Level perlindungan

Halaman ini membandingkan berbagai tingkat perlindungan yang didukung di Cloud KMS:

Software
Kunci Cloud KMS dengan tingkat perlindungan SOFTWARE digunakan untuk operasi kriptografis yang dilakukan di software. Kunci Cloud KMS dapat dibuat oleh Google atau diimpor.
Eksternal melalui VPC
Kunci Cloud EKM dengan tingkat perlindungan EXTERNAL_VPC dibuat dan disimpan di sistem pengelolaan kunci eksternal (EKM) Anda. Cloud EKM menyimpan materi kriptografis tambahan dan jalur ke kunci unik Anda, yang digunakan untuk mengakses kunci Anda melalui jaringan virtual private cloud (VPC).

Kunci dengan semua tingkat perlindungan ini memiliki fitur berikut:

  • Menggunakan kunci Anda untuk layanan terintegrasi kunci enkripsi yang dikelola pelanggan (CMEK) Cloud de Confiance .

  • Menggunakan kunci Anda dengan Cloud KMS API atau library klien, tanpa kode khusus berdasarkan tingkat perlindungan kunci.

  • Mengontrol akses ke kunci Anda menggunakan peran Identity and Access Management (IAM).

  • Mengontrol apakah setiap versi kunci Diaktifkan atau Dinonaktifkan dari Cloud KMS.

  • Operasi kunci dicatat dalam log audit. Logging akses data dapat diaktifkan.

Tingkat perlindungan software

Cloud KMS menggunakan modul BoringCrypto (BCM) untuk semua operasi kriptografis untuk kunci software. BCM divalidasi FIPS 140-3. Kunci software Cloud KMS menggunakan Primitif Kriptografis Tingkat 1 yang divalidasi FIPS 140-3 dari BCM.

Kunci software adalah pilihan yang tepat untuk kasus penggunaan yang tidak memiliki persyaratan peraturan khusus untuk tingkat validasi FIPS 140-3 yang lebih tinggi.

Tingkat perlindungan eksternal melalui VPC

Kunci Cloud External Key Manager (Cloud EKM) adalah kunci yang Anda kelola di layanan partner pengelolaan kunci eksternal (EKM) yang didukung dan digunakan dalam Cloud de Confiance layanan serta Cloud KMS API dan library klien. Kunci Cloud EKM dapat didukung software atau hardware, bergantung pada penyedia EKM Anda. Anda dapat menggunakan kunci Cloud EKM di layanan terintegrasi CMEK atau menggunakan Cloud KMS API dan library klien. Cloud KMS terhubung ke Cloud EKM Anda melalui jaringan VPC.

Saat menggunakan kunci Cloud EKM, Anda dapat memastikan bahwa Cloud de Confiance tidak dapat mengakses materi kunci Anda.

Untuk melihat layanan terintegrasi CMEK yang mendukung kunci Cloud EKM, lihat Integrasi CMEK dan terapkan filter Tampilkan hanya layanan yang kompatibel dengan EKM.

Anda dapat menggunakan kunci Cloud EKM melalui jaringan VPC di sebagian besar lokasi regional yang didukung oleh Cloud KMS.

Langkah berikutnya