Cette page a été traduite par l'API Cloud Translation.

Créer une connexion EKM

Cette page explique comment configurer Cloud External Key Manager (Cloud EKM) pour vous connecter à votre fournisseur de gestion des clés externes (EKM) via un réseau cloud privé virtuel (VPC).

Vous pouvez utiliser des clés externes sur VPC dans les emplacements Cloud KMS compatibles avec EKM via VPC. Pour en savoir plus, consultez la page Emplacements Cloud KMS .

Terminologie

Connexion EKM

La ressource Cloud KMS utilisée pour configurer une connexion à votre gestionnaire de clés externe. Dans la console Google Cloud, il s'agit d'un EKM via une connexion VPC.
Projet VPC

Projet contenant la ressource VPC utilisée pour se connecter à votre gestionnaire de clés externe.
Projets clés

Les projets contenant des ressources de connexion EKM et des clés Cloud EKM dans Cloud KMS. Un projet de clé peut être identique à un VPC mais ce n'est pas obligatoire.
Espace de chiffrement

Conteneur pour vos ressources auprès de votre partenaire de gestion des clés externes. Votre espace de chiffrement est identifié par un chemin d'accès à l'espace de chiffrement unique. Le format du chemin d'accès à l'espace de chiffrement varie selon le partenaire de gestion des clés externe (par exemple, v0/cryptospaces/YOUR_UNIQUE_PATH).

Avant de commencer

Une fois les étapes ci-dessous effectuées, vous pouvez commencer à utiliser des clés Cloud EKM pour protéger vos données.

Créez un projet

Dans la console Google Cloud, accédez à la page "Gérer les ressources".

Accéder à la page "Gérer les ressources"
Créez un projet Google Cloud ou sélectionnez un projet existant.

Important : Le nom que vous utilisez doit comporter entre 4 et 30 caractères. Lorsque vous le saisissez, le formulaire suggère un ID de projet que vous pouvez modifier. L'ID de projet utilisé doit comporter entre 6 et 30 caractères, et commencer par une lettre minuscule. Vous pouvez utiliser un tiret, une lettre minuscule ou un chiffre pour chacun des autres caractères, mais le dernier caractère ne peut pas être un tiret. N'oubliez pas que certains identifiants de ressources (tels que les ID de projet) peuvent être conservés au-delà de la durée de vie du projet. Par conséquent, évitez de stocker des informations sensibles dans des identifiants de ressources.
...Afficher les consignes d'attribution de noms
Make sure that billing is enabled for your Google Cloud project.

En savoir plus sur les tarifs de Cloud EKM

Activer Cloud KMS

Activez l'API Cloud Key Management Service pour le projet.

Activer l'API Cloud Key Management Service

Notez le compte de service Cloud EKM de votre projet. Dans l'exemple suivant, remplacez PROJECT_NUMBER par le numéro de projet de votre projet Google Cloud. Ces informations sont également visibles chaque fois que vous utilisez Google Cloud Console pour créer une clé Cloud EKM.
```
service-PROJECT_NUMBER@gcp-sa-ekms.iam.gserviceaccount.com
```

Assurez-vous que la gcloud CLI est à jour

Si vous souhaitez utiliser la Google Cloud CLI, assurez-vous qu'elle est à jour avec la commande suivante:

CLI gcloud

gcloud components update

Préparer un réseau VPC

Deux options s'offrent à vous lors de la configuration d'un réseau VPC:

Par défaut, les nouveaux projets contiennent un réseau en mode automatique pré-rempli avec des règles de pare-feu. Si le réseau VPC n'est pas destiné à être utilisé en production, le réseau en mode automatique par défaut est le moyen le plus rapide de démarrer.

Si votre gestionnaire de clés externe s'exécute sur site et que vous vous y connectez via une connectivité hybride, vous devez utiliser un réseau en mode personnalisé, car il permet de contrôler les plages d'adresses IP du sous-réseau.

