Crea una chiave esterna

Questa pagina mostra come creare chiavi Cloud External Key Manager (Cloud EKM) in un keyring esistente in Cloud Key Management Service (Cloud KMS).

Prima di iniziare

Prima di completare le attività in questa pagina, devi avere quanto segue:

• Una risorsa di progetto Google Cloud che contiene le risorse Cloud KMS. Ti consigliamo di utilizzare un progetto separato per le risorse Cloud KMS che non contenga altre risorse Google Cloud.

  Prendi nota dell'account di servizio Cloud EKM del tuo progetto. Nell'esempio seguente, sostituisci PROJECT_NUMBER con il numero di progetto del tuo progetto Google Cloud. Queste informazioni sono visibili anche ogni volta che utilizzi la console Google Cloud per creare una chiave Cloud EKM.

  [e-mail]
  

• Nome e posizione del keyring in cui vuoi creare la chiave. Scegli un keyring in una località vicina alle altre risorse e che supporti Cloud EKM. Per visualizzare le località disponibili e i livelli di protezione supportati, consulta Località di Cloud KMS. Per creare un keyring, consulta Creare un keyring.

• Per creare chiavi esterne gestite manualmente, devi creare la chiave nel sistema esterno di gestione delle chiavi del partner. I passaggi esatti variano in base al partner esterno per la gestione delle chiavi.

  1. Se necessario, richiedi l'accesso al tuo partner esterno per la gestione delle chiavi per partecipare.

  2. Crea una chiave simmetrica o asimmetrica nel sistema esterno di gestione delle chiavi del partner o seleziona una chiave esistente.

     Crea la chiave in una regione vicina a quella di Google Cloud che prevedi di utilizzare per le chiavi Cloud EKM. Ciò consente di ridurre la latenza di rete tra il progetto Google Cloud e il partner esterno per la gestione delle chiavi. In caso contrario, potresti riscontrare un aumento del numero di operazioni non riuscite. Per maggiori informazioni, consulta Cloud EKM e aree geografiche.

  3. Prendi nota dell'URI o del percorso della chiave esterna. Queste informazioni sono necessarie per creare una chiave Cloud EKM.

• Nel sistema esterno di gestione delle chiavi del partner, concedi all'account di servizio Google Cloud l'accesso per utilizzare le chiavi esterne. Tratta l'account di servizio come un indirizzo email. I partner EKM potrebbero usare una terminologia diversa da quella impiegata in questo argomento.

• Per creare un EKM tramite chiavi VPC, devi creare una connessione EKM tramite VPC.

• (Facoltativo) Per utilizzare gcloud CLI, prepara l'ambiente.

  Interfaccia a riga di comando gcloud

  Nella console Google Cloud, attiva Cloud Shell.

  Attiva Cloud Shell

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per creare le chiavi, chiedi all'amministratore di concederti il ruolo IAM Amministratore Cloud KMS (roles/cloudkms.admin) per il progetto o una risorsa padre. Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.

Questo ruolo predefinito contiene le autorizzazioni necessarie per creare chiavi. Per visualizzare le autorizzazioni necessarie, espandi la sezione Autorizzazioni richieste:

Autorizzazioni obbligatorie

Per creare chiavi sono necessarie le seguenti autorizzazioni:

• cloudkms.cryptoKeys.create
• cloudkms.cryptoKeys.get
• cloudkms.cryptoKeys.list
• cloudkms.cryptoKeyVersions.create
• cloudkms.cryptoKeyVersions.get
• cloudkms.cryptoKeyVersions.list
• cloudkms.keyRings.get
• cloudkms.keyRings.list
• cloudkms.locations.get
• cloudkms.locations.list
• resourcemanager.projects.get
• Per recuperare una chiave pubblica: cloudkms.cryptoKeyVersions.viewPublicKey

Potresti anche essere in grado di ottenere queste autorizzazioni con i ruoli personalizzati o altri ruoli predefiniti.

Attenzione: il ruolo Amministratore Cloud KMS contiene le autorizzazioni per la manutenzione e l'eliminazione della versione della chiave. Per proteggere le risorse Cloud KMS, questo ruolo deve essere assegnato solo alle persone responsabili dell'amministrazione delle chiavi.

Crea una chiave esterna coordinata

Console

1. Nella console Google Cloud, vai alla pagina Gestione delle chiavi.

   Vai a Key Management

2. Fai clic sul nome del keyring per il quale creerai una chiave.

3. Fai clic su Crea chiave.

4. In Nome chiave, inserisci un nome per la chiave.

5. Per Livello di protezione, seleziona Esterno.

6. Per Tipo di connessione gestore esterno delle chiavi (EKM), seleziona tramite VPC.

7. Per EKM tramite connessione VPC, seleziona una connessione.

   Se non hai l'autorizzazione EkmConnection.list, devi inserire manualmente il nome della risorsa di connessione.

8. Fai clic su Continua.

9. Nella sezione Materiale della chiave, dovresti vedere un messaggio relativo al nuovo materiale della chiave richiesto da Cloud KMS e generato nel tuo EKM. Se vedi il campo Percorso chiave, la connessione EKM tramite VPC selezionata non è configurata per le chiavi esterne coordinate.

