Cloud External Key Manager

בדף הזה תוכלו לקרוא סקירה כללית על Cloud External Key Manager ‏ (Cloud EKM).

הסברים על המונחים

• מנהל מפתחות חיצוני (EKM)

  מנהל המפתחות שמשמש מחוץ ל- Google Cloud לניהול המפתחות.

• ‫Cloud External Key Manager ‏ (Cloud EKM)

  שירות Google Cloud לשימוש במפתחות חיצוניים שמנוהלים ב-EKM נתמך.

• ‫Cloud EKM דרך האינטרנט

  גרסה של Cloud EKM שבה Google Cloud מתקשר עם מנהל המפתחות החיצוני שלכם דרך האינטרנט.

• ‫Cloud EKM דרך VPC

  גרסה של Cloud EKM שבה Google Cloud מתקשר עם מנהל המפתחות החיצוני שלכם דרך ענן וירטואלי פרטי (VPC). מידע נוסף זמין במאמר סקירה כללית על רשת VPC.

• ניהול מפתחות EKM מ-Cloud KMS

  כשמשתמשים ב-Cloud EKM דרך VPC עם שותף חיצוני לניהול מפתחות שתומך במישור הבקרה של Cloud EKM, אפשר להשתמש במצב הניהול של EKM ב-Cloud KMS כדי לפשט את תהליך התחזוקה של מפתחות חיצוניים אצל השותף החיצוני לניהול מפתחות וב-Cloud EKM. מידע נוסף זמין בקטע מפתחות חיצוניים מתואמים ובקטע ניהול מפתחות EKM מ-Cloud KMS בדף הזה.

• עולם הקריפטו

  קונטיינר למשאבים שלכם אצל השותף החיצוני לניהול מפתחות. המרחב הקריפטוגרפי שלכם מזוהה על ידי נתיב ייחודי של המרחב הקריפטוגרפי. הפורמט של נתיב המרחב הקריפטוגרפי משתנה בהתאם לשותף החיצוני לניהול מפתחות – לדוגמה, v0/cryptospaces/YOUR_UNIQUE_PATH.

• EKM בניהול שותף

  הסדר שבו שותף מהימן מנהל עבורכם את ה-EKM. מידע נוסף זמין בקטע EKM בניהול שותף בדף הזה.

• הצדקות גישה למפתחות

  כשמשתמשים ב-Cloud EKM עם Key Access Justifications, כל בקשה לשותף חיצוני לניהול מפתחות כוללת שדה שמזהה את הסיבה לכל בקשה. אתם יכולים להגדיר את השותף החיצוני לניהול מפתחות כך שיאשר או ידחה בקשות על סמך הקוד שסופק בבקשת ההצדקה לגישה למפתח. מידע נוסף על הצדקות גישה למפתחות זמין במאמר סקירה כללית על הצדקות גישה למפתחות.

סקירה כללית

עם Cloud EKM, אתם יכולים להשתמש במפתחות שמנוהלים בשותף חיצוני לניהול מפתחות כדי להגן על הנתונים ב-Google Cloud. אתם יכולים להגן על נתונים במנוחה בשירותים נתמכים עם שילוב CMEK, או על ידי קריאה ישירה ל-Cloud Key Management Service API.

ל-Cloud EKM יש כמה יתרונות:

• מקור המפתח: אתם שולטים במיקום ובהפצה של המפתחות שמנוהלים על ידי גורמים חיצוניים. מפתחות שמנוהלים באופן חיצוני אף פעם לא נשמרים במטמון או מאוחסנים ב- Google Cloud. במקום זאת, Cloud EKM מתקשר ישירות עם השותף החיצוני לניהול מפתחות עבור כל בקשה.

• בקרת גישה: אתם מנהלים את הגישה למפתחות שמנוהלים על ידי גורמים חיצוניים במנהל המפתחות החיצוני. אי אפשר להשתמש במפתח שמנוהל חיצונית ב-Google Cloud בלי קודם לתת לפרויקט Google Cloud גישה למפתח במנהל המפתחות החיצוני. תמיד אפשר לבטל את הרשאת הגישה הזו.

