Risorse di Cloud KMS

In questa pagina vengono descritti i tipi di risorse in Cloud KMS. Le risorse Cloud KMS non possono essere spostate in un'altra località dopo la creazione. Scopri di più sulla gerarchia delle risorse.

Chiavi

Una chiave Cloud KMS è un oggetto denominato contenente una o più versioni della chiave, insieme ai metadati della chiave. Una chiave esiste esattamente in un keyring collegato a una località specifica.

Puoi consentire e negare l'accesso alle chiavi utilizzando autorizzazioni e ruoli di Identity and Access Management (IAM). Non puoi gestire l'accesso a una versione della chiave.

La disattivazione o l'eliminazione di una chiave comporta anche la disattivazione o l'eliminazione di ogni versione della chiave.

Le sezioni seguenti descrivono le proprietà di una chiave.

A seconda del contesto, le proprietà di una chiave vengono mostrate in un formato diverso.

  • Se utilizzi Google Cloud CLI o l'API Cloud Key Management Service, la proprietà viene visualizzata come una stringa di lettere maiuscole, ad esempio SOFTWARE.
  • Quando utilizzi la console Google Cloud , la proprietà viene visualizzata come una stringa con lettera iniziale maiuscola, ad esempio Software.

Nelle sezioni seguenti, ogni formato viene mostrato dove è appropriato.

Tipo

Il tipo di chiave determina se questa viene utilizzata per operazioni di crittografia simmetrica o asimmetrica.

Nella crittografia o nella firma simmetrica, la stessa chiave viene utilizzata per criptare e decriptare i dati o per firmare e verificare una firma.

Nella crittografia o nella firma asimmetrica, la chiave è costituita da una chiave pubblica e una chiave privata. Una chiave privata con la chiave pubblica corrispondente è chiamata coppia di chiavi.

  • La chiave privata contiene dati sensibili ed è necessaria per decriptare i dati o per la firma, a seconda dello scopo configurato della chiave.
  • La chiave pubblica non è considerata sensibile ed è necessaria per criptare i dati o per verificare una firma, a seconda dello scopo configurato della chiave.

Il tipo di chiave è un componente dello scopo della chiave e non può essere modificato dopo la creazione della chiave.

Finalità

Lo scopo di una chiave indica il tipo di operazioni crittografiche per cui può essere utilizzata, ad esempio Crittografia/decriptazione simmetrica o Firma asimmetrica. Scegli lo scopo quando crei la chiave e tutte le versioni di una chiave hanno lo stesso scopo. Lo scopo di una chiave non può essere modificato dopo la sua creazione. Per saperne di più sugli scopi delle chiavi, consulta Scopi delle chiavi.

Livello di protezione

Il livello di protezione di una chiave determina l'ambiente di archiviazione della chiave at-rest. Il livello di protezione è uno dei seguenti:

  • Software (SOFTWARE)
  • HSM multi-tenant (HSM)
  • HSM single-tenant (HSM_SINGLE_TENANT)
  • Esterno (EXTERNAL)
  • External_VPC (EXTERNAL_VPC)

Il livello di protezione di una chiave non può essere modificato dopo la creazione della chiave.

Versione primaria

Le chiavi possono avere più versioni attive e abilitate contemporaneamente. Le chiavi di crittografia simmetrica hanno una versione della chiave primaria, ovvero la versione della chiave utilizzata per impostazione predefinita per criptare i dati se non specifichi una versione della chiave.

Le chiavi asimmetriche non hanno versioni primarie; devi specificare la versione quando utilizzi la chiave.

Sia per le chiavi simmetriche che per quelle asimmetriche, puoi utilizzare qualsiasi versione della chiave abilitata per criptare e decriptare i dati o per firmare e convalidare le firme.

Versioni delle chiavi

Ogni versione di una chiave contiene il materiale della chiave utilizzato per la crittografia o la firma. A ogni versione viene assegnato un numero di versione, a partire da 1. La rotazione di una chiave crea una nuova versione della chiave. Scopri di più sulla rotazione delle chiavi.

Per decriptare i dati o verificare una firma, devi utilizzare la stessa versione della chiave utilizzata per criptare o firmare i dati. Per trovare l'ID risorsa di una versione della chiave, consulta Recupero dell'ID risorsa di una chiave.

Puoi disattivare o distruggere singole versioni delle chiavi senza influire sulle altre versioni. Puoi anche disattivare o eliminare tutte le versioni di una determinata chiave.

Non puoi controllare l'accesso alle versioni delle chiavi indipendentemente dalle autorizzazioni in vigore sulla chiave. La concessione dell'accesso a una chiave concede l'accesso a tutte le versioni abilitate della chiave.

Per motivi di sicurezza, nessuna entità Google Cloud può visualizzare o esportare il materiale della chiave di crittografia non elaborato rappresentato da una versione della chiave. Invece, Cloud KMS accede al materiale della chiave per tuo conto.

Le sezioni seguenti descrivono le proprietà di una versione della chiave.

Stato

Ogni versione della chiave ha uno stato che ne indica la condizione. In genere, lo stato di una chiave è uno dei seguenti:

  • Abilitato
  • Disattivata
  • Pianificata per l'eliminazione
  • Eliminata

Una versione della chiave può essere utilizzata solo quando è abilitata. Le versioni delle chiavi in qualsiasi stato diverso da distrutto comportano dei costi. Per saperne di più sugli stati delle versioni delle chiavi e su come le versioni possono passare da uno stato all'altro, consulta Stati delle versioni delle chiavi.

Algoritmo

L'algoritmo di una versione della chiave determina il modo in cui viene creato il materiale della chiave e i parametri richiesti per le operazioni di crittografia. Le chiavi simmetriche e asimmetriche utilizzano algoritmi diversi. La crittografia e la firma utilizzano algoritmi diversi.

