Cette page explique comment utiliser les clés de chiffrement gérées par le client Cloud KMS dans d'autres services Google Cloud pour sécuriser vos ressources. Pour en savoir plus, consultez Clés de chiffrement gérées par le client (CMEK).
Lorsqu'un service est compatible avec les CMEK, on dit qu'il dispose d'une intégration CMEK. Certains services, tels que GKE, possèdent plusieurs intégrations de CMEK permettant de protéger différents types de données liées au service. Pour obtenir la liste des services avec intégrations CMEK, consultez Activer les CMEK pour les services compatibles sur cette page.
Avant de commencer
Avant de pouvoir utiliser des clés Cloud KMS dans d'autres services Google Cloud , vous devez disposer d'une ressource de projet pour contenir vos clés Cloud KMS. Nous vous recommandons d'utiliser un projet distinct pour vos ressources Cloud KMS qui ne contient aucune autre ressource Google Cloud .
Intégrations de CMEK
Se préparer à activer l'intégration des CMEK
Pour connaître la procédure exacte d'activation des CMEK, consultez la documentation du serviceGoogle Cloud concerné. Vous trouverez un lien vers la documentation CMEK pour chaque service dans la section Activer les CMEK pour les services compatibles de cette page. Pour chaque service, vous pouvez suivre des étapes semblables à celles-ci :
Créez un trousseau de clés ou sélectionnez-en un existant. Le trousseau de clés doit être situé aussi près que possible des ressources que vous souhaitez sécuriser.
Dans le trousseau de clés sélectionné, créez une clé ou sélectionnez une clé existante. Assurez-vous que le niveau de protection, l'objectif et l'algorithme de la clé sont adaptés aux ressources que vous souhaitez protéger. Cette clé est la clé CMEK.
Obtenez l'ID de ressource de la clé CMEK. Vous aurez besoin de cet ID de ressource ultérieurement.
Attribuez le rôle IAM de chiffreur/déchiffreur de CryptoKeys (
roles/cloudkms.cryptoKeyEncrypterDecrypter) sur la clé CMEK au compte de service du service.
Une fois que vous avez créé la clé et attribué les autorisations requises, vous pouvez créer ou configurer un service pour utiliser votre clé CMEK.
Utiliser des clés Cloud KMS avec des services bénéficiant d'une intégration des CMEK
Les étapes suivantes utilisent Secret Manager à titre d'exemple. Pour connaître la procédure exacte à suivre pour utiliser une clé CMEK Cloud KMS dans un service donné, recherchez ce service dans la liste des services intégrés à CMEK.
Dans Secret Manager, vous pouvez utiliser une CMEK pour protéger les données au repos.
Dans la console Google Cloud , accédez à la page Secret Manager.
Pour créer un secret, cliquez sur Créer un secret.
Dans la section Chiffrement, sélectionnez Utiliser une clé de chiffrement gérée par le client (CMEK).
Dans la zone Clé de chiffrement, procédez comme suit :
Facultatif : Pour utiliser une clé dans un autre projet, procédez comme suit :
- Cliquez sur Changer de projet.
- Saisissez tout ou partie du nom du projet dans la barre de recherche, puis sélectionnez le projet.
- Pour afficher les clés disponibles pour le projet sélectionné, cliquez sur Sélectionner.
Facultatif : Pour filtrer les clés disponibles par emplacement, trousseau de clés, nom ou niveau de protection, saisissez des termes de recherche dans la barre de filtre .
Sélectionnez une clé dans la liste des clés disponibles dans le projet sélectionné. Vous pouvez utiliser les informations affichées sur l'emplacement, le trousseau de clés et le niveau de protection pour vous assurer de choisir la bonne clé.
Si la clé que vous souhaitez utiliser ne figure pas dans la liste, cliquez sur Saisir la clé manuellement, puis saisissez l'ID de ressource de la clé.
