Melindungi data Anda dengan CMEK

Halaman ini memberikan informasi tambahan untuk melindungi data Anda dengan kunci enkripsi yang dikelola pelanggan (CMEK) untuk fungsi yang dibuat menggunakan perintah gcloud functions atau Cloud Functions v2 API.

Untuk mengetahui deskripsi mendetail tentang CMEK, termasuk penyiapan manual, penggunaan Autokey, dan pengujian perlindungan CMEK, lihat dokumentasi Cloud Run.

Jenis data Cloud Run Functions berikut dienkripsi saat menggunakan CMEK:

  • Kode sumber fungsi yang diupload untuk deployment dan disimpan oleh Google di Cloud Storage, yang digunakan dalam proses build.
  • Hasil proses build fungsi, termasuk:
    • Image container yang dibuat dari kode sumber fungsi Anda.
    • Setiap instance fungsi yang di-deploy.

Proses build fungsi itu sendiri dilindungi oleh kunci ephemeral yang dibuat secara unik untuk setiap build. Lihat Kepatuhan CMEK di Cloud Build untuk mengetahui informasi selengkapnya. Selain itu, perhatikan hal-hal berikut:

  • Metadata file, seperti jalur sistem file atau stempel waktu modifikasi, tidak dienkripsi.

  • Jika kunci dinonaktifkan, image container tidak dapat di-deploy dan instance baru tidak dapat dimulai.

  • Perlindungan CMEK Cloud Run Functions hanya berlaku untuk resource Cloud Run Functions yang dikelola Google. Anda bertanggung jawab untuk melindungi data dan resource yang dikelola oleh Anda, seperti repositori kode sumber, saluran peristiwa yang ada di project pelanggan, atau layanan apa pun yang digunakan oleh fungsi Anda.

Sebelum memulai

  1. Buat kunci region tunggal untuk mengenkripsi fungsi Anda. Untuk mempelajari cara membuat kunci, lihat Membuat kunci enkripsi simetris.

  2. Buat repositori Artifact Registry yang telah mengaktifkan CMEK. Anda harus menggunakan kunci yang sama untuk repositori Artifact Registry seperti yang Anda gunakan saat mengaktifkan CMEK untuk suatu fungsi.

  3. Untuk fungsi berbasis peristiwa, ikuti langkah-langkah penyiapan tambahan yang diuraikan dalam Mengaktifkan CMEK untuk saluran Google.

Memberi akun layanan akses ke kunci

Untuk semua fungsi, Anda harus memberi akun layanan berikut akses ke kunci:

  • Agen layanan Cloud Run Functions (service-PROJECT_NUMBER@gcf-admin-robot.iam.gserviceaccount.com)

  • Agen layanan Artifact Registry (service-PROJECT_NUMBER@gcp-sa-artifactregistry.iam.gserviceaccount.com)

  • Agen layanan Cloud Storage (service-