Créer une connexion EKM

Cette page explique comment configurer Cloud External Key Manager (Cloud EKM) pour vous connecter à votre fournisseur de gestion de clés externes (EKM) via un réseau cloud privé virtuel (VPC).

Vous pouvez utiliser des clés externes sur un VPC dans des emplacements Cloud KMS compatibles avec EKM via VPC. Pour en savoir plus, consultez la page Emplacements Cloud KMS.

Terminologie

Connexion EKM

Ressource Cloud KMS utilisée pour configurer une connexion à votre gestionnaire de clés externe. Dans la console Google Cloud, on parle d'EKM via une connexion VPC.
Projet VPC

Projet qui contient la ressource VPC utilisée pour se connecter à votre gestionnaire de clés externe.
Projets clés

Projets contenant des ressources de connexion EKM et des clés Cloud EKM dans Cloud KMS. Un projet de clé peut être identique à un projet VPC, mais ce n'est pas obligatoire.
Espace cryptographique

Conteneur pour vos ressources au sein de votre partenaire externe de gestion des clés. Votre espace crypto est identifié par un chemin d'accès unique. Le format du chemin d'accès à l'espace cryptographique varie selon le partenaire externe de gestion des clés (par exemple, v0/cryptospaces/YOUR_UNIQUE_PATH).

Avant de commencer

Une fois les étapes ci-dessous terminées, vous pouvez commencer à utiliser des clés Cloud EKM pour protéger vos données.

Créer un projet

Dans la console Google Cloud, accédez à la page "Gérer les ressources".

Accéder à la page "Gérer les ressources"
Créez un projet Google Cloud ou sélectionnez un projet existant.

Important : Le nom que vous utilisez doit comporter entre 4 et 30 caractères. Lorsque vous le saisissez, le formulaire suggère un ID de projet que vous pouvez modifier. L'ID de projet utilisé doit comporter entre 6 et 30 caractères, et commencer par une lettre minuscule. Vous pouvez utiliser un tiret, une lettre minuscule ou un chiffre pour chacun des autres caractères, mais le dernier caractère ne peut pas être un tiret. N'oubliez pas que certains identifiants de ressources (tels que les ID de projet) peuvent être conservés au-delà de la durée de vie du projet. Par conséquent, évitez de stocker des informations sensibles dans des identifiants de ressources.
...Afficher les consignes d'attribution de noms
Vérifiez que la facturation est activée pour votre projet Google Cloud.

En savoir plus sur les tarifs de Cloud EKM

Activer Cloud KMS

Activez l'API Cloud Key Management Service pour le projet.

Activer l'API Cloud Key Management Service

Notez le compte de service Cloud EKM de votre projet. Dans l'exemple suivant, remplacez PROJECT_NUMBER par le numéro de projet de votre projet Google Cloud. Ces informations sont également visibles chaque fois que vous utilisez la console Google Cloud pour créer une clé Cloud EKM.
```
service-PROJECT_NUMBER@gcp-sa-ekms.iam.gserviceaccount.com
```

Assurez-vous que gcloud CLI est à jour

Si vous comptez utiliser la Google Cloud CLI, assurez-vous qu'elle est à jour à l'aide de la commande suivante:

gcloud CLI

gcloud components update

Préparer un réseau VPC

Deux options s'offrent à vous lors de la configuration d'un réseau VPC:

Par défaut, les nouveaux projets contiennent un réseau en mode automatique qui est prérempli avec des règles de pare-feu. Si le réseau VPC ne doit pas être utilisé à des fins de production, le réseau en mode automatique par défaut est le moyen le plus rapide de démarrer.

Si votre gestionnaire de clés externe s'exécute sur site et que vous vous y connectez via une connectivité hybride, vous devez utiliser un réseau en mode personnalisé, car il permet de contrôler les plages d'adresses IP de sous-réseau.

Pour configurer votre VPC, procédez comme suit:

Activer l'accès privé à Google

Le gestionnaire de clés externe doit valider le jeton OIDC contenu dans chaque requête. Pour valider le jeton, il doit récupérer la clé publique OAuth2 à partir du nom de domaine www.googleapis.com. Si le gestionnaire de clés externe s'exécute dans Google Cloud et n'a pas accès à Internet (par exemple, une VM sans adresse IP externe ou bloquée par un pare-feu), suivez les instructions pour configurer l'accès privé à Google.
Configuration du pare-feu pour la plage d'adresses IP 35.199.192.0/19

Les requêtes provenant de Cloud EKM proviendront de cette plage. Créez à la fois des règles de pare-feu autorisant le trafic d'entrée et de sortie pour TCP pour le port sur lequel le gestionnaire de clés externe écoute.

