GCP 中的 KMS 和秘密管理器有什么区别？

Question

我想知道您是否可以帮我解决以下问题。 KMS 和 GCP 中的秘密管理器有什么区别？ 先感谢您。 https://cloud.google.com/secret-manager/docs/ HB

Answer 1

Cloud KMS对数据进行加密并返回加密后的密文。 Cloud KMS 不存储密钥，只存储要加密/解密的密钥。

秘密管理器实际上存储秘密材料。 Secret Manager 还保留机密材料的历史记录（版本）。 Secret Manager 中的所有数据都经过加密。 默认情况下，它使用 Google 管理的密钥加密。 您实际上可以使用 Cloud KMS 来加密 Secret Manager 机密（这称为“CMEK”），在这种情况下，用户可以控制密钥。

Answer 2

Cloud KMS被设计为一个加密预言机系统：包括您自己在内的任何人都无法获取密钥：这意味着它们被锁定在系统内，您在实践中不必担心它们会泄漏。 权衡是你可以用这些密钥做的唯一事情是加密、解密和其他加密操作：对于保护数据，甚至加密机密很有用，但如果你有数据库密码或其他你想保密的东西，但实际上可以使用或发送到其他地方，您必须存储加密版本，然后使用 Cloud KMS 对其进行解密。

当您确实拥有数据库密码等配置信息时，您的软件实际上需要秘密，而不是加密操作，那么Secret Manager就是为该用例设计的。 权衡是，如果您获得机密的副本，则很难防止泄露并确保其受到控制。

感谢您使用 GCP！