我應該多久旋轉我的加密密鑰？我可以使用雲端KMS自動旋轉密鑰嗎？

Question

使用我的內部KMS，我每月旋轉按鍵。我也可以使用Cloud KMS來做到這一點嗎？與我的內部使用相比，是否有更好的推薦頻率？旋轉密鑰時數據是否被重新加密？

Answer 1

您想要的密鑰輪換頻率取決於您的用例和威脅模型。您想要限制使用單個版本的加密密鑰加密的非常敏感的數據量。

在Google雲端平臺上，Google的Cloud KMS可以設置爲每天一次自動輪換密鑰。這意味着會自動生成一個新的密鑰版本，並使主要版本用於加密新數據。根據業務需求，大多數客戶通常會選擇30或90天的輪換週期。

旋轉密鑰時不會重新加密數據，而是使用新密鑰版本來加密任何新數據，但舊數據不會被重新加密。您可以通過解密和重新加密數據來手動執行此操作。

有關雲的密鑰輪換進一步討論KMS：https://cloud.google.com/kms/docs/key-rotation#frequency_of_key_rotation

要設置旋轉週期上的一個鍵，使用gcloud運行：

gcloud beta kms cryptokeys set-rotation-schedule CRYPTOKEY_NAME \ 
    --location LOCATION --keyring KEYRING_NAME \ 
    --rotation-period ROTATION_PERIOD \ 
    --next-rotation-time NEXT_ROTATION_TIME