Utilizza le chiavi di crittografia gestite dal cliente

Per impostazione predefinita, Workflows cripta i contenuti inattivi dei clienti. Workflows gestisce la crittografia per conto tuo senza che tu debba fare altro. Questa opzione è denominata crittografia predefinita di Google.

Se vuoi controllare le tue chiavi di crittografia, puoi utilizzare le chiavi di crittografia gestite dal cliente (CMEK) in Cloud KMS con servizi integrati con CMEK, inclusi Workflows. L'utilizzo delle chiavi Cloud KMS ti consente di controllare il livello di protezione, la località, la pianificazione della rotazione, le autorizzazioni di utilizzo e di accesso e i limiti crittografici. Con Cloud KMS puoi inoltre monitorare l'utilizzo delle chiavi, visualizzare gli audit log e controllare i cicli di vita delle chiavi. Invece di Google, sei tu ad avere la proprietà e la gestione delle chiavi di crittografia della chiave (KEK) simmetriche che proteggono i tuoi dati. Puoi controllare e gestire queste chiavi in Cloud KMS.

Dopo aver configurato le risorse con le CMEK, l'esperienza di accesso alle risorse di Workflows è simile all'utilizzo della crittografia predefinita di Google. Per saperne di più sulle opzioni di crittografia, consulta Chiavi di crittografia gestite dal cliente (CMEK).

Puoi proteggere il tuo flusso di lavoro e i dati associati at-rest utilizzando una chiave di crittografia a cui solo tu puoi accedere e che puoi controllare e gestire utilizzando Cloud KMS.

Cosa viene protetto con CMEK

Quando esegui il deployment di un flusso di lavoro, puoi specificare una chiave Cloud KMS. Questa chiave viene utilizzata per criptare il flusso di lavoro e le relative esecuzioni:

• Un workflow richiede un file di origine che contenga una definizione di workflow valida. Questo file di origine è criptato utilizzando la chiave.

• L'esecuzione di un workflow esegue la definizione attuale del workflow (una specifica revisione del workflow). Utilizzando la chiave associata alla revisione del flusso di lavoro al momento della sua implementazione, il flusso di lavoro compilato, nonché tutti i dati di input, output e runtime dell'esecuzione archiviati, vengono criptati. Sono inclusi argomenti di esecuzione, risultati, errori ed eccezioni; forniti eventi Eventarc; e richieste e risposte di callback e HTTP.

Prima di iniziare

Prima di utilizzare CMEK in Workflows, completa i seguenti passaggi:

1. Abilita le API.

   Console

   1. Abilita le API Cloud KMS e Workflows.

      Ruoli richiesti per abilitare le API

      Per abilitare le API, devi disporre dell'autorizzazione serviceusage.services.enable. Se hai creato il progetto, probabilmente disponi già di questa autorizzazione tramite il ruolo Proprietario (roles/owner). In caso contrario, puoi ottenere questa autorizzazione tramite il ruolo Amministratore utilizzo dei servizi (roles/serviceusage.serviceUsageAdmin). Scopri come concedere i ruoli.

      Abilita le API

   gcloud

   1. Nella console Google Cloud , attiva Cloud Shell.

      Attiva Cloud Shell

      Nella parte inferiore della console Google Cloud viene avviata una sessione di Cloud Shell e viene visualizzato un prompt della riga di comando. Cloud Shell è un ambiente shell con Google Cloud CLI già installata e con valori già impostati per il progetto corrente. L'inizializzazione della sessione può richiedere alcuni secondi.

   2. Aggiorna i componenti di gcloud.

      gcloud components update

   3. Abilita le API Cloud KMS e Workflows per il progetto in cui verranno archiviate le chiavi di crittografia.

      gcloud services enable cloudkms.googleapis.com workflows.googleapis.com

2. Cloud KMS genera Cloud Audit Logs quando le chiavi vengono attivate, disattivate o utilizzate dalle risorse Workflows per criptare e decriptare i dati. Assicurati che il logging sia abilitato per l'API Cloud KMS nel tuo progetto e di aver deciso quali autorizzazioni e ruoli specifici per il logging si applicano al tuo caso d'uso. Per saperne di più, consulta Informazioni sui log di controllo di Cloud KMS.

Crea un keyring e una chiave Cloud KMS

Puoi creare un nuovo portachiavi o utilizzarne uno esistente. All'interno del keyring, puoi aggiungere una nuova chiave o utilizzarne una esistente.

1. Crea chiavi automatizzate.

2. Crea una chiave per un keyring specificato.

Recupera l'ID risorsa per una chiave Cloud KMS

L'ID risorsa per una chiave Cloud KMS è obbligatorio quando abiliti CMEK per un flusso di lavoro. In questo documento, vedi Abilitare CMEK per un workflow.