Cloud Key Management Service (Cloud KMS) memungkinkan Anda membuat dan mengelola kunci kriptografis untuk digunakan di layanan Google Cloud yang kompatibel dan di aplikasi Anda sendiri. Dengan menggunakan Cloud KMS, Anda dapat melakukan hal berikut:
- Buat kunci software atau hardware, impor kunci yang ada ke Cloud KMS, atau tautkan kunci eksternal di sistem pengelolaan kunci eksternal (EKM) yang kompatibel.
- Buat kunci Cloud HSM Multi-tenant dan gunakan dengan Cloud HSM untuk Google Workspace untuk mengaktifkan enkripsi sisi klien (CSE) di Google Workspace.
- Membuat dan mengelola instance Cloud HSM tenant tunggal, serta membuat atau mengimpor, lalu menggunakan kunci Cloud HSM tenant tunggal.
- Gunakan kunci enkripsi yang dikelola pelanggan (CMEK) di produk Google Cloud dengan integrasi CMEK. Integrasi CMEK menggunakan kunci Cloud KMS Anda untuk mengenkripsi atau "menggabungkan" kunci enkripsi data (DEK) Anda. Menggabungkan DEK dengan kunci enkripsi kunci (KEK) disebut enkripsi menyeluruh.
- Gunakan Cloud KMS Autokey untuk mengotomatiskan penyediaan dan penetapan. Dengan Autokey, Anda tidak perlu menyediakan key ring, kunci, dan akun layanan terlebih dahulu. Sebagai gantinya, ID ini dibuat sesuai permintaan sebagai bagian dari pembuatan resource.
- Menggunakan kunci Cloud KMS untuk operasi enkripsi dan dekripsi. Misalnya, Anda dapat menggunakan Cloud KMS API atau library klien untuk menggunakan kunci Cloud KMS Anda untuk enkripsi sisi klien.
- Gunakan kunci Cloud KMS untuk membuat atau memverifikasi tanda tangan digital atau tanda tangan kode autentikasi pesan (MAC).
- Gunakan kunci Cloud KMS untuk membuat rahasia bersama menggunakan mekanisme enkapsulasi kunci.
Memilih enkripsi yang tepat untuk kebutuhan Anda
Anda dapat menggunakan tabel berikut untuk mengidentifikasi jenis enkripsi yang memenuhi kebutuhan Anda untuk setiap kasus penggunaan. Solusi terbaik untuk kebutuhan Anda mungkin mencakup kombinasi pendekatan enkripsi. Misalnya, Anda dapat menggunakan kunci software untuk data yang paling tidak sensitif dan kunci hardware atau eksternal untuk data yang paling sensitif. Untuk mengetahui informasi tambahan tentang opsi enkripsi yang dijelaskan di bagian ini, lihat Melindungi data di Google Cloud di halaman ini. Untuk mengetahui informasi selengkapnya tentang perjanjian tingkat layanan (SLA) yang berlaku saat menggunakan kunci Cloud KMS, Cloud HSM, dan Cloud EKM, lihat Perjanjian Tingkat Layanan.
