Crea una chiave esterna

Questa pagina mostra come creare chiavi Cloud External Key Manager (Cloud EKM) su una il keyring in Cloud Key Management Service (Cloud KMS).

Prima di iniziare

Prima di completare le attività in questa pagina, è necessario quanto segue:

• Una risorsa di progetto Google Cloud che contenga delle risorse Cloud KMS. Ti consigliamo di utilizzare un progetto separato per le risorse Cloud KMS che non contiene altre risorse Google Cloud.

  Prendi nota dell'account di servizio Cloud EKM del tuo progetto. Nella nell'esempio seguente, sostituisci PROJECT_NUMBER con Numero di progetto del progetto Google Cloud. Questo le informazioni sono visibili anche ogni volta che utilizzi la console Google Cloud per creare una chiave Cloud EKM.

  [e-mail]
  

• Il nome e la posizione del keyring in cui vuoi creare la chiave. Scegli un keyring in una posizione vicina alle altre risorse e che supporti Cloud EKM. Per visualizzare le località disponibili e i livelli di protezione supportati, consulta Località Cloud KMS. Per creare un keyring, consulta Creare una chiave squillo.

• Per creare chiavi esterne gestite manualmente, devi creare la chiave nel un sistema esterno di gestione delle chiavi fornito da un partner. I passaggi esatti variano per la gestione delle chiavi esterno.

  1. Se necessario, richiedi l'accesso al tuo partner esterno per la gestione delle chiavi per partecipare.

  2. Crea una chiave simmetrica o asimmetrica nel sistema esterno di gestione delle chiavi del partner oppure selezionare una chiave esistente.

     Crea la chiave in una regione vicina alla regione Google Cloud che prevedi da utilizzare per le chiavi Cloud EKM. In questo modo, puoi ridurre la latenza della rete tra il tuo progetto Google Cloud e il partner esterno per la gestione delle chiavi. In caso contrario, potresti riscontrare un numero maggiore di operazioni non riuscite. Per ulteriori informazioni, consulta Cloud EKM e le regioni.

  3. Prendi nota dell'URI o del percorso della chiave della chiave esterna. Ti serve e le informazioni necessarie per creare una chiave Cloud EKM.

• Nel sistema del partner di gestione delle chiavi esterne, concedi all'account di servizio Google Cloud l'accesso per utilizzare le chiavi esterne. Gestire l'account di servizio come indirizzo email. I partner EKM potrebbero utilizzare una terminologia diversa da quella utilizzata usati in questo argomento.

• Per creare EKM tramite chiavi VPC, devi creare un EKM tramite VPC dell'audiodescrizione.

• (Facoltativo) Per utilizzare gcloud CLI, prepara il tuo ambiente.

  Interfaccia a riga di comando gcloud

  In the Google Cloud console, activate Cloud Shell.

  Activate Cloud Shell

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per creare le chiavi, chiedi all'amministratore di concederti il ruolo IAM Amministratore Cloud KMS (roles/cloudkms.admin) nel progetto o in una risorsa principale. Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso a progetti, cartelle e organizzazioni.

Questo ruolo predefinito contiene le autorizzazioni necessarie per creare le chiavi. Per vedere le autorizzazioni esatte obbligatorie, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per creare chiavi sono necessarie le seguenti autorizzazioni:

• cloudkms.cryptoKeys.create
• cloudkms.cryptoKeys.get
• cloudkms.cryptoKeys.list
• cloudkms.cryptoKeyVersions.create
• cloudkms.cryptoKeyVersions.get
• cloudkms.cryptoKeyVersions.list
• cloudkms.keyRings.get
• cloudkms.keyRings.list
• cloudkms.locations.get
• cloudkms.locations.list
• resourcemanager.projects.get
• Per recuperare una chiave pubblica: cloudkms.cryptoKeyVersions.viewPublicKey

Potresti anche riuscire a ottenere queste autorizzazioni con ruoli personalizzati e altri ruoli predefiniti.

Attenzione: l'amministratore Cloud KMS ruolo contiene le autorizzazioni per la chiave manutenzione ed eliminazione della versione della chiave. Per proteggere Cloud KMS questo ruolo deve essere assegnato solo alle persone responsabili amministrazione.

Crea una chiave esterna coordinata

Console

1. Nella console Google Cloud, vai alla Gestione delle chiavi.

   Vai a Gestione delle chiavi

2. Fai clic sul nome del keyring per il quale creerai una chiave.

3. Fai clic su Crea chiave.

4. In Nome chiave, inserisci un nome per la chiave.

5. Per Livello di protezione, seleziona Esterna.

6. Per Tipo di connessione gestore di chiavi esterno (EKM), seleziona tramite VPC.

7. Per EKM tramite connessione VPC, seleziona una connessione.

   Se non disponi dell'autorizzazione EkmConnection.list, devi: inserisci manualmente il nome risorsa di connessione.