• ניהול מפתחות ריכוזי: אתם יכולים לנהל את המפתחות ומדיניות הגישה מממשק משתמש יחיד, בין אם הנתונים שהם מגנים עליהם נמצאים בענן או במקום.

בכל המקרים, המפתח נמצא במערכת החיצונית ואף פעם לא נשלח אל Google.

אתם יכולים לתקשר עם מנהל המפתחות החיצוני דרך האינטרנט או דרך ענן וירטואלי פרטי (VPC).

איך Cloud EKM עובד

גרסאות של מפתחות Cloud EKM מורכבות מהחלקים הבאים:

• חומר מפתח חיצוני: חומר המפתח החיצוני של מפתח Cloud EKM הוא חומר קריפטוגרפי שנוצר ומאוחסן ב-EKM שלכם. החומר הזה לא יוצא מ-EKM ולא משותף עם Google.
• הפניה למפתח: כל גרסת מפתח של Cloud EKM מכילה URI של מפתח או נתיב מפתח. זהו מזהה ייחודי של חומר המפתח החיצוני שבו Cloud EKM משתמש כשמבקשים פעולות קריפטוגרפיות באמצעות המפתח.
• חומר מפתח פנימי: כשיוצרים מפתח סימטרי של Cloud EKM, ‏ Cloud KMS יוצר חומר מפתח נוסף ב-Cloud KMS, שלא יוצא אף פעם מ-Cloud KMS. חומר המפתח הזה משמש כשכבת הצפנה נוספת בתקשורת עם ה-EKM. חומר המפתח הפנימי הזה לא רלוונטי למפתחות אסימטריים לחתימה.

כדי להשתמש במפתחות Cloud EKM, שירות Cloud EKM שולח בקשות לפעולות קריפטוגרפיות ל-EKM. לדוגמה, כדי להצפין נתונים באמצעות מפתח הצפנה סימטרי, שירות Cloud EKM מצפין קודם את הנתונים באמצעות חומרי המפתח הפנימיים. הנתונים המוצפנים נכללים בבקשה ל-EKM. ה-EKM עוטף את הנתונים המוצפנים בשכבת הצפנה נוספת באמצעות חומרי המפתח החיצוניים, ואז מחזיר את הטקסט המוצפן שמתקבל. אי אפשר לפענח נתונים שהוצפנו באמצעות מפתח Cloud EKM בלי חומר המפתח החיצוני וחומר המפתח הפנימי.

אם הארגון שלכם הפעיל את ההצדקות לגישה למפתחות, השותף החיצוני לניהול מפתחות מתעד את ההצדקה לגישה שסופקה ומשלים את הבקשה רק עבור קודי סיבה להצדקה שמותרים על ידי מדיניות ההצדקות לגישה למפתחות אצל השותף החיצוני לניהול מפתחות.

כדי ליצור ולנהל מפתחות Cloud EKM, צריך לבצע שינויים תואמים גם ב-Cloud KMS וגם ב-EKM. השינויים התואמים האלה מטופלים באופן שונה במפתחות חיצוניים שמנוהלים באופן ידני ובמפתחות חיצוניים מתואמים. כל המפתחות החיצוניים שאליהם יש גישה דרך האינטרנט מנוהלים באופן ידני. אפשר לנהל או לתאם מפתחות חיצוניים שאליהם ניגשים דרך רשת VPC באופן ידני, בהתאם למצב הניהול של ה-EKM בחיבור ה-EKM. מצב הניהול ידני של EKM משמש לניהול ידני של מפתחות. מצב הניהול EKM של Cloud KMS משמש למפתחות חיצוניים מתואמים. מידע נוסף על מצבי ניהול של EKM זמין במאמרים מפתחות חיצוניים בניהול ידני ומפתחות חיצוניים מתואמים בדף הזה.

בתרשים הבא מוצג המיקום של Cloud KMS במודל ניהול המפתחות. בתרשים הזה מוצגים שני שירותים לדוגמה: Compute Engine ו-BigQuery. אפשר גם לעיין ברשימה המלאה של השירותים שתומכים במפתחות Cloud EKM.

