Configurar claves de encriptación para un servidor

Puedes configurar claves de encriptación para encriptar tus contraseñas de servidor. Estas son claves de encriptación administradas por el cliente (CMEK) que puedes administrar mediante Cloud Key Management Service (Cloud KMS). Puedes configurarlas mientras aprovisionas un servidor nuevo o mientras vuelves a crear la imagen de uno existente. Puedes usar una clave de encriptación con varios servidores.

Usar una clave de encriptación es opcional. Sin embargo, una vez que configuras una clave de encriptación, debes usarla. No puedes cambiar este parámetro de configuración. Sin embargo, puedes cambiar la clave o su versión.

Esta función solo está disponible para los SO de Linux compatibles con la solución Bare Metal.

Antes de comenzar

  1. Con Cloud KMS, crea una clave de encriptación.

    Para crear una clave de encriptación, sigue estos pasos:

    1. En el proyecto en el que quieres crear la clave, habilita la API de Cloud KMS.

      Haz esto solo una vez por proyecto.

    2. Asigna los siguientes roles a la cuenta de servicio de la solución Bare Metal. Haz esto solo una vez por proyecto.

      • roles/cloudkms.viewer: Verifica que CryptoKeyVersion esté disponible para su uso.
      • roles/cloudkms.publicKeyViewer: Recupera una clave pública.

      Para saber cómo otorgar una función, consulta Otorga funciones en un recurso.

      Para asignar estos roles, usa el comando gcloud projects add-iam-policy-binding.

      gcloud projects add-iam-policy-binding KMS_PROJECT_ID \
--member serviceAccount:service-PROJECT_NUMBER@gcp-sa-bms.iam.gserviceaccount.com \
--role roles/cloudkms.publicKeyViewer

      gcloud projects add-iam-policy-binding KMS_PROJECT_ID \
--member serviceAccount:service-PROJECT_NUMBER@gcp-sa-bms.iam.gserviceaccount.com \
--role roles/cloudkms.viewer

      Reemplaza lo siguiente:

      • KMS_PROJECT_ID: Es el proyecto que contiene tu clave de Cloud KMS.
      • PROJECT_NUMBER: Es el proyecto que contiene el servidor de la solución Bare Metal.

    3. Crea una clave de desencriptación asimétrica.

      Puedes crear tantas claves y versiones como sea necesario.

Configura claves de encriptación mientras aprovisionas un servidor

Puedes configurar una clave de encriptación para un nuevo servidor de la solución Bare Metal mientras lo aprovisionas a través del formulario de admisión de la consola de Google Cloud.

Si deseas configurar una clave de encriptación mientras aprovisionas un servidor, consulta Usa el formulario de admisión de la consola de Google Cloud para ingresar tus selecciones.

Configura claves de encriptación mientras recreas un servidor

Para configurar claves de encriptación mientras recreas un servidor, consulta Cambia el SO de un servidor.

Consulta las claves de encriptación y las contraseñas de un servidor

Para ver las claves de encriptación y las contraseñas de un servidor, sigue estos pasos:

Consola

  1. Ve a la página Servidores.

    Ir a Servidores

  2. Haz clic en el nombre del servidor.

    En la página Detalles del servidor, consulta la clave de encriptación en el campo Clave de encriptación de contraseña.

  3. Para ver las cuentas de usuario y sus contraseñas encriptadas correspondientes, dirígete a la sección Cuentas de usuario.

gcloud

Usa el comando gcloud alpha bms instances auth-info:

gcloud alpha bms instances auth-info SERVER_NAME --project=PROJECT_ID --region=REGION

Reemplaza lo siguiente:

  • SERVER_NAME: Es el nombre del servidor de la solución Bare Metal.
  • PROJECT_ID: El ID del proyecto
  • REGION: Es la región del servidor de la solución Bare Metal.

Desencripta una contraseña

Para obtener la contraseña sin procesar, sigue estos pasos:

  1. Obtén el texto cifrado. Usa el comando gcloud alpha bms instances auth-info.

    gcloud alpha bms instances auth-info SERVER_NAME \
--project=PROJECT_ID \
--region=REGION \
--format='value(userAccounts.USERNAME.ENCRYPTED_PASSWORD_FILE)' | tr -d ' \n' | base64 -d > CIPHERTEXT_FILE

    Reemplaza lo siguiente:

    • SERVER_NAME: Es el nombre del servidor de la solución Bare Metal.
    • PROJECT_ID: Es el ID del proyecto de la solución Bare Metal.
    • REGION: Es la ubicación del servidor de la solución Bare Metal.
    • USERNAME: Es el nombre de usuario de la cuenta asociada a la contraseña que deseas desencriptar. El valor es root o customeradmin.
    • ENCRYPTED_PASSWORD_FILE: Es el archivo en el que guardaste la contraseña encriptada. Para evitar problemas con el formato de la contraseña después de copiarla, quita los espacios y los caracteres de salto de línea ('\n').
    • CIPHERTEXT_FILE: Es el nombre del archivo de texto cifrado.

    Ejemplo:

    gcloud alpha bms instances auth-info my-instance \
--region=europe-west3 \
--project=project-testing \
--format='value(userAccounts.customeradmin.encryptedPassword)' | tr -d ' \n' | base64 -d > ciphertext

    Para obtener el texto cifrado de la contraseña copiada de la consola de Google Cloud, usa el siguiente comando:

    cat ENCRYPTED_PASSWORD_FILE | tr -d ' \n' | base64 -d > CIPHERTEXT_FILE

    Reemplaza lo siguiente:

    • ENCRYPTED_PASSWORD_FILE: Es el archivo en el que guardaste la contraseña encriptada. Para evitar problemas con el formato de la contraseña después de copiarla, quita los espacios y los caracteres de salto de línea ('\n').
    • CIPHERTEXT_FILE: Es el nombre del archivo de texto cifrado.

    Ejemplo:

    cat encrypted_password | tr -d ' \n' | base64 -d > ciphertext

  2. Desencripta la contraseña. Sigue los pasos que se indican en Desencriptar datos.

¿Qué sigue?