security - 应用程序如何安全地将 secret 存储在 Google Cloud Datastore 中？

Question

我正在构建一个将在 Google App Engine (GAE) 上运行的应用程序。它将需要访问用户存储在其他系统(例如用户的 Nest 恒温器、Yahoo 邮件)中的数据。在 GAE 上运行的应用程序将允许用户为其他系统提供凭证。该应用程序会将这些凭据存储在谷歌云(数据存储)中，供以后代表用户在谷歌计算引擎上运行的应用程序使用。应用程序还将允许 OAuth 允许用户允许应用程序代表用户访问外部系统。应用程序需要在 Google Cloud 中存储用户凭据(用户名和密码)或 OAuth 访问 token 。

应用程序需要在存储 secret 之前对其进行加密，并且能够解密数据以将其发送到外部系统。也就是说，系统将需要使用对称加密，因此需要安全地管理 key 。

应用程序如何将这些 secret 安全地存储在 Google Cloud Datastore (Datastore) 中？我想我正在寻找类似适用于 Google 的 AWS CloudHSM 之类的东西。也就是说，我想用种子和 key ID 存储每个 secret ，并使用 key ID 从 key 管理系统获取 key 。此实现还将允许 key 轮换和其他标准安全实践。

我想我正在寻找一种谷歌云服务或谷歌 API，它们提供 secret 管理，并且只允许具有适当谷歌应用标识符的应用访问 secret 。

Google Cloud 或 Google API 中是否有管理 secret 的服务？我应该考虑另一种架构吗？

顺便说一下，该应用程序使用 Google Identity Toolkit (GitKit) 来验证和授权用户使用 GAE 托管应用程序。该应用程序允许用户通过 GitKit 使用联合身份或用户名和密码创建帐户。

谢谢，克里斯

Answer 1

与此同时，谷歌还增加了一个 key 管理服务:https://cloud.google.com/kms/

例如，您可以在将数据存储到数据库之前使用它来加密您的数据。或者，使用 KMS 加密 AES key 来加密您的数据，并可能在某处保留 AES key 的备份，以防您无法访问 KMS。