Terminez la configuration de votre secret, puis cliquez sur Créer un secret. Secret Manager crée le secret et le chiffre à l'aide de la clé CMEK spécifiée.
Activer les CMEK pour les services compatibles
Pour activer les CMEK, commencez par localiser le service sélectionné dans le tableau suivant. Vous pouvez saisir des termes de recherche dans le champ pour filtrer le tableau. Tous les services de cette liste sont compatibles avec les clés logicielles et matérielles (HSM). Les produits qui s'intègrent à Cloud KMS lors de l'utilisation de clés Cloud EKM externes sont indiqués dans la colonne Compatible avec EKM.
Suivez les instructions pour chaque service pour lequel vous souhaitez activer les clés CMEK.
| Service | Protégé par les CMEK | Compatible avec EKM | Sujet |
|---|---|---|---|
| Agent Assist | Données au repos | Oui | Clés de chiffrement gérées par le client (CMEK) |
| Récupération d'agent | Données associées aux collections | Oui | Utiliser les clés de chiffrement gérées par le client |
| Agent Search | Données au repos | Non | Clés de chiffrement gérées par le client |
| AlloyDB pour PostgreSQL | Données écrites dans des bases de données | Oui | Utiliser les clés de chiffrement gérées par le client |
| Anti Money Laundering AI | Données dans les ressources d'instance AML AI | Non | Chiffrer des données à l'aide de clés de chiffrement gérées par le client (CMEK) |
| Apigee | Données au repos | Non | Présentation de CMEK |
| Hub d'API Apigee | Données au repos | Oui | Chiffrement |
| Application Integration | Données au repos | Oui | Utiliser les clés de chiffrement gérées par le client |
| Artifact Registry | Données dans les dépôts | Oui | Activer les clés de chiffrement gérées par le client |
| Service Backup and DR | Conteneur de coffre de sauvegarde | Oui | Gérer le chiffrement des coffres de sauvegarde |
| Service Backup and DR | Sauvegardes au repos | Oui | Gérer le chiffrement des sauvegardes |
| Sauvegarde pour GKE | Données dans Sauvegarde pour GKE | Oui | À propos du chiffrement CMEK dans la Sauvegarde pour GKE |
| BigQuery | Données dans BigQuery | Oui | Protéger des données avec des clés Cloud KMS |
| Bigtable | Données au repos | Oui | Clés de chiffrement gérées par le client (CMEK) |
| Cloud Data Fusion | Données d'environnement | Oui | Utiliser les clés de chiffrement gérées par le client |
| API Cloud Healthcare | Ensembles de données de l'API Cloud Healthcare | Oui | Utiliser des clés de chiffrement gérées par le client (CMEK) |
| Cloud Logging | Données dans le routeur de journaux | Oui | Gérer les clés qui protègent les données du routeur de journaux |
| Cloud Logging | Données dans le stockage Logging | Oui | Gérer les clés qui protègent les données de stockage Logging |
| Cloud Run | Image de conteneur | Oui | Utiliser des clés de chiffrement gérées par le client avec Cloud Run |
| Fonctions Cloud Run | Données dans Cloud Run Functions | Oui | Utiliser les clés de chiffrement gérées par le client |
| Cloud SQL | Données écrites dans des bases de données | Oui | Utiliser les clés de chiffrement gérées par le client |
| Cloud SQL | Sauvegardes standards et améliorées | Oui | Présentation des sauvegardes Cloud SQL |
| Cloud Storage | Données dans les buckets de stockage | Oui | Utiliser les clés de chiffrement gérées par le client |
| Cloud Tasks | Corps et en-tête de la tâche au repos | Oui | Utiliser les clés de chiffrement gérées par le client |
| Cloud TPU | Disques persistants | Non | Chiffrer un disque de démarrage de VM TPU avec une clé de chiffrement gérée par le client (CMEK) |
| Cloud Workstations | Données sur les disques de VM | Oui | Chiffrer les ressources de la station de travail |
