Dataproc Serverless で CMEK を使用する

Dataproc サーバーレスを使用する場合、データは基盤となるサーバーレスインフラストラクチャ上のディスクと Cloud Storage ステージングバケットに保存されます。このデータは、Google が生成したデータ暗号鍵（DEK）と鍵暗号鍵（KEK）を使用して暗号化されます。顧客管理の暗号鍵（CMEK）を使用して鍵暗号鍵（KEK）の作成、使用、取り消しを行えます。データ暗号鍵（DEK）は Google が管理します。Google データ暗号鍵の詳細については、デフォルトの保存データの暗号化をご覧ください。

CMEK の使用

このセクションの手順に沿って、CMEK を使用し、Dataproc サーバーレスにより永続ディスクと Dataproc ステージングバケットに書き込まれるデータを暗号化します。

2021 年 4 月 23 日以降:

Dataproc サーバーレスでは、バッチジョブ引数の暗号化にも CMEK でが使用されます。この動作を有効にするには、Cloud KMS 暗号鍵の暗号化 / 復号 IAM ロールを Dataproc サービスエージェントサービスアカウントに割り当てる必要があります。Dataproc サービスエージェントのロールが Dataproc サービスエージェントサービスアカウントに関連付けられていない場合は、Dataproc サービスエージェントサービスアカウントに関連付けられたカスタムロールに serviceusage.services.use 権限を追加します。 Dataproc サーバーレスリソースを実行するプロジェクトで Cloud KMS API を有効にする必要があります。
batches.list は、復号できなかったジョブ引数を含むバッチを一覧表示する unreachable フィールドを返します。batches.get リクエストを発行して、アクセスできないバッチに関する詳細情報を取得できます。
鍵（CMEK）は、暗号化されたリソースと同じロケーションにある必要があります。たとえば、us-central1 リージョンで実行されるバッチの暗号化に使用される CMEK も us-central1 リージョンにある必要があります。

Cloud Key Management Service（Cloud KMS）を使用して鍵を作成します。
リソース名をコピーします。

リソース名は次のように構成されています。
```
projects/PROJECT_ID/locations/REGION/keyRings/KEY_RING_NAME/cryptoKeys/KEY_NAME
```
Compute Engine、Dataproc、Cloud Storage Service エージェントのサービスアカウントで鍵を使用できるようにします。
1. Cloud KMS 暗号鍵の暗号化/復号ロールを Compute Engine サービスエージェントのサービスアカウントに割り当てるには、[Cloud KMS 鍵を使用してリソースを保護する] > [必要なロール] をご覧ください。このサービスアカウントが Google Cloud コンソールの IAM ページの一覧に含まれていない場合は、[Google 提供のロール付与を含める] をクリックして含めます。
2. Cloud KMS 暗号鍵の暗号化 / 復号ロールを Dataproc サービスエージェントサービスアカウントに割り当てます。ロールの割り当てには、Google Cloud CLI を使用できます。
```
 gcloud projects add-iam-policy-binding KMS_PROJECT_ID \
 --member serviceAccount:service-PROJECT_NUMBER@dataproc-accounts.iam.gserviceaccount.com \
 --role roles/cloudkms.cryptoKeyEncrypterDecrypter
```
  以下を置き換えます。
  
  KMS_PROJECT_ID: Cloud KMS を実行する Google Cloud プロジェクトの ID。このプロジェクトには、Dataproc リソースを実行するプロジェクトも指定できます。
  
  PROJECT_NUMBER: Dataproc リソースを実行する Google Cloud プロジェクトのプロジェクト番号（プロジェクト ID ではありません）。
3. Dataproc サーバーレスリソースを実行するプロジェクトで Cloud KMS API を有効にします。
4. Dataproc サービスエージェントのロールが Dataproc サービスエージェントサービスアカウントに関連付けられていない場合は、Dataproc サービスエージェントサービスアカウントに関連付けられたカスタムロールに serviceusage.services.use 権限を追加します。Dataproc サービスエージェントのロールが Dataproc サービスエージェントサービスアカウントに関連付けられている場合は、この手順をスキップできます。
5. 手順に沿ってバケットに鍵を追加します。
バッチワークロードを送信する場合:
1. Batch kmsKey パラメータで鍵を指定します。
2. Batch stagingBucket パラメータで Cloud Storage バケットの名称を指定します。