Pour configurer votre VPC, procédez comme suit :

Activer l'accès privé à Google

Le gestionnaire de clés externe doit vérifier le jeton OIDC contenu dans chaque requête. Pour valider le jeton, il doit récupérer la clé publique OAuth2 à partir du nom de domaine www.googleapis.com. Si le gestionnaire de clés externe exécute dans Google Cloud et n'y a pas accès via Internet (par exemple, une VM sans une adresse IP externe ou bloquée par un pare-feu), suivez les instructions configurer l'accès privé à Google.
Configuration du pare-feu pour la plage d'adresses IP 35.199.192.0/19

Les requêtes de Cloud EKM proviendront de cette plage. Créez des règles de pare-feu d'autorisation d'entrée et de sortie pour TCP pour le port sur lequel le gestionnaire de clés externe écoute.

Configurer une connectivité hybride

Si le gestionnaire de clés externe est exécuté sur site, utilisez un solution de connectivité hybride pour connecter le VPC à votre réseau sur site. Une fois la connectivité configurée, procédez comme suit :

Activer l'accès privé à Google

Le gestionnaire de clés externe doit valider le jeton OIDC contenu dans chaque requête. Pour valider le jeton, pour récupérer la clé publique OAuth2 à partir du nom de domaine www.googleapis.com. Si le gestionnaire de clés externe s'exécute sur site et n'a pas accès via Internet, suivez les instructions pour configurer un accès privé à Google pour les hôtes sur site.
Configuration du pare-feu pour la plage d'adresses IP 35.199.192.0/19

Les requêtes de Cloud EKM proviendront de cette plage. Configurez votre pare-feu réseau sur site ou un équipement similaire pour autoriser le trafic TCP sur le port sur lequel le gestionnaire de clés externe écoute.
Assurez-vous que votre VPC dispose d'une route de retour vers la plage d'adresses IP 35.199.192.0/19.

Votre réseau sur site doit disposer d'une route pour la destination 35.199.192.0/19. Pour savoir comment respecter cette exigence, consultez la section Stratégies de routage des retours pour les cibles sur site.

Stratégies de routage des retours pour les cibles sur site

Pour les tunnels Cloud VPN qui utilisent le routage statique, créez manuellement sur votre réseau sur site une route dont la destination est 35.199.192.0/19 et dont le saut suivant est le tunnel Cloud VPN. Pour les tunnels Cloud VPN utilisant le routage basé sur des règles, configurez le sélecteur de trafic local de Cloud VPN et le sélecteur de trafic distant de la passerelle VPN sur site de façon à inclure 35.199.192.0/19.
Pour les tunnels Cloud VPN utilisant le routage dynamique Cloud Interconnect, configurez le mode d'annonce personnalisé pour 35.199.192.0/19 sur la session BGP du routeur Cloud Router qui gère le tunnel ou le rattachement de VLAN.

Configurer votre gestionnaire de clés externe

Suivez les instructions de votre fournisseur EKM pour configurer votre EKM.

Configurer votre espace de cryptomonnaie

Si vous utilisez Cloud EKM dans le cadre d'un accord EKM géré par un partenaire, ces étapes ont été effectuées pour vous dans le cadre du provisionnement de votre partenaire processus.

Si votre fournisseur EKM est compatible avec la gestion des clés EKM de Cloud KMS, vous devez suivre les étapes de configuration suivantes dans votre EKM :

Créez un espace de chiffrement pour vos ressources gérées par Cloud KMS dans votre EKM.
Accordez à votre compte de service Cloud KMS l'accès à votre espace de cryptographie et aux clés créées dans celui-ci.
Configurez la règle "Justifications d'accès aux clés" pour définir les justifications d'accès à autoriser ou à refuser.

La procédure exacte pour chacune de ces étapes dépend de votre EKM. Pour plus consultez la documentation de votre fournisseur EKM.

Créer un point de terminaison de service de l'Annuaire des services

Créez et configurez un point de terminaison de service d'annuaire des services dans votre projet VPC qui pointe vers l'adresse IP privée et le port de votre gestionnaire de clés externe. Si vous utilisez un équilibreur de charge devant plusieurs instances répliquées EKM, utilisez l'adresse IP et le port de l'équilibreur de charge. Assurez-vous que le champ network de votre point de terminaison de service de l'Annuaire des services est renseignés.

Autoriser Cloud EKM à accéder à votre VPC

Pour chaque projet de clé, vous devez autoriser Cloud EKM à accéder à votre au nom de ce projet, même si le projet de clé et le de projet VPC sont identiques. En autorisant l'accès, les clés de votre projet de clé peuvent utiliser le VPC dans votre projet VPC.

Assurez-vous qu'un compte de service Cloud EKM existe pour le projet.