| Colab Enterprise | Environnements d'exécution et fichiers de notebook | Non | Utiliser les clés de chiffrement gérées par le client |
| Compute Engine | Disques persistants | Oui | Protéger des ressources avec des clés Cloud KMS |
| Compute Engine | Instantanés | Oui | Protéger des ressources avec des clés Cloud KMS |
| Compute Engine | Images personnalisées | Oui | Protéger des ressources avec des clés Cloud KMS |
| Compute Engine | Images système | Oui | Protéger des ressources avec des clés Cloud KMS |
| API Conversational Analytics | Ressources DataAgent (contexte, instructions, exemples) | Non | Protéger une ressource DataAgent avec une CMEK |
| API Conversational Analytics | Ressources de conversation (messages, historique des états) | Non | Protéger une ressource Conversation avec une CMEK |
| Customer Experience Insights | Données au repos | Oui | Clés de chiffrement gérées par le client (CMEK) |
| Data Studio | Données au repos | Oui | Clés de chiffrement gérées par le client (CMEK) |
| Migrations homogènes Database Migration Service | Migrations MySQL : données écrites dans les bases de données | Oui | Utiliser des clés de chiffrement gérées par le client (CMEK) |
| Migrations homogènes Database Migration Service | Migrations PostgreSQL - Données écrites dans les bases de données | Oui | Utiliser des clés de chiffrement gérées par le client (CMEK) |
| Migrations homogènes Database Migration Service | Migrations de PostgreSQL vers AlloyDB : données écrites dans les bases de données | Oui | À propos des CMEK |
| Migrations homogènes Database Migration Service | Migrations SQL Server : données écrites dans les bases de données | Oui | À propos des CMEK |
| Migrations hétérogènes Database Migration Service | Données au repos d'Oracle vers PostgreSQL | Oui | Utiliser des clés de chiffrement gérées par le client (CMEK) pour les migrations continues |
| Dataflow | Données d'état du pipeline | Oui | Utiliser les clés de chiffrement gérées par le client |
| Dataform | Données dans les dépôts | Oui | Utiliser les clés de chiffrement gérées par le client |
| Dataproc Metastore | Données au repos | Oui | Utiliser les clés de chiffrement gérées par le client |
| Datastream | Données en transit | Oui | Utiliser des clés de chiffrement gérées par le client (CMEK) |
| Dialogflow CX | Données au repos | Oui | Clés de chiffrement gérées par le client (CMEK) |
| Document AI | Données au repos et données en cours d'utilisation | Oui | Clés de chiffrement gérées par le client (CMEK) |
| Eventarc Advanced (preview) | Données au repos | Oui | Utiliser des clés de chiffrement gérées par le client (CMEK) |
| Eventarc Standard | Données au repos | Oui | Utiliser des clés de chiffrement gérées par le client (CMEK) |
| Filestore | Données au repos | Oui | Chiffrer des données avec des clés de chiffrement gérées par le client |
| Firestore | Données au repos | Oui | Utiliser des clés de chiffrement gérées par le client (CMEK) |
| Gemini Code Assist | Données au repos | Non | Chiffrer des données avec des clés de chiffrement gérées par le client |
| Gemini Enterprise | Données au repos | Non | Clés de chiffrement gérées par le client |
| Gemini Enterprise – Gemini Notebook pour les entreprises | Données au repos | Non | Clés de chiffrement gérées par le client |
| Google Cloud Managed Lustre | Données au repos | Oui | Utiliser des clés de chiffrement gérées par le client (CMEK) |
| Google Cloud Managed Service pour Apache Kafka | Données associées aux sujets | Oui | Configurer le chiffrement des messages |
| Google Cloud NetApp Volumes | Données au repos | Oui | Créer une stratégie CMEK |
| Google Cloud Observability (preview) | Données au repos | Oui | Définir les valeurs par défaut des buckets d'observabilité |
