Mit Cloud Key Management Service (Cloud KMS) können Sie kryptografische Schlüssel für die Verwendung in kompatiblen Google Cloud -Diensten und in Ihren eigenen Anwendungen erstellen und verwalten. Mit Cloud KMS können Sie Folgendes tun:
- Generieren Sie Software- oder Hardwareschlüssel, importieren Sie vorhandene Schlüssel in Cloud KMS oder verknüpfen Sie externe Schlüssel in Ihrem kompatiblen externen Schlüsselverwaltungssystem (EKM).
- Generieren Sie mandantenfähige Cloud HSM-Schlüssel und verwenden Sie sie mit Cloud HSM für Google Workspace, um die clientseitige Verschlüsselung (CSE) in Google Workspace zu aktivieren.
- Cloud HSM-Instanzen für einzelne Mandanten erstellen und verwalten sowie Cloud HSM-Schlüssel für einzelne Mandanten erstellen oder importieren und dann verwenden.
- Kundenverwaltete Verschlüsselungsschlüssel (CMEKs) in Google Cloud-Produkten mit CMEK-Integration verwenden. CMEK-Integrationen verwenden Ihre Cloud KMS-Schlüssel, um Ihre Datenverschlüsselungsschlüssel (DEKs) zu verschlüsseln oder zu „verpacken“. Das Verpacken von DEKs mit Schlüsselverschlüsselungsschlüsseln (Key Encryption Keys, KEKs) wird als Umschlagverschlüsselung bezeichnet.
- Verwenden Sie Cloud KMS Autokey, um die Bereitstellung und Zuweisung zu automatisieren. Mit Autokey müssen Sie keine Schlüsselbunde, Schlüssel und Dienstkonten im Voraus bereitstellen. Stattdessen werden sie bei der Ressourcenerstellung auf Anfrage generiert.
- Cloud KMS-Schlüssel für Verschlüsselungs- und Entschlüsselungsvorgänge verwenden Sie können beispielsweise die Cloud KMS API oder Clientbibliotheken verwenden, um Ihre Cloud KMS-Schlüssel für die clientseitige Verschlüsselung zu verwenden.
- Verwenden Sie Cloud KMS-Schlüssel, um digitale Signaturen oder MAC-Signaturen (Message Authentication Code) zu erstellen oder zu prüfen.
- Cloud KMS-Schlüssel verwenden, um gemeinsame Secrets mithilfe von Schlüsselkapselungsmechanismen zu erstellen.
Die richtige Verschlüsselung für Ihre Anforderungen auswählen
Anhand der folgenden Tabelle können Sie ermitteln, welche Art der Verschlüsselung für den jeweiligen Anwendungsfall Ihren Anforderungen entspricht. Die beste Lösung für Ihre Anforderungen kann eine Mischung aus Verschlüsselungsansätzen sein. Sie können beispielsweise Softwareschlüssel für Ihre am wenigsten sensiblen Daten und Hardware- oder externe Schlüssel für Ihre sensibelsten Daten verwenden. Weitere Informationen zu den in diesem Abschnitt beschriebenen Verschlüsselungsoptionen finden Sie auf dieser Seite unter Daten in Google Cloudschützen. Weitere Informationen zum Service Level Agreement (SLA), das bei der Verwendung von Cloud KMS-, Cloud HSM- und Cloud EKM-Schlüsseln gilt, finden Sie im Service Level Agreement.
