Attivare CMEK per Security Command Center

Per impostazione predefinita, Security Command Center cripta i contenuti inattivi dei clienti. Security Command Center gestisce la crittografia per tuo conto senza che tu debba fare altro. Questa opzione è denominata crittografia predefinita di Google.

Se vuoi controllare le tue chiavi di crittografia, puoi utilizzare le chiavi di crittografia gestite dal cliente (CMEK) in Cloud KMS con servizi integrati con CMEK, tra cui Security Command Center. L'utilizzo delle chiavi Cloud KMS ti consente di controllare il livello di protezione, la località, la pianificazione della rotazione, le autorizzazioni di utilizzo e di accesso e i limiti crittografici. Con Cloud KMS puoi inoltre monitorare l'utilizzo delle chiavi, visualizzare gli audit log e controllare i cicli di vita delle chiavi. Invece di Google, sei tu ad avere la proprietà e la gestione delle chiavi di crittografia della chiave (KEK) simmetriche che proteggono i tuoi dati. Puoi controllare e gestire queste chiavi in Cloud KMS.

Dopo aver configurato le risorse con le chiavi CMEK, l'esperienza di accesso alle risorse di Security Command Center è simile all'utilizzo della crittografia predefinita di Google. Per saperne di più sulle opzioni di crittografia, consulta Chiavi di crittografia gestite dal cliente (CMEK).

Per una migliore separazione dei compiti e un maggiore controllo sull'accesso alle chiavi, ti consigliamo di gestire le chiavi in un progetto dedicato senza altre risorse Google Cloud .

Puoi configurare Security Command Center in modo che utilizzi le chiavi di crittografia gestite dal cliente (CMEK) utilizzando le chiavi di Cloud Key Management Service quando attivi Security Command Center per l'organizzazione. Puoi anche modificare la configurazione dopo l'attivazione di Security Command Center.

Non puoi abilitare CMEK con le attivazioni di Security Command Center a livello di progetto.

Per scoprire di più sull'attivazione di Security Command Center e sulla modifica della configurazione, consulta quanto segue:

Puoi utilizzare i vincoli delle policy dell'organizzazione per applicare una configurazione di crittografia obbligatoria. Per informazioni sull'utilizzo dei vincoli delle policy dell'organizzazione CMEK e di Security Command Center, consulta la sezione Vincoli delle policy dell'organizzazione CMEK in questa pagina.

Avviso: se disattivi, revochi l'accesso o elimini la chiave CMEK dopo l'attivazione, Security Command Center smette di funzionare e potresti perdere i dati di Security Command Center. L'eliminazione di una versione della chiave è definitiva e causa la perdita non recuperabile dei dati.

Tipi di risorse supportati

Puoi utilizzare CMEK per criptare i dati per i seguenti tipi di risorse di Security Command Center:

  • Risultati
  • Configurazioni delle notifiche
  • esportazioni di BigQuery
  • Configurazioni disattivazione

Riconfigurare la crittografia dei dati

Dopo aver attivato Security Command Center, puoi modificare la configurazione della crittografia dei dati tra le chiavi Cloud KMS e Google-owned and Google-managed encryption keys.

Avviso: se disattivi, revochi l'accesso o elimini la chiave CMEK dopo l'attivazione, Security Command Center smette di funzionare e potresti perdere i dati di Security Command Center. L'eliminazione di una versione della chiave è definitiva e causa la perdita non recuperabile dei dati.

Puoi ruotare la chiave CMEK, in modo che Security Command Center utilizzi la nuova versione della chiave. Tuttavia, alcune funzionalità di Security Command Center continuano a utilizzare la vecchia chiave per 30 giorni.

Prima di iniziare

La sezione seguente descrive i passaggi da eseguire prima di modificare la configurazione.

Determinare la posizione chiave

Quando crei una chiave e un keyring Cloud KMS per Security Command Center, devi utilizzare una località corrispondente a quella di Security Command Center.

Se non prevedi di abilitare la residenza dei dati per Security Command Center, crea la chiave Cloud KMS e il portachiavi nella località us.

Se prevedi di abilitare la residenza dei dati, scegli la località Cloud KMS corrispondente alla località di Security Command Center:

Posizione di Security Command Center Posizione della chiave Cloud KMS
eu europe
sa me-central2
us us

Definisci i vincoli delle policy dell'organizzazione per CMEK

Per applicare l'utilizzo di CMEK per Security Command Center, puoi applicare i seguenti vincoli dei criteri dell'organizzazione a livello di organizzazione, cartella o progetto:

  • constraints/gcp.restrictNonCmekServices: richiede l'utilizzo di CMEK. Se applichi constraints/gcp.restrictNonCmekServices a un'organizzazione e hai elencato Security Command Center come servizio con limitazioni necessario per utilizzare CMEK, devi abilitare CMEK quando attivi Security Command Center.

  • constraints/gcp.restrictCmekCryptoKeyProjects: richiede che la chiave Cloud KMS per Security Command Center provenga da un progetto o da un insieme di progetti specifici.

