Cloud Key Management Service (Cloud KMS) 可讓您建立及管理加密編譯金鑰，以便在相容的 Cloud de Confiance by S3NS 服務和您自己的應用程式中使用。Cloud KMS 可讓您執行下列操作：
- 生成軟體金鑰、將現有金鑰匯入 Cloud KMS，或在相容的外部金鑰管理 (EKM) 系統中連結外部金鑰。
- 在 Cloud de Confiance產品中使用整合 CMEK 的客戶自行管理加密金鑰 (CMEK)。CMEK 整合功能會使用 Cloud KMS 金鑰加密或「包裝」資料加密金鑰 (DEK)。使用金鑰加密金鑰 (KEK) 封裝 DEK 的做法稱為信封式加密。
- 使用 Cloud KMS 金鑰執行加密和解密作業。舉例來說，您可以使用 Cloud KMS API 或用戶端程式庫，將 Cloud KMS 金鑰用於用戶端加密。
- 使用 Cloud KMS 金鑰建立或驗證數位簽章或訊息驗證碼 (MAC) 簽章。
- 使用 Cloud KMS 金鑰，透過金鑰封裝機制建立共用密鑰。
選擇符合需求的加密方式
您可以參考下表，判斷哪種加密類型符合各個用途的需求。最符合您需求的解決方案可能包含多種加密方法。 舉例來說，您可以使用軟體金鑰保護最不敏感的資料，並使用外部金鑰保護最敏感的資料。 如要進一步瞭解本節所述的加密選項，請參閱本頁的「保護 Cloud de Confiance by S3NS中的資料」一節。
| 加密類型 | 相容服務 | 功能與特色 |
|---|---|---|
| Google Cloud-powered encryption keys (Cloud de Confiance 預設加密) | 所有儲存客戶資料的 Cloud de Confiance 服務 |
|
| 客戶自行管理的加密金鑰 - 軟體 (Cloud KMS 金鑰) |
40 多項 服務 | |
| 客戶自行管理的加密金鑰 - 外部 (Cloud EKM 金鑰) |
超過 30 項 服務 |
|
| 使用 Cloud KMS 金鑰進行用戶端加密 | 在應用程式中使用用戶端程式庫 |
|
| 客戶提供的加密金鑰 |
|
注意：價格因加密類型和保護層級而異。如要瞭解詳情，請參閱 Cloud de Confiance提供的定價詳細資料。
保護 Cloud de Confiance by S3NS中的資料
Google Cloud-powered encryption keys (Cloud de Confiance 預設加密)
根據預設， Cloud de Confiance 中的靜態資料會受到 Keystore ( Cloud de Confiance的內部金鑰管理服務) 中的金鑰保護。Keystore 中的金鑰會由 Cloud de Confiance自動管理，您不需要進行任何設定。大多數服務會自動為您輪替金鑰。Keystore 支援主要金鑰版本和有限數量的舊版金鑰。主要金鑰版本用於加密新的資料加密金鑰。舊版金鑰仍可用於解密現有的資料加密金鑰。您無法查看或管理這些金鑰，也無法查看金鑰使用記錄。多位客戶的資料可能使用相同的金鑰加密金鑰。
這項預設加密機制使用的加密編譯模組，已通過驗證，符合 FIPS 140-3 第 1 級標準。
客戶自行管理的加密金鑰 (CMEK)
用於保護 CMEK 整合服務中資源的 Cloud KMS 金鑰，就是客戶自行管理的加密金鑰 (CMEK)。
您可以在相容服務中使用 Cloud KMS 金鑰，達成下列目標：
擁有加密金鑰。
控管及管理加密金鑰，包括選擇位置、保護等級、建立、存取控管、輪替、使用和銷毀。
在員工離職或需要修復安全性事件時，選擇性刪除受金鑰保護的資料 (加密碎紙)。
建立專屬的單一租戶金鑰，為資料建立密碼編譯邊界。
符合現行或未來法規，要求達成上述任一目標。
搭配整合 CMEK 的服務使用 Cloud KMS 金鑰時，您可以透過組織政策，確保 CMEK 按照政策規定使用。舉例來說，您可以設定組織政策，確保相容的 Cloud de Confiance 資源使用 Cloud KMS 金鑰加密。組織政策也可以指定金鑰資源必須位於哪個專案。
提供的功能和保護層級取決於金鑰的保護層級：
軟體金鑰：您可以在 Cloud KMS 中產生軟體金鑰，並在所有 Cloud de Confiance 位置使用。您可以建立自動輪替的對稱金鑰，或手動輪替的非對稱金鑰。客戶自行管理的軟體金鑰使用 FIPS 140-3 第 1 級驗證的軟體密碼編譯模組。您也可以控管輪替週期、Identity and Access Management (IAM) 角色和權限，以及管理金鑰的組織政策。軟體金鑰可與許多相容 Cloud de Confiance資源搭配使用。
匯入的軟體金鑰：您可以匯入在其他位置建立的軟體金鑰，以便在 Cloud KMS 中使用。您可以匯入新的金鑰版本，手動輪替匯入的金鑰。您可以使用 IAM 角色、權限和組織政策，控管匯入金鑰的使用情形。
外部金鑰和 Cloud EKM：您可以使用位於外部金鑰管理工具 (EKM) 中的金鑰。Cloud EKM 可讓您使用支援的金鑰管理工具中保存的金鑰，保護Cloud de Confiance 資源。 您會透過虛擬私有雲 (VPC) 連線至 EKM。 部分 Cloud de Confiance 支援 Cloud KMS 金鑰的服務不支援 Cloud EKM 金鑰。
Cloud KMS 金鑰
您可以使用 Cloud KMS 用戶端程式庫或 Cloud KMS API，在自訂應用程式中使用 Cloud KMS 金鑰。用戶端程式庫和 API 可讓您加密及解密資料、簽署資料，以及驗證簽章。