Cette page a été traduite par l'API Cloud Translation.

Créer une connexion EKM

Cette page explique comment configurer Cloud External Key Manager (Cloud EKM) pour vous connecter à votre fournisseur de gestion des clés externes (EKM) via un réseau cloud privé virtuel (VPC).

Vous pouvez utiliser des clés externes sur VPC dans les emplacements Cloud KMS compatibles avec EKM via VPC. Pour en savoir plus, consultez la page Emplacements Cloud KMS.

Terminologie

Connexion EKM

Ressource Cloud KMS utilisée pour configurer une connexion à votre gestionnaire de clés externe. Dans la console Google Cloud, il s'agit d'un EKM via une connexion VPC.
Projet VPC

Le projet contenant la ressource VPC utilisée pour se connecter à votre gestionnaire de clés externe.
Projets clés

Les projets contenant des ressources de connexion EKM et des clés Cloud EKM dans Cloud KMS. Un projet de clé peut être identique à un projet VPC, mais ce n'est pas obligatoire.
Espace de chiffrement

Conteneur pour vos ressources auprès de votre partenaire de gestion des clés externes. Votre espace de chiffrement est identifié par un chemin d'accès à l'espace de chiffrement unique. Le format du chemin d'accès à l'espace de chiffrement varie selon le partenaire de gestion des clés externe (par exemple, v0/cryptospaces/YOUR_UNIQUE_PATH).

Avant de commencer

Une fois les étapes ci-dessous effectuées, vous pouvez commencer à utiliser des clés Cloud EKM pour protéger vos données.

Créez un projet

Dans la console Google Cloud, accédez à la page "Gérer les ressources".

Accéder à la page "Gérer les ressources"
Créez un projet Google Cloud ou sélectionnez un projet existant.

Important: Le nom que vous utilisez doit comporter entre 4 et 30 caractères. Lorsque vous le saisissez, le formulaire suggère un ID de projet que vous pouvez modifier. L'ID de projet utilisé doit comporter entre 6 et 30 caractères, et commencer par une lettre minuscule. Vous pouvez utiliser un tiret, une lettre minuscule ou un chiffre pour chacun des autres caractères, mais le dernier caractère ne peut pas être un tiret. N'oubliez pas que certains identifiants de ressources (tels que les ID de projet) peuvent être conservés au-delà de la durée de vie du projet. Par conséquent, évitez de stocker des informations sensibles dans des identifiants de ressources.
...consulter les consignes d'attribution de noms
Make sure that billing is enabled for your Google Cloud project.

En savoir plus sur les tarifs de Cloud EKM

Activer Cloud KMS

Activez l'API Cloud Key Management Service pour le projet.

Activer l'API Cloud Key Management Service

Notez le compte de service Cloud EKM de votre projet. Dans l'exemple suivant, remplacez PROJECT_NUMBER par le numéro de projet de votre projet Google Cloud. Ces informations sont également visibles chaque fois que vous utilisez Google Cloud Console pour créer une clé Cloud EKM.
```
service-PROJECT_NUMBER@gcp-sa-ekms.iam.gserviceaccount.com
```

Assurez-vous que la gcloud CLI est à jour

Si vous allez utiliser Google Cloud CLI, assurez-vous qu'elle est à jour à l'aide de la commande suivante:

CLI gcloud

gcloud components update

Préparer un réseau VPC

Deux options s'offrent à vous pour configurer un réseau VPC:

Par défaut, les nouveaux projets contiennent un réseau en mode automatique prérempli de règles de pare-feu. Si le réseau VPC ne sera pas utilisé à des fins de production, le réseau en mode automatique par défaut est le moyen le plus rapide de commencer.

Si votre gestionnaire de clés externe s'exécute sur site et que vous vous y connectez via une connectivité hybride, vous devez utiliser un réseau en mode personnalisé, car il permet de contrôler les plages d'adresses IP du sous-réseau.

