啟用客戶自行管理的加密金鑰

「客戶管理的加密金鑰」(CMEK) 可讓您控管用於保護 Google Cloud 靜態資料的加密金鑰。本文將說明如何在廣告資料中心中設定及管理 CMEK。

廣告資料中心是採用 Google 代管的金鑰加密靜態資料。除非您有必須使用 CMEK 的特定需求，否則建議您選擇 Google 的預設加密機制。

如要使用 CMEK，您必須：

  • 使用 Cloud Key Management Service (KMS)。
  • 已預先設定管理員專案，並更新為新的服務帳戶。

進一步瞭解 CMEK

啟用 CMEK

  1. 在 Cloud KMS 頁面上建立對稱金鑰。
    1. 您可以在任何 Google Cloud 專案中建立金鑰。
    2. 請務必在適用的 Cloud KMS 位置建立金鑰。根據 Cloud KMS 指南，使用「全球」區域可能會使效能受限，因此不建議選此區域。如果您不記得所在區域，請與廣告資料中心支援團隊聯絡。
      廣告資料中心區域Cloud KMS 位置
      USUS
      EUeurope
      asia-northeast1asia、asia-northeast1
      australia-southeast1australia-southeast1
  2. 請在「Cloud Identity and Access Management (IAM)」頁面授予廣告資料中心服務帳戶 Cloud KMS CryptoKey 加密者/解密者角色 (roles/cloudkms.cryptoKeyEncrypter)。此外，您也可以直接授權廣告資料中心服務帳戶存取 Cloud KMS 頁面上的金鑰。
  3. 在廣告資料中心使用者介面中：
    1. 前往「設定」分頁。
    2. 在「客戶管理的加密技術」下方，按一下「編輯」。
    3. 將「客戶管理的加密技術」切換為「開啟」。
    4. 貼上金鑰資源 ID。注意：這必須是金鑰的完整資源 ID，而不是特定版本。瞭解如何取得 Cloud KMS 資源 ID
    5. 按一下「儲存」。

管理金鑰

輪替金鑰

輪替金鑰是常見的安全性做法。如要瞭解如何在 Cloud KMS 頁面中輪替金鑰，請參閱本文。

與帳戶相關聯的 Cloud KMS 金鑰輪替時，廣告資料中心並不會自動輪替加密金鑰。現有資料表會繼續使用當初建立時採用的金鑰版本。新的資料表則會使用目前的金鑰版本。

變更金鑰

您可以將金鑰變更為新金鑰，不必輪替現有金鑰。需要刪除金鑰或進行大幅度的金鑰管理異動 (例如改用其他防護等級) 時，即可使用這項功能。

如要改用新的金鑰，請按照「啟用 CMEK」下方的說明操作。注意：如果在更新完成之前修改或刪除先前的金鑰，可能會導致資料永久遺失。

撤銷權限、停用或刪除金鑰

請依照 Google Cloud 說明文件中的指示進行下列操作：

  • 撤銷廣告資料中心服務帳戶的權限。
    • 這項操作會立即生效。您必須等到問題解決後，才能在廣告資料中心執行查詢，而臨時表格和模型可能會遺失無法復原的資料。
  • 停用金鑰。
    • 這項操作最多可能要 3 小時才會在廣告資料中心生效。在此之前，您都可以在廣告資料中心繼續使用已停用的金鑰執行查詢。
  • 刪除金鑰。
    • 重要事項：請先停用 CMEK，再刪除金鑰。否則，您必須等到問題解決後，才能在廣告資料中心執行查詢，而臨時表格和模型可能會遺失無法復原的資料。

停用 CMEK

刪除使用中的金鑰前，請務必先停用 CMEK，否則您將無法存取那些使用已刪除金鑰加密的資料。

停用 CMEK 的方法如下：

  1. 前往廣告資料中心的「設定」分頁。
  2. 在「客戶管理的加密技術」下方，按一下「編輯」。
  3. 將「客戶管理的加密技術」切換為「關閉」。
  4. 按一下「儲存」。