Criar uma chave externa

Nesta página, mostramos como criar chaves do gerenciador de chaves externas do Cloud (Cloud EKM) em um keyring existente no Cloud Key Management Service (Cloud KMS).

Antes de começar

Antes de concluir as tarefas nesta página, você precisa do seguinte:

• Um recurso de projeto do Google Cloud para conter os recursos do Cloud KMS. Recomendamos o uso de um projeto separado para os recursos do Cloud KMS que não contenha outros recursos do Google Cloud.

  Anote a conta de serviço do Cloud EKM do seu projeto. No exemplo a seguir, substitua PROJECT_NUMBER pelo número do seu projeto do Google Cloud. Essas informações também ficam visíveis sempre que você usa o console do Google Cloud para criar uma chave do Cloud EKM.

  [e-mail]
  

• O nome e o local do keyring em que você quer criar a chave. Escolha um keyring em um local próximo aos seus outros recursos e que seja compatível com o Cloud EKM. Para visualizar os locais disponíveis e os níveis de proteção aceitos, consulte Locais do Cloud KMS. Para criar um keyring, consulte Criar um keyring.

• Para criar chaves externas gerenciadas manualmente, é preciso criar a chave no sistema de gerenciamento de chaves externas do parceiro. As etapas exatas variam de acordo com o parceiro externo de gerenciamento de chaves.

  1. Se necessário, solicite acesso ao seu parceiro de gerenciamento de chaves externo para participar.

  2. Crie uma chave simétrica ou assimétrica no sistema do parceiro de gerenciamento de chaves externas ou selecione uma chave atual.

     Crie a chave em uma região próxima à região do Google Cloud que você planeja usar para as chaves do Cloud EKM. Isso ajuda a reduzir a latência de rede entre seu projeto do Google Cloud e o parceiro de gerenciamento de chaves externo. Caso contrário, talvez ocorra um aumento no número de operações com falha. Para mais informações, consulte Cloud EKM e regiões.

  3. Anote o URI ou caminho da chave externa. Você precisa dessas informações para criar uma chave do Cloud EKM.

• No sistema de gerenciamento de chaves externo do parceiro, conceda à conta de serviço do Google Cloud acesso para usar suas chaves externas. Trate a conta de serviço como um endereço de e-mail. Os parceiros do EKM podem usar uma terminologia diferente da usada neste tópico.

• Para criar um EKM usando chaves VPC, é preciso criar um EKM usando a conexão VPC.

• Opcional: para usar a CLI gcloud, prepare o ambiente.

  CLI da gcloud

  No Console do Google Cloud, ative o Cloud Shell.

  Ativar o Cloud Shell

Funções exigidas

Para ter as permissões necessárias para criar chaves, peça ao administrador para conceder a você o papel do IAM de Administrador do Cloud KMS (roles/cloudkms.admin) no projeto ou em um recurso pai. Para mais informações sobre como conceder papéis, consulte Gerenciar acesso.

Esse papel predefinido contém as permissões necessárias para criar chaves. Para conferir as permissões exatas necessárias, expanda a seção Permissões necessárias:

Permissões necessárias

As seguintes permissões são necessárias para criar chaves:

• cloudkms.cryptoKeys.create
• cloudkms.cryptoKeys.get
• cloudkms.cryptoKeys.list
• cloudkms.cryptoKeyVersions.create
• cloudkms.cryptoKeyVersions.get
• cloudkms.cryptoKeyVersions.list
• cloudkms.keyRings.get
• cloudkms.keyRings.list
• cloudkms.locations.get
• cloudkms.locations.list
• resourcemanager.projects.get
• Para recuperar uma chave pública: cloudkms.cryptoKeyVersions.viewPublicKey

Talvez você também consiga receber essas permissões com papéis personalizados ou outros papéis predefinidos.

Cuidado: o papel de administrador do Cloud KMS contém permissões para manutenção e destruição da versão da chave. Para proteger os recursos do Cloud KMS, esse papel só deve ser atribuído a indivíduos responsáveis pela administração de chaves.

Criar uma chave externa coordenada

Console

1. No console do Google Cloud, acesse a página Gerenciamento de chaves.

   Vá para Gerenciamento de chaves

2. Clique no nome do keyring em que a chave será criada.

3. Clique em Criar chave.

4. Em Nome da chave, insira um nome para sua chave.

5. Em Nível de proteção, selecione Externo.

6. Em Tipo de conexão do gerenciador de chaves externo (EKM), selecione via VPC.

7. Em EKM via conexão VPC, selecione uma conexão.

   Se você não tiver a permissão EkmConnection.list, insira manualmente o nome do recurso de conexão.

8. Clique em Continuar.

9. Na seção Material da chave, você verá uma mensagem sobre o novo material de chave solicitado pelo Cloud KMS e gerado no EKM. Se o campo Caminho da chave for exibido, o EKM via conexão VPC selecionada não estará configurado para chaves externas coordenadas.

