Recursos de Cloud KMS

En esta página, se describe cada tipo de recurso de Cloud KMS. Puedes obtener más información sobre la jerarquía de recursos.

Claves

Una clave de Cloud KMS es un objeto con nombre que contiene una o más versiones de clave, junto con metadatos para la clave. Existe una clave en exactamente un llavero de claves vinculado a una ubicación específica.

Puedes permitir y denegar el acceso a las claves mediante los permisos y Identity and Access Management (IAM) permissions and roles. No puedes administrar el acceso a una versión de clave.

Inhabilitar o destruir una clave también inhabilita o destruye cada versión de clave.

En las siguientes secciones, se analizan las propiedades de una clave.

Según el contexto, las propiedades de una clave se muestran en un formato diferente.

  • Cuando se usa Google Cloud CLI o la API de Cloud Key Management Service, la propiedad se muestra como una cadena de letras mayúsculas, como SOFTWARE.
  • Cuando se usa la Google Cloud consola, la propiedad se muestra como una cadena con mayúscula inicial, como Software.

En las siguientes secciones, se muestra cada formato cuando es apropiado.

Tipo

El tipo de clave determina si la clave se usa para las operaciones criptográficas simétricas o asimétricas.

En la encriptación o firma simétrica, se usa la misma clave para encriptar y desencriptar datos, o para firmar y verificar una firma.

En la encriptación o firma asimétrica, la clave consiste en una clave pública y una clave privada. Una clave privada con su clave pública correspondiente se denomina par de claves.

  • La clave privada se considera un dato sensible y es necesario para desencriptar datos o firmar, según el propósito de la clave configurado.
  • La clave pública no se considera sensible y es necesaria para encriptar datos o verificar una firma según el propósito configurado de la clave.

El tipo de clave es un componente del propósito de la clave y no se puede cambiar después de crearla.

Objetivo

El propósito de una clave indica para qué tipo de operaciones criptográficas se puede usar la clave, por ejemplo, Encriptación/desencriptación simétrica o Firma asimétrica. Eliges el propósito cuando creas la clave y todas las versiones de una clave tienen el mismo propósito. El propósito de la clave no se puede cambiar después de crearla. Para obtener más información sobre los propósitos de clave, consulta esta sección Key purposes.

Nivel de protección

El nivel de protección de una clave determina el entorno de almacenamiento en reposo de la clave. El nivel de protección es uno de los siguientes:

  • Software (SOFTWARE)
  • HSM multiusuario (HSM)
  • HSM de usuario único (HSM_SINGLE_TENANT)
  • Externo (EXTERNAL)
  • External_VPC (EXTERNAL_VPC)

El nivel de protección de una clave no se puede cambiar después de crearla.

Versión principal

Las claves pueden tener varias versiones de clave activas y habilitadas al mismo tiempo. Las claves de encriptación simétrica tienen una versión de clave primaria, que es la versión de clave que se usa de forma predeterminada para encriptar datos si no especificas una versión de clave.

Las claves asimétricas no tienen versiones principales. Debes especificar la versión cuando usas la clave.

Para las claves simétricas y asimétricas, puedes usar cualquier versión de clave habilitada para encriptar y desencriptar datos, o para firmar y validar firmas.

Versiones de claves

Cada versión de una clave contiene material de clave usado para la encriptación o la firma. A cada versión se le asigna un número de versión, a partir de 1. La rotación de una clave crea una versión de clave nueva. Puedes obtener más información sobre la rotación de claves.

A fin de desencriptar datos o verificar una firma, debes usar la misma versión de clave que se usó para encriptar o firmar los datos. Para encontrar el ID de recurso de una versión de clave, consulta Cómo recuperar el ID de recurso de una clave.

Puedes inhabilitar o destruir versiones de clave individuales sin afectar a otras. También puedes inhabilitar o destruir todas las versiones de clave para una clave determinada.

No puedes controlar el acceso a las versiones de clave de forma independiente de los permisos vigentes en la clave. Cuando se otorga acceso a una clave, también se otorga acceso a todas sus versiones habilitadas.

Por motivos de seguridad, ningún Google Cloud principal puede ver ni exportar el material de clave criptográfica sin procesar representado por una versión de clave. En cambio, Cloud KMS accede al material de clave en tu nombre.

En las siguientes secciones, se analizan las propiedades de una versión de clave.

Estado

Cada versión de clave tiene un estado que te indica cuál es su estado. Por lo general, el estado de una clave será uno de los siguientes:

  • Habilitado
  • Inhabilitado
  • Programado para su destrucción
  • Destruido

Una versión de clave solo se puede usar cuando está habilitada. Las versiones de clave en cualquier estado que no sea destruido generan costos. Para obtener más información sobre los estados de las versiones de clave y cómo pueden hacer la transición entre ellos, consulta Estados de las versiones de clave.

Algoritmo

El algoritmo de una versión de clave determina cómo se crea el material de claves y los parámetros necesarios para las operaciones criptográficas. Las claves simétricas y asimétricas usan diferentes algoritmos. La encriptación y la firma usan diferentes algoritmos.

