Cloud KMS から暗号化された認証情報を使用する

Cloud Key Management Service は、暗号鍵の管理と使用を可能にする Google Cloud サービスです。このページでは、Cloud Build で Cloud KMS から暗号化された情報を使用する方法について説明します。

始める前に

Enable the Cloud Build and Cloud KMS APIs.
Enable the APIs
このガイドのコマンドラインの例を使用するには、Google Cloud CLI をインストールして構成します。
注: すでに gcloud CLI をインストールしている場合は、gcloud components update を実行して、最新のバージョンがインストールされていることを確認してください。
Cloud KMS を使用して機密情報を暗号化します。Cloud KMS は、暗号化されたコンテンツをファイルに保存します。
（省略可）暗号化されたデータを使用するようにビルドを構成するには、ENCRYPTED_FILE を base64 に変換します（この手順は、暗号化されたファイルを使用するビルド構成では必要ありません）。
```
    base64 ENCRYPTED_FILE
```

必要な IAM 権限

ビルドサービスアカウントに Cloud KMS CryptoKey 復号（roles/cloudkms.cryptoKeyDecrypter） IAM ロールを付与します。

Google Cloud コンソールで、Cloud Build ページ設定に移動します。

設定ページを開く

Cloud KMS CryptoKey Decrypter ロールを持つ行を見つけて、その Status を ENABLED に設定します。

警告: デフォルトの Cloud Build サービスアカウントに Cloud KMS CryptoKey 復号のロールを付与すると、サービスアカウントは暗号化された情報を復号できるようになります。ビルドトリガーは、デフォルトの Cloud Build サービスアカウントを使用してビルドを実行します。そのため、ビルドトリガーを使用してビルドを実行するユーザーには、ビルド時にサービスアカウントへのアクセス権が付与されます。これにより、CryptoKey 復号のロールがないユーザーが、ビルドトリガーを使用して、暗号化された情報を復号化するビルドを実行できるようになります。このアクションはプロジェクトのビルド履歴に記録されます。

暗号化されたデータを使用するようにビルドを構成する

プロジェクトのルートディレクトリに、cloudbuild.yaml または cloudbuild.json という名前の Cloud Build ビルド構成ファイルを作成します。

ビルド構成ファイルに次の操作を行います。

すべてのビルド steps の後に、暗号化された値を環境変数として指定するための availableSecrets フィールドと、それを復号するための kmsKeyName を追加します。 kmsKeyName の値で置換変数を使用できます。
シークレットを指定するビルドステップで、次のようにします。
- ビルドステップで bash ツールを使用するには、bash を指す entrypoint フィールドを追加します。これは、シークレットの環境変数を参照するために必要です。
- 暗号化された値の環境変数を指定する secretEnv フィールドを追加します。
- args フィールドに、最初の引数として -c フラグを追加します。-c の後に渡した文字列はすべてコマンドとして扱われます。-c で bash コマンドを実行する方法の詳細については、bash のドキュメントをご覧ください。
- 暗号化された値を args フィールドで指定する場合、$$.

The following example build config file shows how to login to Docker and pull a private image:

YAML

 steps:
 - name: 'gcr.io/cloud-builders/docker'
   entrypoint: 'bash'
   args: ['-c', 'docker login --username=$$USERNAME --password=$$PASSWORD']
   secretEnv: ['USERNAME', 'PASSWORD']
 - name: 'gcr.io/cloud-builders/docker'
   entrypoint: 'bash'
   args: ['-c', 'docker pull $$USERNAME/IMAGE:TAG']
   secretEnv: ['USERNAME']
 availableSecrets:
   inline:
   - kmsKeyName: projects/PROJECT_ID/locations/global/keyRings/USERNAME_KEYRING_NAME/cryptoKeys/USERNAME_KEY_NAME
     envMap:
       USERNAME: 'ENCRYPTED_USERNAME'
   - kmsKeyName: projects/PROJECT_ID/locations/global/keyRings/PASSWORD_KEYRING_NAME/cryptoKeys/PASSWORD_KEY_NAME
     envMap:
       PASSWORD: 'ENCRYPTED_PASSWORD'
 を接頭辞とする環境変数を使用して指定します。
 JSON 
{
  "steps": [
  {
    "name": "gcr.io/cloud-builders/docker",
    "entrypoint": "bash",
    "args": [
      "-c",
      "docker login --username=$$USERNAME --password=$$PASSWORD"
    ],
    "secretEnv": [
      "USERNAME",
      "PASSWORD"
    ]
  },
  {
    "name": "gcr.io/cloud-builders/docker",
    "entrypoint": "bash",
    "args": [
      "-c",
      "docker pull $$USERNAME/REPOSITORY:TAG"
     ],
     "secretEnv": [
      "USERNAME"
    ]
  }
  ],
  "availableSecrets": {
    "inline": [{
      "kmsKeyName":  "projects/PROJECT_ID/locations/global/keyRings/USERNAME_KEYRING_NAME/cryptoKeys/USERNAME_KEY_NAME",
      "envMap": {
        "USERNAME": "ENCRYPTED_USERNAME"
       }
   },
   {
    "kmsKeyName": "projects/PROJECT_ID/locations/global/keyRings/PASSWORD_KEYRING_NAME/cryptoKeys/PASSWORD_KEY_NAME",
    "envMap": {
        "PASSWORD": "ENCRYPTED_PASSWORD"
       }
   }]
 }
}