CLI gcloud

gcloud beta services identity create \
  --service=cloudkms.googleapis.com \
  --project=KEY_PROJECT_ID

Attribuez les rôles servicedirectory.viewer et servicedirectory.pscAuthorizedService dans votre projet VPC à service-KEY_PROJECT_NUMBER@gcp-sa-ekms.iam.gserviceaccount.com. Pour obtenir de l'aide concernant l'obtention de l'ID et du numéro de votre projet, consultez la section Créer et gérer des projets.

CLI gcloud

gcloud projects add-iam-policy-binding VPC_PROJECT_ID \
  --member='serviceAccount:service-KEY_PROJECT_NUMBER@gcp-sa-ekms.iam.gserviceaccount.com' \
  --role='roles/servicedirectory.viewer'

gcloud projects add-iam-policy-binding VPC_PROJECT_ID \
  --member='serviceAccount:service-KEY_PROJECT_NUMBER@gcp-sa-ekms.iam.gserviceaccount.com' \
  --role='roles/servicedirectory.pscAuthorizedService'

Créer une connexion EKM

Pour connecter votre gestionnaire de clés externe à Cloud EKM, créez un Une connexion EKM dans votre projet de clé

Console

Dans la console Google Cloud, accédez à la page Infrastructure KMS.

Accéder à l'infrastructure KMS
Cliquez sur Créer une connexion.
Dans le champ Nom de la connexion, saisissez le nom de votre connexion.
Dans Région, sélectionnez un emplacement pour la connexion EKM. Toutes les clés Cloud KMS associées à cette connexion doivent se trouver au même emplacement que la connexion.
Dans le champ ID de ressource du service (self_link), saisissez la valeur du service de l'Annuaire des services créé dans la section Créer un point de terminaison de service de l'Annuaire des services. Le service de répertoire de services doit se trouver au même endroit que la connexion.
Dans le champ Nom d'hôte, ajoutez le nom d'hôte de votre gestionnaire de clés externe.
Dans Certificats, cliquez sur Ajouter un certificat pour importer un ou plusieurs certificats de serveur X.509 pour votre gestionnaire de clés externe. Les certificats doivent être au format DER.
Pour le mode de gestion EKM, sélectionnez Manuel pour utiliser la connexion EKM pour les clés externes gérées manuellement, ou sélectionnez Cloud KMS pour utiliser la connexion EKM pour les clés externes coordonnées.
Si vous avez sélectionné Cloud KMS comme mode de gestion EKM, alors dans Chemin d'accès à l'espace de chiffrement, saisissez le chemin d'accès à l'espace de chiffrement fourni par votre EKM.
Facultatif. Pour définir la connexion EKM comme connexion par défaut pour cette le projet et l'emplacement, cochez la case Set connection as the default (Définir la connexion comme la connexion par défaut). Si une autre connexion EKM est actuellement définie comme connexion par défaut pour ce projet et cet emplacement, cette connexion EKM remplace la connexion par défaut existante.
Cliquez sur Créer.

gcloud

Pour utiliser Cloud KMS sur la ligne de commande, commencez par installer ou mettre à jour la dernière version de Google Cloud CLI.

Pour créer une connexion EKM pour les clés externes gérées manuellement, exécutez la commande suivante :

gcloud beta kms ekm-connections create EKM_CONNECTION \
    --location LOCATION \
    --service-directory-service SERVICE_DIRECTORY_SERVICE \
    --hostname HOSTNAME \
    --server-certificates-files SERVER_CERTIFICATE_FILES \
    --key-management-mode manual

Remplacez les éléments suivants :

EKM_CONNECTION: nom de la connexion EKM.
LOCATION : emplacement Cloud KMS dans lequel vous souhaitez créer la connexion EKM. Toutes les clés Cloud KMS associées doit se trouver au même emplacement que la connexion.
SERVICE_DIRECTORY_SERVICE: ID de ressource de la Service de l'Annuaire des services pour votre connexion.
HOSTNAME : nom d'hôte de votre gestionnaire de clés externe.
SERVER_CERTIFICATE_FILES: liste de fichiers séparés par une virgule contenant des certificats de serveur X.509 pour votre gestionnaire de clés externe. Les certificats doivent être au format DER.

