Cloud External Key Manager

Nesta página, você encontra uma visão geral do Cloud External Key Manager (Cloud EKM).

Terminologia

  • Gerenciador de chaves externas (EKM)

    O gerenciador de chaves usado fora do Trusted Cloud para gerenciar suas chaves.

  • Gerenciador de chaves externas do Cloud (Cloud EKM)

    Um Trusted Cloud serviço para usar chaves externas gerenciadas em um EKM compatível.

  • Cloud EKM por uma VPC

    Uma versão do Cloud EKM em que Trusted Cloud se comunica com seu gerenciador de chaves externo por uma nuvem privada virtual (VPC). Para mais informações, consulte Visão geral da rede VPC.

  • Gerenciamento de chaves do EKM no Cloud KMS

    Suas chaves usam o modo de gerenciamento do EKM do Cloud KMS para simplificar o processo de manutenção de chaves externas no seu parceiro de gerenciamento de chaves externas e no Cloud EKM. Para mais informações, consulte Chaves externas coordenadas e Gerenciamento de chaves do EKM no Cloud KMS nesta página.

  • Crypto Space

    Um contêiner para seus recursos no parceiro de gerenciamento de chaves externas. Seu crypto space é identificado por um caminho exclusivo. O formato do caminho do espaço criptográfico varia de acordo com o parceiro externo de gerenciamento de chaves. Por exemplo, v0/cryptospaces/YOUR_UNIQUE_PATH.

  • EKM gerenciado pelo parceiro

    Um acordo em que seu EKM é gerenciado por um parceiro de confiança. Para mais informações, consulte EKM gerenciado pelo parceiro nesta página.

Visão geral

Com o Cloud EKM, você usa chaves gerenciadas em um parceiro externo de gerenciamento de chaves com suporte para proteger os dados em Trusted Cloud. É possível proteger os dados em repouso em serviços com suporte de integração de CMEKs ou chamando a API Cloud Key Management Service diretamente.

O Cloud EKM oferece vários benefícios:

  • Proveniência da chave:você controla a localização e a distribuição das suas chaves gerenciadas externamente. As chaves gerenciadas externamente nunca são armazenadas em cache ou da maneira convencional no Trusted Cloud. Em vez disso, o Cloud EKM se comunica diretamente com o parceiro de gerenciamento de chaves externas para cada solicitação.

  • Controle de acesso:você gerencia o acesso às chaves gerenciadas externamente no gerenciador de chaves externo. Não é possível usar uma chave gerenciada externamente em Trusted Cloud sem primeiro conceder ao projeto Trusted Cloud acesso à chave no gerenciador de chaves externo. Você pode revogar esse acesso a qualquer momento.

  • Gerenciamento centralizado de chaves:você pode gerenciar suas chaves e políticas de acesso em uma única interface do usuário, independentemente de os dados protegidos residirem na nuvem ou nas suas instalações.

Em todos os casos, a chave reside no sistema externo e nunca é enviada ao Google.

Você se comunica com o gerenciador de chaves externo em uma nuvem privada virtual (VPC).

Como o Cloud EKM funciona

As versões de chave do Cloud EKM consistem nestas partes:

  • Material de chave externa: o material de chave externa de uma chave do Cloud EKM é um material criptográfico criado e armazenado no seu EKM. Esse material não sai do seu EKM e nunca é compartilhado com o Google.
  • Referência de chave: cada versão de chave do Cloud EKM contém um URI ou um caminho de chave. É um identificador exclusivo do material de chave externa que o Cloud EKM usa ao solicitar operações criptográficas com a chave.
  • Material de chave interna: quando uma chave simétrica do Cloud EKM é criada, o Cloud KMS cria outro material de chave no Cloud KMS, que nunca sai dele. Esse material de chave é usado como uma camada extra de criptografia ao se comunicar com seu EKM. Esse material de chave interna não se aplica a chaves de assinatura assimétricas.

Para usar as chaves do Cloud EKM, o serviço envia solicitações de operações criptográficas ao seu EKM. Por exemplo, para criptografar dados com uma chave de criptografia simétrica, o Cloud EKM primeiro criptografa os dados usando o material de chave interna. Os dados criptografados são incluídos em uma solicitação para o EKM. O EKM une os dados criptografados em outra camada de criptografia usando o material de chave externa e retorna o texto cifrado resultante. Os dados criptografados com uma chave do Cloud EKM não podem ser descriptografados sem o material da chave externa e o material da chave interna.

