En esta página, se describe cada tipo de recurso en Cloud KMS. Los recursos de Cloud KMS no se pueden mover a una ubicación diferente después de crearlos. Puedes obtener más información sobre la jerarquía de recursos.
Claves
Una clave de Cloud KMS es un objeto con nombre que contiene una o más versiones de clave, junto con los metadatos de la clave. Una clave existe en exactamente un llavero de claves vinculado a una ubicación específica.
Puedes permitir y denegar el acceso a las claves mediante los permisos y funciones de administración de identidades y accesos (IAM). No puedes administrar el acceso a una versión de clave.
Inhabilitar o destruir una clave también inhabilita o destruye cada versión de clave.
En las siguientes secciones, se analizan las propiedades de una clave.
Según el contexto, las propiedades de una clave se muestran en un formato diferente.
- Cuando usas Google Cloud CLI o la API de Cloud Key Management Service, la propiedad se muestra
como una cadena de letras mayúsculas, como
SOFTWARE. - Cuando usas la consola de Cloud de Confiance , la propiedad se muestra como una cadena con mayúscula inicial, como Software.
En las siguientes secciones, se muestra cada formato donde corresponde.
Tipo
El tipo de clave determina si la clave se usa para las operaciones criptográficas simétricas o asimétricas.
En la encriptación o firma simétrica, se usa la misma clave para encriptar y desencriptar datos, o para firmar y verificar una firma.
En la encriptación o firma asimétrica, la clave consta de una clave pública y una privada. Una clave privada con su clave pública correspondiente se denomina par de claves.
- La clave privada contiene datos sensibles y es necesaria para desencriptar datos o para firmar, según el propósito configurado de la clave.
- La clave pública no se considera sensible y se requiere para encriptar datos o verificar una firma, según el propósito configurado de la clave.
El tipo de clave es un componente del propósito de la clave y no se puede cambiar después de crearla.
Objetivo
El propósito de una clave indica qué tipo de operaciones criptográficas se pueden realizar con ella, por ejemplo, Encriptación/desencriptación simétrica o Firma asimétrica. Debes elegir el propósito cuando creas la clave, y todas las versiones de una clave tienen el mismo propósito. El propósito de una clave no se puede cambiar después de que se crea. Para obtener más información sobre los propósitos de las claves, consulta Propósitos de las claves.
Nivel de protección
El nivel de protección de una clave determina su entorno de almacenamiento en reposo. El nivel de protección es uno de los siguientes:
- Software (
SOFTWARE) - External_VPC (
EXTERNAL_VPC)
El nivel de protección de una clave no se puede cambiar después de crearla.
Versión principal
Las claves pueden tener varias versiones de clave activas y habilitadas al mismo tiempo. Las claves de encriptación simétricas tienen una versión de clave primaria, que es la versión de clave que se usa de forma predeterminada para encriptar datos si no especificas una versión de clave.
Las claves asimétricas no tienen versiones principales. Debes especificar la versión cuando uses la clave.
En el caso de las claves simétricas y asimétricas, puedes usar cualquier versión de clave habilitada para encriptar y desencriptar datos, o para firmar y validar firmas.
Versiones de claves
Cada versión de una clave contiene material de clave usado para la encriptación o la firma. A cada
versión se le asigna un número de versión, que comienza en 1. Cuando se rota una clave, se crea una
versión nueva. Puedes obtener más información sobre la rotación de
claves.
Para desencriptar datos o verificar una firma, debes usar la misma versión de clave que se usó para encriptar o firmar los datos. Para encontrar el ID de recurso de una versión de clave, consulta Recupera el ID de recurso de una clave.
Puedes inhabilitar o destruir versiones de claves individuales sin afectar a otras versiones. También puedes inhabilitar o destruir todas las versiones de una clave determinada.
No puedes controlar el acceso a las versiones de clave de forma independiente de los permisos vigentes en la clave. Cuando se otorga acceso a una clave, se otorga acceso a todas las versiones habilitadas de esa clave.
Por motivos de seguridad, ningún principal de Cloud de Confiance puede ver ni exportar el material de clave criptográfica sin procesar que representa una versión de clave. En cambio, Cloud KMS accede al material de clave en tu nombre.
En las siguientes secciones, se analizan las propiedades de una versión de clave.