במאמרים על שיקולים והגבלות מוסבר על השימוש ב-Cloud EKM.

מפתחות חיצוניים שמנוהלים באופן ידני

בקטע הזה מוסבר באופן כללי איך Cloud EKM עובד עם מפתח חיצוני שמנוהל באופן ידני.

1. אתם יוצרים מפתח או משתמשים במפתח קיים במערכת של שותף חיצוני נתמך לניהול מפתחות. למפתח הזה יש URI ייחודי או נתיב מפתח ייחודי.
2. נותנים לפרויקט Google Cloud גישה לשימוש במפתח במערכת של השותף החיצוני לניהול מפתחות.
3. ב Google Cloud פרויקט, יוצרים גרסת מפתח Cloud EKM באמצעות ה-URI או נתיב המפתח של המפתח שמנוהל באופן חיצוני.
4. צריך לנהל באופן ידני פעולות תחזוקה כמו רוטציית מפתחות בין ה-EKM לבין Cloud EKM. לדוגמה, פעולות של רוטציה של גרסת מפתח או השמדה של גרסת מפתח צריכות להתבצע ישירות ב-EKM וב-Cloud KMS.

ב- Google Cloud, המפתח מופיע לצד מפתחות אחרים של Cloud KMS ו-Cloud HSM, עם רמת ההגנה EXTERNAL או EXTERNAL_VPC. מפתח Cloud EKM ומפתח של שותף חיצוני לניהול מפתחות פועלים יחד כדי להגן על הנתונים שלכם. חומר המפתח החיצוני אף פעם לא נחשף ל-Google.

מפתחות חיצוניים מתואמים

בסעיף הזה מוסבר איך Cloud EKM פועל עם מפתחות חיצוניים מתואמים.

1. מגדירים חיבור EKM, ומגדירים את מצב הניהול של EKM ל-Cloud KMS. במהלך ההגדרה, אתם צריכים לתת ל-EKM הרשאה לגשת לרשת ה-VPC שלכם, ולתת לחשבון השירות של פרויקטGoogle Cloud הרשאה לגשת למרחב ההצפנה ב-EKM. חיבור ה-EKM שלכם משתמש בשם המארח של ה-EKM ובנתיב של מרחב קריפטוגרפי שמזהה את המשאבים שלכם ב-EKM.

2. יוצרים מפתח חיצוני ב-Cloud KMS. כשיוצרים מפתח Cloud EKM באמצעות חיבור EKM over VPC עם מצב ניהול EKM של Cloud KMS מופעל, השלבים הבאים מתבצעים באופן אוטומטי:

   1. שירות Cloud EKM שולח בקשה ליצירת מפתח ל-EKM.
   2. מערכת ה-EKM יוצרת את חומר המפתח המבוקש. חומרי המפתחות החיצוניים האלה נשארים ב-EKM ואף פעם לא נשלחים אל Google.
   3. שירות ה-EKM מחזיר נתיב מפתח ל-Cloud EKM.
   4. שירות Cloud EKM יוצר את גרסת המפתח של Cloud EKM באמצעות נתיב המפתח שסופק על ידי ה-EKM.

3. אפשר להפעיל מ-Cloud KMS פעולות תחזוקה על מפתחות חיצוניים מתואמים. לדוגמה, אפשר להגדיר רוטציה אוטומטית של מפתחות חיצוניים מתואמים שמשמשים להצפנה סימטרית לפי לוח זמנים מוגדר. יצירת גרסאות חדשות של מפתחות מתואמת ב-EKM על ידי Cloud EKM. אפשר גם להפעיל את היצירה או ההרס של גרסאות מפתח ב-EKM מ-Cloud KMS באמצעות מסוףGoogle Cloud ,‏ ה-CLI של gcloud,‏ Cloud KMS API או ספריות לקוח של Cloud KMS.

