Cloud Key Management Service (Cloud KMS) vous permet de créer et de gérer des clés cryptographiques à utiliser dans les services Google Cloud compatibles et dans vos propres applications. Cloud KMS vous permet d'effectuer les opérations suivantes :
- Générez des clés logicielles ou matérielles, importez des clés existantes dans Cloud KMS ou associez des clés externes dans votre système de gestion de clés externes (EKM) compatible.
- Générez des clés Cloud HSM mutualisées et utilisez-les avec Cloud HSM pour Google Workspace afin d'activer le chiffrement côté client (CSE) dans Google Workspace.
- Créez et gérez des instances Cloud HSM à locataire unique, puis créez ou importez des clés Cloud HSM à locataire unique, et utilisez-les.
- Utilisez des clés de chiffrement gérées par le client (CMEK) dans les produits Google Cloudavec l'intégration CMEK. Les intégrations CMEK utilisent vos clés Cloud KMS pour chiffrer ou "encapsuler" vos clés de chiffrement des données (DEK). L'encapsulation des DEK avec des clés de chiffrement de clés (KEK) est appelée chiffrement encapsulé.
- Utilisez Cloud KMS Autokey pour automatiser le provisionnement et l'attribution. Avec la fonction de clé automatique, vous n'avez pas besoin de provisionner des trousseaux de clés, des clés et des comptes de service à l'avance. Au lieu de cela, ils sont générés à la demande lors de la création des ressources.
- Utilisez des clés Cloud KMS pour les opérations de chiffrement et de déchiffrement. Par exemple, vous pouvez utiliser l'API Cloud KMS ou les bibliothèques clientes pour utiliser vos clés Cloud KMS pour le chiffrement côté client.
- Utilisez des clés Cloud KMS pour créer ou vérifier des signatures numériques ou des signatures de code d'authentification de message (MAC).
- Utilisez des clés Cloud KMS pour établir des secrets partagés à l'aide de mécanismes d'encapsulation de clés.
Choisir le chiffrement adapté à vos besoins
Vous pouvez utiliser le tableau suivant pour identifier le type de chiffrement qui répond à vos besoins pour chaque cas d'utilisation. La solution la mieux adaptée à vos besoins peut inclure une combinaison d'approches de chiffrement. Par exemple, vous pouvez utiliser des clés logicielles pour vos données les moins sensibles, et des clés matérielles ou externes pour vos données les plus sensibles. Pour en savoir plus sur les options de chiffrement décrites dans cette section, consultez Protéger les données dans Google Cloud sur cette page. Pour en savoir plus sur le contrat de niveau de service (SLA) qui s'applique lors de l'utilisation de clés Cloud KMS, Cloud HSM et Cloud EKM, consultez Contrat de niveau de service.
| Type de chiffrement | Coût | Services compatibles | Fonctionnalités |
|---|---|---|---|
| Google-owned and Google-managed encryption keys (Google Cloud chiffrement par défaut) | Inclus | Tous les services Google Cloud qui stockent des données client |
|
| Clés de chiffrement gérées par le client – logicielles (clés Cloud KMS) |
0,06 $ par version de clé | Plus de 40 services |
|
| Clés de chiffrement gérées par le client – Matériel (clés Cloud HSM) |
De 1,00 $ à 2,50 $ par version de clé et par mois | Plus de 40 services |
|
| Clés de chiffrement gérées par le client – externes (clés Cloud EKM) |
3 $ par version de clé et par mois | Plus de 30 services |
|
| Chiffrement côté client à l'aide de clés Cloud KMS | Le coût des versions de clé actives dépend du niveau de protection de la clé. | Utilisez des bibliothèques clientes dans vos applications. |
|
| Cloud HSM pour Google Workspace | Frais mensuels fixes pour chaque instance, plus le coût des versions de clés actives et des opérations cryptographiques. | Utiliser des clés Cloud HSM mutualisées pour le chiffrement côté client dans Google Workspace |
|
| Clés de chiffrement fournies par le client | Peut augmenter les coûts associés à Compute Engine ou Cloud Storage |
|
|