10. Configura le altre impostazioni della chiave in base alle tue esigenze, poi fai clic su Crea.

Cloud EKM invia una richiesta al tuo EKM per creare una nuova chiave. La chiave risulta In attesa di generazione finché il percorso della chiave non viene restituito dall'EKM e la chiave Cloud EKM non è disponibile.

gcloud

Per utilizzare Cloud KMS nella riga di comando, devi innanzitutto installare o eseguire l'upgrade alla versione più recente di Google Cloud CLI.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

Sostituisci quanto segue:

• KEY_NAME: il nome della chiave.
• KEY_RING: il nome del keyring che contiene la chiave.
• LOCATION: la località Cloud KMS del keyring.
• PURPOSE: lo scopo della chiave.
• ALGORITHM: l'algoritmo da utilizzare per la chiave, ad esempio google-symmetric-encryption. Per un elenco degli algoritmi supportati, consulta la sezione Algoritmi.
• VPC_CONNECTION_RESOURCE_ID: l'ID risorsa della connessione EKM.

Per informazioni su tutti i flag e i valori possibili, esegui il comando con il flag --help.

Crea un Cloud EKM gestito manualmente tramite chiave VPC

Console

1. Nella console Google Cloud, vai alla pagina Gestione delle chiavi.

   Vai a Key Management

2. Fai clic sul nome del keyring per il quale creerai una chiave.

3. Fai clic su Crea chiave.

4. In Nome chiave, inserisci un nome per la chiave.

5. Per Livello di protezione, seleziona Esterno.

6. Per Tipo di connessione gestore esterno delle chiavi (EKM), seleziona tramite VPC.

7. Per EKM tramite connessione VPC, seleziona una connessione.

   Tieni presente che se non hai l'autorizzazione EkmConnection.list, devi inserire manualmente il nome della risorsa di connessione.

8. Fai clic su Continua.

9. Nel campo Percorso chiave, inserisci il percorso della chiave esterna.

10. Configura le altre impostazioni della chiave in base alle tue esigenze, poi fai clic su Crea.

gcloud

Per utilizzare Cloud KMS nella riga di comando, devi innanzitutto installare o eseguire l'upgrade alla versione più recente di Google Cloud CLI.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --skip-initial-version-creation \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

Sostituisci quanto segue:

• KEY_NAME: il nome della chiave.
• KEY_RING
• LOCATION: la località Cloud KMS del keyring.
• PURPOSE: lo scopo della chiave.
• ALGORITHM: l'algoritmo da utilizzare per la chiave, ad esempio google-symmetric-encryption. Per un elenco degli algoritmi supportati, consulta la sezione Algoritmi.
• VPC_CONNECTION_RESOURCE_ID: l'ID risorsa della connessione EKM.

Per informazioni su tutti i flag e i valori possibili, esegui il comando con il flag --help.

Crea un Cloud EKM gestito manualmente tramite chiave internet

Console

1. Nella console Google Cloud, vai alla pagina Gestione delle chiavi.

   Vai a Key Management

2. Fai clic sul nome del keyring per il quale creerai una chiave.

3. Fai clic su Crea chiave.

4. In Nome chiave, inserisci un nome per la chiave.

5. Per Livello di protezione, seleziona Esterno.

6. Per Tipo di connessione gestore esterno di chiavi (EKM), seleziona tramite internet.

7. Fai clic su Continua.

8. Nel campo URI chiave, inserisci il percorso della chiave esterna.

9. Configura le altre impostazioni della chiave in base alle tue esigenze, poi fai clic su Crea.

   Nota: se inserisci l'URI in modo errato o se la chiave non si trova nell'URI, la chiave viene creata, ma non ha una versione. In questo caso, fai clic su Ruota la chiave per creare una nuova versione e inserisci l'URI corretto. Puoi trovare ulteriori dettagli sull'errore nella scheda Attività di Mostra riquadro informazioni o negli [audit log dell'attività di amministrazione][audit_logging] (attivati per impostazione predefinita).

gcloud

Per utilizzare Cloud KMS nella riga di comando, devi innanzitutto installare o eseguire l'upgrade alla versione più recente di Google Cloud CLI.

1. Crea una chiave esterna vuota:

   gcloud kms keys create KEY_NAME \
     --keyring KEY_RING \
     --location LOCATION \
     --purpose PURPOSE \
     --protection-level external \
     --skip-initial-version-creation \
     --default-algorithm ALGORITHM
   

   Sostituisci quanto segue:

   • KEY_NAME: il nome della chiave.
   • KEY_RING: il nome del keyring che contiene la chiave.
   • LOCATION: la località Cloud KMS del keyring.
   • PURPOSE: lo scopo della chiave.
   • ALGORITHM: l'algoritmo da utilizzare per la chiave, ad esempio google-symmetric-encryption. Per un elenco degli algoritmi supportati, consulta la sezione Algoritmi.

   Per informazioni su tutti i flag e i valori possibili, esegui il comando con il flag --help.

2. Crea una nuova versione della chiave per la chiave appena creata:

   gcloud kms keys versions create \
     --key KEY_NAME \
     --keyring KEY_RING \
     --location LOCATION \
     --external-key-uri EXTERNAL_KEY_URI
   

   Sostituisci EXTERNAL_KEY_URI con l'URI della chiave esterna.

   Per le versioni delle chiavi simmetriche, aggiungi il flag --primary per impostare la nuova versione della chiave come versione primaria.

   Nota: la versione non viene creata se l'URI della chiave non è valido o non raggiungibile oppure se l'account di servizio Google Cloud non è autorizzato a utilizzare la chiave del partner esterno per la gestione delle chiavi. Se si verifica un errore, correggi il problema ed esegui di nuovo il comando.

Passaggi successivi

• Aggiorna il percorso di una chiave esterna senza ruotarla.
• Ruota una chiave esterna.