Pour créer une connexion EKM pour les clés externes coordonnées, exécutez la la commande suivante:

gcloud beta kms ekm-connections create EKM_CONNECTION \
    --location LOCATION \
    --service-directory-service SERVICE_DIRECTORY_SERVICE \
    --hostname HOSTNAME \
    --server-certificates-files SERVER_CERTIFICATE_FILES \
    --key-management-mode cloud-kms \
    --crypto-space-path CRYPTO_SPACE_PATH

Remplacez les éléments suivants :

EKM_CONNECTION: nom de la connexion EKM.
LOCATION : emplacement Cloud KMS dans lequel vous souhaitez créer la connexion EKM. Toutes les clés Cloud KMS associées doit se trouver au même emplacement que la connexion.
SERVICE_DIRECTORY_SERVICE: ID de ressource de la Service de l'Annuaire des services pour votre connexion.
HOSTNAME : nom d'hôte de votre gestionnaire de clés externe.
SERVER_CERTIFICATE_FILES: liste de fichiers séparés par une virgule contenant des certificats de serveur X.509 pour votre gestionnaire de clés externe. Les certificats doivent être au format DER.
CRYPTO_SPACE_PATH : chemin d'accès à l'espace de chiffrement fourni par votre fournisseur EKM.

Pour en savoir plus sur toutes les options et valeurs possibles, exécutez la commande avec l'option --help.

API

Ces exemples utilisent curl comme client HTTP pour démontrer l'utilisation de l'API. Pour en savoir plus sur le contrôle des accès, consultez la page Accéder à l'API Cloud KMS.

Pour créer une connexion EKM pour des clés externes coordonnées, exécutez la commande suivante :

curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/ekmConnections" \
    --request "POST" \
    --header "authorization: Bearer TOKEN" \
    --header "content-type: application/json" \
    --header "x-goog-user-project: PROJECT_ID" \
    --data '{
      "name": "EKM_CONNECTION",
      "serviceResolvers": [
        {
          "serviceDirectoryService": "SERVICE_DIRECTORY_SERVICE",
          "hostname": "HOSTNAME",
          "serverCertificates": [
            {
              SERVER_CERTIFICATES
            }
          ]
        }
      ]
      "keyManagementMode": "CLOUD_KMS",
      "cryptoSpacePath": "CRYPTO_SPACE_PATH"
    }'

Remplacez les éléments suivants :

PROJECT_ID : ID du projet dans lequel vous souhaitez créer la connexion EKM.
LOCATION: le service Cloud KMS dans lequel vous souhaitez créer le Connexion EKM.
EKM_CONNECTION: nom à utiliser pour la connexion EKM.
SERVER_CERTIFICATES : liste de 10 objets Certificate maximum représentant des certificats de serveur de feuilles.
HOSTNAME: nom d'hôte de votre gestionnaire de clés externe.
CRYPTO_SPACE_PATH: chemin d'accès à l'espace de chiffrement fourni par votre fournisseur EKM.

Pour créer une connexion EKM pour les clés externes gérées manuellement, exécutez la la commande suivante:

curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/ekmConnections" \
    --request "POST" \
    --header "authorization: Bearer TOKEN" \
    --header "content-type: application/json" \
    --header "x-goog-user-project: PROJECT_ID" \
    --data '{
      "name": "EKM_CONNECTION",
      "serviceResolvers": [
        {
          "serviceDirectoryService": "SERVICE_DIRECTORY_SERVICE",
          "hostname": "HOSTNAME",
          "serverCertificates": [
            {
              SERVER_CERTIFICATES
            }
          ]
        }
      ]
    }'

Remplacez les éléments suivants :

PROJECT_ID : ID du projet dans lequel vous souhaitez créer la connexion EKM.
LOCATION: le service Cloud KMS dans lequel vous souhaitez créer le Connexion EKM.
EKM_CONNECTION : nom à utiliser pour la connexion EKM.
SERVER_CERTIFICATES : liste de 10 objets Certificate maximum représentant des certificats de serveur de feuilles.
HOSTNAME : nom d'hôte de votre gestionnaire de clés externe.

Pour plus d'informations, consultez la documentation de l'API EkmConnection.create.

État du certificat

Une fois que vous avez importé un certificat pour votre connexion EKM, vous pouvez vérifier l'état général du certificat de la connexion EKM, ainsi que l'état de chaque certificat sur la page de l'infrastructure KMS.

