Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Panoramica di Cloud Key Management Service

Cloud Key Management Service (Cloud KMS) consente di creare e gestire le chiavi di crittografia da utilizzare nei servizi Cloud de Confiance by S3NS compatibili e nelle tue applicazioni. Con Cloud KMS puoi:

Genera chiavi software, importa chiavi esistenti in Cloud KMS o collega chiavi esterne nel tuo sistema di gestione delle chiavi esterne (EKM) compatibile.
Utilizza le chiavi di crittografia gestite dal cliente (CMEK) nei prodotti Cloud de Confiancecon integrazione CMEK. Le integrazioni CMEK utilizzano le chiavi Cloud KMS per criptare o "aggregare" le chiavi di crittografia dei dati (DEK). L'aggregazione delle DEK con le chiavi di crittografia delle chiavi (KEK) è chiamata crittografia envelope.
Utilizza le chiavi Cloud KMS per le operazioni di crittografia e decriptazione. Ad esempio, puoi utilizzare l'API Cloud KMS o le librerie client per utilizzare le chiavi Cloud KMS per la crittografia lato client.
Utilizza le chiavi Cloud KMS per creare o verificare firme digitali o firme di codici di autenticazione dei messaggi (MAC).
Utilizza le chiavi Cloud KMS per stabilire secret condivisi utilizzando i meccanismi di incapsulamento delle chiavi.

Scegli la crittografia giusta per le tue esigenze

Puoi utilizzare la seguente tabella per identificare il tipo di crittografia che soddisfa le tue esigenze per ogni caso d'uso. La soluzione migliore per le tue esigenze potrebbe includere una combinazione di approcci di crittografia. Ad esempio, potresti utilizzare chiavi software per i dati meno sensibili e chiavi esterne per i dati più sensibili. Per ulteriori informazioni sulle opzioni di crittografia descritte in questa sezione, consulta Protezione dei dati in Cloud de Confiance by S3NS in questa pagina.

Tipo di crittografia	Servizi compatibili	Funzionalità
Google Cloud-powered encryption keys (Cloud de Confiance crittografia predefinita)	Tutti i servizi Cloud de Confiance che archiviano i dati dei clienti	Nessuna configurazione richiesta. Cripta automaticamente i dati dei clienti salvati in qualsiasi servizio Cloud de Confiance by S3NS . La maggior parte dei servizi ruota le chiavi automaticamente. Supporta la crittografia con AES-256. Convalida FIPS 140-3 Livello 1.
Chiavi di crittografia gestite dal cliente - software (chiavi Cloud KMS)	Oltre 40 servizi	Puoi controllare la pianificazione della rotazione automatica delle chiavi, i ruoli e le autorizzazioni IAM, nonché abilitare, disabilitare o eliminare le versioni delle chiavi. Supporta chiavi simmetriche e asimmetriche per la crittografia e la decrittografia. Ruota automaticamente le chiavi simmetriche. Supporta diversi algoritmi comuni. Convalida FIPS 140-3 Livello 1. Le chiavi sono univoche per un cliente.
Chiavi di crittografia gestite dal cliente - esterne (chiavi Cloud EKM)	Oltre 30 servizi	Controlli i ruoli e le autorizzazioni IAM, abiliti, disabiliti o elimini le versioni delle chiavi. Le chiavi non vengono mai inviate a Google. Il materiale della chiave si trova in un provider di gestione delle chiavi esterne (EKM) compatibile. I servizi Cloud de Confiance compatibili si connettono al tuo provider EKM tramite un Virtual Private Cloud (VPC). Supporta le chiavi simmetriche per la crittografia e la decrittografia. Ruota manualmente le chiavi in coordinamento con Cloud EKM e il tuo provider EKM. Convalida FIPS 140-2 Livello 2 o FIPS 140-2 Livello 3, a seconda dell'EKM. Le chiavi sono univoche per un cliente.
Crittografia lato client con chiavi Cloud KMS	Utilizza le librerie client nelle tue applicazioni	Puoi controllare la pianificazione della rotazione automatica delle chiavi, i ruoli e le autorizzazioni IAM, nonché abilitare, disabilitare o eliminare le versioni delle chiavi. Supporta chiavi simmetriche e asimmetriche per crittografia, decriptazione, firma e convalida della firma. La funzionalità varia in base al livello di protezione della chiave.
Chiavi di crittografia fornite dal cliente	Cloud Storage	Sei tu a fornire i materiali chiave quando necessario. Il materiale della chiave si trova in memoria: Google non archivia in modo permanente le tue chiavi sui nostri server.

Nota: i prezzi variano in base al tipo di crittografia e al livello di protezione. Per ulteriori informazioni, consulta i dettagli dei prezzi condivisi con te da Cloud de Confiance.

