Membuat kunci enkripsi dengan Cloud KMS

Membuat kunci enkripsi dengan Cloud KMS

Panduan memulai ini menunjukkan cara membuat dan menggunakan kunci enkripsi dengan Cloud Key Management Service di project yang Anda miliki. Petunjuk ini menggunakan konsol Google Cloud untuk membuat ring kunci, kunci, dan versi kunci di Cloud KMS. Untuk petunjuk yang menggunakan metode lain, lihat Panduan cara kerja.

Panduan memulai ini menggunakan command line untuk mengirim permintaan ke Cloud KMS API. Untuk contoh pemrograman yang menggunakan library klien untuk mengirim permintaan ke Cloud KMS API, lihat Mengenkripsi dan Mendekripsi.

Sebelum memulai

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

3. Make sure that billing is enabled for your Google Cloud project.

4. Enable the Cloud KMS API.

   Enable the API

5. Install the Google Cloud CLI.

6. To initialize the gcloud CLI, run the following command:

   gcloud init

7. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

8. Make sure that billing is enabled for your Google Cloud project.

9. Enable the Cloud KMS API.

   Enable the API

10. Install the Google Cloud CLI.

11. To initialize the gcloud CLI, run the following command:

    gcloud init

Penting: Panduan memulai ini membuat resource Cloud KMS seperti key ring dan kunci. Setelah dibuat, resource ini tidak dapat dihapus. Untuk informasi selengkapnya, lihat Mengapa saya tidak dapat menghapus kunci atau ring kunci?.

Key ring dan kunci

Untuk mengenkripsi dan mendekripsi konten, Anda memerlukan kunci Cloud KMS, yang merupakan bagian dari key ring.

Buat key ring bernama test, dan kunci bernama quickstart. Lihat ringkasan hierarki objek untuk mengetahui informasi selengkapnya tentang objek ini dan hubungannya.

gcloud kms keyrings create "test" \
    --location "global"

gcloud kms keys create "quickstart" \
    --location "global" \
    --keyring "test" \
    --purpose "encryption"

Anda dapat menggunakan opsi list untuk melihat nama dan metadata kunci yang baru saja Anda buat.

gcloud kms keys list \
    --location "global" \
    --keyring "test"

Anda akan melihat:

NAME                                                                      PURPOSE          PRIMARY_STATE
projects/project-id/locations/global/keyRings/test/cryptoKeys/quickstart  ENCRYPT_DECRYPT  ENABLED

Mengenkripsi data

Setelah memiliki kunci, Anda dapat menggunakan kunci tersebut untuk mengenkripsi konten teks atau biner.

Simpan beberapa teks yang akan dienkripsi dalam file bernama "mysecret.txt".

echo -n "Some text to be encrypted" > mysecret.txt

Untuk mengenkripsi data dengan gcloud kms encrypt, berikan informasi kunci Anda, tentukan nama file teks biasa yang akan dienkripsi, dan tentukan nama file yang akan berisi konten terenkripsi:

gcloud kms encrypt \
    --location "global" \
    --keyring "test" \
    --key "quickstart" \
    --plaintext-file ./mysecret.txt \
    --ciphertext-file ./mysecret.txt.encrypted

Metode encrypt menyimpan konten terenkripsi Anda dalam file yang ditentukan oleh tanda --ciphertext-file.

Mendekripsi ciphertext

Untuk mendekripsi data dengan gcloud kms decrypt, berikan informasi kunci Anda, tentukan nama file terenkripsi (file ciphertext) yang akan didekripsi, dan tentukan nama file yang akan berisi konten yang didekripsi:

gcloud kms decrypt \
    --location "global" \
    --keyring "test" \
    --key "quickstart" \
    --ciphertext-file ./mysecret.txt.encrypted \
    --plaintext-file ./mysecret.txt.decrypted

Metode decrypt menyimpan konten yang didekripsi dalam file yang ditentukan oleh tanda --plaintext-file.

Untuk mendekripsi konten terenkripsi, Anda harus menggunakan kunci yang sama dengan kunci yang digunakan untuk mengenkripsi konten.

Pembersihan

Agar tidak menimbulkan biaya pada akun Google Cloud Anda untuk resource yang digunakan pada halaman ini, ikuti langkah-langkah berikut.

Cantumkan versi yang tersedia untuk kunci Anda:

gcloud kms keys versions list \
    --location "global" \
    --keyring "test" \
    --key "quickstart"

Untuk menghancurkan versi, jalankan perintah berikut, dengan mengganti key-version dengan nomor versi kunci yang akan dihancurkan:

Penting: Saat menghancurkan versi kunci, Anda tidak dapat lagi mendekripsi konten yang dienkripsi menggunakan versi kunci tersebut. Pastikan Anda tidak lagi memerlukan versi kunci sebelum menghancurkannya.

gcloud kms keys versions destroy key-version \
    --location "global" \
    --keyring "test" \
    --key "quickstart"

Langkah selanjutnya

• Mulai menggunakan API.
• Lihat Referensi API.
• Pelajari lebih lanjut cara mengenkripsi data dalam penyimpanan.