Si no especificas un algoritmo cuando creas una versión de clave nueva, se usa el algoritmo de la versión anterior.

Sin importar el algoritmo, Cloud KMS usa encriptación probabilística, por lo que el mismo texto simple encriptado con la misma versión de clave dos veces no muestra el mismo texto cifrado.

Llaveros de claves

Un llavero de claves organiza las claves en una ubicación específica Google Cloud y te permite administrar el control de acceso a los grupos de claves. El nombre de un llavero de claves no necesita ser único en todo un Google Cloud proyecto, pero debe ser único en una ubicación determinada. Después de su creación, no se puede borrar un llavero de claves. Los llaveros de claves no generan costos. Para obtener una lista de las ubicaciones disponibles, consulta Ubicaciones de Cloud KMS.

Controladores de claves

Un controlador de claves es un recurso de Cloud KMS que te ayuda a abarcar de forma segura la separación de tareas para crear claves de Cloud KMS nuevas para CMEK con Autokey. La creación de un controlador de claves en un proyecto de recursos activa la creación de una clave de Cloud KMS en el proyecto de claves para la configuración de CMEK a pedido.

Un controlador de claves contiene una referencia a la clave de Cloud KMS que se creó. Puedes recuperar el ID de recurso de Cloud KMS de una clave creada por Autokey desde el controlador de claves. Las herramientas de infraestructura como código, como Terraform, pueden funcionar con controladores de claves para administrar recursos protegidos por CMEK sin privilegios elevados.

Los controladores de claves no son visibles en la Google Cloud consola, pero para usar Autokey con la API de REST o Terraform, debes trabajar con controladores de claves. Para obtener más información sobre el uso de controladores de claves, consulta Crea recursos protegidos con Autokey de Cloud KMS.

Parámetros de configuración de Autokey

Un parámetro de configuración de Autokey es un recurso a nivel de carpeta o nivel de proyecto que define si Autokey está habilitado para los recursos dentro de la carpeta. El parámetro de configuración de Autokey también define qué proyecto de claves se usa para las claves creadas por Autokey de Cloud KMS para proteger los recursos en esa carpeta. Cuando habilitas Autokey, creas o actualizas un parámetro de configuración de Autokey en la carpeta o el proyecto de recursos. Para obtener más información sobre el uso de los parámetros de configuración de Autokey, consulta Habilita Autokey de Cloud KMS.

Conexiones EKM

Una conexión EKM es un recurso de Cloud KMS que organiza las conexiones de VPC a tus EKM locales en una ubicación Google Cloud específica. Una conexión EKM te permite conectarte a un administrador de claves externo y usar sus claves a través de una red de VPC. Después de su creación, no se puede borrar una conexión EKM. Las conexiones EKM no generan costos.

Recupera el ID de un recurso

Algunas llamadas a la API y gcloud CLI podrían requerir que hagas referencia a un llavero de claves , una clave o una versión de clave por su ID de recurso, que es una cadena que representa el nombre de CryptoKeyVersion completamente calificado. Los ID de recursos son jerárquicos, similares a una ruta de sistema de archivos. El ID de recurso de una clave también contiene información sobre la ubicación y el llavero de claves.

Objeto Formato de ID del recurso
Llavero de claves projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING
Clave projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME
Versión de clave projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME/cryptoKeyVersions/KEY_VERSION
Controlador de clave projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles/KEY_HANDLE
Conexión EKM projects/PROJECT_ID/locations/LOCATION/ekmConnections/EKM_CONNECTION
Parámetro de configuración de Autokey folders/FOLDER_NUMBER/autokeyConfig
projects/PROJECT_ID/autokeyConfig

Para obtener más información, consulta Obtén un ID de recurso de Cloud KMS.

Organiza los recursos

Cuando planifiques cómo organizar los recursos en tu Google Cloud proyecto, ten en cuenta las reglas de tu empresa y cómo planeas administrar el acceso. Puedes otorgar acceso a una sola clave, a todas las claves de un llavero de claves o a todas las claves de un proyecto. Los siguientes patrones de organización son comunes:

  • Por entorno, como prod, test y develop
  • Por área de trabajo, como payroll o insurance_claims
  • Por sensibilidad o características de datos, como unrestricted, restricted, confidential y top-secret

Ciclos de vida de los recursos

No se pueden borrar los llaveros de claves. Puedes borrar claves y versiones de clave en algunas circunstancias, pero no se pueden volver a usar los nombres de las claves borradas. Esto garantiza que el identificador de recursos de una versión de clave sea único y siempre apunte al material de clave original para esa versión de clave, a menos que se haya destruido. Puedes almacenar una cantidad ilimitada de llaveros de claves, las claves habilitadas o inhabilitadas, y las versiones de clave habilitadas, inhabilitadas o destruidas. Para obtener más información, consulta Precios y Cuotas.

Consulta Destruye y restablece versiones de clave para aprender a destruir o restablecer una versión de clave.

Después de programar la desactivación de un Google Cloud proyecto, no podrás acceder a sus recursos, incluidos los de Cloud KMS a menos que lo recuperes. Para ello, deberás seguir los pasos de restablecimiento de proyectos.

¿Qué sigue?