Livelli di protezione

Questa pagina confronta i diversi livelli di protezione supportati in Cloud KMS:

Software
Le chiavi Cloud KMS con livello di protezione SOFTWARE vengono utilizzate per le operazioni di crittografia eseguite nel software. Le chiavi Cloud KMS possono essere generate da Google o importate.
Hardware multi-tenant
Le chiavi Cloud HSM con il livello di protezione HSM vengono archiviate in un modulo di sicurezza hardware (HSM) di proprietà di Google. Le operazioni di crittografia che utilizzano queste chiavi vengono eseguite nei nostri HSM. Puoi utilizzare le chiavi Cloud HSM nello stesso modo in cui utilizzi le chiavi Cloud KMS. Le chiavi Cloud HSM possono essere generate da Google o importate.
Hardware single-tenant
Le chiavi Cloud HSM con il livello di protezione HSM_SINGLE_TENANT vengono archiviate in un'istanza single-tenant in un modulo di sicurezza hardware (HSM) di proprietà di Google. Controlli e gestisci l'istanza Single-tenant Cloud HSM, che è un cluster dedicato di partizioni HSM che gestisci. Le operazioni crittografiche che utilizzano queste chiavi vengono eseguite nei nostri HSM. Puoi utilizzare le chiavi Cloud HSM single-tenant allo stesso modo in cui utilizzi le chiavi Cloud KMS. Le chiavi Cloud HSM a tenant singolo possono essere generate da Google o importate. Per saperne di più, consulta Cloud HSM single-tenant.
Esterno tramite internet
Le chiavi Cloud EKM con il livello di protezione EXTERNAL vengono generate e archiviate nel tuo sistema di gestione delle chiavi esterne (EKM). Cloud EKM memorizza materiale crittografico aggiuntivo e un percorso alla tua chiave univoca, che viene utilizzata per accedere alla chiave su internet.
Esterno su VPC
Le chiavi Cloud EKM con livello di protezione EXTERNAL_VPC vengono generate e archiviate nel sistema di gestione delle chiavi esterne (EKM). Cloud EKM archivia materiale crittografico aggiuntivo e un percorso alla tua chiave univoca, che viene utilizzata per accedere alla chiave tramite una rete Virtual Private Cloud (VPC).

Le chiavi con tutti questi livelli di protezione condividono le seguenti funzionalità:

  • Utilizza le tue chiavi per i servizi integrati Google Cloud con la chiave di crittografia gestita dal cliente (CMEK).

  • Utilizza le chiavi con le API Cloud KMS o le librerie client, senza alcun codice specializzato in base al livello di protezione della chiave.

  • Controlla l'accesso alle chiavi utilizzando i ruoli IAM (Identity and Access Management).

  • Controlla se ogni versione della chiave è abilitata o disabilitata da Cloud KMS.

  • Le operazioni chiave vengono acquisite nei log di controllo. Il logging dell'accesso ai dati può essere abilitato.

Livello di protezione del software

Cloud KMS utilizza il modulo BoringCrypto (BCM) per tutte le operazioni di crittografia per le chiavi software. Il BCM è convalidato secondo lo standard FIPS 140-3. Le chiavi software di Cloud KMS utilizzano le primitive crittografiche del BCM convalidate secondo lo standard FIPS 140-3 livello 1.

Il livello di protezione software è il più economico. Le chiavi software sono una buona scelta per i casi d'uso che non prevedono requisiti normativi specifici per un livello di convalida FIPS 140-3 più elevato.

Livello di protezione hardware

Cloud HSM ti aiuta a garantire la conformità legale per i tuoi carichi di lavoro in Google Cloud. Con Cloud HSM, puoi generare chiavi di crittografia ed eseguire operazioni crittografiche in HSM convalidati FIPS 140-2 di livello 3. Il servizio è completamente gestito, quindi puoi proteggere i carichi di lavoro più sensibili senza preoccuparti del sovraccarico operativo connesso alla gestione di un cluster HSM. Cloud HSM fornisce un livello di astrazione sopra i moduli HSM. Questa astrazione ti consente di utilizzare le chiavi nelle integrazioni CMEK o nelle API o librerie client Cloud KMS senza codice specifico per HSM.

