La separazione dei compiti è il concetto di garantire che un'entità non disponga di tutte le autorizzazioni necessarie per completare un'azione dannosa. In Cloud Key Management Service, questa potrebbe essere un'azione come l'utilizzo di una chiave per accedere e decriptare dati a cui l'utente non ha un motivo valido per accedere.
La separazione dei compiti è un controllo aziendale in genere utilizzato nelle organizzazioni più grandi, progettato per evitare incidenti ed errori di sicurezza o privacy. È considerata una best practice.
In Cloud KMS, la separazione dei compiti richiede una distinzione rigorosa tra i seguenti ruoli:
- Gestori delle chiavi: entità autorizzate a gestire i cicli di vita delle chiavi, inclusi creazione, eliminazione, rotazione e modifiche dello stato, ad esempio utenti con il ruolo Amministratore Cloud KMS.
- Utenti delle chiavi: entità autorizzate a utilizzare le chiavi, inclusi crittografia, decrittografia, firma o verifica della firma, ad esempio, utenti con il ruolo Cloud KMS CryptoKey Encrypter/Decrypter.
Quando utilizzi le chiavi Cloud KMS per le chiavi di crittografia gestite dal cliente, ti consigliamo di fare in modo che il account di servizio sia l'unica entità autorizzata a utilizzare la chiave per la crittografia e la decrittografia. Per ulteriori informazioni su come le integrazioni CMEK gestiscono l'accesso alle risorse, consulta La gestione dell'accesso alle risorse da parte dei servizi integrati con CMEK.
Se vuoi creare un guardrail per applicare questo consiglio, puoi utilizzare le policy di negazione IAM per rimuovere le autorizzazioni di crittografia e decrittografia dalle entità diverse dai service account. Per ulteriori informazioni su come utilizzare i ruoli IAM in modo sicuro, consulta Utilizzare IAM in modo sicuro.
Governance delle chiavi
La governance delle chiavi descrive chi in un'organizzazione è responsabile della gestione del ciclo di vita delle risorse Cloud KMS e del mantenimento dei guardrail per controllare l'utilizzo di Cloud KMS. Esistono approcci di governance delle chiavi su un spettro che va dalla governance centralizzata alla governance delegata:
- Governance centralizzata: un team di sicurezza o piattaforma dedicato è responsabile della gestione del ciclo di vita di tutte le chiavi di crittografia dell' organizzazione. Questo modello viene spesso scelto da aziende altamente regolamentate con requisiti di conformità rigorosi.
- Governance delegata: un team di sicurezza centrale utilizza i guardrail per imporre gli standard di crittografia, ma delega la responsabilità delle operazioni del ciclo di vita delle chiavi ai proprietari delle applicazioni all'interno dei loro progetti. Questi guardrail possono includere policy dell'organizzazione che utilizzano vincoli gestiti e vincoli personalizzati, nonché concessioni IAM e policy di negazione. In questo modo si eliminano i colli di bottiglia operativi centrali.
Archiviazione delle chiavi
L'archiviazione delle chiavi descrive dove vengono create le risorse Cloud KMS all'interno di un'organizzazione. Esistono due approcci principali all'archiviazione delle chiavi: l'archiviazione delle chiavi del progetto dedicato e l'archiviazione delle chiavi dello stesso progetto.
- Archiviazione delle chiavi del progetto dedicato: un progetto di chiavi dedicato contiene le chiavi utilizzate per più applicazioni. In genere, ogni cartella di ambiente ha il proprio progetto di chiavi. Puoi utilizzare Autokey con l'archiviazione delle chiavi del progetto dedicato.
- Archiviazione delle chiavi dello stesso progetto: le chiavi vengono archiviate nello stesso Google Cloud progetto delle risorse che proteggono. A volte viene descritto come "la chiave segue i dati". Puoi utilizzare Autokey con l'archiviazione delle chiavi dello stesso progetto.
