Cloud Key Management Service (Cloud KMS) 可讓您建立及管理加密編譯金鑰，以便在相容的 Google Cloud 服務和您自己的應用程式中使用。Cloud KMS 可讓您執行下列操作：
- 生成軟體或硬體金鑰、將現有金鑰匯入 Cloud KMS，或在相容的外部金鑰管理 (EKM) 系統中連結外部金鑰。
- 產生多租戶 Cloud HSM 金鑰，並與 Google Workspace 專用 Cloud HSM 搭配使用，在 Google Workspace 中啟用用戶端加密 (CSE)。
- 建立及維護 單一租戶 Cloud HSM 執行個體，以及建立或匯入單一租戶 Cloud HSM 金鑰，然後使用這些金鑰。
- 在 Google Cloud產品中使用整合 CMEK 的客戶自行管理加密金鑰 (CMEK)。CMEK 整合功能會使用 Cloud KMS 金鑰加密或「包裝」資料加密金鑰 (DEK)。使用金鑰加密金鑰 (KEK) 封裝 DEK 的做法稱為信封式加密。
- 使用 Cloud KMS Autokey 自動佈建及指派金鑰。有了 Autokey，您就不必預先佈建金鑰環、金鑰和服務帳戶。而是在建立資源時，視需要產生。
- 使用 Cloud KMS 金鑰執行加密和解密作業。舉例來說，您可以使用 Cloud KMS API 或用戶端程式庫，將 Cloud KMS 金鑰用於用戶端加密。
- 使用 Cloud KMS 金鑰建立或驗證數位簽章或訊息驗證碼 (MAC) 簽章。
- 使用 Cloud KMS 金鑰，透過金鑰封裝機制建立共用密鑰。
選擇符合需求的加密方式
您可以參考下表，判斷哪種加密類型符合各個用途的需求。最符合您需求的解決方案可能包含多種加密方法。 舉例來說，您可以使用軟體金鑰處理最不敏感的資料，並使用硬體或外部金鑰處理最敏感的資料。 如要進一步瞭解本節所述的加密選項，請參閱本頁的「保護 Google Cloud中的資料」一節。如要進一步瞭解使用 Cloud KMS、Cloud HSM 和 Cloud EKM 金鑰時適用的服務水準協議 (SLA)，請參閱「服務水準協議」。
| 加密類型 | 費用 | 相容服務 | 功能與特色 |
|---|---|---|---|
| Google-owned and Google-managed encryption keys (Google Cloud 預設加密) | 已包含 | 所有儲存客戶資料的 Google Cloud 服務 |
|
| 客戶自行管理的加密金鑰 - 軟體 (Cloud KMS 金鑰) |
每個金鑰版本 $0.06 美元 | 40 多項 服務 | |
| 客戶自行管理的加密金鑰 - 硬體 (Cloud HSM 金鑰) |
每個金鑰版本每月 $1.00 至 $2.50 美元 | 40 多項 服務 | |
| 客戶自行管理的加密金鑰 - 外部 (Cloud EKM 金鑰) |
每個金鑰版本每月 $3.00 美元 | 超過 30 項 服務 |
|
| 使用 Cloud KMS 金鑰進行用戶端加密 | 有效金鑰版本的費用取決於金鑰的保護層級。 | 在應用程式中使用用戶端程式庫 |
|
| Google Workspace 適用的 Cloud HSM | 每個執行個體每月固定費率，加上有效金鑰版本和加密編譯作業的費用。 | 使用多租戶 Cloud HSM 金鑰，在 Google Workspace 中進行用戶端加密 |
|
| 客戶提供的加密金鑰 | 可能會增加 Compute Engine 或 Cloud Storage 的相關費用 |
|
|
| 機密運算 | 每個 Confidential VM 須支付額外費用；可能會增加記錄用量和相關費用 |
|
保護 Google Cloud中的資料
Google-owned and Google-managed encryption keys (Google Cloud 預設加密)
根據預設， Google Cloud 中的靜態資料會受到 Keystore ( Google Cloud的內部金鑰管理服務) 中的金鑰保護。Keystore 中的金鑰會由 Google Cloud自動管理，您不需要進行任何設定。大多數服務會自動為您輪替金鑰。Keystore 支援主要金鑰版本和有限數量的舊版金鑰。主要金鑰版本用於加密新的資料加密金鑰。舊版金鑰仍可用於解密現有的資料加密金鑰。您無法查看或管理這些金鑰，也無法查看金鑰使用記錄。多位客戶的資料可能使用相同的金鑰加密金鑰。
這項預設加密機制使用的加密編譯模組，已通過驗證，符合 FIPS 140-3 第 1 級標準。
客戶自行管理的加密金鑰 (CMEK)
