Cloud Key Management Service (Cloud KMS) memungkinkan Anda membuat dan mengelola kunci kriptografis untuk digunakan di layanan Cloud de Confiance by S3NS yang kompatibel dan di aplikasi Anda sendiri. Dengan menggunakan Cloud KMS, Anda dapat melakukan hal berikut:
- Buat kunci software, impor kunci yang ada ke Cloud KMS, atau tautkan kunci eksternal di sistem pengelolaan kunci eksternal (EKM) yang kompatibel.
- Gunakan kunci enkripsi yang dikelola pelanggan (CMEK) di produk Cloud de Confiance dengan integrasi CMEK. Integrasi CMEK menggunakan kunci Cloud KMS Anda untuk mengenkripsi atau "menggabungkan" kunci enkripsi data (DEK) Anda. Menggabungkan DEK dengan kunci enkripsi kunci (KEK) disebut enkripsi menyeluruh.
- Menggunakan kunci Cloud KMS untuk operasi enkripsi dan dekripsi. Misalnya, Anda dapat menggunakan Cloud KMS API atau library klien untuk menggunakan kunci Cloud KMS Anda untuk enkripsi sisi klien.
- Gunakan kunci Cloud KMS untuk membuat atau memverifikasi tanda tangan digital atau tanda tangan kode autentikasi pesan (MAC).
- Gunakan kunci Cloud KMS untuk membuat rahasia bersama menggunakan mekanisme enkapsulasi kunci.
Memilih enkripsi yang tepat untuk kebutuhan Anda
Anda dapat menggunakan tabel berikut untuk mengidentifikasi jenis enkripsi yang memenuhi kebutuhan Anda untuk setiap kasus penggunaan. Solusi terbaik untuk kebutuhan Anda mungkin mencakup kombinasi pendekatan enkripsi. Misalnya, Anda dapat menggunakan kunci software untuk data yang paling tidak sensitif dan kunci eksternal untuk data yang paling sensitif. Untuk mengetahui informasi tambahan tentang opsi enkripsi yang dijelaskan di bagian ini, lihat Melindungi data di Cloud de Confiance by S3NS di halaman ini.
| Jenis enkripsi | Layanan yang kompatibel | Fitur |
|---|---|---|
| Google Cloud-powered encryption keys (Cloud de Confiance enkripsi default) | Semua layanan Cloud de Confiance yang menyimpan data pelanggan |
|
| Kunci enkripsi yang dikelola pelanggan - software (kunci Cloud KMS) |
40+ layanan |
|
| Kunci enkripsi yang dikelola pelanggan - eksternal (Kunci Cloud EKM) |
30+ layanan |
|
| Enkripsi sisi klien menggunakan kunci Cloud KMS | Menggunakan library klien di aplikasi Anda |
|
| Kunci enkripsi yang disediakan pelanggan |
|
Catatan: Harga bervariasi berdasarkan jenis enkripsi dan tingkat perlindungan. Untuk mengetahui informasi selengkapnya, lihat detail harga yang dibagikan kepada Anda oleh Cloud de Confiance.
Melindungi data di Cloud de Confiance by S3NS
Google Cloud-powered encryption keys (Cloud de Confiance enkripsi default)
Secara default, data dalam penyimpanan di Cloud de Confiance dilindungi oleh kunci di Keystore,layanan pengelolaan kunci internal Cloud de Confiance. Kunci di Keystore dikelola secara otomatis oleh Cloud de Confiance, tanpa perlu konfigurasi dari Anda. Sebagian besar layanan otomatis merotasi kunci untuk Anda. Keystore mendukung versi kunci utama dan sejumlah versi kunci lama yang terbatas. Versi kunci utama digunakan untuk mengenkripsi kunci enkripsi data baru. Versi kunci yang lebih lama masih dapat digunakan untuk mendekripsi kunci enkripsi data yang ada. Anda tidak dapat melihat atau mengelola kunci ini atau meninjau log penggunaan kunci. Data dari beberapa pelanggan mungkin menggunakan kunci enkripsi kunci yang sama.
Enkripsi default ini menggunakan modul kriptografis yang divalidasi agar mematuhi FIPS 140-3 Level 1.
Kunci enkripsi yang dikelola pelanggan (CMEK)
Kunci Cloud KMS yang digunakan untuk melindungi resource Anda di layanan yang terintegrasi dengan CMEK adalah kunci enkripsi yang dikelola pelanggan (CMEK).
Anda dapat menggunakan kunci Cloud KMS di layanan yang kompatibel untuk membantu Anda mencapai tujuan berikut:
Miliki kunci enkripsi Anda sendiri.
Kontrol dan kelola kunci enkripsi Anda, termasuk pilihan lokasi, tingkat perlindungan, pembuatan, kontrol akses, rotasi, penggunaan, dan penghancuran.
Menghapus data yang dilindungi oleh kunci Anda secara selektif jika terjadi off-boarding atau untuk memulihkan peristiwa keamanan (crypto-shredding).
Buat kunci khusus tenant tunggal yang menetapkan batas kriptografis di sekitar data Anda.
Mencatat akses administratif dan data ke kunci enkripsi.
Memenuhi peraturan saat ini atau mendatang yang memerlukan salah satu sasaran ini.
Saat menggunakan kunci Cloud KMS dengan layanan yang terintegrasi dengan CMEK, Anda dapat menggunakan kebijakan organisasi untuk memastikan bahwa CMEK digunakan sebagaimana ditentukan dalam kebijakan. Misalnya, Anda dapat menetapkan kebijakan organisasi yang memastikan bahwa resource Cloud de Confiance yang kompatibel menggunakan kunci Cloud KMS Anda untuk enkripsi. Kebijakan organisasi juga dapat menentukan project tempat resource kunci harus berada.
Fitur dan tingkat perlindungan yang diberikan bergantung pada tingkat perlindungan kunci:
Kunci software - Anda dapat membuat kunci software di Cloud KMS dan menggunakannya di semua lokasi Cloud de Confiance . Anda dapat membuat kunci simetris dengan rotasi otomatis atau kunci asimetris dengan rotasi manual. Kunci software yang dikelola pelanggan menggunakan modul kriptografi software yang divalidasi FIPS 140-3 Level 1. Anda juga memiliki kontrol atas periode rotasi, peran dan izin Identity and Access Management (IAM), serta kebijakan organisasi yang mengatur kunci Anda. Anda dapat menggunakan kunci software dengan banyak resource yang kompatibel Cloud de Confiance.
Kunci software yang diimpor - Anda dapat mengimpor kunci software yang Anda buat di tempat lain untuk digunakan di Cloud KMS. Anda dapat mengimpor versi kunci baru untuk merotasi kunci yang diimpor secara manual. Anda dapat menggunakan peran dan izin IAM serta kebijakan organisasi untuk mengatur penggunaan kunci yang diimpor.
Kunci eksternal dan Cloud EKM - Anda dapat menggunakan kunci yang berada di pengelola kunci eksternal (EKM). Dengan Cloud EKM, Anda dapat menggunakan kunci yang disimpan di pengelola kunci yang didukung untuk mengamankan resourceCloud de Confiance Anda. Anda terhubung ke EKM melalui Virtual Private Cloud (VPC). Beberapa Cloud de Confiance layanan yang mendukung kunci Cloud KMS tidak mendukung kunci Cloud EKM.
Kunci Cloud KMS
Anda dapat menggunakan kunci Cloud KMS di aplikasi kustom menggunakan library klien Cloud KMS atau Cloud KMS API. Library klien dan API memungkinkan Anda mengenkripsi dan mendekripsi data, menandatangani data, serta memvalidasi tanda tangan.