ב- Google Cloud, המפתח מופיע לצד מפתחות אחרים של Cloud KMS ו-Cloud HSM, עם רמת ההגנה EXTERNAL_VPC. מפתח Cloud EKM ומפתח של שותף חיצוני לניהול מפתחות פועלים יחד כדי להגן על הנתונים שלכם. חומר המפתח החיצוני אף פעם לא נחשף ל-Google.

ניהול מפתחות EKM מ-Cloud KMS

מפתחות חיצוניים מתואמים מתאפשרים על ידי חיבורי EKM שמשתמשים בניהול מפתחות EKM מ-Cloud KMS. אם ה-EKM שלכם תומך במישור הבקרה של Cloud EKM, תוכלו להפעיל את ניהול מפתחות ה-EKM מ-Cloud KMS כדי ליצור מפתחות חיצוניים מתואמים לחיבורי ה-EKM. כשניהול מפתחות EKM מופעל מ-Cloud KMS,‏ Cloud EKM יכול לבקש את השינויים הבאים ב-EKM:

• יצירת מפתח: כשיוצרים מפתח בניהול חיצוני ב-Cloud KMS באמצעות חיבור EKM תואם, שירות Cloud EKM שולח את בקשת יצירת המפתח אל ה-EKM. אם הפעולה מצליחה, מערכת ה-EKM יוצרת את המפתח החדש ואת חומר המפתח ומחזירה את נתיב המפתח לשימוש ב-Cloud EKM כדי לגשת למפתח.

• החלפת מפתח: כשמחליפים מפתח שמנוהל חיצונית ב-Cloud KMS באמצעות חיבור EKM תואם,‏ Cloud EKM שולח את בקשת ההחלפה אל ה-EKM. אם הפעולה בוצעה ללא שגיאות, מערכת ה-EKM יוצרת חומר מפתח חדש ומחזירה את נתיב המפתח ל-Cloud EKM, כדי שיוכל לגשת לגרסת המפתח החדשה.

• השמדת מפתח: כשמשמידים גרסת מפתח של מפתח בניהול חיצוני ב-Cloud KMS באמצעות חיבור EKM תואם, Cloud KMS מתזמן את השמדת גרסת המפתח ב-Cloud KMS. אם גרסת המפתח לא תשוחזר לפני שתקופת ההשמדה המתוזמנת תסתיים, Cloud EKM ישמיד את החלק שלו בחומר הקריפטוגרפי של המפתח וישלח בקשת השמדה ל-EKM.

  אי אפשר לפענח נתונים שהוצפנו באמצעות גרסת המפתח הזו אחרי שהיא מושמדת ב-Cloud KMS, גם אם היא עדיין לא הושמדה ב-EKM. כדי לראות אם מפתח ה-EKM השמיד בהצלחה את גרסת המפתח, אפשר לעיין בפרטי המפתח ב-Cloud KMS.

כשמנהלים מפתחות ב-EKM מ-Cloud KMS, חומר המפתח עדיין נמצא ב-EKM. ‫Google לא יכולה לשלוח בקשות לניהול מפתחות ל-EKM בלי הרשאה מפורשת. ‫Google לא יכולה לשנות הרשאות או מדיניות של הצדקות לגישה למפתחות במערכת של שותף חיצוני לניהול מפתחות. אם מבטלים את ההרשאות של Google ב-EKM, פעולות ניהול המפתחות שמנסים לבצע ב-Cloud KMS נכשלות.

תאימות

מנהלי מפתחות נתמכים

אפשר לאחסן מפתחות חיצוניים במערכות הבאות של שותפים חיצוניים לניהול מפתחות:

• השפות שנתמכות היום:
  • Fortanix
  • Futurex
  • Thales

שירותים שתומכים ב-CMEK עם Cloud EKM

השירותים הבאים תומכים בשילוב עם Cloud KMS עבור מפתחות חיצוניים (Cloud EKM):

