GCP Cloud KMS

Définition

Google Cloud Key Management Service (Cloud KMS) est le service de gestion des clés cryptographiques de Google Cloud Platform. Il permet de créer, stocker, gérer, et utiliser des clés cryptographiques pour chiffrer, déchiffrer, signer, et vérifier des données dans GCP et dans les applications personnalisées via une API REST. Cloud KMS utilise des HSMs FIPS 140-2 Level 3 pour protéger les clés. Cloud KMS organise les clés en Key Rings (anneaux de clés) regroupant des CryptoKeys (clés cryptographiques). Chaque CryptoKey a un ou plusieurs CryptoKeyVersions représentant les versions successives de la clé après rotation. Les opérations cryptographiques utilisent toujours la version primaire (active) de la clé, mais les versions précédentes sont conservées pour déchiffrer les données chiffrées avec elles. Cloud KMS supporte plusieurs algorithmes. Pour le chiffrement symétrique : AES-256-GCM (GOOGLE_SYMMETRIC_ENCRYPTION). Pour la signature asymétrique : RSA-PSS, RSA-PKCS1, EC_SIGN_P256_SHA256, EC_SIGN_P384_SHA384. Pour MAC : HMAC-SHA256. Le choix de l'algorithme dépend du cas d'usage : chiffrement symétrique pour les données massives, asymétrique pour les signatures de code et les certificats. Cloud HSM (HSM-backed keys dans Cloud KMS) offre une protection renforcée FIPS 140-2 Level 3 : les opérations cryptographiques sont effectuées dans des HSMs dédiés, et le matériel clé ne quitte jamais le HSM. Cette option est recommandée pour les données les plus sensibles (PCI-DSS L1, HDS, défense). La gouvernance d'accès aux clés Cloud KMS utilise les rôles IAM Cloud KMS : cloudkms.cryptoKeyEncrypterDecrypter (chiffrement et déchiffrement), cloudkms.cryptoKeyEncrypter (chiffrement seulement), cloudkms.admin (gestion des clés), et cloudkms.viewer (lecture des métadonnées). Une séparation entre administrateurs de clés et utilisateurs de clés est recommandée.