Usa claves de encriptación administradas por el cliente (CMEK) para las migraciones continuas

Descripción general

En esta página, se describe cómo funcionan las claves de encriptación administradas por el cliente (CMEK) con los trabajos de migración de Database Migration Service.

Nota: Para usar esta función de inmediato, consulta Cómo usar CMEK. Además, para obtener información más detallada sobre las CMEK, consulta Claves de encriptación administradas por el cliente (CMEK).

¿Las CMEK son adecuadas para ti?

Las CMEK están diseñadas para organizaciones que tienen datos sensibles o regulados y, por lo tanto, necesitan administrar las claves de encriptación por su cuenta.

Diferencias entre la encriptación administrada por Google y la encriptación administrada por el cliente

La función CMEK te permite usar tus propias claves criptográficas para los datos que transporta Database Migration Service. Después de agregar CMEK, cada vez que se realiza una llamada a la API, Database Migration Service usa tu clave para acceder a los datos.

Las CMEK, incluido el software, el hardware y las claves externas, se administran a través de la API de Cloud Key Management Service (KMS).

¿Qué ubicaciones admiten trabajos de migración de Database Migration Service habilitados para CMEK?

Las CMEK están disponibles en todas las ubicaciones de Database Migration Service.

La ubicación del llavero de claves de Cloud Key Management Service debe coincidir con la región de la base de datos de destino de tu trabajo de migración. Una clave de región global o multirregión no funcionará.

Comprende las cuentas de servicio

Cuando los trabajos de migración de Database Migration Service tienen CMEK habilitadas, debes usar una cuenta de servicio para solicitar acceso a la clave desde Cloud Key Management Service.

Para usar una CMEK en un proyecto, debes tener una cuenta de servicio y otorgarle acceso a la clave. La cuenta de servicio debe existir dentro del proyecto. La cuenta de servicio es visible en todas las regiones.

Comprende las claves

En Cloud Key Management Service, debes crear un llavero de claves con una clave criptográfica que esté configurada con una ubicación. Cuando creas un trabajo de migración nuevo en Database Migration Service, seleccionas esta clave para encriptarlo.

Cuando crees trabajos de migración nuevos que usen CMEK, debes conocer el ID y la región de la clave. Debes colocar las bases de datos de destino en la misma región que la CMEK asociada con el trabajo de migración. Puedes crear un solo proyecto para las claves y las bases de datos de destino, o proyectos diferentes para cada una.

CMEK usa el siguiente formato:

projects/[CMEK_ENABLED_PROJECT]/locations/[REGION]/keyRings/[RING_NAME]/cryptoKeys/[KEYNAME]

Si inhabilitas la versión principal de la CMEK, Database Migration Service no podrá usar la clave. Como resultado, el trabajo de migración asociado cambia su estado a FAILED. Para obtener más información sobre los estados de los trabajos de migración, consulta Estados de los trabajos de migración.

¿Cómo se hace que los datos encriptados con CMEK sean inaccesibles de forma permanente?

Tienes el control total sobre las claves y el acceso a los datos. Si destruyes una versión de clave que está asociada con un trabajo de migración en Database Migration Service, Google no puede recuperar los datos. Sin embargo, si inhabilitas la versión de clave, puedes volver a habilitarla para recuperar los datos.

Es posible que surjan situaciones en las que quieras destruir de forma permanente los datos encriptados con CMEK. Para ello, debes destruir la versión de la CMEK. No puedes destruir el llavero de claves o la clave, pero puedes destruir las versiones de clave.

Restricciones

Se aplican las siguientes restricciones cuando se usan CMEK:

• No puedes actualizar la CMEK en un trabajo de migración en ejecución.

• Aunque puedes usar CMEK para encriptar datos de la base de datos de origen, no puedes usar estas claves para encriptar ningún metadato de trabajo de migración, como el ID del trabajo de migración, la dirección IP de la base de datos de origen, etcétera.

Usa CMEK

Ahora que comprendes CMEK, puedes configurar una cuenta de servicio y claves para CMEK. Además, aprenderás a configurar un trabajo de migración para usar CMEK. Para obtener más información sobre CMEK, consulta la Descripción general.

Antes de comenzar

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

3. Make sure that billing is enabled for your Google Cloud project.

4. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

5. Make sure that billing is enabled for your Google Cloud project.

6. Instala e inicializa el SDK de Cloud.
7. Asegúrate de tener asignada el rol de administrador de Database Migration a tu cuenta de usuario.

   Ir a la página IAM

8. Enable the Cloud Key Management Service API.

   Enable the API

9. Habilita la API de Database Migration Service.

   Habilitar la API

Flujo de trabajo para crear trabajos de migración en Database Migration Service con CMEK

1. Solo para usuarios de gcloud y API: Asegúrate de tener una cuenta de servicio para cada proyecto que requiera CMEK. Para obtener más información, consulta Crea una cuenta de servicio.

2. Crea un llavero de claves y una clave, y establece la ubicación de cada clave. La ubicación es la región de Google Cloud .