| Verschlüsselungstyp | Kosten | Kompatible Dienste | Features |
|---|---|---|---|
| Google-owned and Google-managed encryption keys (Google Cloud Standardverschlüsselung) | Enthalten | Alle Google Cloud -Dienste, in denen Kundendaten gespeichert werden |
|
| Kundenverwaltete Verschlüsselungsschlüssel – Software (Cloud KMS-Schlüssel) |
0,06 $ pro Schlüsselversion | Über 40 Dienste |
|
| Kundenverwaltete Verschlüsselungsschlüssel – Hardware (Cloud HSM-Schlüssel) |
1,00 $ bis 2,50 $ pro Schlüsselversion und Monat | Über 40 Dienste |
|
| Kundenverwaltete Verschlüsselungsschlüssel – extern (Cloud EKM-Schlüssel) |
3,00 $ pro Schlüsselversion und Monat | Über 30 Dienste |
|
| Clientseitige Verschlüsselung mit Cloud KMS-Schlüsseln | Die Kosten für aktive Schlüsselversionen hängen von der Schutzstufe des Schlüssels ab. | Clientbibliotheken in Ihren Anwendungen verwenden |
|
| Cloud HSM für Google Workspace | Monatliche Pauschalgebühr für jede Instanz, zuzüglich der Kosten für aktive Schlüsselversionen und kryptografische Vorgänge. | Mehrmandantenfähige Cloud HSM-Schlüssel für die clientseitige Verschlüsselung in Google Workspace verwenden |
|
| Vom Kunden bereitgestellte Verschlüsselungsschlüssel | Kann die mit Compute Engine oder Cloud Storage verbundenen Kosten erhöhen |
|
|
| Confidential Computing | Zusätzliche Kosten für jede Confidential VM; kann die Protokollnutzung und die damit verbundenen Kosten erhöhen |
|
Daten in Google Cloudschützen
Google-owned and Google-managed encryption keys (Google Cloud Standardverschlüsselung)
Standardmäßig werden Daten im Ruhezustand in Google Cloud durch Schlüssel in Keystore, dem internen Key Management Service von Google Cloud,geschützt. Schlüssel im Schlüsselspeicher werden automatisch von Google Cloudverwaltet, ohne dass Sie etwas konfigurieren müssen. Die meisten Dienste rotieren Schlüssel automatisch für Sie. Der Keystore unterstützt eine primäre Schlüsselversion und eine begrenzte Anzahl älterer Schlüsselversionen. Die primäre Schlüsselversion wird zum Verschlüsseln neuer Datenverschlüsselungsschlüssel verwendet. Ältere Schlüsselversionen können weiterhin zum Entschlüsseln vorhandener Datenverschlüsselungsschlüssel verwendet werden. Sie können diese Schlüssel nicht ansehen oder verwalten und auch keine Logs zur Schlüsselnutzung prüfen. Für Daten mehrerer Kunden kann derselbe Schlüsselverschlüsselungsschlüssel verwendet werden.
Für diese Standardverschlüsselung werden kryptografische Module verwendet, die gemäß FIPS 140-3 Level 1 validiert sind.
Kundenverwaltete Verschlüsselungsschlüssel (CMEKs)
Cloud KMS-Schlüssel, die zum Schutz Ihrer Ressourcen in CMEK-integrierten Diensten verwendet werden, sind kundenverwaltete Verschlüsselungsschlüssel (CMEKs). Sie können CMEKs besitzen und steuern und gleichzeitig die Aufgaben zum Erstellen und Zuweisen von Schlüsseln an Cloud KMS Autokey delegieren. Die Verwendung von Autokey ist einfacher als die manuelle Bereitstellung von Schlüsseln und wird empfohlen, wenn die von Autokey erstellten Schlüssel alle Ihre Anforderungen erfüllen. Weitere Informationen zum Automatisieren der Bereitstellung von CMEKs finden Sie unter Cloud Key Management Service mit Autokey.
Sie können Ihre Cloud KMS-Schlüssel in kompatiblen Diensten verwenden, um die folgenden Ziele zu erreichen:
Eigene Verschlüsselungsschlüssel verwenden
Sie können Ihre Verschlüsselungsschlüssel steuern und verwalten, einschließlich der Auswahl des Speicherorts, des Schutzlevels, der Erstellung, der Zugriffssteuerung, der Rotation, der Verwendung und der Vernichtung.
Löschen Sie selektiv Daten, die durch Ihre Schlüssel geschützt sind, im Falle eines Offboardings oder zur Behebung von Sicherheitsereignissen (Kryptoshredding).
Erstellen Sie dedizierte Schlüssel für einzelne Mandanten, die eine kryptografische Grenze um Ihre Daten bilden.
Protokollieren Sie den Administrator- und Datenzugriff auf Verschlüsselungsschlüssel.
Einhaltung aktueller oder zukünftiger Vorschriften, die eines dieser Ziele erfordern.
Wenn Sie Cloud KMS-Schlüssel mit CMEK-integrierten Diensten verwenden, können Sie mithilfe von Organisationsrichtlinien dafür sorgen, dass CMEKs wie in den Richtlinien angegeben verwendet werden. Sie können beispielsweise eine Organisationsrichtlinie festlegen, die dafür sorgt, dass Ihre kompatiblen Google Cloud -Ressourcen Ihre Cloud KMS-Schlüssel für die Verschlüsselung verwenden. In Organisationsrichtlinien kann auch festgelegt werden, in welchem Projekt sich die Schlüsselressourcen befinden müssen.
Die bereitgestellten Funktionen und das Schutzniveau hängen vom Schutzniveau des Schlüssels ab:
Softwareschlüssel: Sie können Softwareschlüssel in Cloud KMS generieren und an allen Google Cloud -Standorten verwenden. Sie können symmetrische Schlüssel mit automatischer Rotation oder asymmetrische Schlüssel mit manueller Rotation erstellen. Kundenverwaltete Softwareschlüssel verwenden gemäß FIPS 140-3 Level 1 validierte Softwarekryptografiemodule. Sie haben auch die Kontrolle über den Rotationszeitraum, die IAM-Rollen und -Berechtigungen (Identity and Access Management) sowie die Organisationsrichtlinien, die für Ihre Schlüssel gelten. Sie können Ihre Softwareschlüssel mit vielen kompatiblen Google CloudRessourcen verwenden.