• Agent Assist
• Agent Retrieval
• ‫AlloyDB ל-PostgreSQL
• Apigee API hub
• Application Integration
• Artifact Registry
• שירות Backup and DR: Backup Vault Container וגיבויים במנוחה
• גיבוי ל-GKE
• BigQuery
• Bigtable
• Cloud Data Fusion
• Cloud Healthcare API
• ‫Cloud Logging: נתונים ב-Log Router ונתונים באחסון של Logging
• Cloud Run
• פונקציות Cloud Run
• ‫Cloud SQL: נתונים שנכתבו למסדי נתונים וגיבויים רגילים ומשופרים
• Cloud Storage
• Cloud Tasks
• Cloud Workstations
• ‫Compute Engine: דיסקים לאחסון מתמיד, קובצי snapshot, תמונות בהתאמה אישית, ותמונות של מכונות
• Customer Experience Insights
• Data Studio
• Database Migration Service: העברות של MySQL – נתונים שנכתבו במסדי נתונים, העברות של PostgreSQL – נתונים שנכתבו במסדי נתונים, העברות מ-PostgreSQL ל-AlloyDB – נתונים שנכתבו במסדי נתונים, העברות של SQL Server – נתונים שנכתבו במסדי נתונים, ונתונים במצב מנוחה מ-Oracle ל-PostgreSQL
• Dataflow
• Dataform
• Dataproc Metastore
• Datastream
• Dialogflow CX
• Document AI
• ‫Eventarc Advanced (תצוגה מקדימה)
• ‫Eventarc Standard
• Filestore
• Firestore
• Google Cloud Managed Lustre
• שירות מנוהל של Google Cloud ל-Apache Kafka
• ‫Google Cloud NetApp Volumes
• ‫Google Cloud Observability (גרסת Preview)
• ‫Google Distributed Cloud
• ‫Google Kubernetes Engine: Data on VM disks and Application-layer secrets
• Integration Connectors
• Knowledge Catalog
• ‫Looker (Google Cloud core)
• Managed Service for Apache Airflow
• ‫Managed Service for Apache Spark: Cluster data on VM disks and Serverless data on VM disks
• ‫Memorystore for Redis
• ‫Memorystore for Redis Cluster
• Memorystore for Valkey
• העברה למכונות וירטואליות: נתונים שהועברו ממקורות של מכונות וירטואליות ב-VMware, ב-AWS וב-Azure ונתונים שהועברו ממקורות של דיסקים ותמונות מכונה
• Parameter Manager
• Pub/Sub
• Secret Manager
• Secure Source Manager
• ‫Security Command Center
• Spanner
• המרת דיבור לטקסט (STT)
• Vertex AI
• מכונות של Vertex AI Workbench
• תהליכי עבודה
• Workload Manager

לתשומת ליבכם

• כשמשתמשים במפתח Cloud EKM, ל-Google אין שליטה בזמינות של המפתח שמנוהל באופן חיצוני במערכת של השותף החיצוני לניהול מפתחות. אם תאבדו מפתחות שאתם מנהלים מחוץ ל- Google Cloud, ‏ Google לא תוכל לשחזר את הנתונים שלכם.

• כשבוחרים את המיקומים של מפתחות Cloud EKM, חשוב לעיין בהנחיות בנושא אזורים ושותפים לניהול מפתחות חיצוני.

• הסכם רמת השירות (SLA) של Cloud EKM.

• תקשורת עם שירות חיצוני דרך האינטרנט עלולה לגרום לבעיות באמינות, בזמינות ובזמן האחזור. אם אתם מפתחים אפליקציות שרגישות לסוגי הסיכונים האלה, כדאי לשקול שימוש ב-Cloud HSM או ב-Cloud KMS כדי לאחסן את חומרי המפתחות.

  • אם מפתח חיצוני לא זמין, Cloud KMS מחזיר שגיאה FAILED_PRECONDITION ומספק פרטים בפרטי השגיאה PreconditionFailure.

    מפעילים יומני ביקורת של נתונים כדי לשמור תיעוד של כל השגיאות שקשורות ל-Cloud EKM. הודעות השגיאה מכילות מידע מפורט שיעזור לכם לאתר את מקור השגיאה. דוגמה לשגיאה נפוצה היא כששותף חיצוני לניהול מפתחות לא מגיב לבקשה בתוך פרק זמן סביר.