Apigee 加密密钥简介

本页面适用于 Apigee，但不适用于 Apigee Hybrid。

查看 Apigee Edge 文档。

本部分介绍加密密钥的类型以及如何创建加密密钥。

在 Apigee 设置过程中，您需生成以下 Cloud Key Management Service 加密密钥：

密钥类型 创建时间 说明
控制平面加密密钥 第 3 步：创建组织（订阅）

第 3 步：配置托管和加密（随用随付）

使用数据驻留时，Apigee 会使用此密钥对租户项目的 BigQuery 中存储的 Analytics 数据进行加密。

加密 API 代理、目标服务器、truststore 和密钥库、分析数据，以及跨运行时共享的任何其他内容。

Apigee 会要求您提供两个控制平面 CMEK 密钥。 此密钥和一个 API 使用方数据加密密钥。

控制平面加密密钥的位置应与控制平面位置一致。

API 使用方数据加密密钥 第 3 步：创建组织（订阅）

第 3 步：配置托管和加密（随用随付）

使用数据驻留时，除了控制平面加密密钥之外，Apigee 还需要单区域密钥，以用于仅在单个区域提供的服务。例如，Dataflow 和 Cloud SQL。

API 使用方数据加密密钥的位置应在控制平面位置内。

运行时数据库加密密钥 第 3 步：创建 Apigee 组织（订阅）

第 3 步：配置托管和加密（随用随付）

加密应用数据（如 KVM、缓存和客户端密钥），然后将其存储在数据库中。

每个组织都有一个运行时数据库加密密钥 - 组织中的所有实例/区域共享相同的运行时数据库加密密钥。

运行时数据库加密密钥支持所有支持 Cloud HSM 和 Cloud EKM 的 Cloud KMS 位置。创建此密钥时，Google 建议您使用多区域位置（例如 us 或 europe）或双区域位置（eur5、nam4）。

使用数据驻留时，运行时数据库加密密钥的位置应在控制平面位置内。

是否可以选择密钥环的位置取决于您使用的安装类型：Apigee 预配向导不允许您选择密钥环的位置；它会为您选择位置。 如果您使用命令行，则可以选择密钥环的位置。

磁盘加密密钥 第 5 步：创建 Apigee 运行时实例（订阅）

第 3 步：配置托管和加密（随用随付）

在将运行时实例数据写入磁盘之前对其进行加密。

已加密的数据类型包括密钥管理系统 (KMS)；键值对映射 (KVM)；配额定义、存储桶和计数器；以及所有已缓存的数据。KMS 数据包括 API 产品、开发者、开发者应用、OAuth 令牌（包括访问令牌、刷新令牌和授权代码）和 API 密钥。

此密钥与运行时实例位于同一区域；创建新密钥时，请将密钥的位置与运行时实例的位置保持一致。

每个实例/区域组合都有自己的磁盘加密密钥。

要点

创建磁盘和运行时数据库加密密钥时，请注意以下事项：

  • Apigee 运行时数据库加密密钥的位置支持所有支持 Cloud HSM 和 Cloud EKM 的 Cloud KMS 位置。
  • 磁盘加密密钥的位置必须与使用该密钥的运行时实例的位置一致。
  • 这两个密钥的位置一经设置便无法更改。
  • 所有密钥都必须位于密钥环中。
  • 不同类型的密钥必须位于不同的密钥环中；磁盘加密密钥不能与运行时数据库加密密钥位于同一密钥环中。
  • 密钥必须具有一个 purpose。如果您要使用命令行生成新密钥，请将 purpose 设置为 encryption。如果您使用 Google Cloud 控制台，请选择对称加密/解密来实现此目的。
  • 这些密钥由密钥路径定义，该路径使用以下格式： 
    projects/PROJECT_ID/locations/KEY_LOCATION/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME

列出现有密钥

如果您已经为 Apigee 创建新的 Cloud KMS 加密密钥，则可以在设置期间使用这些密钥，而无需创建新密钥。

如需列出密钥环中的所有 KMS 密钥，请执行以下操作：

执行 gcloud kms keys list 命令：

gcloud kms keys list --keyring KEY_RING_NAME --location KEY_RING_LOCATION

替换以下内容：

  • KEY_RING_NAME：密钥环的名称。例如 my-key-ring。
  • KEY_RING_LOCATION：密钥环的物理位置，例如 us-west1。

