Usa claves de Cloud KMS en Google Cloud

En esta página, se explica cómo usar las claves de encriptación administradas por el cliente de Cloud KMS en otros servicios de Google Cloud para proteger tus recursos. Para obtener más información, consulta Claves de encriptación administradas por el cliente (CMEK).

Cuando un servicio admite CMEK, se dice que tiene una integración con CMEK. Algunos servicios, como GKE, tienen varias integraciones con CMEK para proteger diferentes tipos de datos relacionados con el servicio. Para obtener una lista de los servicios con integraciones de CMEK, consulta Habilita CMEK para los servicios compatibles en esta página.

Antes de comenzar

Antes de que puedas usar las claves de Cloud KMS en otros servicios de Google Cloud , debes tener un recurso de proyecto para contener tus claves de Cloud KMS. Te recomendamos que uses un proyecto independiente para tus recursos de Cloud KMS que no contenga ningún otro recurso de Google Cloud .

Integraciones de CMEK

Preparación para habilitar la integración de CMEK

Para conocer los pasos exactos a fin de habilitar CMEK, consulta la documentación del servicio deGoogle Cloud correspondiente. En Habilita la CMEK para los servicios admitidos de esta página, puedes encontrar un vínculo a la documentación de CMEK para cada servicio. Para cada servicio, es posible que sigas pasos similares a los siguientes:

  1. Crea un llavero de claves o selecciona uno existente. El llavero de claves debe estar ubicado lo más cerca posible geográficamente de los recursos que deseas proteger.

  2. En el llavero de claves seleccionado, crea una clave o selecciona una existente. Asegúrate de que el nivel de protección, el propósito y el algoritmo de la clave sean adecuados para los recursos que deseas proteger. Esta es la clave de CMEK.

  3. Obtén el ID de recurso de la clave de CMEK. Necesitarás este ID de recurso más adelante.

  4. Otorga la función de IAM de encriptador/desencriptador de CryptoKey (roles/cloudkms.cryptoKeyEncrypterDecrypter) en la clave CMEK a la cuenta de servicio para el servicio.

Después de crear la clave y asignar los permisos requeridos, puedes crear o configurar un servicio para que use tu clave de CMEK.

Usa claves de Cloud KMS con servicios integrados en CMEK

En los siguientes pasos, se usa Secret Manager como ejemplo. Para conocer los pasos exactos para usar una clave de CMEK de Cloud KMS en un servicio determinado, busca ese servicio en la lista de servicios integrados en CMEK.

En Secret Manager, puedes usar una CMEK para proteger los datos en reposo.

  1. En la consola de Google Cloud , ve a la página Secret Manager.

    Ir a Secret Manager

  2. Para crear un secreto, haz clic en Create Secret.

  3. En la sección Encriptación, selecciona Usar una clave de encriptación administrada por el cliente (CMEK).

  4. En el cuadro Clave de encriptación, haz lo siguiente:

    1. Opcional: Para usar una clave en otro proyecto, haz lo siguiente:

      1. Haz clic en Cambiar proyecto.
      2. Ingresa todo o parte del nombre del proyecto en la barra de búsqueda y, luego, selecciónalo.
      3. Para ver las claves disponibles para el proyecto seleccionado, haz clic en Seleccionar.

    2. Opcional: Para filtrar las claves disponibles por ubicación, llavero de claves, nombre o nivel de protección, ingresa términos de búsqueda en la barra de filtros.

    3. Selecciona una clave de la lista de claves disponibles en el proyecto seleccionado. Puedes usar los detalles de ubicación, llavero y nivel de protección que se muestran para asegurarte de elegir la clave correcta.

    4. Si la clave que quieres usar no aparece en la lista, haz clic en Escribir la clave de forma manual y, luego, ingresa el ID de recurso de la clave.

  5. Termina de configurar tu secreto y, luego, haz clic en Crear secreto. Secret Manager crea el secreto y lo encripta con la clave CMEK especificada.

Habilita CMEK para los servicios compatibles

Para habilitar la CMEK, primero ubica el servicio deseado en la siguiente tabla. Puedes ingresar términos de búsqueda en el campo para filtrar la tabla. Todos los servicios de esta lista admiten claves de software y hardware (HSM). Los productos que se integran con Cloud KMS cuando se usan claves externas de Cloud EKM se indican en la columna Compatible con EKM.

Sigue las instrucciones para cada servicio en el que quieras habilitar las claves de CMEK.