Pour configurer votre VPC, procédez comme suit:

Activer l'accès privé à Google

Le gestionnaire de clés externe doit vérifier le jeton OIDC contenu dans chaque requête. Pour valider le jeton, il doit récupérer la clé publique OAuth2 à partir du nom de domaine www.googleapis.com. Si le gestionnaire de clés externe s'exécute dans Google Cloud et qu'il n'a pas accès à Internet (par exemple, une VM sans adresse IP externe ou bloquée par un pare-feu), suivez les instructions de configuration de l'accès privé à Google.
Configuration du pare-feu pour la plage d'adresses IP 35.199.192.0/19

Les requêtes de Cloud EKM proviendront de cette plage. Créez des règles de pare-feu d'autorisation d'entrée et de sortie pour TCP pour le port sur lequel le gestionnaire de clés externe écoute.

Configurer une connectivité hybride

Si le gestionnaire de clés externe s'exécute sur site, utilisez une solution de connectivité hybride pour connecter le VPC à votre réseau sur site. Une fois la connectivité configurée, procédez comme suit:

Activer l'accès privé à Google

Le gestionnaire de clés externe doit valider le jeton OIDC contenu dans chaque requête. Pour valider le jeton, il doit récupérer la clé publique OAuth2 à partir du nom de domaine www.googleapis.com. Si le gestionnaire de clés externe s'exécute sur site et n'a pas accès à Internet, suivez les instructions pour configurer l'accès privé à Google pour les hôtes sur site.
Configuration du pare-feu pour la plage d'adresses IP 35.199.192.0/19

Les requêtes de Cloud EKM proviendront de cette plage. Configurez votre pare-feu réseau sur site ou un équipement similaire pour autoriser le trafic TCP sur le port sur lequel le gestionnaire de clés externe écoute.
Assurez-vous que votre VPC dispose d'une route de retour vers la plage d'adresses IP 35.199.192.0/19.

Votre réseau sur site doit disposer d'une route pour la destination 35.199.192.0/19. Pour savoir comment respecter cette exigence, consultez la section Stratégies de routage des retours pour les cibles sur site.

Stratégies de routage des retours pour les cibles sur site

Pour les tunnels Cloud VPN qui utilisent le routage statique, créez manuellement sur votre réseau sur site une route dont la destination est 35.199.192.0/19 et dont le saut suivant est le tunnel Cloud VPN. Pour les tunnels Cloud VPN utilisant le routage basé sur des règles, configurez le sélecteur de trafic local de Cloud VPN et le sélecteur de trafic distant de la passerelle VPN sur site de façon à inclure 35.199.192.0/19.
Pour les tunnels Cloud VPN utilisant le routage dynamique ou pour Cloud Interconnect, configurez le mode d'annonce personnalisé pour 35.199.192.0/19 sur la session BGP de Cloud Router qui gère le tunnel ou le rattachement de VLAN.

Configurer votre gestionnaire de clés externe

Suivez les instructions de votre fournisseur EKM pour configurer votre EKM.

Configurer votre espace de chiffrement

Si vous utilisez Cloud EKM dans le cadre d'un accord de gestion des clés externes par un partenaire, ces étapes ont été effectuées pour vous dans le cadre du processus de provisionnement de votre partenaire.

Si votre fournisseur EKM est compatible avec la gestion des clés EKM de Cloud KMS, vous devez suivre les étapes de configuration suivantes dans votre EKM:

Créez un espace de chiffrement pour vos ressources gérées par Cloud KMS dans votre EKM.
Accordez à votre compte de service Cloud KMS l'accès à votre espace de cryptographie et aux clés créées dans celui-ci.
Configurez la règle "Key Access Justifications" pour définir les justifications d'accès à autoriser ou à refuser.

La procédure exacte pour chacune de ces étapes dépend de votre EKM. Pour en savoir plus, consultez la documentation de votre fournisseur EKM.

Créer un point de terminaison de service de l'annuaire des services

Créez et configurez un point de terminaison de service d'annuaire des services dans votre projet VPC qui pointe vers l'adresse IP privée et le port de votre gestionnaire de clés externe. Si vous utilisez un équilibreur de charge devant plusieurs réplicas EKM, utilisez l'adresse IP et le port de l'équilibreur de charge. Assurez-vous que le champ network (réseau) de votre point de terminaison de service d'annuaire des services est renseigné.

Autoriser Cloud EKM à accéder à votre VPC

Pour chaque projet de clé, vous devez autoriser Cloud EKM à accéder à votre VPC au nom de ce projet, même si le projet de clé et le projet VPC sont identiques. En autorisant l'accès, les clés de votre projet de clé peuvent utiliser le VPC de votre projet.

