Habilita la CMEK para Security Command Center

De forma predeterminada, Security Command Center encripta el contenido del cliente almacenado en reposo. Security Command Center controla la encriptación por ti sin que tengas que realizar ninguna acción adicional. Esta opción se denomina encriptación predeterminada de Google.

Si deseas controlar tus claves de encriptación, puedes usar las claves de encriptación administradas por el cliente (CMEK) en Cloud KMS con servicios integrados en CMEK, incluido Security Command Center. El uso de claves de Cloud KMS te permite controlar su nivel de protección, ubicación, programa de rotación, permisos de uso y acceso, y límites criptográficos. El uso de Cloud KMS también te permite hacer un seguimiento del uso de las claves, ver los registros de auditoría y controlar los ciclos de vida de las claves. En lugar de que Google posea y administre las claves de encriptación de claves (KEK) simétricas que protegen tus datos, tú las controlas y administras en Cloud KMS.

Después de configurar tus recursos con CMEK, la experiencia de acceder a tus recursos de Security Command Center es similar a la de usar la encriptación predeterminada de Google. Para obtener más información sobre tus opciones de encriptación, consulta Claves de encriptación administradas por el cliente (CMEK).

Para admitir la separación de funciones y un mayor control sobre el acceso a las claves, te recomendamos que crees y administres claves en un proyecto independiente que no incluya otros Google Cloud recursos.

Para habilitar CMEK para Security Command Center, debes elegir la encriptación de datos de Cloud KMS cuando actives una organización de Security Command Center. Después de activar Security Command Center, ya no podrás configurar la encriptación de datos. No puedes habilitar CMEK durante la activación a nivel del proyecto. Para obtener más información, consulta lo siguiente:

Puedes usar las restricciones de las políticas de la organización relativas a CMEK para aplicar tu configuración de encriptación cuando actives Security Command Center. Para obtener información sobre el uso de las restricciones de las políticas de la organización relativas a CMEK y Security Command Center, consulta Restricciones de las políticas de la organización relativas a CMEK en esta página.

Antes de comenzar

Antes de configurar CMEK para Security Command Center, haz lo siguiente:

  1. Instala e inicializa Google Cloud CLI:

      Instala la Google Cloud CLI. Después de la instalación, inicializa Google Cloud CLI ejecutando el siguiente comando: 

      gcloud init

      Si usas un proveedor de identidad externo (IdP), primero debes acceder a la gcloud CLI con tu identidad federada.

  2. Crea un Google Cloud proyecto con Cloud KMS habilitado. Este es tu proyecto de clave.

  3. Crea un llavero de claves en la ubicación correcta. La ubicación del llavero de claves debe corresponder a la ubicación en la que planeas activar Security Command Center.

    Para encontrar la ubicación correcta, consulta Ubicación de la clave en esta página. Para aprender a crear un llavero de claves, consulta Crea un llavero de claves.

  4. Crea una clave de Cloud KMS en el llavero de claves. Para obtener instrucciones, consulta Crea una clave.

Ubicación de la clave

Cuando creas una clave y un llavero de claves de Cloud KMS para Security Command Center, debes usar una ubicación que corresponda a tu ubicación de Security Command Center.

Si no planeas habilitar la residencia de datos para Security Command Center, crea tu clave y llavero de claves de Cloud KMS en la us ubicación.

Si planeas habilitar la residencia de datos, elige la ubicación de Cloud KMS que corresponda a tu ubicación de Security Command Center:

Ubicación de Security Command Center Ubicación de la clave de Cloud KMS
eu europe
sa me-central2
us us

Cambios en la clave CMEK

Después de activar Security Command Center con CMEK, no puedes cambiar la clave de Cloud KMS ni cambiar a una Google-owned and Google-managed encryption key.

Puedes rotar la clave CMEK, lo que hace que Security Command Center use la nueva versión de clave. Sin embargo, algunas capacidades de Security Command Center siguen usando la clave anterior durante 30 días.

Tipos de recursos admitidos

CMEK encripta datos para los siguientes tipos de recursos de Security Command Center:

  • Resultados
  • Configuraciones de notificación
  • Exportaciones de BigQuery
  • Configuraciones de silenciamiento

Restricciones de las políticas de la organización relativas a CMEK

Para aplicar el uso de CMEK para Security Command Center, puedes aplicar las siguientes restricciones de políticas de la organización a nivel de la organización, la carpeta o el proyecto:

  • constraints/gcp.restrictNonCmekServices: Requiere que uses CMEK. Si aplicas constraints/gcp.restrictNonCmekServices en una organización y enumeraste Security Command Center como un servicio restringido que debe usar CMEK, debes habilitar CMEK cuando actives Security Command Center.

  • constraints/gcp.restrictCmekCryptoKeyProjects: Requiere que la clave CMEK para Security Command Center provenga de un proyecto o un conjunto de proyectos específicos.