或者，您可以在 Google Cloud 控制台中查看密钥。

在命令行中生成新密钥

您可以在命令行或 Google Cloud 控制台中创建密钥环和密钥。

每种类型的密钥都必须有自己的密钥环。例如，磁盘加密密钥可以存储在一个密钥环中，但您的运行时数据库加密密钥必须存储在单独的密钥环中。

以下步骤介绍了如何创建密钥环和密钥，以及如何授予 Apigee Service Agent 使用新密钥的访问权限。为控制平面（如果使用数据驻留）、运行时数据库和运行时磁盘创建密钥环和密钥。

  1. 使用 gcloud kms keyrings create 命令创建新的密钥环：

    控制平面

    启用数据驻留后，为控制平面创建一个密钥环，然后为使用方数据区域创建另一个密钥环。 

    gcloud kms keyrings create CONTROL_PLANE_KEY_RING_NAME \
--location CONTROL_PLANE_LOCATION \
--project PROJECT_ID
    gcloud kms keyrings create CONSUMER_DATA_KEY_RING_NAME \
--location CONSUMER_DATA_REGION \
--project PROJECT_ID

    替换以下内容：

    • CONTROL_PLANE_KEY_RING_NAME：控制平面密钥环名称。
    • CONTROL_PLANE_LOCATION：将存储 Apigee 控制平面数据的物理位置。
    • PROJECT_ID：Google Cloud 项目 ID。
    • CONSUMER_DATA_KEY_RING_NAME：使用方数据密钥环名称。
    • CONSUMER_DATA_REGION：控制平面区域的子区域。您必须同时指定 CONTROL_PLANE_LOCATION 和 CONSUMER_DATA_REGION。

    运行时数据库

    gcloud kms keyrings create RUNTIMEDB_KEY_RING_NAME \
  --location RUNTIMEDB_KEY_LOCATION \
  --project PROJECT_ID

    替换以下内容：

    • RUNTIMEDB_KEY_RING_NAME：您要创建的数据库密钥环的名称。
    • RUNTIMEDB_KEY_LOCATION：数据库密钥环的物理位置。
    • PROJECT_ID：Google Cloud 项目 ID。

    Apigee 加密密钥的位置支持所有支持 Cloud HSM 和 Cloud EKM 的 Cloud KMS 位置。

    运行时磁盘

    gcloud kms keyrings create RUNTIMEDISK_KEY_RING_NAME \
  --location RUNTIMEDISK_KEY_LOCATION \
  --project PROJECT_ID

    替换以下内容：

    • RUNTIMEDISK_KEY_RING_NAME：您要创建的磁盘密钥环的名称。
    • RUNTIMEDISK_KEY_LOCATION：磁盘密钥环的物理位置。
    • PROJECT_ID：Google Cloud 项目 ID。

    验证磁盘密钥环是否设置为与实例相同的位置。每个实例和密钥环都应该有自己的位置。 

    gcloud kms keyrings list \
--location  \
--project $PROJECT_ID

    gcloud kms keyrings describe $DISK_KEY_RING_NAME \
--location  \
--project $PROJECT_ID

    2. 密钥环的名称在您的组织中必须是唯一的。如果您创建了其他区域，这些区域的密钥环名称不能与现有密钥环名称相同。

  2. 使用 kms keys create 命令创建密钥：

    控制平面

    启用数据驻留后，为控制平面创建一个密钥环，然后为使用方数据区域创建另一个密钥环。 

    gcloud kms keys create CONTROL_PLANE_KEY_NAME \
--keyring CONTROL_PLANE_KEY_RING_NAME \
--location CONTROL_PLANE_LOCATION \
--purpose "encryption" \
--project PROJECT_ID
    gcloud kms keys create CONSUMER_DATA_KEY_NAME \
--keyring CONSUMER_DATA_KEY_RING_NAME \
--location CONSUMER_DATA_REGION \
--purpose "encryption" \
--project PROJECT_ID

    替换以下内容：

    • CONTROL_PLANE_KEY_NAME：控制平面密钥名称。
    • CONTROL_PLANE_KEY_RING_NAME：控制平面密钥环名称。
    • CONTROL_PLANE_LOCATION：将存储 Apigee 控制平面数据的物理位置。
    • PROJECT_ID：Google Cloud 项目 ID。
    • CONSUMER_DATA_KEY_NAME：使用方数据密钥名称。
    • CONSUMER_DATA_KEY_RING_NAME：使用方数据密钥环名称。
    • CONSUMER_DATA_REGION：控制平面区域的子区域。您必须同时指定 CONTROL_PLANE_LOCATION 和 CONSUMER_DATA_REGION。