Le versioni delle chiavi hardware sono più costose, ma offrono vantaggi di sicurezza sostanziali rispetto alle chiavi software. Ogni chiave Cloud HSM ha una dichiarazione di attestazione che contiene informazioni certificate sulla chiave. Questa attestazione e le relative catene di certificati possono essere utilizzate per verificare l'autenticità della dichiarazione e degli attributi della chiave e dell'HSM.

Livello di protezione hardware single-tenant

Con Single-tenant Cloud HSM, crei e gestisci la tua istanza Single-tenant Cloud HSM all'interno degli HSM gestiti da Google. Ogni istanza è un cluster di partizioni dedicate su HSM in una regione Google Cloud . Gli amministratori dell'istanza hanno il controllo amministrativo dell'istanza.

Cloud HSM single-tenant offre le stesse funzionalità di Cloud HSM multi-tenant, con l'ulteriore vantaggio dell'isolamento crittografico da altri Google Cloud clienti. Per saperne di più sulle funzionalità condivise da tutte le chiavi Cloud HSM, consulta Livello di protezione hardware in precedenza in questa pagina.

Le istanze Cloud HSM a tenant singolo comportano spese aggiuntive rispetto a Cloud HSM multitenant.

Livelli di protezione esterni

Le chiavi Cloud External Key Manager (Cloud EKM) sono chiavi che gestisci in un servizio partner di gestione delle chiavi esterne (EKM) supportato e utilizzi nei serviziGoogle Cloud e nelle API e librerie client Cloud KMS. Le chiavi Cloud EKM possono essere supportate da software o hardware, a seconda del provider EKM. Puoi utilizzare le chiavi Cloud EKM nei servizi integrati con CMEK o utilizzando le API e le librerie client Cloud KMS.

Puoi eseguire la migrazione delle versioni delle chiavi esterne esistenti tra i livelli di protezione EXTERNAL e EXTERNAL_VPC. Questa migrazione ti consente di modificare la modalità di accesso al materiale delle chiavi esistente senza dover ricriptare i dati e senza tempi di inattività. Ad esempio, la migrazione da EXTERNAL a EXTERNAL_VPC ti consente di accedere alla migliore disponibilità delle chiavi esterne rispetto a quelle VPC senza dover creare nuovo materiale della chiave o riconfigurare le risorse per utilizzare una nuova chiave o versione della chiave. Per saperne di più, consulta Eseguire la migrazione delle chiavi esterne.

I livelli di protezione Cloud EKM sono i più costosi. Quando utilizzi le chiavi Cloud EKM, puoi essere certo che Google Cloud non può accedere al materiale della chiave.

Per vedere quali servizi integrati con CMEK supportano le chiavi Cloud EKM, consulta Integrazioni CMEK e applica il filtro Mostra solo i servizi compatibili con EKM.

Livello di protezione esterno su internet

Puoi utilizzare le chiavi Cloud EKM su internet in tutte le località supportate da Cloud KMS, ad eccezione di nam-eur-asia1 e global.

Livello di protezione esterno tramite VPC

Puoi utilizzare le chiavi Cloud EKM su una rete VPC per una migliore disponibilità delle tue chiavi esterne. Questa maggiore disponibilità significa che le tue chiavi Cloud EKM e le risorse che proteggono hanno meno probabilità di diventare non disponibili.

Puoi utilizzare le chiavi Cloud EKM su una rete VPC nella maggior parte delle località regionali supportate da Cloud KMS. Cloud EKM su una rete VPC non è disponibile in località multiregionali.

Passaggi successivi