Servicio Protección con CMEK Compatible con EKM Tema
Agent Assist Datos en reposo Sí Claves de encriptación administradas por el cliente (CMEK)
AlloyDB para PostgreSQL Datos escritos en bases de datos Sí Usa claves de encriptación administradas por el cliente
IA para prevención del lavado de dinero Datos en los recursos de instancias de la IA de AML No Encripta datos con claves de encriptación administradas por el cliente (CMEK)
Apigee Datos en reposo No Introducción a CMEK
Concentrador de API de Apigee Datos en reposo Sí Encriptación
Application Integration Datos en reposo Sí Usa claves de encriptación administradas por el cliente
Artifact Registry Datos en repositorios Sí Habilita claves de encriptación administradas por el cliente
Servicio de copia de seguridad y DR Contenedor de Backup Vault Sí Administra la encriptación de Backup Vault
Servicio de copia de seguridad y DR Copias de seguridad en reposo Sí Administrar la encriptación de copias de seguridad
Copia de seguridad para GKE Datos en Copia de seguridad para GKE Sí Acerca de la encriptación de CMEK en Copia de seguridad para GKE
BigQuery Datos en BigQuery Sí Protege datos con claves de Cloud KMS
Bigtable Datos en reposo Sí Claves de encriptación administradas por el cliente (CMEK)
Cloud Composer Datos del entorno Sí Usa claves de encriptación administradas por el cliente
Cloud Data Fusion Datos del entorno Sí Usa claves de encriptación administradas por el cliente
API de Cloud Healthcare Conjuntos de datos de la API de Cloud Healthcare Sí Usa claves de encriptación administradas por el cliente (CMEK)
Cloud Logging Datos en el enrutador de registros Sí Administra las claves que protegen los datos del enrutador de registros
Cloud Logging Datos en el almacenamiento de Logging Sí Administra las claves que protegen los datos de almacenamiento de Logging
Cloud Run Imagen de contenedor Sí Usa claves de encriptación administradas por el cliente con Cloud Run
Cloud Run Functions Datos en Cloud Run Functions Sí Usa claves de encriptación administradas por el cliente
Cloud SQL Datos escritos en bases de datos Sí Usa claves de encriptación administradas por el cliente
Cloud Storage Datos en depósitos de almacenamiento Sí Usa claves de encriptación administradas por el cliente
Cloud Tasks Cuerpo y encabezado de la tarea en reposo Sí Usar claves de encriptación administradas por el cliente
Cloud TPU Discos persistentes No Encripta un disco de arranque de una VM de TPU con una clave de encriptación administrada por el cliente (CMEK)
Cloud Workstations Datos en discos de VM Sí Encripta los recursos de la estación de trabajo
Colab Enterprise Entornos de ejecución y archivos de notebook No Usar claves de encriptación administradas por el cliente
Compute Engine Discos persistentes Sí Protege recursos con las claves de Cloud KMS
Compute Engine Instantáneas Sí Protege recursos con las claves de Cloud KMS
Compute Engine Imágenes personalizadas Sí Protege recursos con las claves de Cloud KMS
Compute Engine Imágenes de máquina Sí Protege recursos con las claves de Cloud KMS
Customer Experience Insights Datos en reposo Sí Claves de encriptación administradas por el cliente (CMEK)
Migraciones homogéneas de Database Migration Service Migraciones de MySQL: datos escritos en bases de datos Sí Usa claves de encriptación administradas por el cliente (CMEK)
Migraciones homogéneas de Database Migration Service Migraciones de PostgreSQL: Datos escritos en bases de datos Sí Usa claves de encriptación administradas por el cliente (CMEK)
Migraciones homogéneas de Database Migration Service Migraciones de PostgreSQL a AlloyDB: Datos escritos en bases de datos Sí Acerca de CMEK
Migraciones homogéneas de Database Migration Service Migraciones de SQL Server: Datos escritos en bases de datos Sí Acerca de CMEK
Migraciones heterogéneas de Database Migration Service Datos en reposo de Oracle a PostgreSQL Sí Usa claves de encriptación administradas por el cliente (CMEK) para las migraciones continuas
Dataflow Datos del estado de la canalización Sí Usa claves de encriptación administradas por el cliente
Dataform Datos en repositorios Sí Usar claves de encriptación administradas por el cliente
Dataplex Universal Catalog Datos en reposo Sí Claves de encriptación administradas por el cliente
Dataproc Datos de clústeres de Dataproc en discos de VM Sí Claves de encriptación administradas por el cliente
