Protege tus datos con CMEK

Nota: Este contenido se aplica solo a las funciones de Cloud Run, antes Cloud Functions (2nd gen).

Para ver la versión de 1ª gen. de este documento, consulta Protege tus datos con CMEK (1ª gen.).

De forma predeterminada, las funciones de Cloud Run encriptan el contenido del cliente almacenado en reposo. Las funciones de Cloud Run controlan la encriptación por ti sin que debas realizar ninguna acción adicional. Esta opción se denomina Encriptación predeterminada de Google.

Si deseas controlar tus claves de encriptación, puedes usar las claves de encriptación administradas por el cliente (CMEK) en Cloud KMS con servicios integrados en CMEK, incluidas las funciones de Cloud Run. El uso de claves de Cloud KMS te permite controlar su nivel de protección, ubicación, programa de rotación, permisos de uso y acceso, y límites criptográficos. El uso de Cloud KMS también te permite ver los registros de auditoría y controlar los ciclos de vida de las claves. En lugar de que Google posea y administre las claves de encriptación de claves (KEK) simétricas que protegen tus datos, tú las controlas y administras en Cloud KMS.

Después de configurar tus recursos con CMEK, la experiencia de acceso a tus recursos de funciones de Cloud Run es similar a usar la encriptación predeterminada de Google. Para obtener más información sobre tus opciones de encriptación, consulta Claves de encriptación administradas por el cliente (CMEK).

Los siguientes tipos de datos de Cloud Run Functions se encriptan cuando se usa una CMEK:

• Código fuente de la función subido para la implementación y almacenado por Google en Cloud Storage, y usado en el proceso de compilación
• Los resultados del proceso de compilación de funciones, incluidos los siguientes:
  • La imagen de contenedor compilada a partir del código fuente de tu función
  • Cada instancia de la función que se implementa

El proceso de compilación de la función está protegido por una clave efímera generada de forma única para cada compilación. Consulta Cumplimiento de CMEK en Cloud Build para obtener más información. Además, ten en cuenta lo siguiente:

• Los metadatos de archivo, como las rutas de acceso del sistema de archivos o las marcas de tiempo de modificación, no se encriptan.

• Si se inhabilita una clave, la imagen de contenedor no se puede implementar ni las instancias nuevas pueden iniciarse.

• La protección con CMEK de Cloud Run Functions solo se aplica a los recursos de Cloud Run Functions administrados por Google. Tú eres responsable de proteger los datos y recursos que administras, como los repositorios de código fuente, los canales de eventos que se encuentran en el proyecto del cliente o cualquier servicio que usen tus funciones.

La configuración de CMEK para Cloud Run Functions implica lo siguiente:

• Otorga acceso a la clave a las cuentas de servicio necesarias:

  • Para todas las funciones, debes otorgar a las cuentas de servicio de Cloud Run Functions, Artifact Registry y Cloud Storage acceso a la clave.

  • Para las funciones de Cloud Run Functions controladas por eventos, también debes completar la configuración de CMEK para Cloud Run y Eventarc.

• Crea un repositorio de Artifact Registry protegido por CMEK para almacenar las imágenes de la función.

• Habilita CMEK en la función.

• De manera opcional, habilita las políticas de la organización de CMEK para aplicar todas las funciones nuevas a fin de que cumplan con CMEK.

Estos archivos se describen con más detalle a continuación.

Antes de comenzar

1. Crea una clave de una sola región para encriptar tus funciones. Para aprender a crear una clave, consulta Crea claves de encriptación simétricas.

2. Crea un repositorio de Artifact Registry que tenga CMEK habilitadas. Debes usar la misma clave para el repositorio de Artifact Registry que usas cuando habilitas CMEK en una función.

3. Para las funciones controladas por eventos, sigue los pasos de configuración adicionales que se describen en Habilita CMEK para un canal de Google.

Otorga a las cuentas de servicio acceso a la clave

Para todas las funciones, debes otorgar acceso a la clave a las siguientes cuentas de servicio:

• Agente de servicio de Cloud Run Functions ([e-mail])

• Agente de servicio de Artifact Registry ([e-mail])

• Agente de servicio de Cloud Storage ([e-mail])

Además, debes otorgar acceso a la clave a las siguientes cuentas de servicio:

• Agente de servicio de Cloud Run ([e-mail])

• Agente de servicio de Eventarc ([e-mail])

Para otorgar acceso a la clave a estas cuentas de servicio, agrega cada una como principal de la clave y, luego, otorga a la cuenta de servicio el rol Cloud KMS CryptoKey Encrypter/Decrypter:

Console

1. Ve a la página de Cloud Key Management Service en la consola de Google Cloud:
   Ir a la página de Cloud KMS

2. Haz clic en el nombre del llavero de claves que contiene la clave elegida.

3. Haz clic en el nombre de la clave para ver los detalles.

4. En la pestaña Permisos, haz clic en Otorgar acceso.

5. En el campo Principales nuevas, ingresa las direcciones de correo electrónico de las tres cuentas de servicio que se analizaron antes para asignar permisos a las tres cuentas a la vez.

