רמות ההגנה

בדף הזה מוצגות השוואה בין רמות ההגנה השונות שנתמכות ב-Cloud KMS:

תוכנה
מפתחות Cloud KMS עם רמת הגנה SOFTWARE משמשים לפעולות קריפטוגרפיות שמתבצעות בתוכנה. מפתחות Cloud KMS יכולים להיווצר על ידי Google או להיות מיובאים.
חיצוני דרך VPC
מפתחות Cloud EKM עם רמת ההגנה EXTERNAL_VPC נוצרים ומאוחסנים במערכת החיצונית לניהול מפתחות (EKM). שירות Cloud EKM מאחסן חומר קריפטוגרפי נוסף ונתיב למפתח הייחודי שלכם, שמשמש לגישה למפתח דרך רשת וירטואלית פרטית (VPC).

למפתחות עם כל רמות ההגנה האלה יש את התכונות הבאות:

  • שימוש במפתחות שלכם להצפנה עם מפתח בניהול הלקוח (CMEK) בשירותים משולבים שלCloud de Confiance .

  • אפשר להשתמש במפתחות עם ממשקי ה-API או ספריות הלקוח של Cloud KMS, בלי להשתמש בקוד מיוחד כלשהו על סמך רמת ההגנה של המפתח.

  • שליטה בגישה למפתחות באמצעות תפקידים ב-IAM (המערכת לניהול הזהויות והרשאות הגישה).

  • ב-Cloud KMS, אפשר לקבוע אם כל גרסת מפתח מופעלת או מושבתת.

  • פעולות מרכזיות מתועדות ביומני הביקורת. אפשר להפעיל את הרישום ביומן של גישה לנתונים.

רמת ההגנה על התוכנה

‫Cloud KMS משתמש במודול BoringCrypto ‏ (BCM) לכל הפעולות הקריפטוגרפיות של מפתחות תוכנה. ל-BCM יש אישור FIPS 140-3. מפתחות תוכנה ב-Cloud KMS משתמשים בקריפטוגרפיה קדומה (Cryptographic Primitives) של BCM עם אישור FIPS 140-3 ברמה 1.

מפתחות תוכנה הם בחירה טובה לתרחישי שימוש שלא חלים עליהם דרישות רגולטוריות ספציפיות לרמת אימות גבוהה יותר של FIPS 140-3.

רמת ההגנה External over VPC

מפתחות Cloud External Key Manager ‏ (Cloud EKM) הם מפתחות שאתם מנהלים בשירות של שותף נתמך לניהול מפתחות חיצוני (EKM) ומשתמשים בהם בשירותיCloud de Confiance ובממשקי API ובספריות לקוח של Cloud KMS. מפתחות Cloud EKM יכולים להיות מגובים בתוכנה או בחומרה, בהתאם לספק ה-EKM שלכם. אתם יכולים להשתמש במפתחות Cloud EKM בשירותים עם שילוב CMEK או באמצעות ממשקי Cloud KMS API וספריות לקוח. ‫Cloud KMS מתחבר ל-Cloud EKM דרך רשת VPC.

כשמשתמשים במפתחות Cloud EKM, אפשר להיות בטוחים שאין גישה לחומר המפתח. Cloud de Confiance

כדי לראות אילו שירותים עם שילובי CMEK תומכים במפתחות Cloud EKM, אפשר לעיין במאמר שילובי CMEK ולהחיל את המסנן הצגת שירותים שתואמים ל-EKM בלבד.

ברוב המיקומים האזוריים שנתמכים על ידי Cloud KMS, אפשר להשתמש במפתחות Cloud EKM ברשת VPC. ‫

המאמרים הבאים