A criação e o gerenciamento de chaves do Cloud EKM exigem mudanças correspondentes no Cloud KMS e no EKM. Como suas chaves são externas coordenadas, essas mudanças correspondentes são processadas para você usando o plano de controle do Cloud EKM. Para mais informações, consulte Chaves externas coordenadas nesta página.

O diagrama a seguir mostra como o Cloud KMS se encaixa no modelo de gerenciamento de chaves. O diagrama usa o Compute Engine e o BigQuery como exemplos. Confira também a lista completa de serviços com suporte às chaves do Cloud EKM.

Diagrama ilustrando criptografia e descriptografia com o Cloud EKM

Saiba mais sobre as considerações e as restrições ao usar o Cloud EKM.

Chaves externas coordenadas

Nesta seção, fornecemos uma visão geral de como o Cloud EKM funciona com chaves externas coordenadas.

  1. Configure uma conexão do EKM, definindo o modo de gerenciamento do EKM como Cloud KMS. Durante a configuração, você precisa autorizar o EKM a acessar a rede VPC e a conta de serviço do projeto Trusted Cloud para acessar o espaço criptografado no EKM. Sua conexão EKM usa o nome do host do EKM e um caminho do espaço criptográfico que identifica seus recursos no EKM.

  2. Você cria uma chave externa no Cloud KMS. Quando você cria uma chave do Cloud EKM usando uma conexão EKM por VPC com o modo de gerenciamento do EKM do Cloud KMS ativado, as seguintes etapas são realizadas automaticamente:

    1. O Cloud EKM envia uma solicitação de criação de chave ao seu EKM.
    2. O EKM cria o material de chave solicitado. Esse material de chave externa permanece no EKM e nunca é enviado ao Google.
    3. Seu EKM retorna um caminho de chave para o Cloud EKM.
    4. O Cloud EKM cria a versão da chave usando o caminho fornecido pelo EKM.

  3. As operações de manutenção em chaves externas coordenadas podem ser iniciadas no Cloud KMS. Por exemplo, chaves externas coordenadas usadas para criptografia simétrica podem ser alternadas automaticamente em uma programação definida. A criação de novas versões de chave é coordenada no EKM pelo Cloud EKM. Também é possível acionar a criação ou destruição de versões de chaves no EKM pelo Cloud KMS usando o consoleTrusted Cloud , a CLI gcloud, a API do Cloud KMS ou as bibliotecas de cliente do Cloud KMS.

Em Trusted Cloud, a chave aparece ao lado das outras chaves do Cloud KMS e do Cloud HSM, com nível de proteção EXTERNAL_VPC. As chaves do Cloud EKM e do parceiro de gerenciamento de chaves externas trabalham juntas para proteger seus dados. O material da chave externa nunca é exposto ao Google.

Gerenciamento de chaves do EKM no Cloud KMS

As chaves externas coordenadas são possíveis graças às conexões do EKM que usam o gerenciamento de chaves do EKM no Cloud KMS. Se o EKM for compatível com o plano de controle do Cloud EKM, será possível ativar o gerenciamento de chaves do EKM no Cloud KMS para que as conexões do EKM criem chaves externas coordenadas. Com o gerenciamento de chaves do EKM do Cloud KMS ativado, o Cloud EKM pode solicitar as seguintes mudanças no seu EKM:

  • Criar uma chave: quando você cria uma chave gerenciada externamente no Cloud KMS usando uma conexão EKM compatível, o Cloud EKM envia sua solicitação de criação de chave ao EKM. Quando bem-sucedido, o EKM cria a nova chave e o material da chave e retorna o caminho da chave para o Cloud EKM usar no acesso.

  • Fazer a rotação de uma chave: quando você faz a rotação de uma chave gerenciada externamente no Cloud KMS usando uma conexão EKM compatível, o Cloud EKM envia sua solicitação de rotação para o EKM. Se a operação for bem-sucedida, o EKM vai criar um novo material de chave e retornar o caminho da chave para o Cloud EKM usar e acessar a nova versão da chave.

  • Destruir uma chave: quando você destrói uma versão de chave para uma chave gerenciada externamente no Cloud KMS usando uma conexão EKM compatível, o Cloud KMS programa a versão da chave para destruição no Cloud KMS. Se a versão da chave não for restaurada antes do fim do período programado para destruição, o Cloud EKM vai destruir a parte dele do material criptográfico da chave e enviar uma solicitação de destruição ao seu EKM.

    Os dados criptografados com essa versão da chave não poderão ser descriptografados depois que ela for destruída no Cloud KMS, mesmo que o EKM ainda não tenha feito isso. Para verificar se o EKM destruiu a versão da chave, consulte os detalhes dela no Cloud KMS.