Allineamento di governance e archiviazione
La seguente matrice fornisce esempi di come questi modelli di governance e archiviazione possono essere combinati per soddisfare le diverse esigenze dell'organizzazione:
| Modello di governance | Archiviazione delle chiavi del progetto dedicato | Archiviazione delle chiavi dello stesso progetto |
|---|---|---|
| Governance centralizzata | Approccio completamente centralizzato Utilizzo consigliato: organizzazioni con requisiti normativi rigorosi che impongono l'isolamento dei limiti del progetto. Impatto operativo: elevata complessità di configurazione. Richiede un'automazione robusta (ad esempio una "fabbrica di progetti") per evitare ritardi operativi per i team di sviluppo. |
Proprietà gestita Utilizzo consigliato: organizzazioni che richiedono una supervisione della sicurezza centrale ma vogliono massimizzare la velocità degli sviluppatori. Impatto operativo: bassa complessità di configurazione. La sicurezza centrale applica le policy utilizzando i guardrail, mentre le chiavi si trovano insieme alle risorse che proteggono per facilitarne la gestione. |
| Governance delegata | Non consigliato L'introduzione della complessità IAM tra progetti vanifica lo scopo di delegare la gestione delle chiavi ai team delle applicazioni. |
DevOps autonomo Utilizzo consigliato: organizzazioni decentralizzate ad alta velocità con una solida cultura DevOps. Impatto operativo: complessità di configurazione minima. I team delle applicazioni hanno piena autonomia sia sulle risorse sia sulle chiavi all'interno dei limiti del progetto boundaries. |
Archiviazione delle chiavi dello stesso progetto
L'applicazione della separazione dei compiti nella gestione delle chiavi dello stesso progetto richiede la rigorosa separazione dei ruoli IAM. Ad esempio, puoi utilizzare le policy di negazione IAM per rimuovere le autorizzazioni di crittografia e decrittografia dai gestori delle chiavi.
Puoi attivare Autokey con l'archiviazione delle chiavi dello stesso progetto in un progetto o in una cartella per consentire la creazione automatica delle chiavi nello stesso progetto della risorsa protetta dalla chiave. Per ulteriori informazioni, consulta Attivare Autokey con l'archiviazione delle chiavi dello stesso progetto.
Archiviazione delle chiavi del progetto dedicato
Nel modello di archiviazione delle chiavi del progetto dedicato, i progetti di chiavi dedicati vengono gestiti da un team di sicurezza centrale, che dispone delle autorizzazioni di amministrazione delle chiavi nel progetto di chiavi, ma non può accedere ai progetti che contengono le risorse protette da queste chiavi.
Puoi attivare Autokey con l'archiviazione delle chiavi del progetto dedicato in una cartella per consentire la creazione automatica delle chiavi utilizzando il modello di archiviazione delle chiavi centralizzato. Per ulteriori informazioni, consulta Configurare Autokey con l'archiviazione delle chiavi del progetto dedicato.
Automatizzare e monitorare la conformità
Google Cloud fornisce i seguenti strumenti per automatizzare e monitorare i limiti di sicurezza:
- Cloud KMS Autokey: Autokey supporta sia l' archiviazione delle chiavi del progetto dedicato sia l' archiviazione delle chiavi dello stesso progetto. Per entrambi, automatizza la separazione dei compiti concedendo automaticamente il ruolo di utilizzo delle chiavi al service agent richiesto, non alla persona che richiede la chiave. Autokey è progettato per supportare le pipeline Infrastructure as Code che non richiedono privilegi elevati per la creazione delle chiavi.
- Security Command Center: monitora i risultati Separazione dei ruoli KMS per rilevare qualsiasi entità, inclusi un Proprietario progetto o un service account Google, che possiede sia le autorizzazioni amministrative sia quelle di crittografia su una singola chiave.
- Metriche di crittografia CMEK: utilizza la dashboard Metriche di crittografia per verificare l'allineamento con le pratiche di separazione dei compiti in tutta l' organizzazione.