Estado
Cada versión de clave tiene un estado que te indica cuál es su estado. Por lo general, el estado de una clave será uno de los siguientes:
- Habilitado
- Inhabilitado
- Programado para su destrucción
- Destruido
Una versión de clave solo se puede usar cuando está habilitada. Las versiones de claves en cualquier estado que no sea destruido generan costos. Para obtener más información sobre los estados de las versiones de claves y cómo pueden cambiar entre ellos, consulta Estados de las versiones de claves.
Algoritmo
El algoritmo de una versión de clave determina cómo se crea el material de clave y los parámetros necesarios para las operaciones criptográficas. Las claves simétricas y asimétricas usan algoritmos diferentes. La encriptación y la firma usan algoritmos diferentes.
Si no especificas un algoritmo cuando creas una versión de clave nueva, se usa el algoritmo de la versión anterior.
Independientemente del algoritmo, Cloud KMS usa la encriptación probabilística, por lo que el mismo texto sin formato encriptado con la misma versión de clave dos veces no devuelve el mismo texto cifrado.
Llaveros de claves
Un llavero de claves organiza las claves en una ubicación de Cloud de Confiance específica y te permite administrar el control de acceso en grupos de claves. No es necesario que el nombre de un llavero de claves sea único en un proyecto de Cloud de Confiance , pero debe ser único en una ubicación determinada.
Conexiones EKM
Una conexión de EKM es un recurso de Cloud KMS que organiza las conexiones de VPC a tus EKM locales en una ubicación deCloud de Confiance específica. Una conexión de EKM te permite conectarte a un administrador de claves externo y usar sus claves a través de una red de VPC. Después de crearla, no se puede borrar una conexión de EKM.
Recupera el ID de un recurso
Es posible que algunas llamadas a la API y gcloud CLI requieran que hagas referencia a un llavero de claves, una clave o una versión de clave por su ID de recurso, que es una cadena que representa el nombre de CryptoKeyVersion completamente calificado. Los IDs de recursos son jerárquicos, similares a una ruta de acceso del sistema de archivos. El ID de recurso de una clave también contiene información sobre el llavero de claves y la ubicación.
| Objeto | Formato de ID del recurso |
|---|---|
| Llavero de claves | projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING |
| Clave | projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME |
| Versión de clave | projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME/cryptoKeyVersions/KEY_VERSION |
| Conexión EKM | projects/PROJECT_ID/locations/LOCATION/ekmConnections/EKM_CONNECTION |
Para obtener más información, consulta Obtén un ID de recurso de Cloud KMS.
Organiza los recursos
Cuando planifiques cómo organizar los recursos en tu proyecto de Cloud de Confiance, ten en cuenta tus reglas empresariales y cómo planeas administrar el acceso. Puedes otorgar acceso a una sola clave, a todas las claves de un llavero de claves o a todas las claves de un proyecto. Los siguientes patrones de organización son comunes:
- Por entorno, como
prod,testydevelop - Por área de trabajo, como
payrolloinsurance_claims - Por sensibilidad o características de datos, como
unrestricted,restricted,confidentialytop-secret
Ciclos de vida de los recursos
Puedes borrar llaveros de claves, claves y versiones de claves en algunas circunstancias. Cuando borras un recurso, se quita de las listas de recursos de Cloud KMS. Cuando destruyes una versión de clave, se borra de forma permanente su material de clave subyacente. Cuando borras un llavero de claves, su nombre queda disponible para volver a usarse, pero los nombres de las claves borradas no se pueden volver a usar. Esto garantiza que el identificador de recurso de una versión de clave sea único y siempre apunte al material de clave original para esa versión de clave, a menos que se haya destruido. Puedes almacenar una cantidad ilimitada de llaveros de claves, claves habilitadas o inhabilitadas, y versiones de claves habilitadas, inhabilitadas o destruidas. Para obtener más información, consulta Cuotas.
Para aprender a destruir o restablecer una versión de clave, consulta Destruye y restablece versiones de claves.
Después de programar el cierre de un proyecto de Cloud de Confiance by S3NS , no puedes acceder a los recursos del proyecto, incluidos los recursos de Cloud KMS, a menos que recuperes el proyecto siguiendo los pasos para restablecer un proyecto.
¿Qué sigue?
- Crea una clave.
- Obtén más información sobre los permisos y las funciones en Cloud KMS.