3. Otorga acceso a la clave a la cuenta de servicio.

4. Copia o escribe el ID (KMS_KEY_ID) y la ubicación de la clave, y el ID (KMS_KEYRING_ID) del llavero de claves. Necesitarás esta información cuando le otorgues a la cuenta de servicio acceso a la clave.

5. Ve a un proyecto, crea un trabajo de migración en Database Migration Service y usa tu CMEK en la sección Opciones de encriptación avanzadas.

Tu trabajo de migración en Database Migration Service ahora está habilitado con CMEK.

Cree una cuenta de servicio

Debes crear una cuenta de servicio para cada proyecto que requiera CMEK.

Para permitir que un usuario administre cuentas de servicio, otorga una de las siguientes funciones:

• Usuario de cuenta de servicio (roles/iam.serviceAccountUser): Incluye permisos para enumerar cuentas de servicio, obtener detalles sobre ellas, o bien actuar en nombre de una.
• Administrador de cuenta de servicio (roles/iam.serviceAccountAdmin): Incluye permisos para enumerar cuentas de servicio y obtener detalles sobre ellas. También incluye permisos de creación, actualización y eliminación de cuentas de servicio, y permisos para ver o cambiar la política de Database Migration Service para Oracle a AlloyDB para PostgreSQL en una cuenta de servicio.

Por el momento, solo puedes usar los comandos de gcloud para crear el tipo de cuenta de servicio que necesitas para las CMEK.

Para crear una cuenta de servicio con gcloud, ejecuta el siguiente comando:

gcloud beta services identity create \
--service=datamigration.googleapis.com\
--project=PROJECT_ID

En el comando anterior, se muestra un nombre de cuenta de servicio. Debes usar este nombre de cuenta de servicio durante el procedimiento que se muestra en la página sobre Cómo otorgar acceso a la clave a la cuenta de servicio.

Crear una clave

Puedes crear la clave en el mismo proyecto de Google Cloud que el trabajo de migración en Database Migration Service o en otro proyecto de usuario. La ubicación del llavero de claves de Cloud KMS debe coincidir con la región de la base de datos de destino asociada con la tarea de migración. No se admite una clave multirregional o de región global. Si las regiones no coinciden, no podrás crear el trabajo de migración.

Si destruyes la versión de clave que usa Database Migration Service para encriptar datos, el trabajo de migración asociado cambiará su estado a FAILED. Para obtener más información sobre los estados de los trabajos de migración, consulta Estados de los trabajos de migración.

El uso de Cloud KMS está sujeto a una cuota. GKE llama la API de Cloud KMS cada vez que realiza una operación criptográfica. Debes confirmar que tienes suficiente cuota a fin de habilitar la encriptación de los Secrets de la capa de la aplicación para tu aplicación.

Para crear una clave de Cloud KMS:

Console

1. En la consola de Google Cloud , ve a la página Llaves de criptografía.
2. Haz clic en Crear llavero de claves.
3. Agrega el Nombre del llavero de claves. Anota este nombre porque lo necesitarás al momento de otorgar el acceso a la clave a la cuenta de servicio.
4. Agrega la Ubicación del llavero de claves.
5. Haz clic en Crear. Se abre la página Crear clave.
6. Agrega el Nombre de la clave.
7. Selecciona un Propósito (simétrico o asimétrico).
8. Selecciona un Período de rotación y una Fecha de inicio.
9. Haz clic en Crear.
10. En la tabla Claves, en la última columna, haz clic en los tres puntos y selecciona Copiar ID del recurso o escribe el ID. Este es el KMS_KEY_ID. Necesitarás el KMS_KEY_ID cuando le otorgues a la cuenta de servicio acceso a la clave.

gcloud

1. Crea un llavero de claves nuevo.

   gcloud kms keyrings create KMS_KEYRING_ID \
   --location=REGION
     

   Escribe este nombre, ya que lo necesitarás al momento de otorgar acceso a la clave a la cuenta de servicio.
2. Crea una llave en el llavero de claves.

   gcloud kms keys create KMS_KEY_ID \
   --location=REGION \
   --keyring=KMS_KEYRING_ID \
   --purpose=encryption
     

   Escribe este nombre, ya que lo necesitarás al momento de otorgar acceso a la clave a la cuenta de servicio.

Otorga acceso a la clave a la cuenta de servicio

Solo debes realizar este procedimiento si usas gcloud o la API.

Para otorgar acceso a la cuenta de servicio, usa el siguiente código:

gcloud kms keys add-iam-policy-binding KMS_KEY_ID \
--location=REGION \
--keyring=KMS_KEYRING_ID \
--member=serviceAccount:[e-mail] \
--role=roles/cloudkms.cryptoKeyEncrypterDecrypter

Crea un trabajo de migración en Database Migration Service con CMEK

Como parte de la creación de un trabajo de migración en Database Migration Service, puedes usar tu CMEK para administrar la encriptación de tus datos.

Inhabilita y vuelve a habilitar versiones de claves

Consulta los siguientes temas:

• Inhabilita una versión de clave habilitada
• Habilita una versión de clave inhabilitada