Si aplicas ambas restricciones en la organización en la que activas Security Command Center, Security Command Center requiere que habilites CMEK y que la clave CMEK se encuentre en un proyecto específico.

Para obtener información sobre cómo se evalúan las políticas de la organización en la Google Cloud jerarquía de recursos (organizaciones, carpetas y proyectos), consulta Comprende la evaluación de jerarquías.

Para obtener información general sobre el uso de las políticas de la organización relativas a CMEK, consulta Políticas de la organización relativas a CMEK.

Configura CMEK para Security Command Center

Para usar CMEK con Security Command Center, sigue estos pasos:

  1. Cuando actives Security Command Center para una organización, selecciona Editar encriptación de datos.

    Se abrirá el panel Editar configuración de encriptación de datos.

  2. Selecciona Clave de Cloud KMS.

  3. Selecciona un proyecto.

  4. Selecciona una clave. Puedes seleccionar una clave de cualquier Google Cloud proyecto, incluidos los proyectos de otras organizaciones. En la lista, solo se muestran las claves en ubicaciones compatibles.

    Para saber qué ubicaciones de claves son compatibles con Security Command Center, consulta Ubicación de la clave en esta página.

    Cuando activas o vuelves a configurar Security Command Center para usar claves de Cloud Key Management Service, se otorga el rol de Encriptador/Desencriptador de CryptoKey de Cloud KMS (roles/cloudkms.cryptoKeyEncrypterDecrypter) al agente de servicio de Cloud Security Command Center en la clave de Cloud KMS.

  5. Haz clic en Listo y continúa con el proceso de activación de Security Command Center.

Después de activar Security Command Center para tu organización, Security Command Center encripta tus datos con la clave de Cloud KMS que elegiste.

Solución de problemas de CMEK

En las siguientes secciones, se te ayudará a resolver los problemas que puedan ocurrir con los tipos de recursos que admiten CMEK.

Restablece el acceso del agente de servicio a las claves

Con CMEK habilitado, el agente de servicio de Cloud Security Command Center debe tener acceso a tu clave de Cloud KMS. Si este agente de servicio no tiene el rol de IAM requerido en tu clave, entonces algunas funciones de Security Command Center no funcionarán correctamente.

Para determinar si tienes este problema, consulta la lista de principales que tienen acceso a tu clave. Si el agente de servicio está configurado correctamente, la lista incluye un principal con el identificador service-org-ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com y el rol de Encriptador/Desencriptador de CryptoKey de Cloud KMS (roles/cloudkms.cryptoKeyEncrypterDecrypter).

Si no ves este principal y rol, otorga el rol requerido al agente de servicio en tu clave:

gcloud kms keys add-iam-policy-binding KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --member=serviceAccount:service-org-ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com \
    --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

Reemplaza lo siguiente:

  • KEY_RING: Es el llavero de claves de tu clave de Cloud KMS.
  • LOCATION: Es la ubicación de tu clave de Cloud KMS.
  • KEY_NAME: Es el nombre de tu clave de Cloud KMS.
  • ORGANIZATION_NUMBER: Es el número de tu organización.

Restablece las claves que están inhabilitadas o programadas para su destrucción

Si una clave o versión de clave de Cloud KMS está inhabilitada, puedes habilitar una versión de clave.

Del mismo modo, si una clave de Cloud KMS está programada para su destrucción, entonces puedes restablecer una versión de clave. Después de que se destruye una clave, no puedes recuperarla y no tendrás acceso a los recursos de Security Command Center que admiten CMEK.

Resuelve errores al crear recursos protegidos

Si eliges Google-owned and Google-managed encryption keys cuando activas Security Command Center y, luego, aplicas una restricción de política de la organización relativas a CMEK dentro de esa organización, no podrás crear recursos nuevos que admitan CMEK.

Si no puedes crear estos recursos, verifica si se aplica una restricción de política de la organización relativas a CMEK para tu organización o para cualquier proyecto o carpeta de esa organización. Para obtener más información, consulta Restricciones de las políticas de la organización relativas a CMEK en esta página.

Cuotas y precios

Cuando usas CMEK en Security Command Center, tus proyectos pueden consumir cuotas de solicitudes criptográficas de Cloud KMS. Las instancias encriptadas con CMEK consumen cuotas cuando leen o escriben datos en Security Command Center. Las operaciones de encriptación y desencriptación con claves CMEK afectan las cuotas de Cloud KMS solo si usas claves de hardware (Cloud HSM) o externas (Cloud EKM). Para obtener más información, consulta Cuotas de Cloud KMS.

Además, se aplican cargos de Cloud KMS cuando Security Command Center usa tu CMEK para encriptar o desencriptar datos. Para obtener más información, consulta Precios de Cloud KMS.