Les clés Cloud EKM de niveau de protection EXTERNAL_VPC sont générées et stockées dans votre système externe de gestion des clés (EKM).
Cloud EKM stocke du matériel cryptographique supplémentaire et un chemin d'accès à votre clé unique, qui est utilisée pour accéder à votre clé sur un réseau de cloud privé virtuel (VPC).
Les clés dotées de l'un de ces niveaux de protection partagent les fonctionnalités suivantes :
Utilisez vos clés pour les servicesTrusted Cloud intégrant des clés de chiffrement gérées par le client (CMEK).
Utilisez vos clés avec les API ou les bibliothèques clientes Cloud KMS, sans aucun code spécialisé basé sur le niveau de protection de la clé.
Contrôlez l'accès à vos clés à l'aide des rôles Identity and Access Management (IAM).
Contrôlez si chaque version de clé est activée ou désactivée depuis Cloud KMS.
Les opérations clés sont enregistrées dans les journaux d'audit. Vous pouvez activer la journalisation des accès aux données.
Niveau de protection du logiciel
Cloud KMS utilise le module BoringCrypto (BCM) pour toutes les opérations de chiffrement des clés logicielles. Le module BCM est certifié FIPS 140-2. Les clés logicielles Cloud KMS utilisent les primitives cryptographiques du BCM validées FIPS 140-2 de niveau 1.
sont un bon choix pour les cas d'utilisation qui ne sont pas soumis à des exigences réglementaires spécifiques pour un niveau de validation FIPS 140-2 plus élevé.
Niveau de protection "Externe via VPC"
Les clés Cloud External Key Manager (Cloud EKM) sont des clés que vous gérez dans un service partenaire de gestion de clés externes (EKM) compatible et que vous utilisez dans les servicesTrusted Cloud , ainsi que dans les API et les bibliothèques clientes Cloud KMS.
Les clés Cloud EKM peuvent être logicielles ou matérielles, selon votre fournisseur EKM. Vous pouvez utiliser vos clés Cloud EKM dans les services intégrés à CMEK ou à l'aide des API et des bibliothèques clientes Cloud KMS.
Cloud KMS se connecte à votre Cloud EKM via un réseau VPC.
Lorsque vous utilisez des clés Cloud EKM, vous pouvez être sûr que Trusted Cloud
ne peut pas accéder à votre matériel de clé.
Pour savoir quels services intégrant des CMEK sont compatibles avec les clés Cloud EKM, consultez Intégrations de CMEK et appliquez le filtre Afficher uniquement les services compatibles avec EKM.
Vous pouvez utiliser des clés Cloud EKM sur un réseau VPC dans la plupart des régions compatibles avec Cloud KMS.
Étapes suivantes
Découvrez les services compatibles qui vous permettent d'utiliser vos clés dans Trusted Cloud.
Sauf indication contraire, le contenu de cette page est régi par une licence Creative Commons Attribution 4.0, et les échantillons de code sont régis par une licence Apache 2.0. Pour en savoir plus, consultez les Règles du site Google Developers. Java est une marque déposée d'Oracle et/ou de ses sociétés affiliées.
Dernière mise à jour le 2025/08/18 (UTC).
[[["Facile à comprendre","easyToUnderstand","thumb-up"],["J'ai pu résoudre mon problème","solvedMyProblem","thumb-up"],["Autre","otherUp","thumb-up"]],[["Il n'y a pas l'information dont j'ai besoin","missingTheInformationINeed","thumb-down"],["Trop compliqué/Trop d'étapes","tooComplicatedTooManySteps","thumb-down"],["Obsolète","outOfDate","thumb-down"],["Problème de traduction","translationIssue","thumb-down"],["Mauvais exemple/Erreur de code","samplesCodeIssue","thumb-down"],["Autre","otherDown","thumb-down"]],["Dernière mise à jour le 2025/08/18 (UTC)."],[],[],null,["# Protection levels\n\nThis page compares the different protection levels supported in\nCloud KMS:\n\n[Software](#software)\n: Cloud KMS keys with the `SOFTWARE` protection level are used for\n cryptographic operations that are performed in software. Cloud KMS\n keys can be generated by Google or imported.\n\n[Hardware](#hardware)\n: Cloud HSM keys with the `HSM` protection level are stored in a\n Google-owned Hardware Security Module (HSM). Cryptographic operations using\n these keys are performed in our HSMs. You can use Cloud HSM keys\n the same way you use Cloud KMS keys. Cloud HSM keys\n can be generated by Google or imported.\n\n[External over the internet](#external)\n: Cloud EKM keys with the `EXTERNAL` protection level are generated\n and stored in your external key management (EKM) system. Cloud EKM\n stores additional cryptographic material and a path to your unique key,\n which is used to access your key over the internet.\n\n[External over VPC](#external-vpc)\n: Cloud EKM keys with the `EXTERNAL_VPC` protection level are\n generated and stored in your external key management (EKM) system.\n Cloud EKM stores additional cryptographic material and a path to\n your unique key, which is used to access your key over a [virtual private\n cloud (VPC) network](/vpc/docs/vpc).