Habilita la CMEK para Security Command Center

De forma predeterminada, Security Command Center encripta el contenido del cliente en reposo. Security Command Center controla la encriptación por ti sin que debas realizar ninguna acción adicional. Esta opción se denomina encriptación predeterminada de Google.

Si deseas controlar tus claves de encriptación, puedes usar las claves de encriptación administradas por el cliente (CMEK) en Cloud KMS con servicios integrados en CMEK, incluido Security Command Center. El uso de claves de Cloud KMS te permite controlar su nivel de protección, ubicación, programa de rotación, permisos de uso y acceso, y límites criptográficos. El uso de Cloud KMS también te permite hacer un seguimiento del uso de las claves, ver los registros de auditoría y controlar los ciclos de vida de las claves. En lugar de que Google posea y administre las claves de encriptación de claves (KEK) simétricas que protegen tus datos, tú las controlas y administras en Cloud KMS.

Después de configurar tus recursos con CMEK, la experiencia de acceso a tus recursos de Security Command Center es similar a usar la encriptación predeterminada de Google. Para obtener más información sobre tus opciones de encriptación, consulta Claves de encriptación administradas por el cliente (CMEK).

Para una mejor separación de obligaciones y control sobre el acceso a las claves, te recomendamos que administres las claves en un proyecto dedicado sin otros recursos de Google Cloud .

Puedes configurar Security Command Center para que use claves de encriptación administradas por el cliente (CMEK) con las claves de Cloud Key Management Service cuando actives Security Command Center para la organización. También puedes cambiar la configuración después de activar Security Command Center.

No puedes habilitar la CMEK con las activaciones de Security Command Center a nivel del proyecto.

Para obtener más información sobre cómo activar Security Command Center y cambiar la configuración, consulta los siguientes recursos:

Puedes usar restricciones de políticas de la organización para aplicar una configuración de encriptación obligatoria. Para obtener información sobre el uso de las restricciones de las políticas de la organización relativas a CMEK y Security Command Center, consulta Restricciones de las políticas de la organización relativas a CMEK en esta página.

Advertencia: Si inhabilitas, revocas el acceso a la CMEK o la destruyes después de la activación, Security Command Center dejará de funcionar y podrías perder tus datos de Security Command Center. La destrucción de una versión de clave es permanente y provoca una pérdida de datos irrecuperable.

Tipos de recursos admitidos

Puedes usar la CMEK para encriptar datos de los siguientes tipos de recursos de Security Command Center:

  • Resultados
  • Configuraciones de notificación
  • Exportaciones de BigQuery
  • Configuración de silencio

Cómo reconfigurar la encriptación de datos

Después de activar Security Command Center, puedes cambiar la configuración de encriptación de datos entre las claves de Cloud KMS y Google-owned and Google-managed encryption keys.

Advertencia: Si inhabilitas, revocas el acceso a la CMEK o la destruyes después de la activación, Security Command Center dejará de funcionar y podrías perder tus datos de Security Command Center. La destrucción de una versión de clave es permanente y provoca una pérdida de datos irrecuperable.

Puedes rotar la clave de CMEK, lo que hace que Security Command Center use la nueva versión de la clave. Sin embargo, algunas capacidades de Security Command Center seguirán usando la clave anterior durante 30 días.

Antes de comenzar

En la siguiente sección, se describen los pasos que debes seguir antes de cambiar la configuración.

Cómo determinar la ubicación clave

Cuando creas una clave y un llavero de claves de Cloud KMS para Security Command Center, debes usar una ubicación que corresponda a la ubicación de Security Command Center.

Si no planeas habilitar la residencia de datos para Security Command Center, crea tu clave y llavero de claves de Cloud KMS en la ubicación us.

Si planeas habilitar la residencia de datos, elige la ubicación de Cloud KMS que corresponda a la ubicación de Security Command Center:

Ubicación de Security Command Center Ubicación de la clave de Cloud KMS
eu europe
sa me-central2
us us

Define restricciones de políticas de la organización para la CMEK

Para aplicar el uso de CMEK en Security Command Center, puedes aplicar las siguientes restricciones de políticas de la organización a nivel de la organización, la carpeta o el proyecto:

  • constraints/gcp.restrictNonCmekServices: Requiere que uses CMEK. Si aplicas constraints/gcp.restrictNonCmekServices en una organización y enumeraste Security Command Center como un servicio restringido que se requiere para usar la CMEK, debes habilitar la CMEK cuando actives Security Command Center.

  • constraints/gcp.restrictCmekCryptoKeyProjects: Requiere que la clave de Cloud KMS para Security Command Center provenga de un proyecto específico o de un conjunto de proyectos.

Si aplicas ambas restricciones en la organización en la que activas Security Command Center, este producto te exigirá que habilites la CMEK y que la clave de CMEK se encuentre en un proyecto específico.

