Cloud External Key Manager

本頁面提供 Cloud External Key Manager (Cloud EKM) 的總覽。

術語

  • 外部金鑰管理工具 (EKM)

    在 Google Cloud 外部用來管理金鑰的金鑰管理工具。

  • Cloud External Key Manager (Cloud EKM)

    這項 Google Cloud 服務可讓您使用在支援的 EKM 中管理的外部金鑰。

  • 透過網際網路使用 Cloud EKM

    Cloud EKM 的版本，其中 Google Cloud 透過網際網路與外部金鑰管理工具通訊。

  • 透過虛擬私有雲使用 Cloud EKM

    Cloud EKM 的版本，其中 Google Cloud 透過虛擬私有雲 (VPC) 與外部金鑰管理工具通訊。詳情請參閱「虛擬私有雲網路總覽」。

  • 透過 Cloud KMS 管理 EKM 金鑰

    透過虛擬私有雲使用 Cloud EKM 時，如果外部金鑰管理合作夥伴支援 Cloud EKM 控制層，您可以使用 Cloud KMS EKM 管理模式，簡化在外部金鑰管理合作夥伴和 Cloud EKM 中維護外部金鑰的程序。詳情請參閱本頁的「協調外部金鑰」和「透過 Cloud KMS 管理 EKM 金鑰」一節。

  • 加密貨幣領域

    外部金鑰管理合作夥伴中的資源容器。Crypto Space 是由專屬的 Crypto Space 路徑識別。Crypto Space 路徑的格式因外部金鑰管理合作夥伴而異，例如 v0/cryptospaces/YOUR_UNIQUE_PATH。

  • 合作夥伴代管的 EKM

    由信任的合作夥伴代管 EKM。 詳情請參閱本頁的「合作夥伴代管的 EKM」一節。

  • 金鑰存取依據

    當您搭配使用 Cloud EKM 與金鑰存取依據時，傳送至外部金鑰管理合作夥伴的每項要求都會包含一個欄位，用於識別每項要求的原因。您可以設定外部金鑰管理合作夥伴，根據提供的金鑰存取依據代碼，允許或拒絕要求。如要進一步瞭解金鑰存取依據，請參閱「金鑰存取依據總覽」。

總覽

有了 Cloud EKM，您就能使用透過支援的外部金鑰管理合作夥伴代管的金鑰來保護Google Cloud中的資料。您可以透過支援的 CMEK 整合服務或直接呼叫 Cloud Key Management Service API 來保護靜態資料。

Cloud EKM 具備多項優勢：

  • 金鑰來源：您可以控管外部管理金鑰的位置和發布情形。外部代管金鑰絕不會在 Google Cloud內快取或儲存。Cloud EKM 會直接與外部金鑰管理合作夥伴通訊，處理每項要求。

  • 存取控管：您可以在外部金鑰管理工具中，管理外部代管金鑰的存取權。您必須先在外部金鑰管理工具中，將金鑰存取權授予 Google Cloud 專案，才能在Google Cloud 使用外部代管金鑰。您可以隨時撤銷這項存取權。

  • 集中管理金鑰：無論金鑰保護的資料位於雲端或地端部署環境，您都可以透過單一使用者介面管理金鑰和存取權政策。

  • 在 Cloud EKM 保護等級之間遷移，完全不需停機 (預先發布版)：如果您已在使用 Cloud EKM 金鑰，可以在 EXTERNAL 和 EXTERNAL_VPC 保護等級之間遷移現有的金鑰版本。這樣一來，您就能在透過網際網路使用 Cloud EKM，以及透過虛擬私有雲使用 Cloud EKM 之間切換，並使用相同的金鑰內容，不必重新加密資料。詳情請參閱「遷移外部金鑰」。

在所有情況下，金鑰都會儲存在外部系統，絕不會傳送給 Google。

您可以透過網際網路或透過虛擬私有雲 (VPC) 與外部金鑰管理工具通訊。

Cloud EKM 的運作方式

Cloud EKM 金鑰版本包含以下部分：

  • 外部金鑰內容：Cloud EKM 金鑰的外部金鑰內容，是在 EKM 中建立及儲存的加密編譯內容。這項內容不會離開 EKM，也絕不會與 Google 共用。
  • 金鑰參照：每個 Cloud EKM 金鑰版本都包含金鑰 URI 或金鑰路徑。這是外部金鑰內容的專屬 ID，Cloud EKM 會在要求使用金鑰執行加密編譯作業時使用。
  • 內部金鑰內容：建立對稱 Cloud EKM 金鑰時，Cloud KMS 會在 Cloud KMS 中建立額外的金鑰內容，且不會離開 Cloud KMS。與 EKM 通訊時，這項金鑰內容會做為額外的加密層。這項內部金鑰內容不適用於非對稱簽署金鑰。