Configurer une connectivité hybride

Si le gestionnaire de clés externe s'exécute sur site, utilisez une solution de connectivité hybride pour connecter le VPC à votre réseau sur site. Une fois la connectivité configurée, procédez comme suit:

Activer l'accès privé à Google

Le gestionnaire de clés externe doit valider le jeton OIDC contenu dans chaque requête. Pour valider le jeton, il doit récupérer la clé publique OAuth2 à partir du nom de domaine www.googleapis.com. Si le gestionnaire de clés externe s'exécute sur site et n'a pas d'accès via Internet, suivez les instructions pour configurer l'accès privé à Google pour les hôtes sur site.
Configuration du pare-feu pour la plage d'adresses IP 35.199.192.0/19

Les requêtes provenant de Cloud EKM proviendront de cette plage. Configurez le pare-feu de votre réseau sur site ou un équipement similaire pour autoriser le trafic TCP sur le port sur lequel le gestionnaire de clés externe écoute.
Assurez-vous que votre VPC dispose d'une route de retour vers la plage d'adresses IP 35.199.192.0/19

Votre réseau sur site doit disposer d'une route pour la destination 35.199.192.0/19. Pour savoir comment respecter cette exigence, consultez la section Stratégies de routage des retours pour les cibles sur site.

Stratégies de routage des retours pour les cibles sur site

Pour les tunnels Cloud VPN qui utilisent le routage statique, créez manuellement sur votre réseau sur site une route dont la destination est 35.199.192.0/19 et dont le saut suivant est le tunnel Cloud VPN. Pour les tunnels Cloud VPN utilisant le routage basé sur des règles, configurez le sélecteur de trafic local de Cloud VPN et le sélecteur de trafic distant de la passerelle VPN sur site de manière à inclure 35.199.192.0/19.
Pour les tunnels Cloud VPN utilisant le routage dynamique ou pour Cloud Interconnect, configurez une annonce de routage personnalisée pour 35.199.192.0/19 sur la session BGP de Cloud Router qui gère le tunnel ou le rattachement de VLAN.

Configurer votre gestionnaire de clés externe

Suivez les instructions de votre fournisseur EKM pour configurer votre EKM.

Configurer votre espace crypto

Si vous utilisez Cloud EKM dans le cadre d'un accord EKM géré par un partenaire, ces étapes ont été effectuées pour vous dans le cadre du processus de provisionnement de votre partenaire.

Si votre fournisseur EKM est compatible avec la gestion des clés EKM de Cloud KMS, vous devez effectuer les étapes de configuration suivantes dans votre EKM:

Créez un espace cryptographique pour vos ressources gérées par Cloud KMS dans votre EKM.
Accordez à votre compte de service Cloud KMS l'accès à votre espace cryptographique et aux clés qui y sont créées.
Configurez la stratégie Key Access Justifications pour définir les justifications d'accès à autoriser ou à refuser.

Le processus exact de chacune de ces étapes dépend de votre EKM. Pour en savoir plus, consultez la documentation de votre fournisseur EKM.

Créer un point de terminaison de service de l'Annuaire des services

Créez et configurez un point de terminaison de service de l'annuaire des services dans votre projet VPC qui pointe vers l'adresse IP privée et le port de votre gestionnaire de clés externe. Si vous utilisez un équilibreur de charge devant plusieurs instances répliquées EKM, utilisez l'adresse IP et le port de l'équilibreur de charge. Assurez-vous que le champ network du point de terminaison du service de l'Annuaire des services est renseigné.

Autoriser Cloud EKM à accéder à votre VPC

Pour chaque projet de clé, vous devez autoriser Cloud EKM à accéder à votre VPC au nom de ce projet, même si le projet de clé et le projet VPC sont identiques. Si vous autorisez l'accès, les clés de votre projet de clé pourront utiliser le VPC de votre projet VPC.

