הפעלת מפתחות הצפנה בניהול הלקוח

מפתחות הצפנה בניהול הלקוח (CMEK) מאפשרים לכם לשלוט במפתחות ההצפנה שמשמשים להגנה על הנתונים שלכם ב-Google Cloud במנוחה. במאמר הזה מוסבר איך מגדירים ומנהלים את CMEK ב-Ads Data Hub.

נתונים במצב מנוחה מוצפנים ב-Ads Data Hub באמצעות מפתחות שמנוהלים על ידי Google. אלא אם יש לכם דרישות ספציפיות שמחייבות שימוש ב-CMEK, ההצפנה שמוגדרת כברירת מחדל ב-Google היא האפשרות הטובה ביותר.

כדי להשתמש ב-CMEK, אתם צריכים:

• שימוש ב-Cloud Key Management Service‏ (KMS).
• הגדרתם בעבר פרויקט אדמין ועדכנתם אותו לחשבון השירות החדש.

מידע נוסף על CMEK

הפעלת CMEK

1. בדף Cloud KMS, יוצרים מפתח סימטרי.
   1. אפשר ליצור את המפתח בכל פרויקט ב-Google Cloud.
   2. חשוב לוודא שיוצרים את המפתח במיקום תואם ב-Cloud KMS. בהתאם להנחיות של Cloud KMS, לא מומלץ להשתמש באזור 'גלובלי' בגלל מגבלות פוטנציאליות בביצועים. אם אתם לא זוכרים מה האזור שלכם, פנו לתמיכה של Ads Data Hub.

      אזור ADH	מיקומים של Cloud KMS
      ארה"ב	ארה"ב
      האיחוד האירופי	אירופה
      asia-northeast1	asia, ‏ asia-northeast1
      australia-southeast1	australia-southeast1

2. בדף Cloud Identity and Access Management‏ (IAM), מקצים לחשבון השירות של Ads Data Hub את התפקיד Cloud KMS CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypter). לחלופין, מעניקים לחשבון השירות של Ads Data Hub הרשאה ישירות למפתח בדף Cloud KMS.
3. בממשק המשתמש של Ads Data Hub:
   1. עוברים לכרטיסייה הגדרות.
   2. בקטע 'הצפנה בניהול הלקוח', לוחצים על עריכה.
   3. מעבירים את המתג 'הצפנה בניהול הלקוח' למצב 'מופעל'.
   4. מדביקים את המזהה של מקום המפתח. הערה: זה חייב להיות מזהה המשאב המלא של המפתח, ולא גרסה ספציפית. איך מקבלים מזהה משאב ב-Cloud KMS
   5. לוחצים על שמירה.

ניהול מפתחות

ביצוע רוטציה למפתח

רוטציית מפתחות היא שיטה נפוצה לשמירה על האבטחה. כאן מפורטות הוראות לביצוע רוטציה של מפתחות בדף Cloud KMS.

מערכת Ads Data Hub לא מבצעת רוטציה אוטומטית למפתח ההצפנה כשמתבצעת רוטציה של מפתח Cloud KMS שמשויך לחשבון. בטבלאות הקיימות ממשיכים להשתמש בגרסת המפתח שבאמצעותה הן נוצרו. בטבלאות החדשות נעשה שימוש בגרסת המפתח הנוכחית.

שינוי המקשים

אפשר לעבור למפתח חדש במקום לבצע רוטציה של מפתח קיים. האפשרות הזו שימושית כשצריך להשמיד מפתח או לבצע שינויים משמעותיים בניהול המפתחות, כמו מעבר לרמת הגנה אחרת.

כדי לעבור למפתח חדש, פועלים לפי ההוראות בקטע הפעלת CMEK. שימו לב: שינוי או השמדה של המפתח הקודם לפני השלמת העדכון עלולים לגרום לאובדן נתונים באופן סופי.

ביטול הרשאות, השבתה או השמדה של מפתח

פועלים לפי ההוראות במסמכי התיעוד של Google Cloud לביצוע הפעולות הבאות:

• לבטל את ההרשאות של חשבון השירות של Ads Data Hub.
  • הפעולה הזו תיכנס לתוקף באופן מיידי. לא תוכלו להריץ שאילתות ב-Ads Data Hub עד לפתרון הבעיה, וייתכן שתאבדו נתונים מהטבלאות הזמניות והמודלים שלכם ולא תוכלו לשחזר אותם.
• להשבית מפתח.
  • הפעולה הזו עשויה להופיע ב-Ads Data Hub תוך 3 שעות. עד אז, תוכלו להמשיך להריץ שאילתות באמצעות המפתח המושבת ב-Ads Data Hub.
• השמדת מפתח.
  • חשוב: משביתים את CMEK לפני שמשמטים את המפתח. אם לא תעשו זאת, לא תוכלו להריץ שאילתות ב-Ads Data Hub עד לפתרון הבעיה, וייתכן שיהיו לכם הפסדי נתונים שלא ניתן יהיה לשחזר במסגרת הטבלאות והמודלים הזמניים.

השבתת CMEK

חשוב להשבית את CMEK לפני שמוחקים מפתחות פעילים. אחרת, תאבדו את הגישה לנתונים שהוצפנו באמצעות המפתחות שנמחקו.

כדי להשבית את CMEK:

1. עוברים לכרטיסייה הגדרות ב-Ads Data Hub.
2. בקטע 'הצפנה בניהול הלקוח', לוחצים על עריכה.
3. משביתים את האפשרות 'הצפנה בניהול הלקוח'.
4. לוחצים על שמירה.