Assurez-vous qu'un compte de service Cloud EKM existe pour le projet.

CLI gcloud

gcloud beta services identity create \
  --service=cloudkms.googleapis.com \
  --project=KEY_PROJECT_ID

Attribuez les rôles servicedirectory.viewer et servicedirectory.pscAuthorizedService dans votre projet VPC à service-KEY_PROJECT_NUMBER@gcp-sa-ekms.iam.gserviceaccount.com. Pour obtenir de l'aide concernant l'obtention de l'ID et du numéro de votre projet, consultez la section Créer et gérer des projets.

CLI gcloud

gcloud projects add-iam-policy-binding VPC_PROJECT_ID \
  --member=serviceAccount:service-KEY_PROJECT_NUMBER@gcp-sa-ekms.iam.gserviceaccount.com \
  --role=roles/servicedirectory.viewer

gcloud projects add-iam-policy-binding VPC_PROJECT_ID \
  --member=serviceAccount:service-KEY_PROJECT_NUMBER@gcp-sa-ekms.iam.gserviceaccount.com \
  --role=roles/servicedirectory.pscAuthorizedService

Créer une connexion EKM

Pour connecter votre gestionnaire de clés externe à Cloud EKM, créez une connexion EKM dans votre projet de clé.

Console

Dans la console Google Cloud, accédez à la page Infrastructure KMS.

Accéder à l'infrastructure KMS
Cliquez sur Créer une connexion.
Dans le champ Nom de la connexion, saisissez un nom pour votre connexion.
Dans Région, sélectionnez un emplacement pour la connexion EKM. Toutes les clés Cloud KMS associées à cette connexion doivent se trouver au même emplacement que la connexion.
Dans le champ ID de ressource du service (self_link), saisissez la valeur du service de l'Annuaire des services créé dans la section Créer un point de terminaison de service de l'Annuaire des services. Le service de répertoire de services doit se trouver au même endroit que la connexion.
Dans le champ Hostname (Nom d'hôte), ajoutez le nom d'hôte de votre gestionnaire de clés externe.
Dans Certificats, cliquez sur Ajouter un certificat pour importer un ou plusieurs certificats de serveur X.509 pour votre gestionnaire de clés externe. Les certificats doivent être au format DER.
Pour le mode de gestion EKM, sélectionnez Manuel pour utiliser la connexion EKM pour les clés externes gérées manuellement, ou sélectionnez Cloud KMS pour utiliser la connexion EKM pour les clés externes coordonnées.
Si vous avez sélectionné Cloud KMS pour le mode de gestion de l'EKM, saisissez le chemin d'accès à l'espace de chiffrement fourni par votre EKM dans le champ Chemin d'accès à l'espace de chiffrement.
Facultatif. Pour définir la connexion EKM comme connexion par défaut pour ce projet et cet emplacement, cochez la case Définir la connexion comme connexion par défaut. Si une autre connexion EKM est actuellement définie comme connexion par défaut pour ce projet et cet emplacement, cette connexion EKM remplace la connexion par défaut existante.
Cliquez sur Créer.

gcloud

Pour utiliser Cloud KMS sur la ligne de commande, commencez par installer ou mettre à jour la dernière version de Google Cloud CLI.

Pour créer une connexion EKM pour des clés externes gérées manuellement, exécutez la commande suivante:

gcloud beta kms ekm-connections create EKM_CONNECTION \
    --location LOCATION \
    --service-directory-service SERVICE_DIRECTORY_SERVICE \
    --hostname HOSTNAME \
    --server-certificates-files SERVER_CERTIFICATE_FILES \
    --key-management-mode manual

Remplacez les éléments suivants :

EKM_CONNECTION: nom de la connexion EKM.
LOCATION: emplacement Cloud KMS dans lequel vous souhaitez créer la connexion EKM. Toutes les clés Cloud KMS associées à cette connexion doivent se trouver au même emplacement que la connexion.
SERVICE_DIRECTORY_SERVICE: ID de la ressource du service d'annuaire des services pour votre connexion.
HOSTNAME: nom d'hôte de votre gestionnaire de clés externe.
SERVER_CERTIFICATE_FILES: liste de fichiers contenant des certificats de serveur X.509 pour votre gestionnaire de clés externe, séparés par une virgule. Les certificats doivent être au format DER.

