Level perlindungan

Halaman ini membandingkan berbagai tingkat perlindungan yang didukung di Cloud KMS:

Software
Kunci Cloud KMS dengan tingkat perlindungan SOFTWARE digunakan untuk operasi kriptografi yang dilakukan di software. Kunci Cloud KMS dapat dibuat oleh Google atau diimpor.
Hardware multi-tenant
Kunci Cloud HSM dengan tingkat perlindungan HSM disimpan dalam Hardware Security Module (HSM) milik Google. Operasi kriptografi menggunakan kunci ini dilakukan di HSM kami. Anda dapat menggunakan kunci Cloud HSM dengan cara yang sama seperti Anda menggunakan kunci Cloud KMS. Kunci Cloud HSM dapat dibuat oleh Google atau diimpor.
Hardware multi-tenant
Kunci Cloud HSM dengan tingkat perlindungan HSM_SINGLE_TENANT disimpan dalam instance tenant tunggal di Modul Keamanan Hardware (HSM) milik Google. Anda mengontrol dan mengelola instance Single-tenant Cloud HSM, yang merupakan cluster khusus partisi HSM yang Anda kelola. Operasi kriptografis menggunakan kunci ini dilakukan di HSM kami. Anda dapat menggunakan kunci Cloud HSM tenant tunggal dengan cara yang sama seperti Anda menggunakan kunci Cloud KMS. Kunci Cloud HSM tenant tunggal dapat dibuat oleh Google atau diimpor. Untuk mengetahui informasi selengkapnya, lihat Cloud HSM tenant tunggal.
Eksternal melalui internet
Kunci Cloud EKM dengan tingkat perlindungan EXTERNAL dibuat dan disimpan dalam sistem pengelolaan kunci eksternal (EKM) Anda. Cloud EKM menyimpan materi kriptografis tambahan dan jalur ke kunci unik Anda, yang digunakan untuk mengakses kunci Anda melalui internet.
Eksternal melalui VPC
Kunci Cloud EKM dengan tingkat perlindungan EXTERNAL_VPC dibuat dan disimpan dalam sistem pengelolaan kunci eksternal (EKM) Anda. Cloud EKM menyimpan materi kriptografi tambahan dan jalur ke kunci unik Anda, yang digunakan untuk mengakses kunci Anda melalui jaringan virtual private cloud (VPC).

Kunci dengan semua tingkat perlindungan ini memiliki fitur berikut:

  • Gunakan kunci Anda untuk layanan Google Cloud yang terintegrasi dengan kunci enkripsi yang dikelola pelanggan (CMEK).

  • Gunakan kunci Anda dengan API atau library klien Cloud KMS, tanpa kode khusus berdasarkan tingkat perlindungan kunci.

  • Kontrol akses ke kunci Anda menggunakan peran Identity and Access Management (IAM).

  • Mengontrol apakah setiap versi kunci Diaktifkan atau Dinonaktifkan dari Cloud KMS.

  • Operasi utama dicatat dalam log audit. Logging akses data dapat diaktifkan.

Tingkat perlindungan software

Cloud KMS menggunakan modul BoringCrypto (BCM) untuk semua operasi kriptografis untuk kunci software. BCM divalidasi FIPS 140-3. Kunci software Cloud KMS menggunakan Primitif Kriptografis BCM yang divalidasi FIPS 140-3 Level 1.

Tingkat perlindungan software adalah tingkat perlindungan yang paling murah. Kunci software adalah pilihan yang tepat untuk kasus penggunaan yang tidak memiliki persyaratan peraturan khusus untuk tingkat validasi FIPS 140-3 yang lebih tinggi.

Tingkat perlindungan hardware

Cloud HSM membantu Anda menegakkan kepatuhan terhadap peraturan untuk workload Anda di Google Cloud. Dengan Cloud HSM, Anda dapat membuat kunci enkripsi dan melakukan operasi kriptografi di HSM yang divalidasi FIPS 140-2 Level 3. Layanan ini terkelola sepenuhnya, sehingga Anda dapat melindungi workload yang paling sensitif tanpa perlu mengkhawatirkan beban operasional pengelolaan cluster HSM. Cloud HSM menyediakan lapisan abstraksi di atas modul HSM. Abstraksi ini memungkinkan Anda menggunakan kunci dalam integrasi CMEK atau Cloud KMS API atau library klien tanpa kode khusus HSM.

