CMEK 密钥轮替

借助客户管理的加密密钥 (CMEK)，您可以使用在 Cloud KMS 中控制的加密密钥来保护受支持的Google Cloud 服务中的数据。您可以按设定的时间表配置自动密钥轮替，也可以手动轮替密钥。本文档介绍了在轮替底层 Cloud KMS 密钥时，CMEK 集成服务中会发生什么情况。

密钥轮替如何与 CMEK 搭配使用

在 Cloud KMS 中轮替密钥时，Cloud KMS 会创建该密钥的新版本。新密钥版本会成为主要版本，可用于加密保护您数据的数据加密密钥 (DEK)。之前的密钥版本会保持有效状态，并可用于解密使用这些版本加密的 DEK。此过程可确保您始终可以访问旧数据。

不同的 CMEK 集成服务以不同的方式处理密钥轮替，但主要有三种模式：

  • 新密钥版本保护所有数据：当服务检测到新密钥版本已成为主密钥版本时，服务会自动重新加密使用先前密钥版本加密的 DEK。保护新数据和现有数据的 DEK 均使用当前主密钥版本进行加密。重新加密现有 DEK 可能需要一些时间才能完成，但之后便不会再使用之前的密钥版本。
  • 今后将使用新的密钥版本：当服务检测到新的密钥版本已成为主要版本时，后续加密请求将使用新的密钥版本。保护此资源的数据的 DEK 混合使用了当前和以前的密钥版本。
  • 不使用新密钥版本：无论是否存在新的主密钥版本，服务都会继续使用创建资源时配置的原始密钥版本来加密 DEK。

密钥轮替后特定于服务的行为

下表显示了可使用 CMEK 保护的资源的服务专用轮替行为。 下表介绍了每种资源类型或资源类型集的轮替详细信息：

  • 可以继承密钥：资源是否可以从父资源继承密钥。
  • 可以使用唯一键：资源是否可以使用自己的唯一键，而不是从父资源继承。
  • 可以更改密钥：您是否可以在更新资源时选择新的 CMEK 来保护资源。
  • 新数据：新 DEK 是使用主密钥版本加密，还是使用为资源配置 CMEK 时作为主密钥版本的原始密钥版本加密。
  • 现有数据：现有 DEK 是使用主密钥版本重新加密，还是继续使用为资源配置 CMEK 时的主密钥版本进行加密。
过滤条件：

服务和资源 可继承密钥 可以使用唯一键 可以更改密钥 新数据 现有数据

智能体检索

  • vectorsearch.googleapis.com/Collection
  • vectorsearch.googleapis.com/Index
 否 是 否 使用新的主密钥版本 使用原始密钥版本

Application Integration

  • integrations.googleapis.com/IntegrationVersion
  • integrations.googleapis.com/AuthConfig
  • integrations.googleapis.com/Execution
  • integrations.googleapis.com/Suspension
  • integrations.googleapis.com/TestCase
  • integrations.googleapis.com/Template
 否 是 是 使用新的主密钥版本 使用原始密钥版本

BigQuery

  • bigquery.googleapis.com/Dataset
  • bigquery.googleapis.com/Table
 是 是 是 使用新的主密钥版本 使用原始密钥版本

Cloud Storage

  • storage.googleapis.com/Bucket
 否 是 是 使用新的主密钥版本 使用原始密钥版本

Cloud Storage

  • storage.googleapis.com/Object
 是 是 否 不适用：此资源不可变。 使用原始密钥版本

Conversational Analytics API

  • geminidataanalytics.googleapis.com/Conversation
  • geminidataanalytics.googleapis.com/DataAgent
 否 是 否 使用新的主密钥版本 使用原始密钥版本

客户体验分析洞见

  • contactcenterinsights.googleapis.com/*
 是 否 否 未知 未知

Dataflow

  • dataflow.googleapis.com/Job
 否 是 否 使用新的主密钥版本 使用新的主密钥版本

Dataproc Metastore

  • metastore.googleapis.com/Service
 否 是 否 使用原始密钥版本 使用原始密钥版本

Eventarc Advanced

  • eventarc.googleapis.com/MessageBus
  • eventarc.googleapis.com/Pipeline
  • eventarc.googleapis.com/GoogleApiSource
 否 是 是 使用原始密钥版本 使用原始密钥版本

Eventarc Standard

  • eventarc.googleapis.com/Channel
 否 是 是 使用原始密钥版本 使用原始密钥版本

Eventarc Standard

  • eventarc.googleapis.com/Trigger
 是 否 是 使用原始密钥版本 使用原始密钥版本

Filestore

  • file.googleapis.com/instance
  • file.googleapis.com/backup
 否 是 否 使用新的主密钥版本 使用原始密钥版本

Firestore

  • firestore.googleapis.com/Database
  • datastore.googleapis.com/Database
 否 是 否 使用新的主密钥版本 使用新的主密钥版本

Gemini Code Assist

  • cloudaicompanion.googleapis.com/CodeRepositoryIndex
 否 是 否 使用原始密钥版本 使用原始密钥版本

Migrate to Virtual Machines

  • vmmigration.googleapis.com/Source
  • vmmigration.googleapis.com/ImageImport
 否 是 否 使用新的主密钥版本 使用原始密钥版本

Migrate to Virtual Machines

  • vmmigration.googleapis.com/MigratingVm
  • vmmigration.googleapis.com/DiskMigrationJob
 否 是 是 使用新的主密钥版本 使用原始密钥版本

Pub/Sub

  • pubsub.googleapis.com/Topic
 否 是 是 使用新的主密钥版本 使用原始密钥版本

Secure Source Manager

  • securesourcemanager.googleapis.com/Instance
 否 是 否 使用原始密钥版本 使用原始密钥版本

Spanner

  • storage.googleapis.com/instances.databases
  • storage.googleapis.com/instances.backups
 是 是 否 使用新的主密钥版本 使用原始密钥版本

Speech-to-Text

  • speech.googleapis.com/Config
 否 是 是 使用新的主密钥版本 使用原始密钥版本

Speech-to-Text

  • speech.googleapis.com/CustomClass
  • speech.googleapis.com/Endpoint
  • speech.googleapis.com/Model
  • speech.googleapis.com/PhraseSet
  • speech.googleapis.com/Recognizer
 是 否 是 使用新的主密钥版本 使用原始密钥版本

Workflows

  • workflows.googleapis.com/Workflow
 否 是 是 使用原始密钥版本 使用原始密钥版本

Workflows

  • workflowexecutions.googleapis.com/Execution
 是 否 否 使用原始密钥版本 使用原始密钥版本

后续步骤