Utilizzare le chiavi di crittografia gestite dal cliente (CMEK) per le migrazioni continue

Panoramica

Questa pagina descrive il funzionamento delle chiavi di crittografia gestite dal cliente (CMEK) con i job di migrazione di Database Migration Service.

Nota:per utilizzare subito questa funzionalità, consulta Utilizzare CMEK. Inoltre, per informazioni più dettagliate sulle chiavi di crittografia gestite dal cliente (CMEK), consulta Chiavi di crittografia gestite dal cliente (CMEK).

CMEK è la scelta giusta per te?

Le chiavi CMEK sono destinate alle organizzazioni che hanno dati sensibili o regolamentati che richiedono la gestione delle chiavi di crittografia.

Confronto tra crittografia gestita da Google e crittografia gestita dal cliente

La funzionalità CMEK ti consente di utilizzare le tue chiavi di crittografia per i dati trasportati da Database Migration Service. Dopo aver aggiunto la chiave CMEK, ogni volta che viene eseguita una chiamata API, Database Migration Service utilizza la tua chiave per accedere ai dati.

Le chiavi CMEK, tra cui chiavi software, hardware ed esterne, vengono gestite tramite l'API Cloud Key Management Service (KMS).

Quali località supportano i job di migrazione di Database Migration Service abilitati per CMEK?

CMEK è disponibile in tutte le località in cui è disponibile Database Migration Service.

La posizione del portachiavi Cloud Key Management Service deve corrispondere alla regione del database di destinazione per il job di migrazione. Una chiave di regione con più regioni o globale non funzionerà.

Informazioni sugli account di servizio

Quando i job di migrazione di Database Migration Service hanno CMEK abilitato, devi utilizzare un account di servizio per richiedere l'accesso alle chiavi da Cloud Key Management Service.

Per utilizzare un CMEK in un progetto, devi disporre di un account di servizio e devi concedere all'account di servizio l'accesso alla chiave. L'account di servizio deve esistere all'interno del progetto. L'account di servizio è visibile in tutte le regioni.

Informazioni sulle chiavi

In Cloud Key Management Service, devi creare un portachiavi con una chiave di crittografia impostata con una posizione. Quando crei un nuovo job di migrazione in Database Migration Service, seleziona questa chiave per criptarlo.

Devi conoscere l'ID chiave e la regione della chiave quando crei nuovi job di migrazione che utilizzano CMEK. Devi posizionare i database di destinazione nella stessa regione del CMEK associato al job di migrazione. Puoi creare un progetto sia per le chiavi sia per i database di destinazione oppure progetti diversi per ciascuno.

CMEK utilizza il seguente formato:

projects/[CMEK_ENABLED_PROJECT]/locations/[REGION]/keyRings/[RING_NAME]/cryptoKeys/[KEYNAME]

Se disattivi la versione principale della chiave CMEK, Database Migration Service non potrà utilizzarla. Di conseguenza, lo stato del job di migrazione associato diventa FAILED. Per ulteriori informazioni sugli stati dei job di migrazione, consulta Stati dei job di migrazione.

Come faccio a rendere inaccessibili definitivamente i dati criptati con CMEK?

Hai il pieno controllo sulle chiavi e sull'accesso ai dati. Se elimini una versione della chiave associata a un job di migrazione in Database Migration Service, Google non può recuperare i dati. Tuttavia, se disattivi la versione della chiave, puoi riattivarla per recuperare i dati.

Potresti trovarti in situazioni in cui vuoi distruggere definitivamente i dati criptati con CMEK. Per farlo, devi distruggere la versione CMEK. Non puoi distruggere il portachiavi o la chiave, ma puoi distruggere le versioni della chiave.

Limitazioni

Quando utilizzi le chiavi CMEK, si applicano le seguenti limitazioni:

• Non puoi aggiornare CMEK in un job di migrazione in esecuzione.

• Sebbene tu possa utilizzare CMEK per criptare i dati del database di origine, non puoi utilizzare queste chiavi per criptare i metadati dei job di migrazione, ad esempio l'ID job di migrazione, l'indirizzo IP del database di origine e così via.

Utilizzo di CMEK

Ora che conosci CMEK, puoi configurare un account di servizio e le chiavi per CMEK. Inoltre, scoprirai come configurare un job di migrazione per utilizzare CMEK. Per scoprire di più su CMEK, consulta la sezione Panoramica.

Prima di iniziare

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

3. Make sure that billing is enabled for your Google Cloud project.

4. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

5. Make sure that billing is enabled for your Google Cloud project.

6. Installa e inizializza Cloud SDK.
7. Assicurati di avere il ruolo Amministratore di migrazione del database assegnato al tuo account utente.

   Vai alla pagina IAM

8. Enable the Cloud Key Management Service API.

   Enable the API

9. Abilita l'API Database Migration Service.

   Abilitare l'API

Flusso di lavoro per creare job di migrazione in Database Migration Service con CMEK

1. Solo utenti gcloud e API: assicurati di avere un account di servizio per ogni progetto che richiede CMEK. Per ulteriori informazioni, vedi Creare un account di servizio.