| Informatique confidentielle | Coût supplémentaire pour chaque Confidential VM ; peut augmenter l'utilisation des journaux et les coûts associés |
|
Protéger les données dans Google Cloud
Google-owned and Google-managed encryption keys (Google Cloud chiffrement par défaut)
Par défaut, les données au repos dans Google Cloud sont protégées par des clés dans Keystore,le service de gestion de clés interne de Google Cloud. Les clés de Keystore sont gérées automatiquement par Google Cloud, sans aucune configuration de votre part. La plupart des services effectuent automatiquement la rotation des clés pour vous. Keystore est compatible avec une version de clé primaire et un nombre limité de versions de clé plus anciennes. La version de clé principale est utilisée pour chiffrer les nouvelles clés de chiffrement des données. Les anciennes versions de clé peuvent toujours être utilisées pour déchiffrer les clés de chiffrement de données existantes. Vous ne pouvez pas afficher ni gérer ces clés, ni consulter les journaux d'utilisation des clés. Les données de plusieurs clients peuvent utiliser la même clé de chiffrement de clé.
Ce chiffrement par défaut utilise des modules cryptographiques validés comme étant conformes à la norme FIPS 140-3 de niveau 1.
Clés de chiffrement gérées par le client (CMEK)
Les clés Cloud KMS utilisées pour protéger vos ressources dans les services intégrés aux CMEK sont des clés de chiffrement gérées par le client (CMEK). Vous pouvez posséder et contrôler les clés CMEK, tout en déléguant les tâches de création et d'attribution de clés à Cloud KMS Autokey. L'utilisation d'Autokey est plus simple que le provisionnement manuel des clés. C'est l'option recommandée si les clés créées par Autokey répondent à toutes vos exigences. Pour en savoir plus sur l'automatisation du provisionnement des CMEK, consultez Cloud Key Management Service avec Autokey.
Vous pouvez utiliser vos clés Cloud KMS dans des services compatibles pour vous aider à atteindre les objectifs suivants :
Vous êtes propriétaire de vos clés de chiffrement.
Contrôlez et gérez vos clés de chiffrement, y compris le choix de l'emplacement, le niveau de protection, la création, le contrôle des accès, la rotation, l'utilisation et la destruction.
Supprimez de manière sélective les données protégées par vos clés en cas de départ d'un employé ou pour corriger des événements de sécurité (crypto-shredding).
Créez des clés dédiées à locataire unique qui établissent une limite cryptographique autour de vos données.
Consignez les accès administratifs et aux données pour les clés de chiffrement.
Respecter les réglementations actuelles ou futures qui exigent l'un de ces objectifs.
Lorsque vous utilisez des clés Cloud KMS avec des services intégrés aux CMEK, vous pouvez utiliser des règles d'administration pour vous assurer que les CMEK sont utilisées comme spécifié dans les règles. Par exemple, vous pouvez définir une règle d'administration qui garantit que vos ressources Google Cloud compatibles utilisent vos clés Cloud KMS pour le chiffrement. Les règles d'administration peuvent également spécifier le projet dans lequel les ressources de clé doivent résider.
Les fonctionnalités et le niveau de protection fournis dépendent du niveau de protection de la clé :
Clés logicielles : vous pouvez générer des clés logicielles dans Cloud KMS et les utiliser dans tous les emplacements Google Cloud . Vous pouvez créer des clés symétriques avec rotation automatique ou des clés asymétriques avec rotation manuelle. Les clés logicielles gérées par le client utilisent des modules de cryptographie logicielle validés FIPS 140-3 de niveau 1. Vous contrôlez également la période de rotation, les rôles et autorisations IAM (Identity and Access Management), ainsi que les règles d'administration qui régissent vos clés. Vous pouvez utiliser vos clés logicielles avec de nombreuses ressources Google Cloudcompatibles.
