רמות ההגנה

בדף הזה מוצגות השוואה בין רמות ההגנה השונות שנתמכות ב-Cloud KMS:

תוכנה
מפתחות Cloud KMS עם רמת הגנה SOFTWARE משמשים לפעולות קריפטוגרפיות שמתבצעות בתוכנה. מפתחות Cloud KMS יכולים להיווצר על ידי Google או להיות מיובאים.
חיצוני דרך VPC
מפתחות Cloud EKM עם רמת ההגנה EXTERNAL_VPC נוצרים ומאוחסנים במערכת החיצונית לניהול מפתחות (EKM). שירות Cloud EKM מאחסן חומר קריפטוגרפי נוסף ונתיב למפתח הייחודי שלכם, שמשמש לגישה למפתח דרך רשת של ענן וירטואלי פרטי (VPC).

למפתחות עם כל רמות ההגנה האלה יש את התכונות הבאות:

  • שימוש במפתחות שלכם להצפנה עם מפתח בניהול הלקוח (CMEK) בשירותים משולבים שלCloud de Confiance .

  • אפשר להשתמש במפתחות עם ממשקי ה-API או ספריות הלקוח של Cloud KMS, בלי קוד מיוחד כלשהו, בהתאם לרמת ההגנה של המפתח.

  • שליטה בגישה למפתחות באמצעות תפקידים בניהול זהויות והרשאות גישה (IAM).

  • ב-Cloud KMS, אפשר לקבוע אם כל גרסת מפתח מופעלת או מושבתת.

  • פעולות מרכזיות מתועדות ביומני הביקורת. אפשר להפעיל את רישום הגישה לנתונים ביומן.

רמת ההגנה על התוכנה

‫Cloud KMS משתמש במודול BoringCrypto ‏ (BCM) לכל הפעולות הקריפטוגרפיות של מפתחות תוכנה. ל-BCM יש אישור FIPS 140-3. מפתחות תוכנה ב-Cloud KMS משתמשים בקריפטוגרפיה קדומה (Cryptographic Primitives) של BCM עם אישור FIPS 140-3 ברמה 1.

מפתחות תוכנה הם בחירה טובה לתרחישי שימוש שבהם אין דרישות רגולטוריות ספציפיות לרמת אימות גבוהה יותר של FIPS 140-3.

רמת הגנה External over VPC

מפתחות Cloud External Key Manager ‏ (Cloud EKM) הם מפתחות שאתם מנהלים בשירות של שותף נתמך לניהול מפתחות חיצוני (EKM) ומשתמשים בהם בשירותיCloud de Confiance ובממשקי API ובספריות לקוח של Cloud KMS. מפתחות Cloud EKM יכולים להיות מגובים בתוכנה או בחומרה, בהתאם לספק ה-EKM שלכם. אתם יכולים להשתמש במפתחות Cloud EKM בשירותים עם שילוב CMEK או באמצעות ממשקי Cloud KMS API וספריות לקוח. שירות Cloud KMS מתחבר ל-Cloud EKM דרך רשת VPC.

כשמשתמשים במפתחות Cloud EKM, אפשר להיות בטוחים שאין גישה לחומר המפתח. Cloud de Confiance

כדי לראות אילו שירותים עם שילובי CMEK תומכים במפתחות Cloud EKM, אפשר לעיין במאמר שילובי CMEK ולהחיל את המסנן הצגת שירותים שתואמים ל-EKM בלבד.

ברוב המיקומים האזוריים שנתמכים על ידי Cloud KMS, אפשר להשתמש במפתחות Cloud EKM ברשת VPC. ‫

המאמרים הבאים