如要使用 Cloud EKM 金鑰，Cloud EKM 會向 EKM 傳送密碼編譯作業要求。舉例來說，如要使用對稱加密金鑰加密資料，Cloud EKM 會先使用內部金鑰內容加密資料。加密資料會包含在傳送至 EKM 的要求中。EKM 會使用外部金鑰內容，在加密資料外加上另一層加密，然後傳回產生的密文。使用 Cloud EKM 金鑰加密的資料，必須同時具備外部金鑰內容和內部金鑰內容，才能解密。

如果貴組織已啟用金鑰存取依據，外部金鑰管理合作夥伴會記錄提供的存取依據，並僅針對外部金鑰管理合作夥伴的金鑰存取依據政策允許的依據原因代碼完成要求。

建立及管理 Cloud EKM 金鑰時，必須在 Cloud KMS 和 EKM 中進行相應變更。 對於手動管理的外部金鑰和協調的外部金鑰，這些對應變更的處理方式不同。透過網際網路存取的所有外部金鑰，都必須手動管理。透過虛擬私有雲網路存取的外部金鑰，可以手動管理或協調，具體取決於 EKM 連線的 EKM 管理模式。手動 EKM 管理模式用於手動管理的金鑰。Cloud KMS EKM 管理模式用於協調外部金鑰。如要進一步瞭解 EKM 管理模式，請參閱本頁的「手動管理的外部金鑰」和「協調的外部金鑰」。

下圖顯示 Cloud KMS 如何融入金鑰管理模型。這張圖表以 Compute Engine 和 BigQuery 為例，您也可以查看支援 Cloud EKM 金鑰的完整服務清單。

圖表：使用 Cloud EKM 加密及解密

您可以瞭解使用 Cloud EKM 時的注意事項和限制。

手動管理的外部金鑰

本節概略說明 Cloud EKM 如何與手動管理的外部金鑰搭配運作。

  1. 在支援的外部金鑰管理合作夥伴系統中建立或使用現有金鑰。這組金鑰有專屬的 URI 或金鑰路徑。
  2. 您在外部金鑰管理合作夥伴系統中，授予 Google Cloud 專案使用金鑰的權限。
  3. 在 Google Cloud 專案中，您可以使用外部代管金鑰的 URI 或金鑰路徑，建立 Cloud EKM 金鑰版本。
  4. 金鑰輪替等維護作業必須在 EKM 和 Cloud EKM 之間手動管理。舉例來說，金鑰版本輪替或金鑰版本刪除作業，必須直接在 EKM 和 Cloud KMS 中完成。

在 Google Cloud中，金鑰會與其他 Cloud KMS 和 Cloud HSM 金鑰一併顯示，保護層級為EXTERNAL或EXTERNAL_VPC。Cloud EKM 金鑰和外部金鑰管理合作夥伴金鑰會共同保護您的資料。外部金鑰內容絕不會向 Google 透露。

協調外部金鑰

本節概略說明 Cloud EKM 如何與協調的外部金鑰搭配運作。

  1. 您設定 EKM 連線，並將 EKM 管理模式設為 Cloud KMS。設定期間，您必須授權 EKM 存取虛擬私有雲網路，並授權Google Cloud 專案服務帳戶存取 EKM 中的加密空間。EKM 連線會使用 EKM 的主機名稱和加密空間路徑，識別 EKM 中的資源。

  2. 在 Cloud KMS 中建立外部金鑰。使用透過虛擬私有雲連線的 EKM 建立 Cloud EKM 金鑰，並啟用 Cloud KMS EKM 管理模式時，系統會自動執行下列步驟：

    1. Cloud EKM 會向您的 EKM 傳送金鑰建立要求。
    2. EKM 會建立要求的金鑰內容。這項外部金鑰內容會保留在 EKM 中，絕不會傳送給 Google。
    3. EKM 會將金鑰路徑傳回 Cloud EKM。
    4. Cloud EKM 會使用 EKM 提供的金鑰路徑，建立 Cloud EKM 金鑰版本。

