我应该多长时间轮换一次我的加密密钥？是否可以使用云KMS自动轮换密钥？

Question

使用我的本地KMS，我每月轮换密钥。我也可以使用Cloud KMS做到这一点吗？与我的本地使用相比，是否有更好的推荐频率？当我轮换密钥时，数据会重新加密吗？

Answer 1

您所需的密钥轮换频率取决于您的使用案例和威胁模型。您希望限制使用单一版本的加密密钥加密的非常敏感的数据量。

在Google Cloud平台上，Google的Cloud KMS可以设置为每天自动轮换密钥一次。这意味着将自动生成新的密钥版本，并使其成为用于加密新数据的主要版本。大多数客户通常会根据业务需求选择30天或90天的轮换周期。

当密钥轮换时，数据不会重新加密-相反，新密钥版本用于加密任何新数据，但旧数据不会重新加密。您可以通过解密和重新加密数据来手动执行此操作。

有关云KMS中密钥轮换的进一步讨论，请访问：https://cloud.google.com/kms/docs/key-rotation#frequency_of_key_rotation

要设置密钥的轮换周期，请使用gcloud run：

gcloud beta kms cryptokeys set-rotation-schedule CRYPTOKEY_NAME \
    --location LOCATION --keyring KEYRING_NAME \
    --rotation-period ROTATION_PERIOD \
    --next-rotation-time NEXT_ROTATION_TIME