Assurez-vous qu'un compte de service Cloud EKM existe pour le projet.

gcloud CLI

gcloud beta services identity create \
  --service=cloudkms.googleapis.com \
  --project=KEY_PROJECT_ID

Accordez les autorisations servicedirectory.viewer et servicedirectory.pscAuthorizedService dans votre projet VPC à service-KEY_PROJECT_NUMBER@gcp-sa-ekms.iam.gserviceaccount.com. Pour obtenir de l'aide afin d'obtenir l'ID et le numéro de votre projet, consultez la section Créer et gérer des projets.

gcloud CLI

gcloud projects add-iam-policy-binding VPC_PROJECT_ID \
  --member='serviceAccount:service-KEY_PROJECT_NUMBER@gcp-sa-ekms.iam.gserviceaccount.com' \
  --role='roles/servicedirectory.viewer'

gcloud projects add-iam-policy-binding VPC_PROJECT_ID \
  --member='serviceAccount:service-KEY_PROJECT_NUMBER@gcp-sa-ekms.iam.gserviceaccount.com' \
  --role='roles/servicedirectory.pscAuthorizedService'

Créer une connexion EKM

Pour connecter votre gestionnaire de clés externe à Cloud EKM, créez une connexion EKM dans votre projet de clés.

Console

Dans la console Google Cloud, accédez à la page Infrastructure KMS.

Accéder à l'infrastructure KMS
Cliquez sur Créer une connexion.
Pour Nom de la connexion, saisissez le nom de votre connexion.
Dans le champ Région, sélectionnez un emplacement pour la connexion EKM. Toutes les clés Cloud KMS associées à cette connexion doivent se trouver au même emplacement que la connexion.
Dans le champ ID de ressource du service (self_link), saisissez la valeur du service de l'Annuaire des services créé dans la section Créer un point de terminaison de l'Annuaire des services. Le service d'annuaire de services doit se trouver au même emplacement que la connexion.
Dans le champ Nom d'hôte, ajoutez le nom d'hôte de votre gestionnaire de clés externe.
Dans Certificats, cliquez sur Ajouter un certificat pour importer un ou plusieurs certificats de serveur X.509 pour votre gestionnaire de clés externe. Les certificats doivent être au format DER.
Sous Mode de gestion EKM, sélectionnez Manuel afin d'utiliser la connexion EKM pour les clés externes gérées manuellement, ou Cloud KMS pour utiliser la connexion EKM pour les clés externes coordonnées.
Si vous avez sélectionné Cloud KMS pour le mode de gestion EKM, saisissez le chemin d'accès à l'espace de chiffrement fourni par votre EKM dans le champ Chemin d'accès à l'espace de chiffrement.
Facultatif. Pour définir la connexion EKM comme connexion par défaut pour ce projet et cet emplacement, cochez la case Définir la connexion comme connexion par défaut. Si une autre connexion EKM est actuellement définie comme connexion par défaut pour ce projet et cet emplacement, cette connexion EKM remplace la connexion par défaut existante.
Cliquez sur Créer.

gcloud

Pour utiliser Cloud KMS sur la ligne de commande, commencez par installer la dernière version de Google Cloud CLI ou passer à la dernière version de Google Cloud CLI.

Pour créer une connexion EKM pour des clés externes gérées manuellement, exécutez la commande suivante:

gcloud beta kms ekm-connections create EKM_CONNECTION \
    --location LOCATION \
    --service-directory-service SERVICE_DIRECTORY_SERVICE \
    --hostname HOSTNAME \
    --server-certificates-files SERVER_CERTIFICATE_FILES \
    --key-management-mode manual

Remplacez les éléments suivants :

EKM_CONNECTION: nom de la connexion EKM.
LOCATION: emplacement Cloud KMS dans lequel vous souhaitez créer la connexion EKM. Toutes les clés Cloud KMS associées à cette connexion doivent se trouver au même emplacement que la connexion.
SERVICE_DIRECTORY_SERVICE: ID de ressource du service de l'Annuaire des services pour votre connexion.
HOSTNAME: nom d'hôte de votre gestionnaire de clés externe.
SERVER_CERTIFICATE_FILES: liste de fichiers séparés par une virgule contenant des certificats de serveur X.509 pour votre gestionnaire de clés externe. Les certificats doivent être au format DER.

