如何防止内部人员访问使用Cloud KMS加密的数据或秘密？

使用云KMS加密数据是否足以阻止我的组织员工访问加密数据？有什么最佳实践可以避免不必要的暴露？如何防止内部人员访问使用Cloud KMS加密的数据或秘密？

2017-01-11 Dan Holevoet

Cloud KMS中的资源是Google Cloud Platform资源，可以使用IAM管理访问权限，使用Cloud Audit Logging审核访问权限。您应该设置权限，以将加密密钥的使用限制为只有那些应该有权访问的个人。

您可以应用职责分离原则 - 管理加密密钥的个人不应该是访问这些密钥保护内容的个人，例如秘密。实际上，您应该给予一个人重要的管理权限，如密钥轮换等（IAM角色：云KMS管理员）;和另一个人的密钥使用权，例如对访问数据进行加密/解密（IAM角色：云KMS CryptoKey加密器/解密器）。

有关云职责分离进一步讨论KMS：https://cloud.google.com/kms/docs/separation-of-duties

为了让用户能够管理与角色云KMS管理的一个关键的能力，使用gcloud运行：

gcloud beta kms cryptokeys add-iam-policy-binding \ 
    CRYPTOKEY_NAME --location LOCATION --keyring KEYRING_NAME \ 
    --member user:[email protected] \ 
    --role roles/cloudkms.admin

授予服务帐户使用具有角色Cloud KMS CryptoKey加密器/解密器的密钥进行加密和解密的能力，使用gcloud运行：

gcloud beta kms cryptokeys add-iam-policy-binding \ 
    CRYPTOKEY_NAME --location LOCATION --keyring KEYRING_NAME \ 
    --member serviceAccount:[email protected] \ 
    --role roles/cloudkms.cryptoKeyEncrypterDecrypter

来源

2017-01-11 18:07:57

如何防止内部人员访问使用Cloud KMS加密的数据或秘密？

回答

相关问题