启用客户管理的加密密钥

本页面介绍了如何使用客户管理的加密密钥 (CMEK) 对存储在代码库中的内容进行加密。

概览

默认情况下，Google Cloud 会使用 Google 拥有和 Google 管理的密钥自动加密静态数据。如果 您需要遵循特定的合规性或监管要求， 则可以创建使用 CMEK 密钥加密的代码库。 代码库的元数据（例如代码库名称）会使用 Google 默认加密方式。

启用 CMEK 后，代码库中的静态数据将采用您在 Cloud Key Management Service 中管理的密钥进行加密。您可以使用 Identity and Access Management 来控制对 CMEK 密钥的访问。如果您暂时停用或永久销毁 CMEK 密钥，则无法访问使用该密钥加密的数据。

借助 CMEK，您可以控制密钥的生命周期和管理的更多方面，但 Cloud KMS 服务也会产生额外费用。使用 CMEK 加密的 Artifact Registry 代码库和其他 Google Cloud 资源也可能会消耗 Cloud KMS 配额，具体取决于您使用的密钥类型。请确认您有足够的配额，以便为您的应用和工作流启用应用层 Secret 加密。

Cloud KMS 可以与 Artifact Registry 或在一个单独的项目中集中管理密钥 多个项目。为了支持分工和更好地控制对密钥的访问权限，我们建议您在包含其他 Google Cloud 资源的单独项目中创建和管理密钥。

您可以在创建代码库时分配 CMEK 密钥。您无法更改 现有代码库的加密机制如果您有 CMEK 加密的代码库，则无法将加密机制更改为 Google 默认加密或分配其他 Cloud KMS 密钥用于加密。

如需大致了解 CMEK（包括其启用时间和原因），请参阅 Cloud KMS 文档。

创建密钥并授予权限

以下说明介绍了如何为代码库创建密钥，并授予使用该密钥加密和解密代码库数据的权限。您 可以使用直接在 Cloud KMS 中创建的密钥或 使用 Cloud External Key Manager 提供的密钥。

  1. 在您要用于管理密钥的 Google Cloud 项目中，执行以下操作：

    1. 启用 Cloud KMS API。

    2. 使用以下选项之一创建密钥环和密钥：

      Cloud KMS 密钥位置必须与您要加密的代码库所在的代码库位置相匹配。

  2. 如果您尚未在 Artifact Registry 项目中创建代码库，则表示 Artifact Registry 服务账号尚不存在。如需创建服务账号，请使用以下命令：

    gcloud beta services identity create --service=artifactregistry.googleapis.com --project=PROJECT

    将 PROJECT 替换为运行 Artifact Registry 的项目的 ID。

  3. 为 Artifact Registry 服务账号授予 CryptoKey Encrypter/Decrypter IAM 角色 (roles/cloudkms.cryptoKeyEncrypterDecrypter)。为您创建的密钥授予此权限。

    控制台

    1. 转到加密密钥页面。

      打开 Cloud KMS 页面

    2. 选择您创建的密钥。

    3. 授予对 Artifact Registry 服务账号的访问权限：

      1. 选择显示信息面板。
      2. 点击添加成员。
      3. 添加 Artifact Registry 服务账号。服务账号是 service-PROJECT-NUMBER@gcp-sa-artifactregistry.iam.gserviceaccount.com，其中 PROJECT-NUMBER 是运行 Artifact Registry 的 Google Cloud 项目的项目编号。
      4. 在选择角色中，选择 Cloud KMS > Cloud KMS CryptoKey Encrypter/Decrypter。
      5. 点击保存。

    4. 重复执行上一步骤，为将创建代码库的账号授予访问权限。

    5. 返回到加密密钥页面，然后重新选择密钥。

    6. 选择显示信息面板。您应该会在 角色/成员列。

    gcloud

    1. 运行以下命令，向 Artifact Registry 服务账号授予访问权限：

      gcloud kms keys add-iam-policy-binding [--project=PROJECT] \
       KEY --location LOCATION --keyring=KEYRING \
       --member serviceAccount:service-PROJECT-NUMBER@gcp-sa-artifactregistry.iam.gserviceaccount.com \
       --role roles/cloudkms.cryptoKeyEncrypterDecrypter

      地点

      • PROJECT 是包含该密钥的项目的 ID。
      • KEY 是密钥名称。
      • LOCATION 是密钥位置。密钥位置必须与您要加密的代码库所在的代码库位置相匹配。
      • KEYRING 是密钥环的名称。
      • PROJECT-NUMBER 是运行 Artifact Registry 的 Google Cloud 项目的项目编号。

    2. 重复上一步，为要 创建代码库

    有关此命令的详细信息，请参阅 gcloud kms keys add-iam-policy-binding 文档。

您现在可以创建代码库并指定要用于加密的密钥。

移除访问权限

您可以通过多种方式移除对采用 CMEK 加密的代码库的访问权限：

我们建议您先撤消 Artifact Registry 服务账号的权限，然后再停用或销毁密钥。权限的更改会在数秒内达成一致，因此您可以观察停用或销毁密钥造成的影响。

停用或销毁代码库的加密密钥时，您无法查看或检索工件数据。代码库中存储的所有工件数据都将无法访问，包括构建的工件、任意二进制数据 (blob) 以及清单（例如 Docker 清单或 npm packument 文件）。具有 Artifact Registry Reader 角色或 Viewer 角色的用户仍然可以查看工件元数据，例如工件名称、版本或标记。

具有 Artifact Registry Administrator 角色或 Owner 角色的用户可以删除代码库。

CMEK 组织政策

Artifact Registry 支持组织政策限制条件 可能需要 CMEK 保护。

政策可以限制哪些 Cloud KMS CryptoKey 可用于 CMEK 保护。

  • 当 Artifact Registry API 位于限制条件 constraints/gcp.restrictNonCmekServices 的服务 Deny 政策列表中时，Artifact Registry 会拒绝创建未受 CMEK 保护的新代码库。

  • 配置 constraints/gcp.restrictCmekCryptoKeyProjects 后， Artifact Registry 创建受 CMEK 保护的代码库， 受允许的项目、文件夹或组织中的 CryptoKey 保护。

Pub/Sub 支持相同的限制条件。启用 Google Cloud 项目中的 Artifact Registry API - Artifact Registry 尝试自动创建具有主题 ID 的 Pub/Sub 主题 gcr（使用 Google 拥有的密钥和 Google 管理的密钥）。Pub/Sub API 出现在限制条件的 Deny 政策列表中时 constraints/gcp.restrictNonCmekServices，Pub/Sub 拒绝 创建主题。如需使用 CMEK 加密创建 gcr 主题，请参阅 Pub/Sub 主题加密说明。

如需详细了解如何配置组织政策，请参阅 CMEK 组织政策。

后续步骤