  3. 您可以從 Cloud KMS 啟動協調外部金鑰的維護作業。舉例來說，用於對稱式加密的協調外部金鑰可以按照設定的時間表自動輪替。Cloud EKM 會在 EKM 中協調建立新的金鑰版本。您也可以使用Google Cloud 控制台、gcloud CLI、Cloud KMS API 或 Cloud KMS 用戶端程式庫，從 Cloud KMS 觸發 EKM 中金鑰版本的建立或刪除作業。

在 Google Cloud中，金鑰會與其他 Cloud KMS 和 Cloud HSM 金鑰一併顯示，保護層級為EXTERNAL_VPC。Cloud EKM 金鑰和外部金鑰管理合作夥伴金鑰會共同保護您的資料。外部金鑰內容絕不會向 Google 透露。

透過 Cloud KMS 管理 EKM 金鑰

協調外部金鑰可透過 EKM 連線實現，該連線使用 Cloud KMS 的 EKM 金鑰管理功能。如果 EKM 支援 Cloud EKM 控制層，您可以在 Cloud KMS 中為 EKM 連線啟用 EKM 金鑰管理功能，建立協調的外部金鑰。啟用 Cloud KMS 的 EKM 金鑰管理功能後，Cloud EKM 即可要求在 EKM 中進行下列變更：

  • 建立金鑰：使用相容的 EKM 連線，在 Cloud KMS 建立外部代管金鑰時，Cloud EKM 會將金鑰建立要求傳送至 EKM。如果成功，EKM 會建立新的金鑰和金鑰內容，並傳回金鑰路徑，供 Cloud EKM 用於存取金鑰。

  • 輪替金鑰：使用相容的 EKM 連線在 Cloud KMS 中輪替外部代管金鑰時，Cloud EKM 會將輪替要求傳送至 EKM。如果成功，EKM 會建立新的金鑰內容，並傳回金鑰路徑，供 Cloud EKM 用於存取新的金鑰版本。

  • 刪除金鑰：在 Cloud KMS 中，使用相容的 EKM 連線刪除外部代管金鑰的金鑰版本時，Cloud KMS 會排定在 Cloud KMS 中刪除該金鑰版本。如果未在排定刪除期限結束前還原金鑰版本，Cloud EKM 會刪除其金鑰加密編譯資料，並向 EKM 傳送刪除要求。

    在 Cloud KMS 中刪除金鑰版本後，即使 EKM 尚未刪除金鑰版本，也無法解密以該金鑰版本加密的資料。您可以在 Cloud KMS 中查看金鑰詳細資料，確認 EKM 是否已成功刪除金鑰版本。

透過 Cloud KMS 管理 EKM 中的金鑰時，金鑰內容仍會保留在 EKM 中。未經明確許可，Google 無法向您的 EKM 提出任何金鑰管理要求。 Google 無法變更外部金鑰管理合作夥伴系統中的權限或金鑰存取依據政策。 如果您在 EKM 中撤銷 Google 的權限，在 Cloud KMS 中嘗試執行的金鑰管理作業就會失敗。

相容性

支援的金鑰管理工具

您可以將外部金鑰儲存在下列外部金鑰管理合作夥伴系統中：

支援 CMEK 搭配 Cloud EKM 的服務

下列服務支援與 Cloud KMS 整合，可使用外部 (Cloud EKM) 金鑰：

注意事項

  • 使用 Cloud EKM 金鑰時，Google 無法控管外部金鑰管理合作夥伴系統中，外部代管金鑰的可用性。如果您遺失在 Google Cloud外部管理的金鑰，Google 無法復原您的資料。

  • 選擇 Cloud EKM 金鑰的位置時，請詳閱外部金鑰管理合作夥伴和區域的相關指南。

  • 詳閱《Cloud EKM 服務水準協議 (SLA)》。

  • 透過網際網路與外部服務通訊，可能會導致可靠性、可用性和延遲時間等問題。如果應用程式對這類風險的容忍度較低，建議使用 Cloud HSM 或 Cloud KMS 儲存金鑰內容。

    • 如果外部金鑰無法使用，Cloud KMS 會傳回 FAILED_PRECONDITION 錯誤，並在 PreconditionFailure 錯誤詳細資料中提供詳細資訊。

      啟用資料稽核記錄，保留與 Cloud EKM 相關的所有錯誤記錄。錯誤訊息包含詳細資訊，可協助找出錯誤來源。常見錯誤包括外部金鑰管理合作夥伴未在合理時間範圍內回應要求。

    • 您必須與外部金鑰管理合作夥伴簽訂支援合約。Google Cloud 支援團隊只能協助解決Google Cloud 服務的問題，無法直接協助解決外部系統的問題。有時，您必須與雙方的支援團隊合作，才能排解互通性問題。