    运行时数据库

    gcloud kms keys create RUNTIMEDB_KEY_NAME \
  --keyring RUNTIMEDB_KEY_RING_NAME \
  --location RUNTIMEDB_KEY_LOCATION \
  --purpose "encryption" \
  --project PROJECT_ID

    替换以下内容：

    • RUNTIMEDB_KEY_NAME：您要创建的数据库密钥的名称。
    • RUNTIMEDB_KEY_RING_NAME：您要创建的数据库密钥环的名称。
    • RUNTIMEDB_KEY_LOCATION：数据库密钥环的物理位置。
    • PROJECT_ID：Google Cloud 项目 ID。

    运行时磁盘

    gcloud kms keys create RUNTIMEDISK_KEY_NAME \
  --keyring RUNTIMEDISK_KEY_RING_NAME \
  --location RUNTIMEDISK_KEY_LOCATION \
  --purpose "encryption" \
  --project PROJECT_ID

    替换以下内容：

    • RUNTIMEDISK_KEY_NAME：您要创建的磁盘密钥的名称。
    • RUNTIMEDISK_KEY_RING_NAME：您要创建的磁盘密钥环的名称。
    • RUNTIMEDISK_KEY_LOCATION：磁盘密钥环的物理位置。
    • PROJECT_ID：Google Cloud 项目 ID。

    此命令会创建密钥并将其添加到密钥环中。

    在引用密钥时，请使用密钥 ID。

  3. 使用 gcloud kms keys add-iam-policy-binding 命令向 Apigee Service Agent 授予使用新密钥的权限：

    控制平面

    启用数据驻留后，为控制平面创建一个密钥环，然后为使用方数据区域创建另一个密钥环。 

    gcloud kms keys add-iam-policy-binding CONTROL_PLANE_KEY_NAME \
--location CONTROL_PLANE_LOCATION \
--keyring CONTROL_PLANE_KEY_RING_NAME \
--member "serviceAccount:service-PROJECT_NUMBER@gcp-sa-apigee.iam.gserviceaccount.com" \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project PROJECT_ID

    gcloud kms keys add-iam-policy-binding CONSUMER_DATA_KEY_NAME \
--location CONSUMER_DATA_REGION \
--keyring CONSUMER_DATA_KEY_RING_NAME \
--member "serviceAccount:service-PROJECT_NUMBER@gcp-sa-apigee.iam.gserviceaccount.com" \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter \
--project PROJECT_ID

    替换以下内容：

    • CONTROL_PLANE_KEY_NAME：控制平面密钥名称。
    • CONTROL_PLANE_LOCATION：将存储 Apigee 控制平面数据的物理位置。
    • CONTROL_PLANE_KEY_RING_NAME：控制平面密钥环名称。
    • PROJECT_NUMBER：Google Cloud 项目编号。
    • PROJECT_ID：Google Cloud 项目 ID。
    • CONSUMER_DATA_KEY_NAME：使用方数据密钥名称。
    • CONSUMER_DATA_REGION：控制平面区域的子区域。您必须同时指定 CONTROL_PLANE_LOCATION 和 CONSUMER_DATA_REGION。
    • CONSUMER_DATA_KEY_RING_NAME：使用方数据密钥环名称。

    运行时数据库

    gcloud kms keys add-iam-policy-binding RUNTIMEDB_KEY_NAME \
  --location RUNTIMEDB_KEY_LOCATION \
  --keyring RUNTIMEDB_KEY_RING_NAME \
  --member serviceAccount:service-PROJECT_NUMBER@gcp-sa-apigee.iam.gserviceaccount.com \
  --role roles/cloudkms.cryptoKeyEncrypterDecrypter \
  --project PROJECT_ID

    替换以下内容：

    • RUNTIMEDB_KEY_NAME：您要创建的数据库密钥的名称。
    • RUNTIMEDB_KEY_RING_NAME：您要创建的数据库密钥环的名称。
    • RUNTIMEDB_KEY_LOCATION：数据库密钥环的物理位置。
    • PROJECT_NUMBER：Google Cloud 项目编号。
    • PROJECT_ID：Google Cloud 项目 ID。

    运行时磁盘

    gcloud kms keys add-iam-policy-binding RUNTIMEDISK_KEY_NAME \
  --location RUNTIMEDISK_KEY_LOCATION \
  --keyring RUNTIMEDISK_KEY_RING_NAME \
  --member serviceAccount:service-PROJECT_NUMBER@gcp-sa-apigee.iam.gserviceaccount.com \
  --role roles/cloudkms.cryptoKeyEncrypterDecrypter \
  --project PROJECT_ID