Quando as chaves no EKM são gerenciadas pelo Cloud KMS, o material de chave ainda reside no EKM. O Google não pode fazer solicitações de gerenciamento de chaves ao seu EKM sem permissão explícita. O Google não pode mudar as permissões no seu sistema de parceiro de gerenciamento de chaves externas. Se você revogar as permissões do Google no EKM, as operações de gerenciamento de chaves tentadas no Cloud KMS vão falhar.

Compatibilidade

Gerentes de chave compatíveis

É possível armazenar chaves externas nos seguintes sistemas de parceiros de gerenciamento de chaves externas:

Serviços que oferecem suporte a CMEK com o Cloud EKM

Os seguintes serviços são compatíveis com a integração ao Cloud KMS para chaves externas (Cloud EKM):

Considerações

  • Quando você usa uma chave do Cloud EKM, o Google não tem controle sobre a disponibilidade da sua chave gerenciada externamente no sistema de parceiros de gerenciamento de chaves externas. Se você perder chaves gerenciadas fora do Trusted Cloud, o Google não poderá recuperar seus dados.

  • Consulte as diretrizes sobre regiões e parceiros de gerenciamento de chaves externas ao escolher os locais das chaves do Cloud EKM.

  • A comunicação com um serviço externo pela Internet pode levar a problemas de confiabilidade, disponibilidade e latência. Para aplicativos com baixa tolerância a esses tipos de risco, considere usar o Cloud HSM ou o Cloud KMS para armazenar seu material de chave.

    • Se uma chave externa não estiver disponível, o Cloud KMS retornará um erro FAILED_PRECONDITION e fornecerá detalhes no detalhe do erro PreconditionFailure.

      Ative a geração de registros de auditoria de dados para manter um registro de todos os erros relacionados ao Cloud EKM. As mensagens de erro contêm informações detalhadas para ajudar a identificar a origem do erro. Um exemplo de erro comum é quando um parceiro de gerenciamento de chaves externas não responde a uma solicitação dentro de um prazo razoável.

    • Você precisa de um contrato de suporte com o parceiro externo de gerenciamento de chaves. O suporte doTrusted Cloud só pode ajudar com problemas nos serviços do Trusted Cloud e não pode ajudar diretamente com problemas em sistemas externos. Às vezes, é necessário trabalhar com o suporte em ambos os lados para solucionar problemas de interoperabilidade.

  • O Cloud EKM pode ser usado com o HSM de rack Bare Metal para criar uma solução de HSM de locatário único integrada ao Cloud KMS. Para saber mais, escolha um parceiro do Cloud EKM que ofereça suporte a HSMs de locatário único e consulte os requisitos para HSMs de rack bare metal.

  • Ative o registro de auditoria no gerenciador de chaves externas para capturar o acesso e o uso das chaves do EKM.

Restrições

  • Quando você cria uma chave do Cloud EKM usando a API ou a Google Cloud CLI, ela não pode ter uma versão de chave inicial. Isso não se aplica às chaves do Cloud EKM criadas usando oTrusted Cloud console
  • As operações do Cloud EKM estão sujeitas a cotas específicas, além das cotas nas operações do Cloud KMS.

Chaves de criptografia simétricas

Chaves de assinatura assimétricas

EKM gerenciado pelo parceiro

Com o EKM gerenciado por parceiros, você usa o Cloud EKM por um parceiro soberano confiável que gerencia seu sistema de EKM. Com o EKM gerenciado pelo parceiro, ele cria e gerencia as chaves que você usa no Cloud EKM. O parceiro garante que seu EKM esteja em conformidade com os requisitos de soberania.

Quando você faz a integração com seu parceiro soberano, ele provisiona recursos no Trusted Cloud e no EKM. Esses recursos incluem um projeto do Cloud KMS para gerenciar as chaves do Cloud EKM e uma conexão do EKM configurada para o gerenciamento de chaves do EKM no Cloud KMS. O parceiro cria recursos em locais Trusted Cloud de acordo com seus requisitos de residência de dados.

Cada chave do Cloud EKM inclui metadados do Cloud KMS, que permitem que o Cloud EKM envie solicitações ao seu EKM para realizar operações criptográficas usando o material de chave externa que nunca sai do EKM. As chaves simétricas do Cloud EKM também incluem material de chave interna do Cloud KMS que nunca sai do Trusted Cloud. Para mais informações sobre os lados interno e externo das chaves do Cloud EKM, consulte Como o Cloud EKM funciona nesta página.

Para mais informações sobre o EKM gerenciado pelo parceiro, consulte Configurar o Cloud KMS gerenciado pelo parceiro.

A seguir