

Puedes usar la plataforma de Confidential Computing para encriptar tus datos en uso. Confidential Computing garantiza que tus datos permanezcan privados y encriptados incluso mientras se procesan.

Nota: Confidential Computing no es una función de Cloud KMS. Para obtener más información sobre Confidential Computing, consulta Confidential Computing.