    替换以下内容：

    • RUNTIMEDISK_KEY_NAME：您要创建的磁盘密钥的名称。
    • RUNTIMEDISK_KEY_RING_NAME：您要创建的磁盘密钥环的名称。
    • RUNTIMEDISK_KEY_LOCATION：磁盘密钥环的物理位置。
    • PROJECT_NUMBER：Google Cloud 项目编号。
    • PROJECT_ID：Google Cloud 项目 ID。

    此命令将密钥绑定到 Apigee Service Agent。

    成功完成此请求后，gcloud 的响应将如下所示： 

    Updated IAM policy for key [runtime].
bindings:
- members:
- serviceAccount:service-1234567890@gcp-sa-apigee.iam.gserviceaccount.com
role: roles/cloudkms.cryptoKeyEncrypterDecrypter
etag: BwWqgEuCuwk=
version: 1

    如果您收到如下错误：

    INVALID_ARGUMENT: Role roles/cloudkms.cryptokms.cryptoKeyEncrypterDecrypter is not supported for this resource.

    请务必使用项目编号，而不是服务账号电子邮件地址中的项目名称。

    如需验证密钥是否绑定到 Apigee Service Agent，请执行以下操作：

    gcloud kms keys get-iam-policy $DISK_KEY_NAME \
  --keyring $DISK_KEY_RING_NAME \
  --location  \
  --project $PROJECT_ID

    gcloud kms keys describe $DISK_KEY_NAME \
  --keyring $DISK_KEY_RING_NAME \
  --location  \
  --project $PROJECT_ID

使用 Google Cloud 控制台生成新密钥

您可以按照创建对称加密密钥所述，使用控制台生成新密钥。

使用控制台创建新密钥时：

  • 对于运行时数据库加密密钥，请将位置设置为支持 Cloud HSM 和 Cloud EKM 的任何 Cloud KMS 位置。界面不允许您为该密钥选择任何其他位置，因此其会匹配您在密钥环中选择的内容。
  • 创建密钥后，通过点击该密钥旁边的 更多，然后选择复制资源名称，在加密密钥窗格中获取密钥路径。

获取密钥 ID

使用 Cloud KMS API 或 Google Cloud CLI 引用 Cloud Key Management Service 资源时，请使用资源 ID。您可以使用 gcloud kms keys list 命令获取密钥 ID：

控制平面

启用数据驻留后，控制平面有一个密钥环，使用方数据区域有另一个密钥环。 

gcloud kms keys list \
--location=CONTROL_PLANE_LOCATION \
--keyring=CONTROL_PLANE_KEY_RING_NAME \
--project=PROJECT_ID

gcloud kms keys list \
--location=CONSUMER_DATA_REGION \
--keyring=CONSUMER_DATA_KEY_RING_NAME \
--project=PROJECT_ID

密钥 ID 的语法如下所示（类似于文件路径）：

projects/PROJECT_ID/locations/CONTROL_PLANE_LOCATION/keyRings/CONTROL_PLANE_KEY_RING_NAME/cryptoKeys/CONTROL_PLANE_KEY_NAME

运行时数据库

gcloud kms keys list \
--location=RUNTIMEDB_KEY_LOCATION \
--keyring=RUNTIMEDB_KEY_RING_NAME \
--project=PROJECT_ID

密钥 ID 的语法如下所示（类似于文件路径）：

projects/PROJECT_ID/locations/RUNTIMEDB_KEY_LOCATION/keyRings/RUNTIMEDB_KEY_RING_NAME/cryptoKeys/RUNTIMEDB_KEY_NAME

运行时磁盘

gcloud kms keys list \
  --location=RUNTIMEDISK_KEY_LOCATION \
  --keyring=RUNTIMEDISK_KEY_RING_NAME \
  --project=PROJECT_ID

密钥 ID 的语法如下所示（类似于文件路径）：

projects/PROJECT_ID/locations/RUNTIMEDISK_KEY_LOCATION/keyRings/RUNTIMEDISK_KEY_RING_NAME/cryptoKeys/RUNTIMEDISK_KEY_NAME

例如：

NAME: projects/my-project/locations/us-west1/keyRings/my-key-ring/cryptoKeys/my-key
PURPOSE: ENCRYPT_DECRYPT
ALGORITHM: GOOGLE_SYMMETRIC_ENCRYPTION
PROTECTION_LEVEL: SOFTWARE
LABELS:
PRIMARY_ID: 1
PRIMARY_STATE: ENABLED

您还可以在 Google Cloud 控制台中获取密钥 ID。如需了解详情，请参阅获取 Cloud KMS 资源 ID。