  • Cloud EKM 可與裸機機架 HSM 搭配使用，建立與 Cloud KMS 整合的獨立 HSM 解決方案。如要瞭解詳情，請選擇支援單一租戶 HSM 的 Cloud EKM 合作夥伴，並查看 Bare Metal Rack HSM 的相關規定。這與單一租戶 Cloud HSM 不同，請仔細考量哪種解決方案更符合您的需求。

  • 在外部金鑰管理工具中啟用稽核記錄，擷取 EKM 金鑰的存取和使用情形。

限制

  • 使用 API 或 Google Cloud CLI 建立 Cloud EKM 金鑰時，不得有初始金鑰版本。這不適用於使用Google Cloud 控制台建立的 Cloud EKM 金鑰。
  • 手動管理的外部金鑰不支援自動輪替。
  • 除了 Cloud KMS 作業的配額外，Cloud EKM 作業也須遵守特定配額。

對稱式加密金鑰

非對稱簽署金鑰

外部金鑰管理工具和區域

Cloud EKM 必須能快速存取金鑰，以免發生錯誤。建立 Cloud EKM 金鑰時，請選擇地理位置靠近外部金鑰管理合作夥伴金鑰位置的Google Cloud 。請參閱外部金鑰管理合作夥伴的文件，判斷對方支援哪些位置。

  • 透過網際網路使用 Cloud EKM：適用於提供 Cloud KMS 的大多數 Google Cloud位置，包括區域和多區域位置。
  • 透過虛擬私有雲使用 Cloud EKM：適用於提供 Cloud KMS 的大多數區域位置。無法在多區域位置，透過虛擬私有雲使用 Cloud EKM。

Cloud EKM 不支援部分位置，包括 global 和 nam-eur-asia1。如要瞭解哪些位置支援 Cloud EKM，請參閱「Cloud KMS 位置」。

多區域用途

當您在多區域使用外部代管金鑰時，該金鑰的中繼資料會儲存在多區域內的多個資料中心。這項中繼資料包含與外部金鑰管理合作夥伴通訊所需的資訊。如果應用程式從多區域中的一個資料中心容錯移轉至另一個資料中心，新的資料中心會啟動金鑰要求。新資料中心的網路特性可能與舊資料中心不同，包括與外部金鑰管理合作夥伴的距離，以及逾時的可能性。只有在所選外部金鑰管理工具能為多區域的所有區域提供低延遲服務時，才建議搭配 Cloud EKM 使用多區域。

合作夥伴代管的 EKM

合作夥伴代管的 EKM 可讓您透過值得信賴的主權合作夥伴使用 Cloud EKM，由合作夥伴代管 EKM 系統。如果使用合作夥伴代管的 EKM，合作夥伴會建立及管理您在 Cloud EKM 中使用的金鑰。合作夥伴會確保您的 EKM 符合主權要求。

與主權合作夥伴合作時，合作夥伴會在 Google Cloud 和您的 EKM 中佈建資源。這些資源包括用於管理 Cloud EKM 金鑰的 Cloud KMS 專案，以及用於從 Cloud KMS 管理 EKM 金鑰的 EKM 連線。合作夥伴會根據您的資料落地規定，在 Google Cloud 位置建立資源。

每個 Cloud EKM 金鑰都包含 Cloud KMS 中繼資料，Cloud EKM 可透過這項資料，向 EKM 傳送要求，使用絕不會離開 EKM 的外部金鑰內容執行加密編譯作業。對稱 Cloud EKM 金鑰也包含 Cloud KMS 內部金鑰內容，絕不會離開 Google Cloud。如要進一步瞭解 Cloud EKM 金鑰的內部和外部，請參閱本頁的「Cloud EKM 的運作方式」一節。

如要進一步瞭解合作夥伴代管的 EKM，請參閱「設定合作夥伴代管的 Cloud KMS」。

監控 Cloud EKM 使用情形

您可以使用 Cloud Monitoring 監控 EKM 連線。下列指標可協助您瞭解 EKM 用量：

  • cloudkms.googleapis.com/ekm/external/request_latencies
  • cloudkms.googleapis.com/ekm/external/request_count

如要進一步瞭解這些指標，請參閱「cloudkms 指標」。您可以建立資訊主頁來追蹤這些指標。如要瞭解如何設定資訊主頁來監控 EKM 連線，請參閱「監控 EKM 用量」。

取得支援

如果使用 Cloud EKM 時遇到問題，請與支援團隊聯絡。

後續步驟