Pour créer une connexion EKM pour des clés externes coordonnées, exécutez la commande suivante:

gcloud beta kms ekm-connections create EKM_CONNECTION \
    --location LOCATION \
    --service-directory-service SERVICE_DIRECTORY_SERVICE \
    --hostname HOSTNAME \
    --server-certificates-files SERVER_CERTIFICATE_FILES \
    --key-management-mode cloud-kms \
    --crypto-space-path CRYPTO_SPACE_PATH

Remplacez les éléments suivants :

EKM_CONNECTION: nom de la connexion EKM.
LOCATION: emplacement Cloud KMS dans lequel vous souhaitez créer la connexion EKM. Toutes les clés Cloud KMS associées à cette connexion doivent se trouver au même emplacement que la connexion.
SERVICE_DIRECTORY_SERVICE: ID de ressource du service de l'Annuaire des services pour votre connexion.
HOSTNAME: nom d'hôte de votre gestionnaire de clés externe.
SERVER_CERTIFICATE_FILES: liste de fichiers séparés par une virgule contenant des certificats de serveur X.509 pour votre gestionnaire de clés externe. Les certificats doivent être au format DER.
CRYPTO_SPACE_PATH: chemin d'accès à l'espace de chiffrement fourni par votre fournisseur EKM.

Pour en savoir plus sur toutes les options et valeurs possibles, exécutez la commande avec l'option --help.

API

Ces exemples utilisent curl comme client HTTP pour démontrer l'utilisation de l'API. Pour en savoir plus sur le contrôle des accès, consultez la page Accéder à l'API Cloud KMS.

Pour créer une connexion EKM pour des clés externes coordonnées, exécutez la commande suivante:

curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/ekmConnections" \
    --request "POST" \
    --header "authorization: Bearer TOKEN" \
    --header "content-type: application/json" \
    --header "x-goog-user-project: PROJECT_ID" \
    --data '{
      "name": "EKM_CONNECTION",
      "serviceResolvers": [
        {
          "serviceDirectoryService": "SERVICE_DIRECTORY_SERVICE",
          "hostname": "HOSTNAME",
          "serverCertificates": [
            {
              SERVER_CERTIFICATES
            }
          ]
        }
      ]
      "keyManagementMode": "CLOUD_KMS",
      "cryptoSpacePath": "CRYPTO_SPACE_PATH"
    }'

Remplacez les éléments suivants :

PROJECT_ID: ID du projet dans lequel vous souhaitez créer la connexion EKM.
LOCATION: Cloud KMS dans lequel vous souhaitez créer la connexion EKM.
EKM_CONNECTION: nom à utiliser pour la connexion EKM.
SERVER_CERTIFICATES: liste de 10 objets Certificate maximum qui représentent des certificats de serveur feuille.
HOSTNAME: nom d'hôte de votre gestionnaire de clés externe.
CRYPTO_SPACE_PATH: chemin d'accès à l'espace de chiffrement fourni par votre fournisseur EKM.

Pour créer une connexion EKM pour des clés externes gérées manuellement, exécutez la commande suivante:

curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/ekmConnections" \
    --request "POST" \
    --header "authorization: Bearer TOKEN" \
    --header "content-type: application/json" \
    --header "x-goog-user-project: PROJECT_ID" \
    --data '{
      "name": "EKM_CONNECTION",
      "serviceResolvers": [
        {
          "serviceDirectoryService": "SERVICE_DIRECTORY_SERVICE",
          "hostname": "HOSTNAME",
          "serverCertificates": [
            {
              SERVER_CERTIFICATES
            }
          ]
        }
      ]
    }'

Remplacez les éléments suivants :

PROJECT_ID: ID du projet dans lequel vous souhaitez créer la connexion EKM.
LOCATION: Cloud KMS dans lequel vous souhaitez créer la connexion EKM.
EKM_CONNECTION: nom à utiliser pour la connexion EKM.
SERVER_CERTIFICATES: liste de jusqu'à 10 objets Certificate représentant des certificats de serveur feuille.
HOSTNAME: nom d'hôte de votre gestionnaire de clés externe.

Pour plus d'informations, consultez la documentation de l'API EkmConnection.create.

État du certificat

Une fois que vous avez importé un certificat pour votre connexion EKM, vous pouvez vérifier l'état général du certificat de la connexion EKM, ainsi que l'état de chaque certificat à partir de la page de l'infrastructure KMS.