Versi kunci hardware lebih mahal, tetapi memberikan manfaat keamanan yang substansial dibandingkan dengan kunci software. Setiap kunci Cloud HSM memiliki pernyataan pengesahan yang berisi informasi bersertifikat tentang kunci Anda. Pengesahan ini dan rantai sertifikat terkaitnya dapat digunakan untuk memverifikasi keaslian pernyataan dan atribut kunci serta HSM.

Tingkat perlindungan hardware tenant tunggal

Dengan Single-tenant Cloud HSM, Anda dapat membuat dan mengelola instance Single-tenant Cloud HSM Anda sendiri dalam HSM yang dikelola Google. Setiap instance adalah cluster partisi khusus di HSM dalam region Google Cloud . Administrator instance Anda memiliki kontrol administratif atas instance Anda.

Cloud HSM tenant tunggal memberikan fungsi yang sama dengan Cloud HSM multi-tenant, dengan manfaat tambahan berupa isolasi kriptografi dari pelanggan Google Cloud lain. Untuk mengetahui informasi selengkapnya tentang fungsi yang dimiliki oleh semua kunci Cloud HSM, lihat Tingkat perlindungan hardware di bagian sebelumnya pada halaman ini.

Instance Cloud HSM tenant tunggal menimbulkan biaya tambahan dibandingkan dengan Cloud HSM multi-tenant.

Tingkat perlindungan eksternal

Kunci Cloud External Key Manager (Cloud EKM) adalah kunci yang Anda kelola di layanan partner pengelolaan kunci eksternal (EKM) yang didukung dan digunakan diGoogle Cloud layanan serta API dan library klien Cloud KMS. Kunci Cloud EKM dapat didukung software atau hardware, bergantung pada penyedia EKM Anda. Anda dapat menggunakan kunci Cloud EKM di layanan yang terintegrasi dengan CMEK atau menggunakan API dan library klien Cloud KMS.

Anda dapat memigrasikan versi kunci eksternal yang ada antara tingkat perlindungan EXTERNAL dan EXTERNAL_VPC. Migrasi ini memungkinkan Anda mengubah cara mengakses materi kunci yang ada tanpa perlu mengenkripsi ulang data dan tanpa waktu henti. Misalnya, bermigrasi dari EXTERNAL ke EXTERNAL_VPC memungkinkan Anda mengakses ketersediaan kunci eksternal yang lebih baik melalui kunci VPC tanpa harus membuat materi kunci baru atau mengonfigurasi ulang resource untuk menggunakan kunci atau versi kunci baru. Untuk mengetahui informasi selengkapnya, lihat Memigrasikan kunci eksternal.

Tingkat perlindungan Cloud EKM adalah yang paling mahal. Saat Anda menggunakan kunci Cloud EKM, Anda dapat yakin bahwa Google Cloud tidak dapat mengakses materi kunci Anda.

Untuk melihat layanan yang terintegrasi dengan CMEK yang mendukung kunci Cloud EKM, lihat Integrasi CMEK dan terapkan filter Tampilkan hanya layanan yang kompatibel dengan EKM.

Tingkat perlindungan eksternal melalui internet

Anda dapat menggunakan kunci Cloud EKM melalui internet di semua lokasi yang didukung oleh Cloud KMS, kecuali nam-eur-asia1 dan global.

Tingkat perlindungan eksternal melalui VPC

Anda dapat menggunakan kunci Cloud EKM melalui jaringan VPC untuk ketersediaan yang lebih baik dari kunci eksternal Anda. Ketersediaan yang lebih baik ini berarti peluang kunci Cloud EKM Anda dan resource yang dilindunginya menjadi tidak tersedia lebih kecil.

Anda dapat menggunakan kunci Cloud EKM melalui jaringan VPC di sebagian besar lokasi regional yang didukung oleh Cloud KMS. Cloud EKM melalui jaringan VPC tidak tersedia di lokasi multi-region.

Langkah berikutnya