Protezione dei dati in Cloud de Confiance by S3NS

Google Cloud-powered encryption keys (Cloud de Confiance crittografia predefinita)

Per impostazione predefinita, i dati at-rest in Cloud de Confiance sono protetti da chiavi in Keystore,il Key Management Service interno di Cloud de Confiance. Le chiavi in Keystore vengono gestite automaticamente da Cloud de Confiance, senza che sia necessaria alcuna configurazione da parte tua. La maggior parte dei servizi ruota automaticamente le chiavi per te. Keystore supporta una versione chiave primaria e un numero limitato di versioni precedenti della chiave. La versione della chiave primaria viene utilizzata per criptare le nuove chiavi di crittografia dei dati. Le versioni precedenti della chiave possono comunque essere utilizzate per decriptare le chiavi di crittografia dei dati esistenti. Non puoi visualizzare o gestire queste chiavi né esaminare i log di utilizzo delle chiavi. I dati di più clienti potrebbero utilizzare la stessa chiave di crittografia della chiave.

Questa crittografia predefinita utilizza moduli crittografici convalidati per essere conformi allo standard FIPS 140-3 livello 1.

Chiavi di crittografia gestite dal cliente (CMEK)

Le chiavi Cloud KMS utilizzate per proteggere le risorse nei servizi integrati con CMEK sono chiavi di crittografia gestite dal cliente (CMEK).

Puoi utilizzare le chiavi Cloud KMS nei servizi compatibili per raggiungere i seguenti obiettivi:

Possiedi le tue chiavi di crittografia.
Controlla e gestisci le tue chiavi di crittografia, inclusa la scelta della località, del livello di protezione, della creazione, controllo dell'accesso, della rotazione, dell'utilizzo e della distruzione.
Elimina in modo selettivo i dati protetti dalle tue chiavi in caso di offboarding o per rimediare a eventi di sicurezza (crypto-shredding).
Crea chiavi single-tenant dedicate che stabiliscono un confine crittografico attorno ai tuoi dati.
Registra l'accesso amministrativo e ai dati per le chiavi di crittografia.
Soddisfare le normative attuali o future che richiedono uno di questi obiettivi.

Quando utilizzi le chiavi Cloud KMS con i servizi integrati con CMEK, puoi utilizzare le policy dell'organizzazione per assicurarti che le CMEK vengano utilizzate come specificato nelle policy. Ad esempio, puoi impostare una policy dell'organizzazione che garantisca che le tue risorse Cloud de Confiance compatibili utilizzino le tue chiavi Cloud KMS per la crittografia. Le policy dell'organizzazione possono anche specificare in quale progetto devono risiedere le risorse della chiave.

Le funzionalità e il livello di protezione forniti dipendono dal livello di protezione della chiave:

Chiavi software: puoi generare chiavi software in Cloud KMS e utilizzarle in tutte le località Cloud de Confiance . Puoi creare chiavi simmetriche con rotazione automatica o chiavi asimmetriche con rotazione manuale. Le chiavi software gestite dal cliente utilizzano moduli di crittografia software convalidati FIPS 140-3 livello 1. Hai anche il controllo sul periodo di rotazione, sui ruoli e sulle autorizzazioni di Identity and Access Management (IAM) e sulle policy dell'organizzazione che regolano le tue chiavi. Puoi utilizzare le tue chiavi software con molte risorse compatibili Cloud de Confiance.
Chiavi software importate: puoi importare chiavi software create altrove per utilizzarle in Cloud KMS. Puoi importare nuove versioni delle chiavi per ruotare manualmente le chiavi importate. Puoi utilizzare i ruoli e le autorizzazioni IAM e le policy dell'organizzazione per gestire l'utilizzo delle chiavi importate.
Chiavi esterne e Cloud EKM: puoi utilizzare le chiavi che risiedono in un gestore di chiavi esterno (EKM). Cloud EKM ti consente di utilizzare le chiavi conservate in un gestore delle chiavi supportato per proteggere le tue risorseCloud de Confiance . La connessione all'EKM avviene tramite un Virtual Private Cloud (VPC). Alcuni Cloud de Confiance servizi che supportano le chiavi Cloud KMS non supportano le chiavi Cloud EKM.

Chiavi Cloud KMS

Puoi utilizzare le tue chiavi Cloud KMS in applicazioni personalizzate utilizzando le librerie client di Cloud KMS o l'API Cloud KMS. Le librerie client e l'API consentono di criptare e decriptare i dati, firmarli e convalidare le firme.

Chiavi di crittografia fornite dal cliente (CSEK)

Cloud Storage può utilizzare chiavi di crittografia fornite dal cliente (CSEK). Con le chiavi di crittografia fornite dal cliente, memorizzi il materiale della chiave e lo fornisci a Cloud Storage quando necessario. Cloud de Confiance non memorizza in alcun modo le tue CSEK.