Chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)

Por padrão, o Bigtable criptografa o conteúdo do cliente em repouso. O Bigtable executa a criptografia, e você não precisa fazer nada. Essa opção é chamada de criptografia padrão do Google.

Se você quiser controlar suas chaves de criptografia, use chaves de criptografia gerenciadas pelo cliente (CMEKs) no Cloud KMS com serviços integrados a CMEKs, incluindo o Bigtable. Ao usar chaves do Cloud KMS, é possível controlar o nível de proteção, o local, a programação de rotação, as permissões de uso e acesso e os limites criptográficos. Ao usar o Cloud KMS, é possível também monitorar o uso de chaves, ver registros de auditoria e controlar ciclos de vida de chaves. Em vez de o Google ser proprietário e responsável pelo gerenciamento das chaves de criptografia de chaves (KEKs) simétricas que protegem seus dados, você controla e gerencia essas chaves no Cloud KMS.

Depois de configurar os recursos com CMEKs, a experiência de acesso aos recursos do Bigtable é semelhante à criptografia padrão do Google. Para saber mais sobre suas opções de criptografia, consulte Chaves de criptografia gerenciadas pelo cliente (CMEK).

CMEK com o Cloud KMS Autokey

É possível criar CMEKs manualmente para proteger seus clusters do Bigtable ou usar a chave automática do Cloud KMS. Com o Autokey, keyrings e chaves são gerados sob demanda para oferecer suporte à criação de recursos no Bigtable. Os agentes de serviço que usam as chaves para operações de criptografia e descriptografia são criados se ainda não existirem e receberem os papéis necessários do Identity and Access Management (IAM). Para mais informações, consulte Visão geral das chaves automáticas.

O Autokey cria uma chave padrão quando você cria clusters do Bigtable.

Para configurar a CMEK manualmente, consulte Usar a CMEK.

Recursos

  • Segurança: o CMEK oferece o mesmo nível de segurança da criptografia padrão do Google, mas fornece mais controle administrativo.

  • Controle de acesso a dados: os administradores podem girar, gerenciar o acesso e desativar ou destruir a chave usada para proteger os dados em repouso no Bigtable.

  • Auditoria: todas as ações nas chaves CMEK são registradas e ficam visíveis no Cloud Logging. As chaves do Cloud EKM são compatíveis com a justificação de acesso de chaves, que adiciona um campo de justificativa a todas as solicitações de chaves. Os parceiros de gerenciamento de chaves externos permitem aprovar ou negar automaticamente essas solicitações com base na justificativa.

  • Desempenho comparável: as instâncias protegidas do CMEK do Bigtable oferecem desempenho comparável às instâncias do Bigtable que usam criptografia padrão do Google.

  • Flexibilidade: é possível usar a mesma chave CMEK em vários projetos, instâncias ou clusters ou usar chaves separadas, dependendo das necessidades de seus negócios.

  • Proteção entre regiões: ative a CMEK em instâncias que tenham clusters em qualquer região em que o Bigtable esteja disponível. Cada cluster é protegido por uma chave de CMEK na região do cluster.

Preços

O Cloud KMS cobra pelo custo da chave e de todas as operações criptográficas executadas usando essa chave. Para mais detalhes, consulte Preços do Cloud KMS.

Você recebe cobranças pelos custos da operação quando o Bigtable pede para que a chave do Cloud KMS execute uma operação de criptografia ou descriptografia. Cada solicitação de criptografia ou descriptografia é enviada de todas as tabelas em cada cluster na instância. Como o Bigtable usa criptografia de envelope, esses custos por tabela geralmente são baixos, devido ao pequeno número de operações criptográficas esperadas. Se você armazenar muitas tabelas em uma instância protegida pela CMEK, seus custos serão mais altos.

Não há custos adicionais do Bigtable para o uso de instâncias ativadas pela CMEK.

O que é protegido com a CMEK

Em uma instância protegida pela CMEK, o Bigtable usa a chave CMEK para proteger os dados em repouso. Isso inclui dados em todas as tabelas do cluster. Os dados armazenados no armazenamento HDD e SSD estão protegidos.

Alguns dados são protegidos pela criptografia padrão do Google em repouso, e não pela chave CMEK:

  • Um subconjunto de chaves de linha que marcam limites de intervalo e usado para o roteamento
  • Como depurar dados, incluindo dumps de núcleo e registros operacionais
  • Dados em trânsito ou memória
  • Um subconjunto de valores de carimbo de data/hora usados para a coleta de lixo

O Bigtable usa criptografia de envelope para dados em repouso. A chave CMEK é usada como chave de criptografia (KEK, na sigla em inglês) para criptografar outras chaves usadas pelo Bigtable. Quando você alterna a chave CMEK, o Bigtable só precisa recriptografar as chaves intermediárias.

Como ativar a CMEK

Em geral, para usar a CMEK com o Bigtable, é preciso seguir estas etapas:

  1. Crie e configure uma chave CMEK em cada região onde os clusters da instância estarão.
  2. Crie uma nova instância do Bigtable selecionando uma chave CMEK para cada cluster na instância. A chave CMEK de um cluster precisa estar na mesma região do cluster.
  3. Programe uma rotação de chaves para cada chave.

Os aplicativos que usam o Bigtable não precisam especificar uma configuração de chave ou criptografia ao ler, gravar ou excluir dados. O Bigtable poderá acessar a chave em seu nome depois que você conceder o papel Criptografador/Descriptografador do Cloud KMS ao agente de serviço do Bigtable.

Para instruções detalhadas, consulte Usar CMEK.

Use o seguinte quando trabalhar com a CMEK para o Bigtable.