Cloud KMS com Autokey

O Cloud KMS Autokey simplifica a criação e o uso de chaves de criptografia gerenciadas pelo cliente (CMEK) automatizando o provisionamento e a atribuição. Com o Autokey, os keyrings e as chaves são gerados sob demanda. As contas de serviço que usam as chaves para criptografar e descriptografar recursos são criadas e recebem papéis do Identity and Access Management (IAM) quando necessário. Os administradores do Cloud KMS mantêm controle e visibilidade total das chaves criadas pelo Autokey, sem a necessidade de planejar e criar cada recurso.

O uso das chaves geradas pelo Autokey pode ajudar você a se alinhar de maneira consistente aos padrões do setor e às práticas recomendadas de segurança de dados, incluindo o nível de proteção do Cloud HSM multitenant, a separação de tarefas, a rotação de chaves, a localização e a especificidade da chave. O Autokey cria chaves que seguem diretrizes gerais e específicas do tipo de recurso para Google Cloud serviços que se integram ao Cloud KMS Autokey. Depois de criadas, as chaves solicitadas usando a função Autokey são idênticas a outras chaves do Cloud HSM com as mesmas configurações.

O Autokey também pode simplificar o uso do Terraform para gerenciamento de chaves, removendo a necessidade de executar a infraestrutura como código com privilégios elevados de criação de chaves.

Para usar o Autokey, você precisa ter um recurso da organização que contenha um recurso de pasta. Para mais informações sobre recursos de organização e pasta, consulte Hierarquia de recursos.

O Cloud KMS Autokey está disponível em todos os Google Cloud locais em que o Cloud HSM está disponível. Para mais informações sobre os locais do Cloud KMS, consulte Locais do Cloud KMS. Não há custo adicional para usar o Cloud KMS Autokey. As chaves criadas usando o Autokey têm o mesmo preço que qualquer outra chave do Cloud HSM. Para mais informações sobre preços, consulte Preços do Cloud Key Management Service.

Para mais informações sobre o Autokey, consulte Visão geral das chaves automáticas.

Escolher entre o Autokey e outras opções de criptografia

O Cloud KMS com Autokey é como um piloto automático para chaves de criptografia gerenciadas pelo cliente: ele faz o trabalho em seu nome, sob demanda. Não é necessário planejar as chaves com antecedência ou criar chaves que talvez nunca sejam necessárias. As chaves e o uso delas são consistentes. Você pode definir as pastas em que você quer que o Autokey seja usado e controlar quem pode usá-lo. Você mantém o controle total das chaves criadas pelo Autokey. É possível usar chaves do Cloud KMS criadas manualmente junto com as chaves criadas usando o Autokey. Você pode desativar o Autokey e continuar usando as chaves criadas da mesma forma que usaria qualquer outra chave do Cloud KMS.

O Cloud KMS Autokey é uma boa opção se você quiser um uso consistente de chaves em todos os projetos, com uma baixa sobrecarga operacional, e seguir as recomendações do Google para chaves.

Recurso ou capacidade Criptografia padrão do Google Cloud KMS Cloud KMS Autokey
Isolamento criptográfico: as chaves são exclusivas da conta de um cliente Não Sim Sim
O cliente é proprietário e controla as chaves Não Sim Sim
O desenvolvedor aciona o provisionamento e a atribuição de chaves Sim Não Sim
Especificidade: as chaves são criadas automaticamente na granularidade de chave recomendada Não Não Sim
Permite que você destrua criptograficamente seus dados Não Sim Sim
Alinha-se automaticamente às práticas recomendadas de gerenciamento de chaves Não Não Sim
Usa chaves com suporte de HSM que estão em conformidade com o FIPS 140-2 Nível 3 Não Opcional Sim

Se você precisar usar um nível de proteção diferente de HSM ou um período de rotação personalizado, use CMEK sem o Autokey.

Serviços compatíveis

A tabela a seguir lista os serviços compatíveis com o Cloud KMS Autokey:

Serviço Recursos protegidos Granularidade da chave
Artifact Registry
  • artifactregistry.googleapis.com/Repository

O Autokey cria chaves durante a criação do repositório, usadas para todos os artefatos armazenados.

Uma chave por recurso
BigQuery
  • bigquery.googleapis.com/Dataset

O Autokey cria chaves padrão para conjuntos de dados. Tabelas, modelos, consultas e tabelas temporárias em um conjunto de dados usam a chave padrão do conjunto de dados.

O Autokey não cria chaves para recursos do BigQuery que não sejam conjuntos de dados. Para proteger recursos que não fazem parte de um conjunto de dados, crie suas próprias chaves padrão no nível do projeto ou da organização.

Uma chave por recurso
Bigtable
  • bigtableadmin.googleapis.com/Cluster

O Autokey cria chaves para clusters.

O Autokey não cria chaves para recursos do Bigtable que não sejam clusters.

O Bigtable só é compatível com o Cloud KMS Autokey ao criar recursos usando o Terraform ou o SDK Google Cloud.

Uma chave por cluster
AlloyDB para PostgreSQL
  • alloydb.googleapis.com/Cluster
  • alloydb.googleapis.com/Backup

O AlloyDB para PostgreSQL só é compatível com o Cloud KMS Autokey ao criar recursos usando o Terraform ou a API REST.

Uma chave por recurso
Cloud Run
  • run.googleapis.com/Service
  • run.googleapis.com/Job
Uma chave por local em um projeto
Cloud SQL
  • sqladmin.googleapis.com/Instance

O Autokey não cria chaves para recursos BackupRun do Cloud SQL. Quando você cria um backup de uma instância do Cloud SQL, ele é criptografado com a chave gerenciada pelo cliente da instância principal.

O Cloud SQL só é compatível com o Cloud KMS Autokey ao criar recursos usando o Terraform ou a API REST.

Uma chave por recurso
Cloud Storage
  • storage.googleapis.com/Bucket

Os objetos em um bucket de armazenamento usam a chave padrão do bucket. O Autokey não cria chaves para storage.object recursos.

Uma chave por bucket
Compute Engine
  • compute.googleapis.com/Disk
  • compute.googleapis.com/Image
  • compute.googleapis.com/Instance
  • compute.googleapis.com/MachineImage

Os snapshots usam a chave do disco de que você está criando um snapshot. O Autokey não cria chaves para compute.snapshot recursos.

Uma chave por recurso
Pub/Sub
  • pubsub.googleapis.com/Topic
Uma chave por recurso
Secret Manager
  • secretmanager.googleapis.com/Secret

O Secret Manager só é compatível com o Cloud KMS Autokey ao criar recursos usando o Terraform ou a API REST.

Uma chave por local em um projeto
Secure Source Manager
  • securesourcemanager.googleapis.com/Instance
Uma chave por recurso
Spanner
  • spanner.googleapis.com/Database

O Spanner só é compatível com o Cloud KMS Autokey ao criar recursos usando o Terraform ou a API REST.

Uma chave por recurso
Dataflow
  • dataflow.googleapis.com/Job
Uma chave por recurso

A seguir