Les connexions EKM ont un état global dans la colonne État du certificat de chaque connexion. Si l'état d'une connexion EKM est autre que Active, nous vous recommandons de mettre à jour le ou les certificats de votre connexion EKM.

Les connexions EKM et les certificats individuels peuvent avoir l'état suivant:

Actif : le certificat est valide et n'approche pas de sa date d'expiration.
Expire dans les 30 jours : le certificat est valide, mais sa date d'expiration est fixée dans les 30 prochains jours.
Expiré: le certificat a expiré et n'est plus valide. Nous vous recommandons de mettre à jour les certificats expirés.
Pas encore valide : le certificat n'est pas actif. Cela peut se produire si la date de début du certificat est postérieure à la date du jour.

Si votre certificat n'est plus valide, mettez à jour votre connexion EKM dans le console Google Cloud.

Console

Dans la console Google Cloud, accédez à la page Infrastructure KMS.

Accéder à l'infrastructure KMS
Cliquez sur le nom de l'EKM via une connexion VPC avec le certificat à mettre à jour.
Cliquez sur Modifier la connexion.
Cliquez sur Ajouter un certificat pour importer un ou plusieurs certificats de serveur X.509. pour votre gestionnaire de clés externe. Les certificats doivent être au format DER.
Supprimez les certificats expirés. Pointez sur le certificat expiré, puis sélectionnez l'icône Supprimer à droite.
Cliquez sur Mettre à jour la connexion pour mettre à jour l'EKM via une connexion VPC.

Définir une connexion EKM comme connexion par défaut

Vous pouvez définir une connexion EKM comme connexion par défaut pour un projet et un emplacement donnés. Lorsqu'une connexion EKM par défaut est définie pour un projet et un emplacement, un nouveau service Cloud EKM par des clés VPC créées dans des trousseaux à cet emplacement ; utilisez la connexion EKM indiquée, sauf si une autre connexion EKM est sélectionnée.

Pour définir une connexion EKM comme connexion par défaut pour son projet et son emplacement, procédez comme suit :

Console

Dans la console Google Cloud, accédez à la page Infrastructure KMS.

Accéder à l'infrastructure KMS
Cliquez sur la connexion EKM que vous souhaitez définir comme connexion par défaut.
Cliquez sur Modifier la connexion.
Sous Connexion par défaut, cochez la case Définir la connexion comme connexion par défaut pour LOCATION.
Cliquez sur Mettre à jour la connexion.

CLI gcloud

gcloud beta kms ekm-config update
  --location=LOCATION
  --default-ekm-connection=projects/PROJECT_ID/locations/LOCATION/ekmConnections/DEFAULT_EKM_CONNECTION

Remplacez les éléments suivants :

LOCATION : Cloud KMS pour lequel vous souhaitez définir la connexion EKM par défaut.
PROJECT_ID: nom du projet pour lequel vous souhaitez définir la connexion EKM par défaut.
DEFAULT_EKM_CONNECTION: nom de la connexion EKM qui que vous souhaitez définir par défaut pour cet emplacement. L'emplacement La connexion EKM doit correspondre à l'emplacement indiqué dans LOCATION.

API

Pour définir la connexion EKM par défaut pour un emplacement, utilisez la méthode EkmConfig.patch :

curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/ekmConfig" \
    --request "PATCH" \
    --header "authorization: Bearer TOKEN" \
    --header "content-type: application/json" \
    --data '{"defaultEkmConnection": "projects/PROJECT_ID/locations/LOCATION/ekmConnections/DEFAULT_EKM_CONNECTION"}'

Remplacez les éléments suivants :

PROJECT_ID: ID du projet pour lequel vous souhaitez définir une connexion EKM par défaut.
LOCATION : Cloud KMS pour lequel vous souhaitez définir la connexion EKM par défaut.
DEFAULT_EKM_CONNECTION : nom de la connexion EKM que vous souhaitez définir comme valeur par défaut pour cet emplacement. L'emplacement de la connexion EKM doit correspondre à l'emplacement indiqué dans LOCATION

Si une autre connexion EKM avait été définie par défaut pour cet emplacement, la connexion EKM sélectionnée la remplace par défaut. Une seule connexion EKM par défaut pour un projet et un emplacement donnés.

Étape suivante

Créez une clé externe.