Niveaux de protection

Cette page compare les différents niveaux de protection compatibles avec Cloud KMS :

Logiciels
Les clés Cloud KMS avec le niveau de protection SOFTWARE sont utilisées pour les opérations de chiffrement effectuées dans un logiciel. Les clés Cloud KMS peuvent être générées par Google ou importées.
Externe via VPC
Les clés Cloud EKM avec le niveau de protection EXTERNAL_VPC sont générées et stockées dans votre système de gestion des clés externes (EKM). Cloud EKM stocke du matériel de chiffrement supplémentaire et un chemin d'accès à votre clé unique, qui est utilisé pour accéder à votre clé sur un réseau cloud privé virtuel (VPC).

Les clés avec tous ces niveaux de protection partagent les fonctionnalités suivantes :

  • Utilisez vos clés pour les services intégrés de clés de chiffrement gérées par le client (CMEK) Cloud de Confiance .

  • Utilisez vos clés avec les API ou les bibliothèques clientes Cloud KMS, sans aucun code spécialisé basé sur le niveau de protection de la clé.

  • Contrôlez l'accès à vos clés à l'aide des rôles Identity and Access Management (IAM).

  • Déterminez si chaque version de clé est activée ou désactivée à partir de Cloud KMS.

  • Les opérations sur les clés sont enregistrées dans les journaux d'audit. La journalisation des accès aux données peut être activée.

Niveau de protection logicielle

Cloud KMS utilise le module BoringCrypto (BCM) pour toutes les opérations de chiffrement des clés logicielles. Le BCM est validé FIPS 140-3. Les clés logicielles Cloud KMS utilisent les primitives cryptographiques du BCM validées FIPS 140-3 de niveau 1.

Les clés logicielles sont un bon choix pour les cas d'utilisation qui n'ont pas d'exigences réglementaires spécifiques pour un niveau de validation FIPS 140-3 plus élevé.

Niveau de protection externe via VPC

Les clés Cloud External Key Manager (Cloud EKM) sont des clés que vous gérez dans un service partenaire de gestion des clés externes (EKM) compatible et que vous utilisez dans Cloud de Confiance des services, des API et des bibliothèques clientes Cloud KMS. Les clés Cloud EKM peuvent être intégrées au logiciel ou au matériel, selon votre fournisseur EKM. Vous pouvez utiliser vos clés Cloud EKM dans des services intégrés de CMEK ou à l'aide des API et des bibliothèques clientes Cloud KMS. Cloud KMS se connecte à votre Cloud EKM sur un réseau VPC.

Lorsque vous utilisez des clés Cloud EKM, vous pouvez être sûr que Cloud de Confiance ne peut pas accéder à votre matériel de clé.

Pour savoir quels services intégrés de CMEK sont compatibles avec les clés Cloud EKM, consultez Intégrations de CMEK et appliquez le filtre Afficher uniquement les services compatibles avec EKM.

Vous pouvez utiliser des clés Cloud EKM sur un réseau VPC dans la plupart des emplacements régionaux compatibles avec Cloud KMS.

Étape suivante