Importierte Softwareschlüssel: Sie können Softwareschlüssel, die Sie an anderer Stelle erstellt haben, zur Verwendung in Cloud KMS importieren. Sie können neue Schlüsselversionen importieren, um importierte Schlüssel manuell zu rotieren. Sie können IAM-Rollen und -Berechtigungen sowie Organisationsrichtlinien verwenden, um die Nutzung Ihrer importierten Schlüssel zu steuern.
Hardwareschlüssel mit mandantenfähigem Cloud HSM: Sie können Hardwareschlüssel in einem Cluster von FIPS 140-2 Level 3-Hardwaresicherheitsmodulen (HSMs) generieren. Sie haben die Kontrolle über den Rotationszeitraum, die IAM-Rollen und -Berechtigungen sowie die Organisationsrichtlinien, die für Ihre Schlüssel gelten. Wenn Sie HSM-Schlüssel mit Cloud HSM erstellen, verwaltet Google Clouddie HSM-Cluster, sodass Sie das nicht tun müssen. Sie können Ihre HSM-Schlüssel mit vielen kompatiblen Google Cloud-Ressourcen verwenden – also mit denselben Diensten, die Softwareschlüssel unterstützen. Für ein Höchstmaß an Sicherheitscompliance sollten Sie Hardwareschlüssel verwenden.
Hardwareschlüssel mit Cloud HSM für einzelne Mandanten: Sie können Hardwareschlüssel in einem Cluster dedizierter Partitionen in FIPS 140-2 Level 3-Hardwaresicherheitsmodulen (HSMs) generieren, die Sie steuern. Sie haben die Kontrolle über den Rotationszeitraum, die IAM-Rollen und -Berechtigungen sowie die Organisationsrichtlinien, die für Ihre Schlüssel gelten. Wenn Sie eine HSM-Instanz für einzelne Mandanten erstellen,hostet Google Cloud die HSM-Cluster, sodass Sie dies nicht tun müssen. Sie steuern jedoch den Zugriff auf die Instanz und verwalten sie mit einem Quorum von designierten Administratoren. Für Instanzvorgänge ist eine 2-Faktor-Authentifizierung mit Sicherheitsschlüsseln erforderlich, die Sie außerhalb vonGoogle Cloudbesitzen. Sie können Ihre HSM-Schlüssel für einzelne Mandanten mit vielen kompatiblen Google Cloud-Ressourcen verwenden, also mit denselben Diensten, die Softwareschlüssel unterstützen. Verwenden Sie Hardwareschlüssel, um ein Höchstmaß an Sicherheitscompliance mit kryptografischer Isolation zu erreichen.
Externe Schlüssel und Cloud EKM: Sie können Schlüssel verwenden, die sich in einem externen Schlüsselmanager (EKM) befinden. Mit Cloud EKM können Sie Schlüssel verwenden, die in einem unterstützten Schlüsselmanager gespeichert sind, um IhreGoogle Cloud -Ressourcen zu sichern. Sie können eine Verbindung zu Ihrem EKM über das Internet oder über eine Virtual Private Cloud (VPC) herstellen. Einige Google Cloud Dienste, die Cloud KMS-Schlüssel unterstützen, unterstützen keine Cloud EKM-Schlüssel.
Cloud KMS-Schüssel
Sie können Ihre Cloud KMS-Schlüssel in benutzerdefinierten Anwendungen mit den Cloud KMS-Clientbibliotheken oder der Cloud KMS API verwenden. Mit den Clientbibliotheken und der API können Sie Daten verschlüsseln und entschlüsseln, Daten signieren und Signaturen validieren.
Mandantenfähiges Cloud HSM für Google Workspace
Sie können Ihre mandantenfähigen Cloud HSM-Schlüssel in Cloud HSM for Google Workspace verwenden, um die Schlüssel für die clientseitige Verschlüsselung (CSE) in Google Workspace zu verwalten. Sie können Cloud HSM für Google Workspace einrichten.
Vom Kunden bereitgestellte Verschlüsselungsschlüssel (CSEKs)
Cloud Storage und Compute Engine können vom Kunden bereitgestellte Verschlüsselungsschlüssel (CSEKs) verwenden. Bei vom Kunden bereitgestellten Verschlüsselungsschlüsseln speichern Sie das Schlüsselmaterial und stellen es bei Bedarf Cloud Storage oder Compute Engine zur Verfügung. Google Cloud speichert Ihre CSEKs in keiner Weise.Confidential Computing
Mit der Confidential Computing-Plattform können Sie Ihre aktiven Daten verschlüsseln. Confidential Computing sorgt dafür, dass Ihre Daten auch während der Verarbeitung privat und verschlüsselt bleiben.