O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Visão geral do Cloud Key Management Service

O Cloud Key Management Service (Cloud KMS) permite criar e gerenciar chaves criptográficas para uso em serviços compatíveis do Cloud de Confiance by S3NS e nos seus próprios aplicativos. Com o Cloud KMS, é possível fazer o seguinte:

Gere chaves de software, importe chaves atuais para o Cloud KMS ou vincule chaves externas no seu sistema de gerenciamento de chaves externas (EKM) compatível.
Use chaves de criptografia gerenciadas pelo cliente (CMEKs) em produtos do Cloud de Confiance com integração com CMEK. As integrações de CMEK usam as chaves do Cloud KMS para criptografar ou "encapsular" as chaves de criptografia de dados (DEKs). O encapsulamento de DEKs com chaves de criptografia de chaves (KEKs) é chamado de criptografia de envelope.
Use as chaves do Cloud KMS para operações de criptografia e descriptografia. Por exemplo, é possível usar a API Cloud KMS ou as bibliotecas de cliente para usar as chaves do Cloud KMS para criptografia do lado do cliente.
Use as chaves do Cloud KMS para criar ou verificar assinaturas digitais ou assinaturas de código de autenticação de mensagem (MAC).
Use as chaves do Cloud KMS para estabelecer secrets compartilhados usando mecanismos de encapsulamento de chaves.

Escolha a criptografia certa para suas necessidades

Use a tabela a seguir para identificar qual tipo de criptografia atende às suas necessidades em cada caso de uso. A melhor solução para suas necessidades pode incluir uma combinação de abordagens de criptografia. Por exemplo, é possível usar chaves de software para os dados menos sensíveis e chaves externas para os dados mais sensíveis. Para mais informações sobre as opções de criptografia descritas nesta seção, consulte Como proteger dados no Cloud de Confiance by S3NS nesta página.

Tipo de criptografia	Serviços compatíveis	Recursos
Google Cloud-powered encryption keys (Cloud de Confiance criptografia padrão)	Todos os serviços do Cloud de Confiance que armazenam dados do cliente	Não é necessário configurar. Criptografa automaticamente os dados do cliente salvos em qualquer serviço do Cloud de Confiance by S3NS . A maioria dos serviços faz a rotação automática das chaves. Aceita criptografia com AES-256. Validação FIPS 140-3 nível 1.
Chaves de criptografia gerenciadas pelo cliente: software (chaves do Cloud KMS)	Mais de 40 serviços	Você controla a programação de rotação automática de chaves, os papéis e as permissões do IAM, além de ativar, desativar ou destruir versões de chaves. Suporta chaves simétricas e assimétricas para criptografia e descriptografia. Alterna automaticamente as chaves simétricas. Oferece suporte a vários algoritmos comuns. Validação FIPS 140-3 nível 1. As chaves são exclusivas para um cliente.
Chaves de criptografia gerenciadas pelo cliente: externas (chaves do Cloud EKM)	Mais de 30 serviços	Você controla os papéis e as permissões do IAM, além de ativar, desativar ou destruir versões de chaves. As chaves nunca são enviadas ao Google. O material da chave reside em um provedor de gerenciamento de chaves externas (EKM) compatível. Os serviços compatíveis Cloud de Confiance se conectam ao seu provedor de EKM por uma nuvem privada virtual (VPC). Suporta chaves simétricas para criptografia e descriptografia. Faça a rotação manual das chaves em coordenação com o Cloud EKM e seu provedor de EKM. Validação de nível 2 ou 3 do FIPS 140-2, dependendo do EKM. As chaves são exclusivas para um cliente.
Criptografia do lado do cliente usando chaves do Cloud KMS	Usar bibliotecas de cliente nos aplicativos	Você controla a programação de rotação automática de chaves, os papéis e as permissões do IAM, além de ativar, desativar ou destruir versões de chaves. Oferece suporte a chaves simétricas e assimétricas para criptografia, descriptografia, assinatura e validação de assinatura. A funcionalidade varia de acordo com o nível de proteção da chave.
Chaves de criptografia fornecidas pelo cliente	Cloud Storage	Você fornece materiais essenciais quando necessário. O material da chave reside na memória. O Google não armazena permanentemente suas chaves nos nossos servidores.

Observação: os preços variam de acordo com o tipo de criptografia e o nível de proteção. Para mais informações, consulte os detalhes de preços compartilhados com você pelo Cloud de Confiance.