| Google Distributed Cloud | Données sur les nœuds de périphérie | Oui | Sécurité du stockage local |
| Google Kubernetes Engine | Données sur les disques de VM | Oui | Utiliser des clés de chiffrement gérées par le client (CMEK) |
| Google Kubernetes Engine | Secrets au niveau de la couche d'application | Oui | Chiffrement des secrets au niveau de la couche d'application |
| Integration Connectors | Données au repos | Oui | Méthodes de chiffrement |
| Knowledge Catalog | Données au repos | Oui | Clés de chiffrement gérées par le client |
| Looker (Google Cloud Core) | Données au repos | Oui | Activer CMEK pour Looker (Google Cloud Core) |
| Managed Service pour Apache Airflow | Données d'environnement | Oui | Utiliser les clés de chiffrement gérées par le client |
| Managed Service pour Apache Spark | Données de cluster sur les disques de VM | Oui | Clés de chiffrement gérées par le client |
| Managed Service pour Apache Spark | Données sans serveur sur des disques de VM | Oui | Clés de chiffrement gérées par le client |
| Memorystore pour Redis | Données au repos | Oui | Clés de chiffrement gérées par le client (CMEK) |
| Memorystore for Redis Cluster | Données au repos | Oui | Utiliser des clés de chiffrement gérées par le client (CMEK) |
| Memorystore pour Valkey | Données au repos | Oui | Utiliser des clés de chiffrement gérées par le client (CMEK) |
| Migrate to Virtual Machines | Données migrées depuis des sources de VM VMware, AWS et Azure | Oui | Utiliser des CMEK pour chiffrer les données stockées lors d'une migration |
| Migrate to Virtual Machines | Données migrées à partir de sources d'images disque et d'images système | Oui | Utiliser des CMEK pour chiffrer les données sur des disques et des images système cibles |
| Migrate to Virtual Machines | Données sur des instances de VM et des disques de VM cibles | Oui | Utiliser des CMEK pour chiffrer les données sur des instances de machines virtuelles (VM) et des disques de VM cibles |
| Parameter Manager | Charges utiles de version de paramètre | Oui | Activer les clés de chiffrement gérées par le client pour Parameter Manager |
| Pub/Sub | Données associées aux sujets | Oui | Configurer le chiffrement des messages |
| Secret Manager | Charges utiles des secrets | Oui | Activer les clés de chiffrement gérées par le client pour Secret Manager |
| Secure Source Manager | Instances | Oui | Chiffrer des données avec des clés de chiffrement gérées par le client |
| Security Command Center | Données au repos | Oui | Activer les CMEK pour Security Command Center |
| Service Extensions (preview) | Données des plug-ins | Non | Utiliser des clés de chiffrement gérées par le client (CMEK) |
| Spanner | Données au repos | Oui | Clés de chiffrement gérées par le client (CMEK) |
| Speech-to-Text | Données au repos | Oui | Utiliser les clés de chiffrement gérées par le client |
| Vector Search | Données au repos | Non | Clés de chiffrement gérées par le client (CMEK) |
| Vertex AI | Données associées aux ressources | Oui | Utiliser les clés de chiffrement gérées par le client |
| Notebooks gérés Vertex AI Workbench (obsolètes) | Données utilisateur au repos | Non | Clés de chiffrement gérées par le client |
| Notebooks Vertex AI Workbench gérés par l'utilisateur (obsolètes) | Données sur les disques de VM | Non | Clés de chiffrement gérées par le client |
| Instances Vertex AI Workbench | Données sur les disques de VM | Oui | Clés de chiffrement gérées par le client |
| Workflows | Données au repos | Oui | Utiliser des clés de chiffrement gérées par le client (CMEK) |
| Workload Manager | Données d'évaluation du type de règle personnalisée | Oui | Activer les clés de chiffrement gérées par le client pour les évaluations |