Clés logicielles importées : vous pouvez importer des clés logicielles que vous avez créées ailleurs pour les utiliser dans Cloud KMS. Vous pouvez importer de nouvelles versions de clé pour effectuer une rotation manuelle des clés importées. Vous pouvez utiliser des rôles et des autorisations IAM, ainsi que des règles d'administration, pour gérer l'utilisation de vos clés importées.
Clés matérielles avec Cloud HSM mutualisé : vous pouvez générer des clés matérielles dans un cluster de modules de sécurité matériels (HSM) FIPS 140-2 de niveau 3. Vous contrôlez la période de rotation, les rôles et autorisations IAM, ainsi que les règles d'administration qui régissent vos clés. Lorsque vous créez des clés HSM à l'aide de Cloud HSM, Google Cloudgère les clusters HSM pour vous. Vous pouvez utiliser vos clés HSM avec de nombreuses ressources Google Cloudcompatibles, les mêmes services que ceux qui acceptent les clés logicielles. Pour un niveau de conformité de sécurité maximal, utilisez des clés matérielles.
Clés matérielles avec Cloud HSM à locataire unique : vous pouvez générer des clés matérielles dans un cluster de partitions dédiées dans des modules de sécurité matériels (HSM) FIPS 140-2 de niveau 3 que vous contrôlez. Vous contrôlez la période de rotation, les rôles et autorisations IAM, ainsi que les règles d'administration qui régissent vos clés. Lorsque vous créez une instance Cloud HSM à locataire unique, Google Cloud héberge les clusters HSM pour que vous n'ayez pas à le faire, mais vous contrôlez l'accès à l'instance et la gérez avec un quorum d'administrateurs désignés. Les opérations d'instance nécessitent une authentification à deux facteurs à l'aide de clés de sécurité que vous possédez en dehors deGoogle Cloud. Vous pouvez utiliser vos clés HSM à locataire unique avec de nombreuses ressources compatibles Google Cloud, les mêmes services que ceux qui acceptent les clés logicielles. Pour bénéficier du niveau de conformité de sécurité le plus élevé avec l'isolation cryptographique, utilisez des clés matérielles.
Clés externes et Cloud EKM : vous pouvez utiliser des clés qui résident dans un gestionnaire de clés externe (EKM). Cloud EKM vous permet d'utiliser des clés stockées dans un gestionnaire de clés compatible pour sécuriser vos ressourcesGoogle Cloud . Vous pouvez vous connecter à votre EKM via Internet ou via un cloud privé virtuel (VPC). Certains Google Cloud services compatibles avec les clés Cloud KMS ne sont pas compatibles avec les clés Cloud EKM.
Clés Cloud KMS
Vous pouvez utiliser vos clés Cloud KMS dans des applications personnalisées à l'aide des bibliothèques clientes Cloud KMS ou de l'API Cloud KMS. Les bibliothèques clientes et l'API vous permettent de chiffrer et de déchiffrer des données, de signer des données et de valider des signatures.
Cloud HSM mutualisé pour Google Workspace
Vous pouvez utiliser vos clés Cloud HSM mutualisées dans Cloud HSM pour Google Workspace afin de gérer les clés utilisées pour le chiffrement côté client (CSE) dans Google Workspace. Vous pouvez intégrer Cloud HSM pour Google Workspace.
Clés de chiffrement fournies par le client (CSEK)
Cloud Storage et Compute Engine peuvent utiliser des clés de chiffrement fournies par le client (CSEK). Avec les clés de chiffrement fournies par le client, vous stockez le matériel de clé et le fournissez à Cloud Storage ou Compute Engine si nécessaire. Google Cloud ne stocke en aucun cas vos clés CSEK.Informatique confidentielle
Vous pouvez utiliser la plate-forme d'informatique confidentielle pour chiffrer vos données en cours d'utilisation. L'informatique confidentielle garantit que vos données restent privées et chiffrées, même pendant leur traitement.