| Jenis enkripsi | Biaya | Layanan yang kompatibel | Fitur |
|---|---|---|---|
| Google-owned and Google-managed encryption keys (Google Cloud enkripsi default) | Disertakan | Semua layanan Google Cloud yang menyimpan data pelanggan |
|
| Kunci enkripsi yang dikelola pelanggan - software (kunci Cloud KMS) |
$0,06 per versi kunci | 40+ layanan |
|
| Kunci enkripsi yang dikelola pelanggan - hardware (Kunci Cloud HSM) |
$1,00 hingga $2,50 per versi kunci per bulan | 40+ layanan |
|
| Kunci enkripsi yang dikelola pelanggan - eksternal (Kunci Cloud EKM) |
$3,00 per versi kunci per bulan | 30+ layanan |
|
| Enkripsi sisi klien menggunakan kunci Cloud KMS | Biaya versi kunci aktif bergantung pada tingkat perlindungan kunci. | Menggunakan library klien di aplikasi Anda |
|
| Cloud HSM untuk Google Workspace | Biaya bulanan tarif tetap untuk setiap instance, ditambah biaya versi kunci aktif dan operasi kriptografi. | Menggunakan kunci Cloud HSM Multi-tenant untuk enkripsi sisi klien di Google Workspace |
|
| Kunci enkripsi yang disediakan pelanggan | Dapat meningkatkan biaya yang terkait dengan Compute Engine atau Cloud Storage |
|
|
| Confidential Computing | Biaya tambahan untuk setiap confidential VM; dapat meningkatkan penggunaan log dan biaya terkait |
|
Melindungi data di Google Cloud
Google-owned and Google-managed encryption keys (Google Cloud enkripsi default)
Secara default, data dalam penyimpanan di Google Cloud dilindungi oleh kunci di Keystore,layanan pengelolaan kunci internal Google Cloud. Kunci di Keystore dikelola secara otomatis oleh Google Cloud, tanpa perlu konfigurasi dari Anda. Sebagian besar layanan otomatis merotasi kunci untuk Anda. Keystore mendukung versi kunci utama dan sejumlah versi kunci lama yang terbatas. Versi kunci utama digunakan untuk mengenkripsi kunci enkripsi data baru. Versi kunci yang lebih lama masih dapat digunakan untuk mendekripsi kunci enkripsi data yang ada. Anda tidak dapat melihat atau mengelola kunci ini atau meninjau log penggunaan kunci. Data dari beberapa pelanggan mungkin menggunakan kunci enkripsi kunci yang sama.
Enkripsi default ini menggunakan modul kriptografis yang divalidasi agar mematuhi FIPS 140-3 Level 1.
Kunci enkripsi yang dikelola pelanggan (CMEK)
Kunci Cloud KMS yang digunakan untuk melindungi resource Anda di layanan yang terintegrasi dengan CMEK adalah kunci enkripsi yang dikelola pelanggan (CMEK). Anda dapat memiliki dan mengontrol CMEK, sekaligus mendelegasikan tugas pembuatan dan penetapan kunci ke Cloud KMS Autokey. Menggunakan Autokey lebih mudah daripada menyediakan kunci sendiri, dan merupakan pilihan yang direkomendasikan jika kunci yang dibuat oleh Autokey memenuhi semua persyaratan Anda. Untuk mempelajari lebih lanjut cara mengotomatiskan penyediaan CMEK, lihat Cloud Key Management Service dengan Autokey.
Anda dapat menggunakan kunci Cloud KMS di layanan yang kompatibel untuk membantu Anda mencapai tujuan berikut:
Miliki kunci enkripsi Anda sendiri.
Kontrol dan kelola kunci enkripsi Anda, termasuk pilihan lokasi, tingkat perlindungan, pembuatan, kontrol akses, rotasi, penggunaan, dan penghancuran.
Menghapus data yang dilindungi oleh kunci Anda secara selektif jika terjadi off-boarding atau untuk memulihkan peristiwa keamanan (crypto-shredding).
Buat kunci khusus tenant tunggal yang menetapkan batas kriptografis di sekitar data Anda.
Mencatat akses administratif dan data ke kunci enkripsi.
Memenuhi peraturan saat ini atau mendatang yang memerlukan salah satu sasaran ini.
Saat menggunakan kunci Cloud KMS dengan layanan yang terintegrasi dengan CMEK, Anda dapat menggunakan kebijakan organisasi untuk memastikan bahwa CMEK digunakan sebagaimana ditentukan dalam kebijakan. Misalnya, Anda dapat menetapkan kebijakan organisasi yang memastikan bahwa resource Google Cloud yang kompatibel menggunakan kunci Cloud KMS Anda untuk enkripsi. Kebijakan organisasi juga dapat menentukan project tempat resource kunci harus berada.
Fitur dan tingkat perlindungan yang diberikan bergantung pada tingkat perlindungan kunci:
Kunci software - Anda dapat membuat kunci software di Cloud KMS dan menggunakannya di semua lokasi Google Cloud . Anda dapat membuat kunci simetris dengan rotasi otomatis atau kunci asimetris dengan rotasi manual. Kunci software yang dikelola pelanggan menggunakan modul kriptografi software yang divalidasi FIPS 140-3 Level 1. Anda juga memiliki kontrol atas periode rotasi, peran dan izin Identity and Access Management (IAM), serta kebijakan organisasi yang mengatur kunci Anda. Anda dapat menggunakan kunci software dengan banyak resource yang kompatibel Google Cloud.