Dataproc Datos de Dataproc Serverless en discos de VM Sí Claves de encriptación administradas por el cliente
Dataproc Metastore Datos en reposo Sí Usa claves de encriptación administradas por el cliente
Datastream Datos en tránsito Sí Usa claves de encriptación administradas por el cliente (CMEK)
Dialogflow CX Datos en reposo Sí Claves de encriptación administradas por el cliente (CMEK)
Document AI Datos en reposo y datos en uso Sí Claves de encriptación administradas por el cliente (CMEK)
Eventarc Advanced (vista previa) Datos en reposo Sí Usa claves de encriptación administradas por el cliente (CMEK)
Eventarc Standard Datos en reposo Sí Usa claves de encriptación administradas por el cliente (CMEK)
Filestore Datos en reposo Sí Encriptar datos con claves de encriptación administradas por el cliente
Firestore Datos en reposo Sí Usa claves de encriptación administradas por el cliente (CMEK)
Gemini Code Assist Datos en reposo No Encriptar datos con claves de encriptación administradas por el cliente
Gemini Enterprise - NotebookLM Enterprise Datos en reposo No Claves de encriptación administradas por el cliente
Gemini Enterprise Datos en reposo No Claves de encriptación administradas por el cliente
Google Cloud Managed Lustre Datos en reposo Sí Usa claves de encriptación administradas por el cliente (CMEK)
Google Cloud Managed Service para Apache Kafka Datos asociados con temas Sí Configura la encriptación de mensajes
Google Cloud NetApp Volumes Datos en reposo Sí Crea una política de CMEK
Google Distributed Cloud Datos en los nodos de Edge Sí Seguridad del almacenamiento local
Google Kubernetes Engine Datos en discos de VM Sí Usa claves de encriptación administradas por el cliente (CMEK)
Google Kubernetes Engine Secretos de la capa de la aplicación Sí Encriptación de Secrets de la capa de la aplicación
Conectores de Integration Datos en reposo Sí Métodos de encriptación
Looker (Google Cloud Core) Datos en reposo Sí Habilita las CMEK para Looker (Google Cloud Core)
Memorystore for Redis Datos en reposo Sí Claves de encriptación administradas por el cliente (CMEK)
Memorystore for Redis Cluster Datos en reposo Sí Usa claves de encriptación administradas por el cliente (CMEK)
Memorystore para Valkey Datos en reposo Sí Usa claves de encriptación administradas por el cliente (CMEK)
Migrate to Virtual Machines Datos migrados desde fuentes de VM de VMware, AWS y Azure Sí Usa CMEK para encriptar datos almacenados durante una migración
Migrate to Virtual Machines Datos migrados desde fuentes de imágenes de disco y de máquina Sí Usa CMEK para encriptar datos en discos de destino e imágenes de máquina
Administrador de parámetros Cargas útiles de la versión del parámetro Sí Habilita claves de encriptación administradas por el cliente para el Administrador de parámetros
Pub/Sub Datos asociados con temas Sí Configurar la encriptación de mensajes
Secret Manager Cargas útiles de Secret Sí Habilita las claves de encriptación administradas por el cliente para Secret Manager
Secure Source Manager Instancias Sí Encriptar datos con claves de encriptación administradas por el cliente
Security Command Center Datos en reposo Sí Habilita la CMEK para Security Command Center
Spanner Datos en reposo Sí Claves de encriptación administradas por el cliente (CMEK)
Speaker ID (disponibilidad general restringida) Datos en reposo Sí Usa claves de encriptación administradas por el cliente
Speech‑to‑Text Datos en reposo Sí Usa claves de encriptación administradas por el cliente
Vertex AI Datos asociados con recursos Sí Usa claves de encriptación administradas por el cliente
Vertex AI Search Datos en reposo No Claves de encriptación administradas por el cliente
Notebooks administrados de Vertex AI Workbench (obsoletos) Datos del usuario en reposo No Claves de encriptación administradas por el cliente
Notebooks administrados por el usuario de Vertex AI Workbench (obsoleto) Datos en discos de VM No Claves de encriptación administradas por el cliente
Instancias de Vertex AI Workbench Datos en discos de VM Sí Claves de encriptación administradas por el cliente
Workflows Datos en reposo Sí Usa claves de encriptación administradas por el cliente (CMEK)
Administrador de cargas de trabajo Datos de evaluación del tipo de regla personalizada Sí Habilita claves de encriptación administradas por el cliente para las evaluaciones