Pour créer une connexion EKM pour des clés externes coordonnées, exécutez la commande suivante:

gcloud beta kms ekm-connections create EKM_CONNECTION \
    --location LOCATION \
    --service-directory-service SERVICE_DIRECTORY_SERVICE \
    --hostname HOSTNAME \
    --server-certificates-files SERVER_CERTIFICATE_FILES \
    --key-management-mode cloud-kms \
    --crypto-space-path CRYPTO_SPACE_PATH

Remplacez les éléments suivants :

EKM_CONNECTION: nom de la connexion EKM.
LOCATION: emplacement Cloud KMS dans lequel vous souhaitez créer la connexion EKM. Toutes les clés Cloud KMS associées à cette connexion doivent se trouver au même emplacement que la connexion.
SERVICE_DIRECTORY_SERVICE: ID de la ressource du service d'annuaire des services pour votre connexion.
HOSTNAME: nom d'hôte de votre gestionnaire de clés externe.
SERVER_CERTIFICATE_FILES: liste de fichiers contenant des certificats de serveur X.509 pour votre gestionnaire de clés externe, séparés par une virgule. Les certificats doivent être au format DER.
CRYPTO_SPACE_PATH: chemin d'accès à l'espace de chiffrement fourni par votre fournisseur EKM.

Pour en savoir plus sur toutes les options et valeurs possibles, exécutez la commande avec l'option --help.

API

Ces exemples utilisent curl comme client HTTP pour démontrer l'utilisation de l'API. Pour en savoir plus sur le contrôle des accès, consultez la page Accéder à l'API Cloud KMS.

Pour créer une connexion EKM pour des clés externes coordonnées, exécutez la commande suivante:

curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/ekmConnections" \
    --request "POST" \
    --header "authorization: Bearer TOKEN" \
    --header "content-type: application/json" \
    --header "x-goog-user-project: PROJECT_ID" \
    --data '{
      "name": "EKM_CONNECTION",
      "serviceResolvers": [
        {
          "serviceDirectoryService": "SERVICE_DIRECTORY_SERVICE",
          "hostname": "HOSTNAME",
          "serverCertificates": [
            {
              SERVER_CERTIFICATES
            }
          ]
        }
      ]
      "keyManagementMode": "CLOUD_KMS",
      "cryptoSpacePath": "CRYPTO_SPACE_PATH"
    }'

Remplacez les éléments suivants :

PROJECT_ID: ID du projet dans lequel vous souhaitez créer la connexion EKM.
LOCATION: Cloud KMS dans lequel vous souhaitez créer la connexion EKM.
EKM_CONNECTION: nom à utiliser pour la connexion EKM.
SERVER_CERTIFICATES: liste de 10 objets Certificate maximum représentant des certificats de serveur de feuilles.
HOSTNAME: nom d'hôte de votre gestionnaire de clés externe.
CRYPTO_SPACE_PATH: chemin d'accès à l'espace de chiffrement fourni par votre fournisseur EKM.

Pour créer une connexion EKM pour des clés externes gérées manuellement, exécutez la commande suivante:

curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/ekmConnections" \
    --request "POST" \
    --header "authorization: Bearer TOKEN" \
    --header "content-type: application/json" \
    --header "x-goog-user-project: PROJECT_ID" \
    --data '{
      "name": "EKM_CONNECTION",
      "serviceResolvers": [
        {
          "serviceDirectoryService": "SERVICE_DIRECTORY_SERVICE",
          "hostname": "HOSTNAME",
          "serverCertificates": [
            {
              SERVER_CERTIFICATES
            }
          ]
        }
      ]
    }'

Remplacez les éléments suivants :

PROJECT_ID: ID du projet dans lequel vous souhaitez créer la connexion EKM.
LOCATION: Cloud KMS dans lequel vous souhaitez créer la connexion EKM.
EKM_CONNECTION: nom à utiliser pour la connexion EKM.
SERVER_CERTIFICATES: liste de 10 objets Certificate maximum représentant des certificats de serveur de feuilles.
HOSTNAME: nom d'hôte de votre gestionnaire de clés externe.

Pour plus d'informations, consultez la documentation de l'API EkmConnection.create.

État du certificat

Une fois que vous avez importé un certificat pour votre connexion EKM, vous pouvez vérifier l'état général du certificat de la connexion EKM, ainsi que l'état de chaque certificat sur la page de l'infrastructure KMS.

