Utilizzare le chiavi Cloud KMS in Google Cloud

Questa pagina spiega come utilizzare le chiavi di crittografia gestite dal cliente di Cloud KMS in altri servizi Google Cloud per proteggere le tue risorse. Per saperne di più, consulta Chiavi di crittografia gestite dal cliente (CMEK).

Quando un servizio supporta CMEK, si dice che ha un'integrazione CMEK. Alcuni servizi, come GKE, hanno più integrazioni CMEK per proteggere diversi tipi di dati correlati al servizio. Per un elenco dei servizi con integrazioni CMEK, consulta Abilita CMEK per i servizi supportati in questa pagina.

Prima di iniziare

Prima di poter utilizzare le chiavi Cloud KMS in altri servizi Google Cloud , devi disporre di una risorsa di progetto che contenga le chiavi Cloud KMS. Ti consigliamo di utilizzare un progetto separato per le risorse Cloud KMS che non contenga altre risorse Google Cloud .

Integrazioni CMEK

Preparati ad attivare l'integrazione CMEK

Per i passaggi esatti per attivare CMEK, consulta la documentazione del servizioGoogle Cloud pertinente. Puoi trovare un link alla documentazione CMEK per ogni servizio in Abilita CMEK per i servizi supportati in questa pagina. Per ogni servizio, dovrai seguire passaggi simili ai seguenti:

1. Crea un keyring o selezionane uno esistente. Le chiavi automatizzate devono trovarsi il più vicino possibile dal punto di vista geografico alle risorse che vuoi proteggere.

2. Nel set di chiavi automatizzate selezionato, crea una chiave o selezionane una esistente. Assicurati che il livello di protezione, lo scopo e l'algoritmo della chiave siano appropriati per le risorse che vuoi proteggere. Questa è la chiave CMEK.

3. Ottieni l'ID risorsa per la chiave CMEK. Questo ID risorsa ti servirà in un secondo momento.

4. Concedi il ruolo IAM CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) sulla chiave CMEK al account di servizio per il servizio.

Dopo aver creato la chiave e assegnato le autorizzazioni richieste, puoi creare o configurare un servizio per utilizzare la chiave CMEK.

Utilizza le chiavi Cloud KMS con i servizi integrati con CMEK

I passaggi seguenti utilizzano Secret Manager come esempio. Per i passaggi esatti per utilizzare una chiave CMEK di Cloud KMS in un determinato servizio, individua il servizio nell'elenco dei servizi integrati con CMEK.

In Secret Manager, puoi utilizzare una CMEK per proteggere i dati at-rest.

1. Nella console Google Cloud , vai alla pagina Secret Manager.

   Vai a Secret Manager

2. Per creare un secret, fai clic su Crea secret.

3. Nella sezione Crittografia, seleziona Utilizza una chiave di crittografia gestita dal cliente (CMEK).

4. Nella casella Chiave di crittografia, segui questi passaggi:

   1. (Facoltativo) Per utilizzare una chiave in un altro progetto, segui questi passaggi:

      1. Fai clic su Cambia progetto.
      2. Inserisci tutto o parte del nome del progetto nella barra di ricerca, quindi seleziona il progetto.
      3. Per visualizzare le chiavi disponibili per il progetto selezionato, fai clic su Seleziona.

   2. (Facoltativo) Per filtrare le chiavi disponibili in base alla località, alle chiavi automatizzate, al nome o al livello di protezione, inserisci i termini di ricerca nella barra dei filtri filter_alt.

   3. Seleziona una chiave dall'elenco delle chiavi disponibili nel progetto selezionato. Puoi utilizzare i dettagli visualizzati relativi a località, chiavi automatizzate e livello di protezione per assicurarti di scegliere la chiave corretta.

   4. Se la chiave che vuoi utilizzare non è visualizzata nell'elenco, fai clic su Inserisci chiave manualmente e inserisci l'ID risorsa della chiave.

5. Completa la configurazione del secret, quindi fai clic su Crea secret. Secret Manager crea il secret e lo cripta utilizzando la chiave CMEK specificata.

Abilita CMEK per i servizi supportati

Per abilitare CMEK, individua innanzitutto il servizio selezionato nella tabella seguente. Puoi inserire termini di ricerca nel campo per filtrare la tabella. Tutti i servizi in questo elenco supportano le chiavi software e hardware (HSM). I prodotti che si integrano con Cloud KMS quando utilizzi chiavi Cloud EKM esterne sono indicati nella colonna Supportato da EKM.

Segui le istruzioni per ogni servizio per cui vuoi attivare le chiavi CMEK.