Se non specifichi un algoritmo durante la creazione di una nuova versione della chiave, viene utilizzato l'algoritmo della versione precedente.

Indipendentemente dall'algoritmo, Cloud KMS utilizza la crittografia probabilistica, in modo che lo stesso testo non crittografato criptato due volte con la stessa versione della chiave non restituisca lo stesso testo crittografato.

Chiavi automatizzate

Un keyring organizza le chiavi in una località Google Cloud specifica e ti consente di gestire controllo dell'accesso su gruppi di chiavi. Il nome di un keyring non deve essere univoco in un progetto Google Cloud , ma deve essere univoco all'interno di una determinata località. I keyring non comportano costi. Per un elenco delle località disponibili, consulta Località di Cloud KMS.

Handle della chiave

Un handle della chiave è una risorsa Cloud KMS che ti aiuta a gestire in sicurezza la separazione dei compiti per creare nuove chiavi Cloud KMS per CMEK utilizzando Autokey. La creazione di un handle della chiave in un progetto di risorse attiva la creazione di una chiave Cloud KMS nel progetto di chiavi per la configurazione CMEK on demand.

Un handle della chiave contiene un riferimento alla chiave Cloud KMS creata. Puoi recuperare l'ID risorsa Cloud KMS di una chiave creata da Autokey dall'handle della chiave. Gli strumenti di infrastructure as code come Terraform possono utilizzare gli handle delle chiavi per gestire le risorse protette da CMEK senza privilegi elevati.

I handle delle chiavi non sono visibili nella console Google Cloud , ma per utilizzare Autokey con l'API REST o Terraform, devi lavorare con gli handle delle chiavi. Per saperne di più sull'utilizzo degli handle delle chiavi, consulta Crea risorse protette utilizzando Cloud KMS Autokey.

Configurazioni Autokey

Una configurazione Autokey è una risorsa a livello di cartella o a livello di progetto che definisce se Autokey è abilitato per le risorse all'interno della cartella. La configurazione di Autokey definisce anche quale progetto di chiavi viene utilizzato per le chiavi create da Cloud KMS Autokey per proteggere le risorse in quella cartella. Quando attivi Autokey, crei o aggiorni una configurazione Autokey nella cartella o nel progetto delle risorse. Per saperne di più sull'utilizzo delle configurazioni Autokey, consulta Abilita Cloud KMS Autokey.

Connessioni EKM

Una connessione EKM è una risorsa Cloud KMS che organizza le connessioni VPC ai tuoi EKM on-premise in unaGoogle Cloud località specifica. Una connessione EKM ti consente di connetterti a un gestore di chiavi esterno e di utilizzarne le chiavi tramite una rete VPC. Dopo la creazione, una connessione EKM non può essere eliminata. Le connessioni EKM non comportano costi.

Recupero dell'ID di una risorsa

Alcune chiamate API e gcloud CLI potrebbero richiedere di fare riferimento a una chiave automatizzata, una chiave o una versione della chiave tramite il relativo ID risorsa, ovvero una stringa che rappresenta il nome CryptoKeyVersion completo. Gli ID risorsa sono gerarchici, simili al percorso di un file system. L'ID risorsa di una chiave contiene anche informazioni sulle chiavi automatizzate e sulla località.

Oggetto Formato ID risorsa
Chiavi automatizzate projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING
Chiave projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME
Versione chiave projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME/cryptoKeyVersions/KEY_VERSION
Handle della chiave projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles/KEY_HANDLE
Connessione EKM projects/PROJECT_ID/locations/LOCATION/ekmConnections/EKM_CONNECTION
Configurazione Autokey folders/FOLDER_NUMBER/autokeyConfig
projects/PROJECT_ID/autokeyConfig

Per saperne di più, consulta Ottenere un ID risorsa Cloud KMS.

Organizzazione delle risorse

Quando pianifichi l'organizzazione delle risorse nel tuo progetto Google Cloud, tieni conto delle regole aziendali e di come prevedi di gestire l'accesso. Puoi concedere l'accesso a una singola chiave, a tutte le chiavi automatizzate o a tutte le chiavi di un progetto. I seguenti pattern di organizzazione sono comuni:

  • Per ambiente, ad esempio prod, test e develop.
  • Per area di lavoro, ad esempio payroll o insurance_claims.
  • In base alla sensibilità o alle caratteristiche dei dati, ad esempio unrestricted, restricted, confidential, top-secret.

Cicli di vita delle risorse

In alcune circostanze, puoi eliminare chiavi automatizzate, chiavi e versioni delle chiavi. L'eliminazione di una risorsa la rimuove dagli elenchi delle risorse Cloud KMS. La distruzione di una versione della chiave comporta l'eliminazione definitiva del materiale della chiave sottostante. Quando elimini un keyring, il suo nome diventa disponibile per il riutilizzo, ma i nomi delle chiavi eliminate non possono essere riutilizzati. In questo modo, l'identificatore della risorsa di una versione della chiave è univoco e punta sempre al materiale della chiave originale per quella versione della chiave, a meno che non sia stato eliminato. Puoi archiviare un numero illimitato di chiavi automatizzate, chiavi abilitate o disabilitate e versioni delle chiavi abilitate, disabilitate o eliminate. Per saperne di più, consulta Prezzi e Quote.

Per scoprire come distruggere o ripristinare una versione della chiave, consulta Distruzione e ripristino delle versioni delle chiavi.

Dopo aver pianificato la chiusura di un progetto Google Cloud , non puoi accedere alle risorse del progetto, incluse quelle di Cloud KMS, a meno che non recuperi il progetto seguendo i passaggi per ripristinare un progetto.

Passaggi successivi