Descripción general de Cloud Key Management Service

Cloud Key Management Service (Cloud KMS) te permite crear y administrar claves criptográficas para usarlas en servicios de Cloud de Confiance by S3NS compatibles y en tus propias aplicaciones. Con Cloud KMS, puedes hacer lo siguiente:

Elige la encriptación adecuada para tus necesidades

Puedes usar la siguiente tabla para identificar qué tipo de encriptación satisface tus necesidades en cada caso de uso. La mejor solución para tus necesidades puede incluir una combinación de enfoques de encriptación. Por ejemplo, puedes usar claves de software para los datos menos sensibles y claves externas para los datos más sensibles. Para obtener más información sobre las opciones de encriptación que se describen en esta sección, consulta Protege los datos en Cloud de Confiance by S3NS en esta página.

Tipo de encriptación Servicios compatibles Funciones
Google Cloud-powered encryption keys (Cloud de Confiance encriptación predeterminada) Todos los servicios de Cloud de Confiance que almacenan datos de clientes
  • No se requiere configuración.
  • Encripta automáticamente los datos de los clientes guardados en cualquier servicio de Cloud de Confiance by S3NS .
  • La mayoría de los servicios rotan las claves automáticamente.
  • Admite la encriptación con AES-256.
  • Validación con FIPS 140-3 de nivel 1.
Claves de encriptación administradas por el cliente: software
(claves de Cloud KMS)		 Más de 40 servicios
Claves de encriptación administradas por el cliente: externas
(claves de Cloud EKM)		 Más de 30 servicios
  • Tú controlas los roles y permisos de IAM, y habilitas, inhabilitas o destruyes las versiones de claves.
  • Las claves nunca se envían a Google.
  • El material de claves reside en un proveedor de administración de claves externas (EKM) compatible.
  • Los servicios de Cloud de Confiance compatibles se conectan a tu proveedor de EKM a través de una nube privada virtual (VPC).
  • Admite claves simétricas para la encriptación y desencriptación.
  • Rota tus claves de forma manual en coordinación con Cloud EKM y tu proveedor de EKM.
  • Validado según el nivel 2 o 3 del estándar FIPS 140-2, según el EKM.
  • Las claves son exclusivas de un cliente.
Encriptación del cliente con claves de Cloud KMS Usa bibliotecas cliente en tus aplicaciones
  • Tú controlas el programa de rotación automática de claves, los roles y permisos de IAM, y habilitas, inhabilitas o destruyes las versiones de claves.
  • Admite claves simétricas y asimétricas para la encriptación, desencriptación, firma y validación de firmas.
  • La funcionalidad varía según el nivel de protección de la clave.
Claves de encriptación proporcionadas por el cliente
  • Proporcionas materiales clave cuando es necesario.
  • El material de la clave reside en la memoria. Google no almacena tus claves de forma permanente en nuestros servidores.

Nota: Los precios varían según el tipo de encriptación y el nivel de protección. Para obtener más información, consulta los detalles de los precios que te compartió Cloud de Confiance.

Protección de datos en Cloud de Confiance by S3NS

Google Cloud-powered encryption keys (Cloud de Confiance encriptación predeterminada)

De forma predeterminada, los datos en reposo en Cloud de Confiance están protegidos por claves en Keystore,el servicio de administración de claves interno de Cloud de Confiance. Las claves en Keystore se administran automáticamente con Cloud de Confiance, sin que debas realizar ninguna configuración. La mayoría de los servicios rotan las claves automáticamente. Keystore admite una versión de clave primaria y una cantidad limitada de versiones de clave anteriores. La versión de la clave primaria se usa para encriptar claves de encriptación de datos nuevas. Las versiones de claves más antiguas se pueden seguir usando para desencriptar las claves de encriptación de datos existentes. No puedes ver ni administrar estas claves, ni revisar los registros de uso de claves. Los datos de varios clientes pueden usar la misma clave de encriptación de claves.

Esta encriptación predeterminada usa módulos criptográficos que se validan para que cumplan con el nivel 1 del estándar FIPS 140-3.

Claves de encriptación administradas por el cliente (CMEK)

Las claves de Cloud KMS que se usan para proteger tus recursos en los servicios integrados en CMEK son claves de encriptación administradas por el cliente (CMEK).

Puedes usar tus claves de Cloud KMS en servicios compatibles para ayudarte a cumplir con los siguientes objetivos:

  • Ser propietario de las claves de encriptación

  • Controlar y administrar tus claves de encriptación, incluida la elección de su ubicación, su nivel de protección, creación, control de acceso, rotación, uso y destrucción

  • Borrar de forma selectiva los datos protegidos por tus claves en caso de una desvinculación o para corregir incidentes de seguridad (destrucción criptográfica)

  • Crea claves dedicadas de usuario único que establezcan un límite criptográfico para tus datos.

  • Registrar el acceso administrativo y a los datos en las claves de encriptación

  • Cumplir con las reglamentaciones actuales o futuras que requieran cualquiera de estos objetivos

Cuando usas claves de Cloud KMS con servicios integrados en CMEK, puedes usar políticas de la organización para garantizar que las CMEK se usen como se especifica en las políticas. Por ejemplo, puedes establecer una política de la organización que garantice que tus recursos de Cloud de Confiance compatibles usen tus claves de Cloud KMS para la encriptación. Las políticas de la organización también pueden especificar en qué proyecto deben residir los recursos de claves.

Las funciones y el nivel de protección proporcionados dependen del nivel de protección de la clave:

  • Claves de software: Puedes generar claves de software en Cloud KMS y usarlas en todas las ubicaciones de Cloud de Confiance . Puedes crear claves simétricas con rotación automática o claves asimétricas con rotación manual. Las claves de software administradas por el cliente usan módulos de criptografía de software validados con el nivel 1 del estándar FIPS 140-3. También tienes control sobre el período de rotación, los roles y permisos de Identity and Access Management (IAM), y las políticas de la organización que rigen tus claves. Puedes usar tus claves de software con muchos recursos compatibles Cloud de Confiance.

  • Claves de software importadas: Puedes importar claves de software que creaste en otro lugar para usarlas en Cloud KMS. Puedes importar versiones de claves nuevas para rotar de forma manual las claves importadas. Puedes usar roles y permisos de IAM, y políticas de la organización para controlar el uso de tus claves importadas.

  • Claves externas y Cloud EKM: Puedes usar claves que residen en un administrador de claves externo (EKM). Cloud EKM te permite usar claves que se encuentran en un administrador de claves compatible para proteger tus recursos deCloud de Confiance . Te conectas a tu EKM a través de una nube privada virtual (VPC). Algunos servicios de Cloud de Confiance que admiten claves de Cloud KMS no admiten claves de Cloud EKM.

Claves de Cloud KMS

Puedes usar tus claves de Cloud KMS en aplicaciones personalizadas con las bibliotecas cliente de Cloud KMS o la API de Cloud KMS. Las bibliotecas cliente y la API te permiten encriptar y desencriptar datos, firmar datos y validar firmas.

Claves de encriptación proporcionadas por el cliente (CSEK)

Cloud Storage puede usar claves de encriptación proporcionadas por el cliente (CSEK). Con las claves de encriptación proporcionadas por el cliente, almacenas el material de la clave y lo proporcionas a Cloud Storage cuando es necesario. Cloud de Confiance no almacena tus CSEK de ninguna manera.