Se applichi entrambi questi vincoli all'organizzazione in cui attivi Security Command Center, quest'ultimo richiede l'attivazione di CMEK e che la chiave CMEK si trovi in un progetto specifico.

Per informazioni su come vengono valutate le policy dell'organizzazione nella Google Cloud gerarchia delle risorse (organizzazioni, cartelle e progetti), consulta Informazioni sulla valutazione della gerarchia.

Per informazioni generali sull'utilizzo delle policy dell'organizzazione CMEK, consulta Policy dell'organizzazione CMEK.

Configura le chiavi Cloud Key Management Service

Prima di configurare Security Command Center per utilizzare CMEK:

  1. Installa e inizializza Google Cloud CLI:

      Installa Google Cloud CLI. Dopo l'installazione, inizializza Google Cloud CLI eseguendo il comando seguente: 

      gcloud init

      Se utilizzi un provider di identità (IdP) esterno, devi prima accedere a gcloud CLI con la tua identità federata.

  2. Crea un progetto Google Cloud con Cloud KMS abilitato. Questo è il tuo progetto chiave�.

  3. Crea un keyring nella posizione corretta. La posizione delle chiavi automatizzate deve corrispondere alla posizione in cui prevedi di attivare Security Command Center.

    Per trovare la posizione corretta, vedi Posizione chiave in questa pagina. Per scoprire come creare un set di chiavi automatizzate, consulta Creare un set di chiavi automatizzate.

  4. Crea una chiave Cloud KMS sul keyring. Per le istruzioni, vedi Creare una chiave.

Configura la crittografia dei dati per Security Command Center

Puoi configurare la crittografia dei dati quando attivi il livello di servizio Standard o il livello di servizio Premium di Security Command Center per un'organizzazione.

Puoi modificare la configurazione della crittografia dei dati nei livelli Standard e Premium dopo aver attivato Security Command Center. Per saperne di più, vedi Modificare la configurazione della residenza dei dati o della crittografia dei dati.

Dopo aver configurato CMEK, Security Command Center cripta i dati utilizzando la chiave Cloud KMS che hai scelto.

Risoluzione dei problemi relativi a CMEK

Le seguenti sezioni ti aiutano a risolvere i problemi che potrebbero verificarsi con i tipi di risorse che supportano CMEK.

Ripristina l'accesso del service agent alle chiavi

Con CMEK abilitata, il service agent Cloud Security Command Center deve avere accesso alla tua chiave Cloud KMS. Se questo service agent non dispone del ruolo IAM richiesto per la chiave, allora alcune funzionalità di Security Command Center non funzioneranno correttamente.

Per determinare se si verifica questo problema, visualizza l'elenco delle entità che hanno accesso alla tua chiave. Se il service agent è configurato correttamente, l'elenco include un principal con l'identificatore service-org-ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com e il ruolo Cloud KMS CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter).

Se non vedi questa entità e questo ruolo, concedi il ruolo richiesto al service agent sulla chiave:

gcloud kms keys add-iam-policy-binding KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --member=serviceAccount:service-org-ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com \
    --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

Sostituisci quanto segue:

  • KEY_RING: le chiavi automatizzate per la tua chiave Cloud KMS
  • LOCATION: la posizione della tua chiave Cloud KMS
  • KEY_NAME: il nome della chiave Cloud KMS
  • ORGANIZATION_NUMBER: il numero dell'organizzazione

Ripristinare le chiavi disattivate o pianificate per l'eliminazione

Se una chiave o una versione della chiave Cloud KMS è disabilitata, puoi abilitare una versione della chiave.

Allo stesso modo, se è pianificata l'eliminazione di una chiave Cloud KMS, puoi ripristinare una versione della chiave. Una volta distrutta una chiave, non puoi recuperarla e non avrai accesso alle risorse di Security Command Center che supportano CMEK.

Risolvere gli errori durante la creazione di risorse protette

Se scegli Google-owned and Google-managed encryption keys quando attivi Security Command Center e poi applichi un vincolo di policy dell'organizzazione CMEK all'interno di questa organizzazione, non potrai creare nuove risorse che supportano CMEK.

Se non riesci a creare queste risorse, verifica se è applicato un vincolo dei criteri dell'organizzazione CMEK per la tua organizzazione o per qualsiasi progetto o cartella dell'organizzazione. Per saperne di più, consulta Vincoli delle policy dell'organizzazione per le chiavi CMEK in questa pagina.

Quote e prezzi

Quando utilizzi CMEK in Security Command Center, i tuoi progetti possono utilizzare le quote delle richieste di crittografia Cloud KMS. Le istanze criptate con CMEK consumano quote durante la lettura o la scrittura di dati in Security Command Center. Le operazioni di crittografia e decrittografia che utilizzano chiavi CMEK influiscono sulle quote di Cloud KMS solo se utilizzi chiavi hardware (Cloud HSM) o esterne (Cloud EKM). Per maggiori informazioni, consulta Quote di Cloud KMS.

Inoltre, vengono applicati costi Cloud KMS quando Security Command Center utilizza la tua CMEK per criptare o decriptare i dati. Per maggiori informazioni, consulta Prezzi di Cloud KMS.