Le chiavi di crittografia gestite dal cliente (CMEK) ti consentono di controllare le chiavi di crittografia utilizzate per proteggere i tuoi dati inattivi di Google Cloud. Questo articolo spiega come configurare e gestire CMEK in Ads Data Hub.
Ads Data Hub codifica i dati at-rest utilizzando le chiavi gestite da Google. A meno che tu non abbia requisiti specifici che richiedono l'utilizzo di CMEK, la crittografia predefinita di Google è la scelta migliore.
Per usare CMEK, devi:
- Utilizzare Cloud Key Management Service (KMS).
- Aver configurato in precedenza un progetto amministratore e aggiornato al nuovo account di servizio.
Attivare CMEK
- Nella pagina di Cloud KMS, crea una chiave simmetrica.
- Puoi creare la chiave in qualsiasi progetto Google Cloud.
- Assicurati di creare la chiave in una località Cloud KMS compatibile. Secondo le linee guida di Cloud KMS, l'utilizzo dell'area geografica "globale" non è consigliato a causa di potenziali limitazioni delle prestazioni. Se non ricordi la tua regione, contatta l'assistenza di Ads Data Hub.
Regione ADH Località di Cloud KMS US US EU europe asia-northeast1 asia, asia-northeast1 australia-southeast1 australia-southeast1
- Nella pagina di Cloud Identity and Access Management (IAM), concedi all'account di servizio Ads Data Hub il ruolo Autore crittografia/decrittografia CryptoKey Cloud KMS (
roles/cloudkms.cryptoKeyEncrypter). In alternativa, concedi l'autorizzazione di accesso all'account di servizio Ads Data Hub direttamente alla chiave nella pagina Cloud KMS. - Nell'interfaccia utente di Ads Data Hub:
- Vai alla scheda Impostazioni.
- In "Crittografia gestita dal cliente", fai clic su Modifica.
- Attiva "Crittografia gestita dal cliente".
- Incolla l'ID risorsa della chiave. Nota: deve essere l'intero ID risorsa della chiave, non una versione specifica. Scopri come ottenere un ID risorsa di Cloud KMS
- Fai clic su Salva.
Gestire le chiavi
Ruotare una chiave
La rotazione delle chiavi è una pratica di sicurezza comune. Puoi trovare istruzioni su come ruotare le chiavi nella pagina Cloud KMS qui.
Ads Data Hub non ruota automaticamente la chiave di crittografia quando la chiave Cloud KMS associata all'account ruota. Le tabelle esistenti continuano a utilizzare la versione della chiave con cui sono state create. Le nuove tabelle utilizzano la versione della chiave corrente.
Modificare le chiavi
Puoi passare a una nuova chiave anziché ruotarne una esistente. Questo è utile quando devi eliminare una chiave o apportare modifiche significative alla gestione delle chiavi, ad esempio cambiando il livello di protezione.
Per passare a una nuova chiave, segui le istruzioni riportate in Abilita CMEK. Attenzione: la modifica o l'eliminazione della chiave precedente prima del completamento dell'aggiornamento può causare la perdita permanente dei dati.
Revocare le autorizzazioni, disattivare o eliminare una chiave
Segui le istruzioni riportate nella documentazione di Google Cloud per le seguenti azioni:
- Revocare le autorizzazioni dell'account di servizio Ads Data Hub.
- Questa azione ha effetto immediato. Non potrai eseguire query in Ads Data Hub finché non avrai risolto il problema e le tabelle temporanee e i modelli potrebbero subire una perdita di dati irreversibile.
- Disattivare una chiave.
- Questa azione può richiedere fino a tre ore per essere visualizzata in Ads Data Hub. Fino ad allora, puoi continuare a eseguire query utilizzando la chiave disabilitata in Ads Data Hub.
- Eliminare una chiave.
- Importante: disabilita CMEK prima di eliminare la chiave. In caso contrario, non potrai eseguire query in Ads Data Hub finché non avrai risolto il problema e le tabelle e i modelli temporanei potrebbero subire una perdita di dati irreversibile.
Disattivare CMEK
È importante disattivare CMEK prima di eliminare le chiavi attive. In caso contrario, perderai l'accesso ai dati criptati usando le chiavi eliminate.
Per disattivare CMEK:
- Vai alla scheda Impostazioni account in Ads Data Hub.
- In "Crittografia gestita dal cliente", fai clic su Modifica.
- Imposta "Crittografia gestita dal cliente" su "Off".
- Fai clic su Salva.