Les connexions EKM présentent un état général dans la colonne État du certificat de chaque connexion. Si l'état d'une connexion EKM n'est pas Active, nous vous recommandons de mettre à jour le ou les certificats sur votre connexion EKM.

Les connexions EKM et les certificats individuels peuvent présenter l'état suivant:

Actif: le certificat est valide et sa date d'expiration n'est pas presque atteinte.
Expire dans 30 jours: le certificat est valide, mais sa date d'expiration est située dans les 30 prochains jours.
Expiré: le certificat a expiré et n'est plus valide. Nous vous recommandons de mettre à jour tous les certificats arrivés à expiration.
Pas encore valide: le certificat n'est pas actif. Cela peut se produire si la date de début du certificat est postérieure à la date du jour.

Si votre certificat n'est plus valide, mettez à jour votre connexion EKM dans la console Google Cloud.

Console

Dans la console Google Cloud, accédez à la page Infrastructure KMS.

Accéder à l'infrastructure KMS
Cliquez sur le nom de l'EKM via une connexion VPC avec le certificat à mettre à jour.
Cliquez sur Modifier la connexion.
Cliquez sur Ajouter un certificat pour importer un ou plusieurs certificats de serveur X.509 pour votre gestionnaire de clés externe. Les certificats doivent être au format DER.
Supprimez les certificats arrivés à expiration. Passez la souris sur le certificat arrivé à expiration et sélectionnez l'icône Supprimer sur la droite.
Cliquez sur Mettre à jour la connexion pour mettre à jour l'EKM via une connexion VPC.

Définir une connexion EKM par défaut

Vous pouvez définir une connexion EKM comme connexion par défaut pour un projet et un emplacement donnés. Lorsqu'une connexion EKM par défaut est définie pour un projet et un emplacement, les nouvelles clés Cloud EKM créées par des clés VPC créées dans des trousseaux à cet emplacement utilisent la connexion EKM indiquée, sauf si une autre connexion EKM est sélectionnée.

Pour définir une connexion EKM en tant que connexion par défaut pour son projet et son emplacement, procédez comme suit:

Console

Dans la console Google Cloud, accédez à la page Infrastructure KMS.

Accéder à l'infrastructure KMS
Cliquez sur la connexion EKM que vous souhaitez définir comme connexion par défaut.
Cliquez sur Modifier la connexion.
Sous Connexion par défaut, cochez la case Définir la connexion comme connexion par défaut pour LOCATION.
Cliquez sur Mettre à jour la connexion.

gcloud CLI

gcloud beta kms ekm-config update
  --location=LOCATION
  --default-ekm-connection=projects/PROJECT_ID/locations/LOCATION/ekmConnections/DEFAULT_EKM_CONNECTION

Remplacez les éléments suivants :

LOCATION: service Cloud KMS pour lequel vous souhaitez définir la connexion EKM par défaut.
PROJECT_ID: nom du projet pour lequel vous souhaitez définir la connexion EKM par défaut.
DEFAULT_EKM_CONNECTION: nom de la connexion EKM que vous souhaitez définir par défaut pour cet emplacement. L'emplacement de la connexion EKM doit correspondre à l'emplacement indiqué dans LOCATION.

API

Pour définir la connexion EKM par défaut pour un établissement, utilisez la méthode EkmConfig.patch:

curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/ekmConfig" \
    --request "PATCH" \
    --header "authorization: Bearer TOKEN" \
    --header "content-type: application/json" \
    --data '{"defaultEkmConnection": "projects/PROJECT_ID/locations/LOCATION/ekmConnections/DEFAULT_EKM_CONNECTION"}'

Remplacez les éléments suivants :

PROJECT_ID: ID du projet pour lequel vous souhaitez définir une connexion EKM par défaut.
LOCATION: service Cloud KMS pour lequel vous souhaitez définir la connexion EKM par défaut.
DEFAULT_EKM_CONNECTION: nom de la connexion EKM que vous souhaitez définir comme valeur par défaut pour cet emplacement. L'emplacement de la connexion EKM doit correspondre à l'emplacement indiqué dans LOCATION.

Si une autre connexion EKM a été définie par défaut pour cet emplacement, la connexion EKM sélectionnée la remplace. Une seule connexion EKM peut être définie par défaut pour un projet et un emplacement donnés.

Étapes suivantes

Créez une clé externe.