10. Defina as outras configurações da chave conforme necessário e clique em Criar.

O Cloud EKM envia uma solicitação ao EKM para criar uma nova chave. A chave será exibida como Geração pendente até que o caminho da chave seja retornado pelo EKM e a chave do Cloud EKM esteja disponível.

gcloud

Para usar o Cloud KMS na linha de comando, primeiro instale ou faça upgrade para a versão mais recente da Google Cloud CLI.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

Substitua:

• KEY_NAME: o nome da chave;
• KEY_RING: o nome do keyring que contém a chave.
• LOCATION: o local do keyring no Cloud KMS.
• PURPOSE: o propósito da chave.
• ALGORITHM: o algoritmo a ser usado para a chave, por exemplo, google-symmetric-encryption. Para ver uma lista de algoritmos compatíveis, consulte Algoritmos.
• VPC_CONNECTION_RESOURCE_ID: o ID do recurso da conexão do EKM.

Para informações sobre todas as sinalizações e valores possíveis, execute o comando com a sinalização --help.

Criar um Cloud EKM gerenciado manualmente usando uma chave VPC

Console

1. No console do Google Cloud, acesse a página Gerenciamento de chaves.

   Vá para Gerenciamento de chaves

2. Clique no nome do keyring em que a chave será criada.

3. Clique em Criar chave.

4. Em Nome da chave, insira um nome para sua chave.

5. Em Nível de proteção, selecione Externo.

6. Em Tipo de conexão do gerenciador de chaves externo (EKM), selecione via VPC.

7. Em EKM via conexão VPC, selecione uma conexão.

   Se você não tiver a permissão EkmConnection.list, insira manualmente o nome do recurso de conexão.

8. Clique em Continuar.

9. No campo Caminho da chave, insira o caminho para sua chave externa.

10. Defina as outras configurações da chave conforme necessário e clique em Criar.

gcloud

Para usar o Cloud KMS na linha de comando, primeiro instale ou faça upgrade para a versão mais recente da Google Cloud CLI.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --skip-initial-version-creation \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

Substitua:

• KEY_NAME: o nome da chave;
• KEY_RING
• LOCATION: o local do keyring no Cloud KMS.
• PURPOSE: o propósito da chave.
• ALGORITHM: o algoritmo a ser usado para a chave, por exemplo, google-symmetric-encryption. Para ver uma lista de algoritmos compatíveis, consulte Algoritmos.
• VPC_CONNECTION_RESOURCE_ID: o ID do recurso da conexão do EKM.

Para informações sobre todas as sinalizações e valores possíveis, execute o comando com a sinalização --help.

Criar um Cloud EKM gerenciado manualmente usando uma chave de Internet

Console

1. No console do Google Cloud, acesse a página Gerenciamento de chaves.

   Vá para Gerenciamento de chaves

2. Clique no nome do keyring em que a chave será criada.

3. Clique em Criar chave.

4. Em Nome da chave, insira um nome para sua chave.

5. Em Nível de proteção, selecione Externo.

6. Em Tipo de conexão do gerenciador de chaves externo (EKM, na sigla em inglês), selecione via Internet.

7. Clique em Continuar.

8. No campo URI da chave, insira o caminho para a chave externa.

9. Defina as outras configurações da chave conforme necessário e clique em Criar.

   Observação: se você inserir o URI incorretamente ou se a chave não for encontrada nesse URI, a chave será criada, mas não terá versão. Se isso acontecer, clique em Alternar chave para criar uma nova versão e insira o URI correto. Encontre mais detalhes sobre o erro na guia Atividade do painel Mostrar informações ou nos [Registros de auditoria de atividade do administrador][audit_logging] (ativados por padrão).

gcloud

Para usar o Cloud KMS na linha de comando, primeiro instale ou faça upgrade para a versão mais recente da Google Cloud CLI.

1. Crie uma chave externa vazia:

   gcloud kms keys create KEY_NAME \
     --keyring KEY_RING \
     --location LOCATION \
     --purpose PURPOSE \
     --protection-level external \
     --skip-initial-version-creation \
     --default-algorithm ALGORITHM
   

   Substitua:

   • KEY_NAME: o nome da chave;
   • KEY_RING: o nome do keyring que contém a chave.
   • LOCATION: o local do keyring no Cloud KMS.
   • PURPOSE: o propósito da chave.
   • ALGORITHM: o algoritmo a ser usado para a chave, por exemplo, google-symmetric-encryption. Para ver uma lista de algoritmos compatíveis, consulte Algoritmos.

   Para informações sobre todas as sinalizações e valores possíveis, execute o comando com a sinalização --help.

2. Crie uma versão para a chave recém-criada:

   gcloud kms keys versions create \
     --key KEY_NAME \
     --keyring KEY_RING \
     --location LOCATION \
     --external-key-uri EXTERNAL_KEY_URI
   

   Substitua EXTERNAL_KEY_URI pelo URI da chave externa.

   Para versões de chave simétrica, adicione a sinalização --primary para definir a nova versão da chave como a principal.

   Observação: a versão não será criada se o URI de chave for inválido ou não estiver disponível ou se a conta de serviço do Google Cloud não tiver permissão para usar a chave do parceiro de gerenciamento externo. Se ocorrer um erro, corrija o problema e execute o comando novamente.

A seguir

• Atualizar um caminho de chave externo sem girar a chave.
• Alternar uma chave externa.