Créer une clé externe

Cette page explique comment créer des clés Cloud External Key Manager (Cloud EKM) sur un trousseau de clés existant dans Cloud Key Management Service (Cloud KMS).

Avant de commencer

Avant d'effectuer les tâches indiquées sur cette page, assurez-vous de disposer des éléments suivants:

• Une ressource de projet Google Cloud pour stocker vos ressources Cloud KMS. Nous vous recommandons d'utiliser un projet distinct pour vos ressources Cloud KMS, qui ne contient aucune autre ressource Google Cloud.

  Notez le compte de service Cloud EKM de votre projet. Dans l'exemple suivant, remplacez PROJECT_NUMBER par le numéro de projet de votre projet Google Cloud. Ces informations sont également visibles chaque fois que vous utilisez la console Google Cloud pour créer une clé Cloud EKM.

  [e-mail]
  

• Nom et emplacement du trousseau de clés dans lequel vous souhaitez créer votre clé. Choisissez un trousseau de clés situé à proximité de vos autres ressources et compatible avec Cloud EKM. Pour afficher les emplacements disponibles et les niveaux de protection qu'ils acceptent, consultez la page Emplacements Cloud KMS. Pour créer un trousseau de clés, consultez la section Créer un trousseau de clés.

• Pour créer des clés externes gérées manuellement, vous devez les créer dans le système partenaire de gestion des clés externes. Les étapes exactes varient en fonction du partenaire de gestion des clés externes.

  1. Si nécessaire, demandez l'accès à votre partenaire externe de gestion des clés pour participer.

  2. Créez une clé symétrique ou asymétrique dans le système partenaire de gestion des clés externes ou sélectionnez une clé existante.

     Créez la clé dans une région proche de la région Google Cloud que vous prévoyez d'utiliser pour les clés Cloud EKM. Cela permet de réduire la latence du réseau entre votre projet Google Cloud et le partenaire externe de gestion des clés. Sinon, il se peut que vous constatiez une augmentation du nombre d'opérations en échec. Pour en savoir plus, consultez la section Cloud EKM et régions.

  3. Notez l'URI ou le chemin d'accès de la clé externe. Vous avez besoin de ces informations pour créer une clé Cloud EKM.

• Dans le système partenaire de gestion des clés externes, accordez au compte de service Google Cloud l'accès à vos clés externes. Traitez le compte de service comme une adresse e-mail. Les partenaires EKM peuvent utiliser une terminologie différente de celle utilisée dans cet article.

• Pour créer un EKM via des clés VPC, vous devez créer un EKM via une connexion VPC.

• Facultatif: Pour utiliser la gcloud CLI, préparez votre environnement.

  gcloud CLI

  Dans la console Google Cloud, activez Cloud Shell.

  Activer Cloud Shell

Rôles requis

Afin d'obtenir les autorisations nécessaires pour créer des clés, demandez à votre administrateur de vous attribuer le rôle IAM Administrateur Cloud KMS (roles/cloudkms.admin) sur le projet ou une ressource parente. Pour en savoir plus sur l'attribution de rôles, consultez la section Gérer les accès.

Ce rôle prédéfini contient les autorisations requises pour créer des clés. Pour connaître les autorisations exactes requises, développez la section Autorisations requises :

Autorisations requises

Les autorisations suivantes sont requises pour créer des clés:

• cloudkms.cryptoKeys.create
• cloudkms.cryptoKeys.get
• cloudkms.cryptoKeys.list
• cloudkms.cryptoKeyVersions.create
• cloudkms.cryptoKeyVersions.get
• cloudkms.cryptoKeyVersions.list
• cloudkms.keyRings.get
• cloudkms.keyRings.list
• cloudkms.locations.get
• cloudkms.locations.list
• resourcemanager.projects.get
• Pour récupérer une clé publique : cloudkms.cryptoKeyVersions.viewPublicKey

Vous pouvez également obtenir ces autorisations avec des rôles personnalisés ou d'autres rôles prédéfinis.

Attention :Le rôle Administrateur Cloud KMS contient des autorisations pour la maintenance et la destruction des versions de clé. Pour protéger vos ressources Cloud KMS, ce rôle ne doit être attribué qu'aux personnes responsables de l'administration des clés.

Créer une clé externe coordonnée

Console

1. Dans la console Google Cloud, accédez à la page Gestion des clés.

   Accéder à Key Management

2. Cliquez sur le nom du trousseau de clés pour lequel vous souhaitez créer une clé.

3. Cliquez sur Créer une clé.

4. Pour Nom de la clé, saisissez le nom de votre clé.

5. Pour Niveau de protection, sélectionnez Externe.

6. Pour le type de connexion du gestionnaire de clés externe (EKM), sélectionnez via VPC.

7. Dans le champ EKM via une connexion VPC, sélectionnez une connexion.

   Si vous ne disposez pas de l'autorisation EkmConnection.list, vous devez saisir manuellement le nom de la ressource de connexion.

8. Cliquez sur Continuer.

9. Dans la section Key material (Matériel de la clé), vous devriez voir un message indiquant que du nouveau matériel de clé est demandé par Cloud KMS et généré dans votre EKM. Si le champ Chemin d'accès de la clé s'affiche, cela signifie que l'EKM via une connexion VPC que vous avez sélectionné n'est pas configuré pour les clés externes coordonnées.