用於保護 CMEK 整合服務中資源的 Cloud KMS 金鑰，就是客戶自行管理的加密金鑰 (CMEK)。 您可以擁有及控管 CMEK，同時將金鑰建立和指派工作委派給 Cloud KMS Autokey。使用 Autokey 比自行佈建金鑰更簡單，如果 Autokey 建立的金鑰符合您的所有需求，建議您使用這項功能。如要進一步瞭解如何自動佈建 CMEK，請參閱「搭配 Autokey 使用 Cloud Key Management Service」。
您可以在相容服務中使用 Cloud KMS 金鑰，達成下列目標：
擁有加密金鑰。
控管及管理加密金鑰，包括選擇位置、保護等級、建立、存取控管、輪替、使用和銷毀。
在員工離職或需要修復安全性事件時，選擇性刪除受金鑰保護的資料 (加密碎紙)。
建立專屬的單一租戶金鑰，為資料建立密碼編譯邊界。
符合現行或未來法規，要求達成上述任一目標。
搭配整合 CMEK 的服務使用 Cloud KMS 金鑰時，您可以透過組織政策，確保 CMEK 按照政策規定使用。舉例來說，您可以設定組織政策，確保相容的 Google Cloud 資源使用 Cloud KMS 金鑰加密。組織政策也可以指定金鑰資源必須位於哪個專案。
提供的功能和保護層級取決於金鑰的保護層級：
軟體金鑰：您可以在 Cloud KMS 中產生軟體金鑰，並在所有 Google Cloud 位置使用。您可以建立自動輪替的對稱金鑰，或手動輪替的非對稱金鑰。客戶自行管理的軟體金鑰使用 FIPS 140-3 第 1 級驗證的軟體密碼編譯模組。您也可以控管輪替週期、Identity and Access Management (IAM) 角色和權限，以及管理金鑰的組織政策。軟體金鑰可與許多相容 Google Cloud資源搭配使用。
匯入的軟體金鑰：您可以匯入在其他位置建立的軟體金鑰，以便在 Cloud KMS 中使用。您可以匯入新的金鑰版本，手動輪替匯入的金鑰。您可以使用 IAM 角色、權限和組織政策，控管匯入金鑰的使用情形。
使用多租戶 Cloud HSM 的硬體金鑰：您可以在 FIPS 140-2 第 3 級硬體安全性模組 (HSM) 叢集中產生硬體金鑰。您可以控管金鑰的輪替週期、IAM 角色和權限，以及組織政策。使用 Cloud HSM 建立 HSM 金鑰時， Google Cloud會代管 HSM 叢集，您不必費心管理。您可以使用 HSM 金鑰搭配許多相容 Google Cloud資源，也就是支援軟體金鑰的相同服務。如要達到最高等級的安全法規遵循，請使用硬體金鑰。
使用單一租戶 Cloud HSM 的硬體金鑰：您可以在 FIPS 140-2 第 3 級硬體安全性模組 (HSM) 的專屬分區叢集中，產生您控管的硬體金鑰。您可以控管金鑰的輪替週期、IAM 角色和權限，以及組織政策。建立單一租戶 Cloud HSM 執行個體時， Google Cloud 會代管 HSM 叢集，您不必自行處理，但您可控管執行個體的存取權，並由指定管理員組成的法定人數維護執行個體。執行個體作業需要使用您在Google Cloud外部擁有的安全金鑰進行雙重驗證。單一租戶 HSM 金鑰可與許多相容 Google Cloud資源搭配使用，也就是支援軟體金鑰的服務。如需最高層級的安全法規遵循，並採用加密隔離機制，請使用硬體金鑰。
外部金鑰和 Cloud EKM：您可以使用位於外部金鑰管理工具 (EKM) 中的金鑰。Cloud EKM 可讓您使用支援的金鑰管理工具中保存的金鑰，保護Google Cloud 資源。 您可以透過網際網路或虛擬私有雲 (VPC) 連線至 EKM。 部分 Google Cloud 支援 Cloud KMS 金鑰的服務不支援 Cloud EKM 金鑰。
Cloud KMS 金鑰
您可以使用 Cloud KMS 用戶端程式庫或 Cloud KMS API，在自訂應用程式中使用 Cloud KMS 金鑰。用戶端程式庫和 API 可讓您加密及解密資料、簽署資料，以及驗證簽章。
Google Workspace 專用的多租戶 Cloud HSM
您可以在 Google Workspace 的 Cloud HSM 中，使用多租戶 Cloud HSM 金鑰，管理 Google Workspace 中用於用戶端加密 (CSE) 的金鑰。您可以開始使用 Google Workspace 適用的 Cloud HSM。
客戶提供的加密金鑰 (CSEK)
Cloud Storage 和 Compute Engine 可使用客戶提供的加密金鑰 (CSEK)。 如果使用客戶提供的加密金鑰，您必須儲存金鑰內容，並在需要時提供給 Cloud Storage 或 Compute Engine。 Google Cloud 不會以任何方式儲存您的 CSEK。機密運算
您可以使用機密運算平台，加密使用中的資料。機密運算可確保資料在處理過程中，仍能保持隱密並維持加密狀態。