רוטציית מפתחות CMEK

מפתחות הצפנה בניהול הלקוח (CMEK) מאפשרים לכם להגן על נתונים בCloud de Confiance שירותים נתמכים באמצעות מפתח קריפטוגרפי שנמצא בשליטתכם ב-Cloud KMS. אתם יכולים להגדיר רוטציה אוטומטית של מפתחות לפי לוח זמנים קבוע, או לבצע רוטציה של המפתחות באופן ידני. במאמר הזה מוסבר מה קורה בשירות שמשולב עם CMEK כשמתבצעת רוטציה של מפתח Cloud KMS הבסיסי.

איך רוטציית מפתחות פועלת עם CMEK

כשמבצעים רוטציה של מפתח ב-Cloud KMS, ‏ Cloud KMS יוצר גרסה חדשה של המפתח הזה. גרסת המפתח החדשה הופכת לגרסה הראשית ואפשר להשתמש בה כדי להצפין את המפתחות להצפנת נתונים (DEK) שמגנים על הנתונים שלכם. גרסאות קודמות של המפתח נשארות פעילות וזמינות לפענוח של מפתחות הצפנה של נתונים שהוצפנו באמצעותן. התהליך הזה מבטיח שתמיד תהיה לכם גישה לנתונים הישנים.

שירותים שונים עם שילובי CMEK מטפלים ברוטציה של מפתחות בצורה שונה, אבל יש שלושה דפוסים עיקריים:

  • גרסת מפתח חדשה מגנה על כל הנתונים: כשהשירות מזהה שגרסת מפתח חדשה הפכה לראשית, הוא מצפין מחדש באופן אוטומטי את מפתחות הנתונים (DEK) שהוצפנו באמצעות גרסת המפתח הקודמת. מפתחות DEK שמגנים על נתונים חדשים ועל נתונים קיימים מוצפנים באמצעות הגרסה הנוכחית של המפתח הראשי. יכול להיות שיעבור זמן עד שההצפנה מחדש של מפתחות DEK קיימים תושלם, אבל אחרי זה לא תהיה יותר אפשרות להשתמש בגרסה הקודמת של המפתח.
  • החל מעכשיו נעשה שימוש בגרסת מפתח חדשה: כשהשירות מזהה שגרסת מפתח חדשה הפכה לראשית, בקשות הצפנה עתידיות ישתמשו בגרסת המפתח החדשה. מפתחות DEK שמגנים על נתונים במשאב הזה משתמשים בשילוב של גרסאות מפתח נוכחיות וקודמות.
  • לא נעשה שימוש בגרסת מפתח חדשה: השירות ממשיך להצפין מפתחות להצפנת נתונים (DEK) באמצעות גרסת המפתח המקורית שהוגדרה כשנוצר המשאב, בלי קשר לשאלה אם קיימות גרסאות חדשות של מפתח ראשי.

אופן הפעולה הספציפי לשירות אחרי רוטציית מפתחות

בטבלה הבאה מפורטת התנהגות הרוטציה שספציפית לשירותים שזמינים ב- Cloud de Confiance by S3NS, גם למשאבים שלא זמינים ב- Cloud de Confiance by S3NS. בטבלה הבאה מפורטים פרטי הרוטציה של כל סוג משאב או קבוצה של סוגי משאבים:

  • יכול לרשת מפתח: האם המשאב יכול לרשת מפתח ממשאב הורה.
  • אפשר להשתמש במפתח ייחודי: האם אפשר להשתמש במשאב במפתח ייחודי משלו, שלא הועבר בירושה ממשאב אב.
  • Can change key: האם אפשר לבחור מפתח CMEK חדש כדי להגן על המשאב בזמן העדכון שלו.
  • נתונים חדשים: האם מפתחות DEK חדשים מוצפנים באמצעות גרסת המפתח הראשית או גרסת המפתח המקורית שהייתה ראשית כש-CMEK הוגדר למשאב.
  • נתונים קיימים: האם מפתחות DEK קיימים מוצפנים מחדש באמצעות גרסת המפתח הראשית, או שהם נשארים מוצפנים באמצעות גרסת המפתח המקורית שהייתה ראשית כשמפתחי CMEK הוגדרו למשאב.
סינון לפי:

שירותים ומשאבים אפשר להעביר את המפתח בירושה אפשר להשתמש במפתח ייחודי אפשר לשנות את המפתח נתונים חדשים נתונים קיימים

Cloud Storage

  • storage.googleapis.com/Bucket
 לא כן כן שימוש בגרסה חדשה של מפתח ראשי שימוש בגרסה המקורית של המפתח

Cloud Storage

  • storage.googleapis.com/Object
 כן כן לא לא רלוונטי: אי אפשר לשנות את המשאב הזה. שימוש בגרסה המקורית של המפתח

Pub/Sub

  • pubsub.googleapis.com/Topic
 לא כן כן שימוש בגרסה חדשה של מפתח ראשי שימוש בגרסה המקורית של המפתח

המאמרים הבאים