10. Configurez le reste des paramètres de clé selon vos besoins, puis cliquez sur Créer.

Cloud EKM envoie une requête à votre EKM pour créer une clé. La clé affiche l'état Génération en attente jusqu'à ce que le chemin d'accès de la clé soit renvoyé par votre EKM et que la clé Cloud EKM soit disponible.

gcloud

Pour utiliser Cloud KMS sur la ligne de commande, commencez par installer la dernière version de Google Cloud CLI ou passer à la dernière version de Google Cloud CLI.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

Remplacez les éléments suivants :

• KEY_NAME : nom de la clé.
• KEY_RING: nom du trousseau de clés contenant la clé.
• LOCATION: emplacement Cloud KMS du trousseau de clés ;
• PURPOSE: objectif de la clé.
• ALGORITHM: algorithme à utiliser pour la clé, par exemple google-symmetric-encryption. Pour obtenir la liste des algorithmes compatibles, consultez la section Algorithmes.
• VPC_CONNECTION_RESOURCE_ID: ID de ressource de la connexion EKM.

Pour en savoir plus sur toutes les options et valeurs possibles, exécutez la commande avec l'option --help.

Créer une solution Cloud EKM gérée manuellement à l'aide d'une clé VPC

Console

1. Dans la console Google Cloud, accédez à la page Gestion des clés.

   Accéder à Key Management

2. Cliquez sur le nom du trousseau de clés pour lequel vous souhaitez créer une clé.

3. Cliquez sur Créer une clé.

4. Pour Nom de la clé, saisissez le nom de votre clé.

5. Pour Niveau de protection, sélectionnez Externe.

6. Pour le type de connexion du gestionnaire de clés externe (EKM), sélectionnez via VPC.

7. Dans le champ EKM via une connexion VPC, sélectionnez une connexion.

   Notez que si vous ne disposez pas de l'autorisation EkmConnection.list, vous devez saisir manuellement le nom de la ressource de connexion.

8. Cliquez sur Continuer.

9. Dans le champ Chemin d'accès de la clé, saisissez le chemin d'accès à votre clé externe.

10. Configurez le reste des paramètres de clé selon vos besoins, puis cliquez sur Créer.

gcloud

Pour utiliser Cloud KMS sur la ligne de commande, commencez par installer la dernière version de Google Cloud CLI ou passer à la dernière version de Google Cloud CLI.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --skip-initial-version-creation \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

Remplacez les éléments suivants :

• KEY_NAME : nom de la clé.
• KEY_RING
• LOCATION: emplacement Cloud KMS du trousseau de clés ;
• PURPOSE: objectif de la clé.
• ALGORITHM: algorithme à utiliser pour la clé, par exemple google-symmetric-encryption. Pour obtenir la liste des algorithmes compatibles, consultez la section Algorithmes.
• VPC_CONNECTION_RESOURCE_ID: ID de ressource de la connexion EKM.

Pour en savoir plus sur toutes les options et valeurs possibles, exécutez la commande avec l'option --help.

Créer un Cloud EKM géré manuellement à l'aide d'une clé Internet

Console

1. Dans la console Google Cloud, accédez à la page Gestion des clés.

   Accéder à Key Management

2. Cliquez sur le nom du trousseau de clés pour lequel vous souhaitez créer une clé.

3. Cliquez sur Créer une clé.

4. Pour Nom de la clé, saisissez le nom de votre clé.

5. Pour Niveau de protection, sélectionnez Externe.

6. Pour le type de connexion EKM (gestionnaire de clés externe), sélectionnez via Internet.

7. Cliquez sur Continuer.

8. Dans le champ URI de la clé, saisissez le chemin d'accès à votre clé externe.

9. Configurez le reste des paramètres de clé selon vos besoins, puis cliquez sur Créer.

   Remarque : Si vous saisissez l'URI de manière incorrecte ou si la clé est introuvable à cet URI, la clé est créée, mais n'a pas de version. Dans ce cas, cliquez sur Alterner la clé pour créer une version, puis saisissez l'URI approprié. Pour en savoir plus sur l'erreur, consultez l'onglet Activité du panneau Afficher le panneau d'informations ou les [journaux d'audit des activités d'administration][audit_logging] (activé par défaut).

gcloud

Pour utiliser Cloud KMS sur la ligne de commande, commencez par installer la dernière version de Google Cloud CLI ou passer à la dernière version de Google Cloud CLI.

1. Créez une clé externe vide:

   gcloud kms keys create KEY_NAME \
     --keyring KEY_RING \
     --location LOCATION \
     --purpose PURPOSE \
     --protection-level external \
     --skip-initial-version-creation \
     --default-algorithm ALGORITHM
   

   Remplacez les éléments suivants :

   • KEY_NAME : nom de la clé.
   • KEY_RING: nom du trousseau de clés contenant la clé.
   • LOCATION: emplacement Cloud KMS du trousseau de clés ;
   • PURPOSE: objectif de la clé.
   • ALGORITHM: algorithme à utiliser pour la clé, par exemple google-symmetric-encryption. Pour obtenir la liste des algorithmes compatibles, consultez la section Algorithmes.

   Pour en savoir plus sur toutes les options et valeurs possibles, exécutez la commande avec l'option --help.

2. Créez une version de clé pour la clé que vous venez de créer:

   gcloud kms keys versions create \
     --key KEY_NAME \
     --keyring KEY_RING \
     --location LOCATION \
     --external-key-uri EXTERNAL_KEY_URI
   

   Remplacez EXTERNAL_KEY_URI par l'URI de la clé externe.

   Pour les versions de clé symétrique, ajoutez l'indicateur --primary pour définir la nouvelle version de clé en tant que version principale.

   Remarque : La version n'est pas créée si l'URI de la clé est incorrecte ou inaccessible, ou si le compte de service Google Cloud n'est pas autorisé à utiliser cette clé. Si une erreur se produit, corrigez le problème et exécutez à nouveau la commande.

Étapes suivantes

• Mettez à jour le chemin d'accès d'une clé externe sans rotation de la clé.
• Effectuer la rotation d'une clé externe