2. Crea un mazzo di chiavi e una chiave e imposta la posizione di ogni chiave. La posizione è la regione Google Cloud .

3. Concedi alla chiave l'accesso all'account di servizio.

4. Copia o annota l'ID chiave (KMS_KEY_ID) e la posizione della chiave, nonché l'ID (KMS_KEYRING_ID) per il portachiavi. Ti serviranno queste informazioni quando concederai l'accesso con chiave all'account di servizio.

5. Vai a un progetto, crea un job di migrazione in Database Migration Service e utilizza la CMEK nella sezione Opzioni di crittografia avanzata.

Il job di migrazione in Database Migration Service è ora abilitato con CMEK.

Crea un account di servizio

Devi creare un account di servizio per ogni progetto che richiede CMEK.

Per consentire a un utente di gestire gli account di servizio, concedi uno dei seguenti ruoli:

• Utente account di servizio (roles/iam.serviceAccountUser): include le autorizzazioni per elencare gli account di servizio, ottenere i dettagli di un account di servizio e rubare l'identità di un account di servizio.
• Amministratore account di servizio (roles/iam.serviceAccountAdmin): include le autorizzazioni per elencare gli account di servizio e ottenere i dettagli di un account di servizio. Sono incluse anche le autorizzazioni per creare, aggiornare ed eliminare gli account di servizio e per visualizzare o modificare il criterio di Database Migration Service per la migrazione da Oracle ad AlloyDB per PostgreSQL in un account di servizio.

Al momento, puoi utilizzare solo i comandi gcloud per creare il tipo di account di servizio di cui hai bisogno per CMEK.

Per creare un account di servizio con gcloud, esegui questo comando:

gcloud beta services identity create \
--service=datamigration.googleapis.com\
--project=PROJECT_ID

Il comando precedente restituisce il nome di un account di servizio. Utilizza questo nome dell'account di servizio durante la procedura descritta in Concedere l'accesso alla chiave all'account di servizio.

Crea una chiave

Puoi creare la chiave nello stesso progetto Google Cloud del job di migrazione in Database Migration Service o in un progetto utente separato. La posizione del portachiavi delle chiavi Cloud KMS deve corrispondere alla regione del database di destinazione associato al job di migrazione. Non è supportata una chiave per più regioni o globale. Se le regioni non corrispondono, non puoi creare il job di migrazione.

Se elimini la versione della chiave utilizzata da Database Migration Service per criptare i dati, lo stato del job di migrazione associato diventa FAILED. Per ulteriori informazioni sugli stati dei job di migrazione, consulta Stati dei job di migrazione.

L'utilizzo di Cloud KMS è soggetto a una quota. GKE chiama l'API Cloud KMS ogni volta che esegue un'operazione di crittografia. Verifica di disporre di una quota sufficiente per abilitare la crittografia dei secret a livello di applicazione per la tua applicazione.

Per creare una chiave Cloud KMS:

Console

1. Nella console Google Cloud , vai alla pagina Chiavi crittografiche.
2. Fai clic su Crea keyring.
3. Aggiungi un Nome keyring. Prendi nota di questo nome perché ti servirà quando concedi l'accesso alla chiave all'account di servizio.
4. Aggiungi una posizione del keyring.
5. Fai clic su Crea. Viene visualizzata la pagina Crea chiave.
6. Aggiungi un Nome chiave.
7. Seleziona uno scopo (simmetrico o asimmetrico).
8. Seleziona un Periodo di rotazione e una Data di inizio.
9. Fai clic su Crea.
10. Nella tabella Chiavi, fai clic sui tre puntini nell'ultima colonna e seleziona Copia ID risorsa o annota l'ID. Questo è il KMS_KEY_ID. Devi disporre del KMS_KEY_ID per concedere alla chiave l'accesso all'account di servizio.

gcloud

1. Crea una nuova chiave automatica.

   gcloud kms keyrings create KMS_KEYRING_ID \
   --location=REGION
     

   Annota questo nome perché ti servirà quando concederai alla chiave l'accesso all'account di servizio.
2. Crea una chiave nel keyring.

   gcloud kms keys create KMS_KEY_ID \
   --location=REGION \
   --keyring=KMS_KEYRING_ID \
   --purpose=encryption
     

   Annota questo nome perché ti servirà quando concederai alla chiave l'accesso all'account di servizio.

Concedi alla chiave l'accesso all'account di servizio

Devi eseguire questa procedura solo se utilizzi gcloud o l'API.

Per concedere l'accesso all'account di servizio, utilizza il seguente codice:

gcloud kms keys add-iam-policy-binding KMS_KEY_ID \
--location=REGION \
--keyring=KMS_KEYRING_ID \
--member=serviceAccount:[e-mail] \
--role=roles/cloudkms.cryptoKeyEncrypterDecrypter

Creare un job di migrazione in Database Migration Service con CMEK

Nell'ambito della creazione di un job di migrazione in Database Migration Service, puoi utilizzare la chiave CMEK per gestire la crittografia dei dati.

Disattivare e riattivare le versioni delle chiavi

Consulta i seguenti argomenti:

• Disattivare una versione della chiave abilitata
• Abilitare una versione della chiave disattivata