Les connexions EKM ont un état global dans la colonne État du certificat de chaque connexion. Si l'état d'une connexion EKM est autre que Active, nous vous recommandons de mettre à jour le ou les certificats de votre connexion EKM.

Les connexions EKM et les certificats individuels peuvent avoir les états suivants:

Actif: le certificat est valide et n'approche pas de sa date d'expiration.
Expire dans les 30 jours: le certificat est valide, mais sa date d'expiration est fixée dans les 30 prochains jours.
Expiré: le certificat a expiré et n'est plus valide. Nous vous recommandons de mettre à jour les certificats expirés.
Non valide: le certificat n'est pas actif. Cela peut se produire si la date de début du certificat est postérieure à la date du jour.

Si votre certificat n'est plus valide, mettez à jour votre connexion EKM dans la console Google Cloud.

Console

Dans la console Google Cloud, accédez à la page Infrastructure KMS.

Accéder à l'infrastructure KMS
Cliquez sur le nom de l'EKM via une connexion VPC avec le certificat à mettre à jour.
Cliquez sur Modifier la connexion.
Cliquez sur Ajouter un certificat pour importer un ou plusieurs certificats de serveur X.509 pour votre gestionnaire de clés externe. Les certificats doivent être au format DER.
Supprimez les certificats expirés. Pointez sur le certificat expiré, puis sélectionnez l'icône Supprimer à droite.
Cliquez sur Mettre à jour la connexion pour mettre à jour l'EKM via une connexion VPC.

Définir une connexion EKM comme connexion par défaut

Vous pouvez définir une connexion EKM comme connexion par défaut pour un projet et un emplacement donnés. Lorsqu'une connexion EKM par défaut est définie pour un projet et un emplacement, les nouvelles clés Cloud EKM par VPC créées dans des trousseaux de clés à cet emplacement utilisent la connexion EKM indiquée, sauf si une autre connexion EKM est sélectionnée.

Pour définir une connexion EKM comme connexion par défaut pour son projet et son emplacement, procédez comme suit:

Console

Dans la console Google Cloud, accédez à la page Infrastructure KMS.

Accéder à l'infrastructure KMS
Cliquez sur la connexion EKM que vous souhaitez définir par défaut.
Cliquez sur Modifier la connexion.
Sous Connexion par défaut, cochez la case Définir la connexion comme connexion par défaut pour LOCATION.
Cliquez sur Mettre à jour la connexion.

CLI gcloud

gcloud beta kms ekm-config update
  --location=LOCATION
  --default-ekm-connection=projects/PROJECT_ID/locations/LOCATION/ekmConnections/DEFAULT_EKM_CONNECTION

Remplacez les éléments suivants :

LOCATION: Cloud KMS pour lequel vous souhaitez définir la connexion EKM par défaut.
PROJECT_ID: nom du projet pour lequel vous souhaitez définir la connexion EKM par défaut.
DEFAULT_EKM_CONNECTION: nom de la connexion EKM que vous souhaitez définir comme valeur par défaut pour cet emplacement. L'emplacement de la connexion EKM doit correspondre à celui indiqué dans LOCATION.

API

Pour définir la connexion EKM par défaut pour un emplacement, utilisez la méthode EkmConfig.patch:

curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/ekmConfig" \
    --request "PATCH" \
    --header "authorization: Bearer TOKEN" \
    --header "content-type: application/json" \
    --data '{"defaultEkmConnection": "projects/PROJECT_ID/locations/LOCATION/ekmConnections/DEFAULT_EKM_CONNECTION"}'

Remplacez les éléments suivants :

PROJECT_ID: ID du projet pour lequel vous souhaitez définir une connexion EKM par défaut.
LOCATION: Cloud KMS pour lequel vous souhaitez définir la connexion EKM par défaut.
DEFAULT_EKM_CONNECTION: nom de la connexion EKM que vous souhaitez définir comme valeur par défaut pour cet emplacement. L'emplacement de la connexion EKM doit correspondre à celui indiqué dans LOCATION.

Si une autre connexion EKM a été définie par défaut pour cet emplacement, la connexion EKM sélectionnée la remplace par défaut. Une seule connexion EKM peut être définie par défaut pour un projet et un emplacement donnés.

Étape suivante

Créez une clé externe.