为服务器设置加密密钥

您可以设置加密密钥来加密服务器密码。这些键分别是 客户管理的加密密钥 (CMEK),您可以使用 Cloud Key Management Service (Cloud KMS) 进行管理。您可以在预配新服务器或重新映像现有服务器时设置这些参数。您可以将一个加密密钥用于多个服务器。

使用加密密钥是可选操作。不过,在您设置加密密钥后 就必须使用它您无法更改此设置。不过,您可以更改密钥或其版本。

此功能仅适用于 裸金属解决方案支持的 Linux 操作系统

准备工作

  1. 使用 Cloud KMS 创建加密密钥。

    如需创建加密密钥,请按以下步骤操作:

    1. 在您要在其中创建密钥的项目中, 启用 Cloud KMS API

      请每个项目仅执行此操作一次。

    2. 向您的裸金属解决方案服务账号分配以下角色。请每个项目仅执行此操作一次。

      • roles/cloudkms.viewer:验证 CryptoKeyVersion 是否可供使用。
      • roles/cloudkms.publicKeyViewer:检索公钥。

      如需了解如何授予角色,请参阅为资源授予角色

      如需分配这些角色,请使用 gcloud projects add-iam-policy-binding 命令。

      gcloud projects add-iam-policy-binding KMS_PROJECT_ID \
      --member serviceAccount:service-PROJECT_NUMBER@gcp-sa-bms.iam.gserviceaccount.com \
      --role roles/cloudkms.publicKeyViewer
      
      gcloud projects add-iam-policy-binding KMS_PROJECT_ID \
      --member serviceAccount:service-PROJECT_NUMBER@gcp-sa-bms.iam.gserviceaccount.com \
      --role roles/cloudkms.viewer
      

      替换以下内容:

      • KMS_PROJECT_ID:包含 Cloud KMS 密钥
      • PROJECT_NUMBER:包含您的裸金属解决方案服务器的项目
    3. 创建非对称解密密钥

      您可以根据需要创建任意数量的密钥和版本。

在配置服务器时设置加密密钥

您可以在启用新配置期间,为新的裸金属解决方案服务器设置加密密钥, 通过 Google Cloud 控制台信息录入表单进行配置。

如需在配置服务器时设置加密密钥,请参阅 使用 Google Cloud 控制台信息录入表单输入您的选择

在重新映像服务器时设置加密密钥

如需在为服务器重新创建映像时设置加密密钥,请参阅 更改服务器的操作系统

查看服务器的加密密钥和密码

如需查看服务器的加密密钥和密码,请按以下步骤操作:

控制台

  1. 进入服务器页面。

    前往服务器

  2. 点击服务器名称。

    服务器详情页面上的密码加密密钥字段中查看加密密钥。

  3. 如需查看用户账号及其对应的加密密码,请前往用户账号部分。

gcloud

使用 gcloud alpha bms instances auth-info 命令:

gcloud alpha bms instances auth-info SERVER_NAME --project=PROJECT_ID --region=REGION

替换以下内容:

  • SERVER_NAME:裸金属解决方案服务器的名称
  • PROJECT_ID:项目的 ID
  • REGION:裸金属解决方案服务器的区域

解密密码

要获取原始密码,请按以下步骤操作:

  1. 获取密文。使用 gcloud alpha bms instances auth-info 命令。

    gcloud alpha bms instances auth-info SERVER_NAME \
    --project=PROJECT_ID \
    --region=REGION \
    --format='value(userAccounts.USERNAME.ENCRYPTED_PASSWORD_FILE)' | tr -d ' \n' | base64 -d > CIPHERTEXT_FILE
    

    替换以下内容:

    • SERVER_NAME:裸金属解决方案服务器的名称
    • PROJECT_ID:您的裸金属解决方案项目的 ID
    • REGION:裸金属解决方案服务器的位置
    • USERNAME:与 密码。值为 rootcustomeradmin
    • ENCRYPTED_PASSWORD_FILE:用于保存已加密文件的文件 密码。为避免复制密码后密码格式出现问题,请移除空格和换行符 ('\n') 字符。
    • CIPHERTEXT_FILE:密文文件的名称

    示例:

    gcloud alpha bms instances auth-info my-instance \
    --region=europe-west3 \
    --project=project-testing \
    --format='value(userAccounts.customeradmin.encryptedPassword)' | tr -d ' \n' | base64 -d > ciphertext
    

    如需从从 Google Cloud 控制台复制的密码中获取密文,请使用以下命令:

    cat ENCRYPTED_PASSWORD_FILE | tr -d ' \n' | base64 -d > CIPHERTEXT_FILE
    

    替换以下内容:

    • ENCRYPTED_PASSWORD_FILE:您保存加密密码的文件。为避免 复制,移除空格和换行符 ('\n')。
    • CIPHERTEXT_FILE:密文文件的名称

    示例:

    cat encrypted_password | tr -d ' \n' | base64 -d > ciphertext
    
  2. 对密码进行解密。按照解密数据中的步骤操作。

后续步骤