Replace the placeholder values in the above commands with the following:

PROJECT_ID: The ID of the Google Cloud project which contains your Cloud KMS service.
USERNAME_KEYRING_NAME: The key ring name of your Docker username.
USERNAME_KEY_NAME: The key name of your Docker username.
ENCRYPTED_USERNAME: Your encrypted Docker username in base64 format.
PASSWORD_KEYRING_NAME: The key ring name of your Docker password.
PASSWORD_KEY_NAME: The key name of your Docker password.
ENCRYPTED_PASSWORD: Your encrypted Docker password in base64 format.
REPOSITORY: The name of your Docker repository from where you're pulling the image.
TAG: The tag name of your image.

Note: The secretEnv field does not support substitution variables. If the Google Cloud project hosting the key changes, the encrypted contents within that project also change.

Use the build config file to manually start a build or to automate builds using triggers.

Configuring builds to use encrypted files

In your project root directory, create a Cloud Build build config file named cloudbuild.yaml or cloudbuild.json.

In your build config file, before any build steps that interact with the decrypted file, add a gcloud build step to decrypt the encrypted file using the encryption key. The following example build config file shows how to login to Docker using the encrypted file with Docker password:

YAML

steps:
- name: gcr.io/cloud-builders/gcloud
  args:
  - kms
  - decrypt
  - "--ciphertext-file=ENCRYPTED_PASSWORD_FILE"
  - "--plaintext-file=PLAINTEXT_PASSWORD_FILE"
  - "--location=global"
  - "--keyring=KEYRING_NAME"
  - "--key=KEY_NAME"
- name: gcr.io/cloud-builders/docker
  entrypoint: bash
  args:
  - "-c"
  - docker login --username=DOCKER_USERNAME --password-stdin < PLAINTEXT_PASSWORD_FILE

JSON

{
  "steps": [
  {
    "name": "gcr.io/cloud-builders/gcloud",
    "args": [
      "kms",
      "decrypt",
      "--ciphertext-file=ENCRYPTED_PASSWORD_FILE",
      "--plaintext-file=PLAINTEXT_PASSWORD_FILE",
      "--location=global",
      "--keyring=KEYRING_NAME",
      "--key=KEY_NAME"
    ]
  },
  {
    "name": "gcr.io/cloud-builders/docker",
    "entrypoint": "bash",
    "args": [
      "-c",
      "docker login --username=DOCKER_USERNAME --password-stdin < PLAINTEXT_PASSWORD_FILE"
    ]
   }
  ]
}

Replace the placeholder values in the above commands with the following:

KEYRING_NAME: The key ring name of your Docker password.
KEY_NAME: The key name of your Docker password.
ENCRYPTED_PASSWORD_FILE: Encrypted file with your Docker password.
PLAINTEXT_PASSWORD_FILE: Plaintext file with your Docker password.

Use the build config file to manually start a build or to automate builds using triggers.

Configuring builds to use encrypted data (legacy)

To encrypt sensitive data using Cloud KMS and use that data in a build config file:

In your build config file, add a secrets field to specify the encrypted value and the CryptoKey to use to decrypt it. Then, in the build step where you want to use the encrypted variable, add a secretEnv field to specify the variable as an environment variable. Include the variable's name in the secretEnv field. If you specify the variable value, or a non-secret environment variable with the same name, Cloud Build throws an error.

YAML

steps:
- name: 'gcr.io/cloud-builders/docker'
  entrypoint: 'bash'
  args: ['-c', 'docker login --username=user-name --password=$$PASSWORD']
  secretEnv: ['PASSWORD']
- name: 'gcr.io/cloud-builders/docker'
  args: ['push', 'user-name/myubuntu']
secrets:
- kmsKeyName: projects/project-id/locations/global/keyRings/keyring-name/cryptoKeys/key-name
  secretEnv:
    PASSWORD: 'encrypted-password'

JSON

{
  "steps": [
  {
    "name": "gcr.io/cloud-builders/docker",
    "entrypoint": "bash",
    "args": [
      "-c",
      "docker login --username=user-name --password=$$PASSWORD"
    ],
    "secretEnv": [
      "PASSWORD"
     ]
   },
   {
     "name": "gcr.io/cloud-builders/docker",
     "args": [
       "push",
       "user-name/myubuntu"
      ]
   }
   ],
   "secrets": [
   {
     "kmsKeyName": "projects/project-id/locations/global/keyRings/keyring-name/cryptoKeys/key-name",
     "secretEnv": {
       "PASSWORD": "encrypted-password"
     }
   }
   ]
}

次のステップ

Secret Manager からシークレットにアクセスするようにビルドを構成する方法を学習する。
限定公開 GitHub リポジトリにアクセスする方法を学習する。