Como proteger dados em Cloud de Confiance by S3NS

Google Cloud-powered encryption keys (Cloud de Confiance criptografia padrão)

Por padrão, os dados em repouso no Cloud de Confiance são protegidos por chaves no Keystore,o serviço interno de gerenciamento de chaves do Cloud de Confiance. As chaves no Keystore são gerenciadas automaticamente pelo Cloud de Confiance, sem necessidade de configuração. A maioria dos serviços faz a rotação automática das chaves para você. O Keystore é compatível com uma versão chave primária e um número limitado de versões de chave mais antigas. A versão da chave primária é usada para criptografar novas chaves de criptografia de dados. As versões mais antigas ainda podem ser usadas para descriptografar as chaves de criptografia de dados atuais. Não é possível visualizar ou gerenciar essas chaves nem analisar os registros de uso delas. Os dados de vários clientes podem usar a mesma chave de criptografia de chaves.

Essa criptografia padrão usa módulos criptográficos validados para serem compatíveis com o FIPS 140-3 Nível 1.

Chaves de criptografia gerenciadas pelo cliente (CMEKs)

As chaves do Cloud KMS usadas para proteger seus recursos em serviços integrados a CMEK são chaves de criptografia gerenciadas pelo cliente (CMEKs).

É possível usar as chaves do Cloud KMS em serviços compatíveis para ajudar você a atingir as seguintes metas:

Tenha suas próprias chaves de criptografia.
Controle e gerencie suas chaves de criptografia, incluindo a escolha do local, o nível de proteção, a criação, o controle de acesso, a rotação, o uso e a destruição.
Exclua seletivamente os dados protegidos pelas suas chaves em caso de desligamento ou para corrigir eventos de segurança (criptografia).
Crie chaves dedicadas de locatário único que estabelecem um limite criptográfico em torno dos seus dados.
Registrar o acesso administrativo e de dados às chaves de criptografia.
Atender às regulamentações atuais ou futuras que exigem qualquer uma dessas metas.

Ao usar chaves do Cloud KMS com serviços integrados a CMEK, é possível usar políticas da organização para garantir que as CMEKs sejam usadas conforme especificado nas políticas. Por exemplo, é possível definir uma política da organização que garanta que os recursos compatíveis do Cloud de Confiance usem as chaves do Cloud KMS para criptografia. As políticas da organização também podem especificar em qual projeto os recursos de chave precisam residir.

Os recursos e o nível de proteção fornecidos dependem do nível de proteção da chave:

Chaves de software: é possível gerar chaves de software no Cloud KMS e usá-las em todos os locais do Cloud de Confiance . É possível criar chaves simétricas com rotação automática ou chaves assimétricas com rotação manual. As chaves de software gerenciadas pelo cliente usam módulos de criptografia de software validados pelo FIPS 140-3 nível 1. Você também tem controle sobre o período de rotação, os papéis e as permissões do Identity and Access Management (IAM) e as políticas da organização que regem suas chaves. É possível usar as chaves de software com muitos recursos compatíveis Cloud de Confiance.
Chaves de software importadas: é possível importar chaves de software criadas em outro lugar para uso no Cloud KMS. É possível importar novas versões de chave para fazer a rotação manual das chaves importadas. É possível usar papéis e permissões do IAM e políticas da organização para controlar o uso das chaves importadas.
Chaves externas e Cloud EKM: é possível usar chaves que residem em um gerenciador de chaves externas (EKM, na sigla em inglês). Com o Cloud EKM, é possível usar chaves mantidas em um gerenciador de chaves compatível para proteger seus recursos doCloud de Confiance . Você se conecta ao EKM por uma nuvem privada virtual (VPC). Alguns Cloud de Confiance serviços compatíveis com chaves do Cloud KMS não são compatíveis com chaves do Cloud EKM.

Chaves do Cloud KMS

É possível usar as chaves do Cloud KMS em aplicativos personalizados usando as bibliotecas de cliente do Cloud KMS ou a API Cloud KMS. As bibliotecas de cliente e a API permitem criptografar e descriptografar dados, assinar dados e validar assinaturas.

Chaves de criptografia fornecidas pelo cliente (CSEKs)

O Cloud Storage pode usar chaves de criptografia fornecidas pelo cliente (CSEKs). Com as chaves de criptografia fornecidas pelo cliente, você armazena o material da chave e o fornece ao Cloud Storage quando necessário. OCloud de Confiance não armazena suas CSEKs de forma alguma.