6. En el menú Selecciona un rol, selecciona Encriptador/desencriptador de CryptoKey de Cloud KMS.

7. Haz clic en Guardar.

gcloud

Para cada cuenta de servicio que se analizó antes, ejecuta el siguiente comando:

gcloud kms keys add-iam-policy-binding KEY \
--keyring KEY_RING \
--location LOCATION \
--member serviceAccount:SERVICE_AGENT_EMAIL \
--role roles/cloudkms.cryptoKeyEncrypterDecrypter

Reemplaza lo siguiente:

• KEY: El nombre de la clave. Por ejemplo, my-key

• KEY_RING: El nombre del llavero de claves. Por ejemplo, my-keyring

• LOCATION: La ubicación de la clave. Por ejemplo, us-central1

• SERVICE_AGENT_EMAIL: Es la dirección de correo electrónico de la cuenta de servicio.

Importante: Algunos agentes de servicio, como el agente de servicio de Cloud Storage (incluida su dirección de correo electrónico), no están disponibles en primera instancia cuando creas un proyecto. En cambio, se activan la primera vez que accedes a ellos. Por ejemplo, para activar el agente de servicio de Cloud Storage, puedes recuperar su dirección de correo electrónico. El agente de servicio se debe activar antes de asignarle permisos

.

Habilita CMEK para una función

Después de configurar un repositorio de Artifact Registry con CMEK habilitadas y otorgar a Cloud Run Functions acceso a tu clave, estarás listo para habilitar CMEK en tu función.

A fin de habilitar CMEK para una función, haz lo siguiente:

Console

1. Ve a la página de funciones de Cloud Run en la consola de Google Cloud:
   Ir a la página de funciones de Cloud Run

2. Haz clic en el nombre de la función en la que deseas habilitar CMEK.

3. Haz clic en Editar.

4. Haz clic en Entorno de ejecución, compilación… para expandir las opciones de configuración avanzada.

5. Selecciona la pestaña Seguridad y repositorio de imágenes.

6. En la sección Encriptación, selecciona Clave de encriptación administrada por el cliente (CMEK).

7. Selecciona la clave elegida en el menú desplegable.

8. En Ubicación del contenedor, selecciona Artifact Registry administrado por el cliente.

9. En el menú desplegable Artifact Registry, selecciona el repositorio protegido por CMEK.

10. Haz clic en Siguiente.

11. Haz clic en Implementar.

gcloud

Ejecuta el siguiente comando.

gcloud functions deploy FUNCTION \
[--gen2] \
--kms-key=KEY \
--docker-repository=REPOSITORY \
--source=YOUR_SOURCE_LOCATION
FLAGS...

Reemplaza lo siguiente:

• FUNCTION: El nombre de la función en la que se habilitará CMEK. Por ejemplo, cmek-function

• KEY: El nombre de la clave completamente calificado, en el siguiente formato: projects/PROJECT_NAME/locations/LOCATION/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME.

• REPOSITORY: El nombre del repositorio de Artifact Registry completamente calificado, en el siguiente formato: projects/PROJECT_NAME/locations/LOCATION/repositories/REPOSITORY.

• YOUR_SOURCE_LOCATION: Cuando habilites las CMEK para una función preexistente, asegúrate de que el código fuente deseado se vuelva a implementar mediante la especificación explícita de este parámetro.

• FLAGS...: Son marcas adicionales que se pueden requerir para implementar la función, en especial a fin de crear implementaciones. Para obtener más detalles, consulta Implementa una Cloud Run Functions.

La CMEK está habilitada para la función.

Nota: Las implementaciones de funciones por primera vez con CMEK habilitadas pueden fallar debido a retrasos en la propagación de IAM. Si encuentras un error en la implementación, asegúrate de que los permisos estén configurados de forma correcta y vuelve a intentarlo después de un período corto.

Ten en cuenta que Cloud Run Functions siempre usa la versión principal de una clave para la protección con CMEK. No puedes especificar una versión de clave en particular que se usará cuando habilites CMEK para tus funciones.

Si una clave se destruye o se inhabilita, o se revocan los permisos necesarios relacionados con ella, no se cierran las instancias activas de funciones protegidas por esa clave. Las ejecuciones de funciones que ya están en curso seguirán ejecutándose, pero las ejecuciones nuevas fallarán siempre que Cloud Run Functions no tenga acceso a la clave.

Prueba la protección de CMEK

A fin de verificar que la protección de CMEK funcione, puedes inhabilitar la clave que usaste para habilitar las CMEK en una función y, luego, intentar activar tu función:

1. Inhabilita la clave que se usa para proteger tu función.

   Nota: Los cambios pueden tardar hasta tres horas en propagarse.

2. Intenta ver el código fuente asociado con esta función. El intento debería fallar.

3. Intenta activar la función protegida por CMEK. El intento debería fallar.

4. Después de verificar que la protección con CMEK funcione, habilita la clave.

Ahora se confirma la protección de CMEK de la función.

¿Qué sigue?

• Obtén información para rotar tus claves.
• Obtén más información sobre la encriptación predeterminada de Google.
• Más información sobre CMEK​LINK
• Obtén más información sobre las políticas de la organización de CMEK.