Para obtener información sobre cómo se evalúan las políticas de la organización en laGoogle Cloud jerarquía de recursos (organizaciones, carpetas y proyectos), consulta Comprende la evaluación de jerarquías.

Para obtener información general sobre el uso de las políticas de la organización de CMEK, consulta Políticas de la organización de CMEK.

Configura las claves de Cloud Key Management Service

Antes de configurar Security Command Center para que use la CMEK, haz lo siguiente:

  1. Instala y, luego, inicializa Google Cloud CLI:

      Instala Google Cloud CLI. Después de la instalación, inicializa Google Cloud CLI con el siguiente comando: 

      gcloud init

      Si usas un proveedor de identidad externo (IdP), primero debes acceder a la gcloud CLI con tu identidad federada.

  2. Crea un proyecto Google Cloud con Cloud KMS habilitado. Este es tu proyecto clave.

  3. Crea un llavero de claves en la ubicación correcta. La ubicación del llavero de claves debe corresponder a la ubicación en la que planeas activar Security Command Center.

    Para encontrar la ubicación correcta, consulta Ubicación de la llave en esta página. Para obtener información sobre cómo crear un llavero de claves, consulta Crea un llavero de claves.

  4. Crea una clave de Cloud KMS en el llavero de claves. Para obtener instrucciones, consulta Crea una clave.

Configura la encriptación de datos para Security Command Center

Puedes configurar la encriptación de datos cuando activas el nivel de servicio Estándar o el nivel de servicio Premium de Security Command Center para una organización.

Puedes cambiar la configuración de encriptación de datos en los niveles Estándar y Premium después de activar Security Command Center. Para obtener más información, consulta Cómo modificar la configuración de residencia de datos o encriptación de datos.

Después de configurar la CMEK, Security Command Center encripta los datos con la clave de Cloud KMS que elijas.

Soluciona problemas de CMEK

En las siguientes secciones, se te ayudará a resolver los problemas que puedan surgir con los tipos de recursos que admiten CMEK.

Restablece el acceso del agente de servicio a las claves

Con la CMEK habilitada, el agente de servicio de Cloud Security Command Center debe tener acceso a tu clave de Cloud KMS. Si este agente de servicio no tiene el rol de IAM requerido en tu clave, algunas funciones de Security Command Center no funcionarán correctamente.

Para determinar si tienes este problema, consulta la lista de principales que tienen acceso a tu clave. Si el agente de servicio está configurado correctamente, la lista incluye un principal con el identificador service-org-ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com y el rol de encriptador/desencriptador de CryptoKey de Cloud KMS (roles/cloudkms.cryptoKeyEncrypterDecrypter).

Si no ves esta entidad principal y este rol, otorga el rol requerido al agente de servicio en tu clave:

gcloud kms keys add-iam-policy-binding KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --member=serviceAccount:service-org-ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com \
    --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

Reemplaza lo siguiente:

  • KEY_RING: Es el llavero de claves de tu clave de Cloud KMS
  • LOCATION: Es la ubicación de tu clave de Cloud KMS.
  • KEY_NAME: el nombre de tu clave de Cloud KMS
  • ORGANIZATION_NUMBER: El número de tu organización

Restablece las claves inhabilitadas o programadas para su destrucción

Si se inhabilita una clave o versión de clave de Cloud KMS, puedes habilitar una versión de clave.

Del mismo modo, si se programó la destrucción de una clave de Cloud KMS, puedes restablecer una versión de clave. Después de destruir una clave, no podrás recuperarla ni acceder a los recursos de Security Command Center que admiten la CMEK.

Cómo resolver errores al crear recursos protegidos

Si eliges Google-owned and Google-managed encryption keys cuando activas Security Command Center y, luego, aplicas una restricción de política de la organización de CMEK dentro de esa organización, no podrás crear nuevos recursos que admitan CMEK.

Si no puedes crear estos recursos, verifica si se aplica una restricción de política de la organización de CMEK para tu organización o para cualquier proyecto o carpeta de esa organización. Para obtener más información, consulta las Restricciones de las políticas de la organización relativas a CMEK en esta página.

Cuotas y precios

Cuando usas CMEK en Security Command Center, tus proyectos pueden consumir cuotas de solicitudes criptográficas de Cloud KMS. Las instancias encriptadas con CMEK consumen cuotas cuando leen o escriben datos en Security Command Center. Las operaciones de encriptación y desencriptación con claves CMEK afectan las cuotas de Cloud KMS solo si usas claves de hardware (Cloud HSM) o externas (Cloud EKM). Para obtener más información, consulta Cuotas de Cloud KMS.

Además, se aplican cargos de Cloud KMS cuando Security Command Center usa tu CMEK para encriptar o desencriptar datos. Para obtener más información, consulta Precios de Cloud KMS.