← Data Localization Suite / data-localization

Geo Key Manager

Geo Key Manager nabízí rozšířenou kontrolu nad umístěním úložiště vašich privátních klíčů SSL/TLS, tedy kryptografických klíčů, které Cloudflare používá k dešifrování vašeho provozu HTTPS. Omezením míst, kde jsou tyto klíče uloženy, můžete zajistit soulad s regionálními předpisy o datech a bezpečnostními požadavky.

Ve výchozím nastavení jsou vaše soukromé klíče šifrovány a bezpečně distribuovány do každého datového centra Cloudflare, kde se používají pro místní ukončení TLS (proces dešifrování příchozího HTTPS provozu). Geo Key Manager vám umožňuje zvolit, kde chcete své soukromé klíče uchovávat.

Geo Key Manager byl dříve omezen na datová centra v USA, EU a datová centra s vysokým zabezpečením, ale s novou verzí Geo Key Manager, dostupnou v Closed Beta ↗, nyní můžete vytvořit allowlists a blocklists zemí, ve kterých se budou ukládat vaše soukromé klíče. To znamená, že si budete moci určit konkrétní geografické lokality pro ukládání klíčů, například můžete své soukromé klíče ukládat výhradně v Austrálii nebo omezit jejich ukládání na EU a Spojené království.

Geo Key Manager používá vlastní model ukládání založený na zemích, nezávislý na Regiony Regional Services. Přehled regionů podporovaných jednotlivými funkcemi Data Localization Suite najdete v Podpora regionů.

Následující diagram ukazuje, co se stane, když se koncový uživatel připojí k datovému centru Cloudflare, které nemá váš privátní klíč. Protože ukončení TLS vyžaduje privátní klíč, musí si místní datové centrum vyžádat dočasný relační klíč (krátkodobý symetrický šifrovací klíč) od datového centra v oprávněném regionu. Jakmile je relační klíč vytvořen, může místní datové centrum dešifrovat provoz po zbytek spojení, aniž by se muselo znovu obracet na datové centrum s privátním klíčem. Tento dodatečný krok zvyšuje latenci prvního požadavku, která může dosáhnout až jedné sekundy, pokud je datové centrum s klíčem geograficky vzdálené.

sequenceDiagram
    participant User as End user
    participant CloudflarePoP as Closest data center without TLS Key
    participant CloudflarePoPwTLS as Data center with TLS Key

    User->>CloudflarePoP: Initial request
    Note right of CloudflarePoP: Closest data center cannot decrypt
    CloudflarePoP-->>CloudflarePoPwTLS: Requests TLS Signature
    CloudflarePoPwTLS-->>CloudflarePoP: Sends TLS Signature in order to establish Session Key
    Note right of CloudflarePoP: Decrypts and performs business logic (for example, WAF, Configuration Rules, Load Balancing)
    CloudflarePoP-->>User: Subsequent requests use the Session Key
    User-->>CloudflarePoP: Subsequent requests use the Session Key

Podrobné informace o nastavení a podporovaných možnostech najdete v Dokumentace Geo Key Manager.