\n\nKeys with all of these protection levels share the following features:\n\n- Use your keys for customer-managed encryption key (CMEK) integrated\n Google Cloud services.\n\n | **Note:** Some CMEK-integrated services do not support Cloud EKM keys. To learn which CMEK-integrated services support Cloud EKM keys, see [CMEK integrations](/kms/docs/compatible-services#cmek_integrations).\n- Use your keys with the Cloud KMS APIs or client libraries, without\n any specialized code based on the protection level of the key.\n\n- Control access to your keys using Identity and Access Management (IAM) roles.\n\n- Control whether each key version is **Enabled** or **Disabled** from\n Cloud KMS.\n\n- Key operations are captured in audit logs. Data access logging can be\n enabled.\n\nSoftware protection level\n-------------------------\n\nCloud KMS uses the [BoringCrypto module (BCM)](https://boringssl.googlesource.com/boringssl/+/main/crypto/fipsmodule/FIPS.md) for all cryptographic\noperations for software keys. The BCM is [FIPS 140-2](https://csrc.nist.gov/publications/detail/fips/140/2/final)\nvalidated. Cloud KMS software keys use FIPS 140-2 Level 1--validated\nCryptographic Primitives of the BCM.\nThe software protection level is the cheapest protection level. Software keys are a good choice for use cases that do not have specific regulatory requirements for a higher FIPs 140-2 validation level.\n\n\u003cbr /\u003e\n\nHardware protection level\n-------------------------\n\nCloud HSM helps you enforce regulatory compliance for your workloads in\nGoogle Cloud. With Cloud HSM, you can generate encryption keys\nand perform cryptographic operations in [FIPS 140-2 Level\n3](https://csrc.nist.gov/publications/detail/fips/140/2/final) validated HSMs. The service is fully managed, so\nyou can protect your most sensitive workloads without worrying about the\noperational overhead of managing an HSM cluster. Cloud HSM provides a\nlayer of abstraction on top of the HSM modules.\nThis abstraction lets you use your keys in CMEK integrations or the\nCloud KMS APIs or client libraries without HSM-specific code.\nHardware key versions are more expensive, but they provide substantial security benefits relative to software keys. Each Cloud HSM key has an [attestation statement](/docs/security/cloud-hsm-architecture#cryptographic_key_attestation) that contains certified information about your key. This attestation and its associated certificate chains can be used to verify the authenticity of the statement and attributes of the key and HSM.\n\n\u003cbr /\u003e\n\nExternal protection levels\n--------------------------\n\nCloud External Key Manager (Cloud EKM) keys are keys that you manage in a [supported\nexternal key management (EKM) partner](/kms/docs/ekm#supported_partners) service and use in\nGoogle Cloud services and Cloud KMS APIs and client libraries.\nCloud EKM keys can be software-backed or hardware-backed, depending on\nyour EKM provider. You can use your Cloud EKM keys in CMEK-integrated\nservices or using the Cloud KMS APIs and client libraries.\nCloud EKM protection levels are the most expensive. When you use Cloud EKM keys, you can be sure that Google Cloud can't access your key material.\n\n\u003cbr /\u003e\n\nTo see which CMEK-integrated services support Cloud EKM keys,\nsee [CMEK integrations](/kms/docs/compatible-services#cmek_integrations) and\napply the **Show only EKM compatible services** filter.\n\n### External over the internet protection level\n\nYou can use Cloud EKM keys over the internet in all locations supported\nby Cloud KMS except `nam-eur-asia1` and `global`.\n| **Caution:** When you use Cloud EKM keys over the internet, there's a risk that the key can become unavailable. For better availability, consider using Cloud HSM or Cloud EKM over a VPC network.\n\n### External over VPC protection level\n\nYou can use Cloud EKM keys over a VPC network for better availability\nof your external keys. This better availability means that there's less of a\nchance of your Cloud EKM keys and the resources they protect becoming\nunavailable.\n\nYou can use Cloud EKM keys over a VPC network in most regional\nlocations supported by Cloud KMS.\n\nCloud EKM over a VPC network is not available in multi-region\nlocations.\n\n\u003cbr /\u003e\n\nWhat's next\n-----------\n\n- Learn about [compatible services](/kms/docs/compatible-services) that let you use your keys in Google Cloud.\n- Learn how to [create key rings](/kms/docs/create-key-ring) and [create\n encryption keys](/kms/docs/creating-keys).\n- Learn about [importing keys](/kms/docs/key-import).\n- Learn about [external keys](/kms/docs/ekm).\n- Learn about other [considerations for using\n Cloud EKM](/kms/docs/ekm#considerations)."]]