Kunci software yang diimpor - Anda dapat mengimpor kunci software yang Anda buat di tempat lain untuk digunakan di Cloud KMS. Anda dapat mengimpor versi kunci baru untuk merotasi kunci yang diimpor secara manual. Anda dapat menggunakan peran dan izin IAM serta kebijakan organisasi untuk mengatur penggunaan kunci yang diimpor.
Kunci hardware dengan Cloud HSM Multi-tenant - Anda dapat membuat kunci hardware dalam cluster Hardware Security Module (HSM) FIPS 140-2 Level 3. Anda memiliki kontrol atas periode rotasi, peran dan izin IAM, serta kebijakan organisasi yang mengatur kunci Anda. Saat Anda membuat kunci HSM menggunakan Cloud HSM, Google Cloud akan mengelola cluster HSM sehingga Anda tidak perlu melakukannya. Anda dapat menggunakan kunci HSM dengan banyak resource yang kompatibel Google Cloud—layanan yang sama yang mendukung kunci software. Untuk tingkat kepatuhan keamanan tertinggi, gunakan kunci hardware.
Kunci hardware dengan Cloud HSM Single-tenant - Anda dapat membuat kunci hardware dalam cluster partisi khusus di Modul Keamanan Hardware (HSM) FIPS 140-2 Level 3 yang Anda kontrol. Anda memiliki kontrol atas periode rotasi, peran dan izin IAM, serta kebijakan organisasi yang mengatur kunci Anda. Saat Anda membuat instance Cloud HSM Single-tenant, Google Cloud akan menghosting cluster HSM sehingga Anda tidak perlu melakukannya, tetapi Anda mengontrol akses ke instance dan mengelolanya dengan kuorum administrator yang ditunjuk. Operasi instance memerlukan autentikasi 2 langkah menggunakan kunci keamanan yang Anda miliki di luarGoogle Cloud. Anda dapat menggunakan kunci HSM single-tenant dengan banyak resource yang kompatibel Google Cloud—layanan yang sama yang mendukung kunci software. Untuk tingkat kepatuhan keamanan tertinggi dengan isolasi kriptografis, gunakan kunci hardware.
Kunci eksternal dan Cloud EKM - Anda dapat menggunakan kunci yang berada di pengelola kunci eksternal (EKM). Dengan Cloud EKM, Anda dapat menggunakan kunci yang disimpan di pengelola kunci yang didukung untuk mengamankan resourceGoogle Cloud Anda. Anda dapat terhubung ke EKM melalui internet atau melalui Virtual Private Cloud (VPC). Beberapa Google Cloud layanan yang mendukung kunci Cloud KMS tidak mendukung kunci Cloud EKM.
Kunci Cloud KMS
Anda dapat menggunakan kunci Cloud KMS di aplikasi kustom menggunakan library klien Cloud KMS atau Cloud KMS API. Library klien dan API memungkinkan Anda mengenkripsi dan mendekripsi data, menandatangani data, serta memvalidasi tanda tangan.
Cloud HSM multi-tenant untuk Google Workspace
Anda dapat menggunakan kunci Cloud HSM Multi-tenant di Cloud HSM untuk Google Workspace guna mengelola kunci yang digunakan untuk enkripsi sisi klien (CSE) di Google Workspace. Anda dapat Bergabung ke Cloud HSM untuk Google Workspace.
Kunci enkripsi yang disediakan pelanggan (CSEK)
Cloud Storage dan Compute Engine dapat menggunakan kunci enkripsi yang disediakan pelanggan (CSEK). Dengan kunci enkripsi yang disediakan pelanggan, Anda menyimpan materi kunci dan memberikannya ke Cloud Storage atau Compute Engine saat diperlukan. Google Cloud tidak menyimpan CSEK Anda dengan cara apa pun.Confidential Computing
Anda dapat menggunakan platform Confidential Computing untuk mengenkripsi data aktif Anda. Confidential Computing memastikan data Anda tetap bersifat pribadi dan terenkripsi bahkan saat sedang diproses.