Cloud KMS 位置

您可以在一个项目中的多个位置之一创建 Cloud Key Management Service 资源。这些资源代表地理区域，可在其中存储并访问 Cloud KMS 资源。密钥的位置会影响使用该密钥的应用的性能。某些资源（如 Cloud HSM 密钥）并非在所有位置都有提供。

Cloud KMS 和 Cloud HSM 密钥的密钥材料仅限于静态和使用中的选定区域。

下表列出了 Cloud KMS 中可用于世界不同地区的地理位置。您可以按位置类型、Cloud HSM 支持和 Cloud EKM 支持过滤这些位置：

Cloud KMS 的位置类型

您可以在 Google Cloud中不同类型的位置创建 Cloud KMS、Cloud HSM 和 Cloud EKM 资源，具体取决于您的可用性要求。位置会定期添加。如需了解每个位置的具体信息，请参阅位置。

您可以详细了解如何选择最佳位置类型。

Cloud KMS 提供以下位置类型：

• 区域位置：区域位置的数据中心位于特定的地理位置。例如，在 us-central1 区域创建的资源位于美国中部。
• 多区域位置：多区域位置的数据中心分布在宽泛的地理区域中。例如，在 europe 多区域中创建的资源会保留在欧盟的多个数据中心内。您无法选择多区域中的哪些数据中心将包含您的数据。
• 全球位置：global 位置是一个特殊的多区域。其数据中心遍布全球。您无法选择全球多区域中的哪些数据中心将包含您的数据。

选择最佳类型的位置

通常，应用的设计应使其所有组件在地理位置上彼此靠近，并靠近应用的客户端。密钥的位置是应用设计的一个重要方面。密钥一经创建便无法移动或导出。

使用多区域位置（如 europe 多区域）时，资源会分布在多个区域的多个数据中心。在包含 global 位置在内的多区域位置创建和更新密钥，效率可能低于使用单区域位置。如需了解详情，请参阅读取和写入多区域位置。

如果满足以下所有条件，请使用 global 位置：

• 您的应用组件已在全球分布。
• 您的读取或写入操作较少，但经常使用其他加密操作。
• 您的密钥没有地理位置的要求。
• 您未使用外部密钥。

对于客户管理的加密密钥 (CMEK) 集成，您必须使用与该集成相关的其他资源所在的确切位置。一些 CMEK 集成不支持 global 位置。如需详细了解 CMEK 集成，请参阅客户管理的加密密钥 (CMEK)。

Cloud EKM 资源依赖于 Google Cloud 与 Google Cloud以外的外部密钥管理服务之间的连接。对于 Cloud External Key Manager 资源，请选择地理位置尽可能接近通过外部密钥管理服务存储密钥的位置。

Cloud HSM 依赖于位置的数据中心内物理硬件的可用性。对于 Cloud HSM 资源，请选择支持 Cloud HSM 的位置。

Cloud HSM 资源具有特定于位置的配额。Cloud KMS 配额是全球性的。

多区域位置具有单独的配额，与单区域位置的配额无关。例如，要在 eur5 多区域创建 Cloud HSM 资源，您必须在 eur5 有 HSM 配额，即使您已在 eur5 有单区域配额，例如 europe-west2。

读取和写入多区域位置

在多区域位置（包括 global 位置）读取和写入资源或关联元数据的速度可能比从单区域读取或写入的速度要慢。

• 创建或读取密钥版本时，存储密钥材料的数据中心始终需要达成共识。对单区域的读写通常比对多区域位置的读取和写入更高效。
• 当您执行加密操作（例如加密或解密数据）时，无需取得共识。对于加密操作，多区域位置的性能与单区域位置相似。
• 如果将密钥存储在其保护或验证的数据附近的地理位置，加密操作通常会更高效。

每个应用在性能和可用性之间的权衡具有唯一性。多区域位置（包括 global）最适合读取繁重的工作负载。

确定可用区域

您可以使用 Google Cloud CLI 或 Cloud Key Management Service API 获取可用区域的列表。

gcloud kms locations list

后续步骤

• 详细了解 Google Cloud中的地理位置和区域。
• 查看 Cloud 网点的完整列表。