8. Fai clic su Continua.

9. Nella sezione Materiale della chiave, dovresti visualizzare un messaggio relativo alla nuova chiave materiale richiesto da Cloud KMS e generato nel tuo EKM. Se vedi il campo Percorso chiave, significa che la connessione EKM tramite VPC che L'opzione selezionata non è configurata per chiavi esterne coordinate.

10. Configura le altre impostazioni della chiave in base alle tue esigenze, quindi fai clic su Crea.

Cloud EKM invia una richiesta al tuo EKM per creare una nuova chiave. La chiave viene visualizzata come Generare in attesa finché il percorso della chiave non viene restituito dall'EKM e la chiave EKM Cloud è disponibile.

gcloud

Per utilizzare Cloud KMS nella riga di comando, devi prima Installa o esegui l'upgrade alla versione più recente di Google Cloud CLI.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

Sostituisci quanto segue:

• KEY_NAME: il nome della chiave.
• KEY_RING: il nome del keyring che contiene la chiave.
• LOCATION: la località Cloud KMS del keyring.
• PURPOSE: il scopo della chiave.
• ALGORITHM: l'algoritmo da utilizzare per la chiave, ad esempio google-symmetric-encryption. Per un elenco degli algoritmi supportati, consulta Algoritmi.
• VPC_CONNECTION_RESOURCE_ID: l'ID risorsa dell'EKM connessione.

Per informazioni su tutti i flag e sui possibili valori, esegui il comando con --help flag.

Crea un Cloud EKM gestito manualmente tramite una chiave VPC

Console

1. Nella console Google Cloud, vai alla Gestione delle chiavi.

   Vai a Gestione delle chiavi

2. Fai clic sul nome del keyring per il quale creerai una chiave.

3. Fai clic su Crea chiave.

4. In Nome chiave, inserisci un nome per la chiave.

5. Per Livello di protezione, seleziona Esterna.

6. Per Tipo di connessione gestore di chiavi esterno (EKM), seleziona tramite VPC.

7. Per EKM tramite connessione VPC, seleziona una connessione.

   Tieni presente che se non disponi dell'autorizzazione EkmConnection.list, devi inserisci manualmente il nome risorsa di connessione.

8. Fai clic su Continua.

9. Nel campo Percorso chiave, inserisci il percorso della chiave esterna.

10. Configura le restanti impostazioni della chiave in base alle tue esigenze e fai clic su Crea.

gcloud

Per utilizzare Cloud KMS nella riga di comando, devi prima Installa o esegui l'upgrade alla versione più recente di Google Cloud CLI.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --skip-initial-version-creation \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

Sostituisci quanto segue:

• KEY_NAME: il nome della chiave.
• KEY_RING
• LOCATION: la località Cloud KMS del keyring.
• PURPOSE: il scopo della chiave.
• ALGORITHM: l'algoritmo da utilizzare per la chiave, ad esempio google-symmetric-encryption. Per un elenco degli algoritmi supportati, consulta Algoritmi.
• VPC_CONNECTION_RESOURCE_ID: l'ID risorsa dell'EKM connessione.

Per informazioni su tutti i flag e sui possibili valori, esegui il comando con --help flag.

Crea un Cloud EKM gestito manualmente tramite chiave internet

Console

1. Nella console Google Cloud, vai alla pagina Gestione delle chiavi.

   Vai a Gestione delle chiavi

2. Fai clic sul nome del keyring per il quale creerai una chiave.

3. Fai clic su Crea chiave.

4. In Nome chiave, inserisci un nome per la chiave.

5. In Livello di protezione, seleziona Esterno.

6. Per Tipo di connessione gestore di chiavi esterno (EKM), seleziona tramite internet.

7. Fai clic su Continua.

8. Nel campo URI chiave, inserisci il percorso della chiave esterna.

9. Configura le altre impostazioni della chiave in base alle tue esigenze, quindi fai clic su Crea.

   Nota: se inserisci l'URI in modo errato o se la chiave non viene trovata in quel punto URI, la chiave è stata creata, ma non ha una versione. In questo caso, fai clic su Ruota la chiave per creare una nuova versione e inserisci l'URI corretto. Puoi Per ulteriori dettagli sull'errore, consulta la scheda Attività del Mostra riquadro informazioni o nel [Log di controllo delle attività di amministrazione][audit_logging] (abilitato per impostazione predefinita).

gcloud

Per utilizzare Cloud KMS nella riga di comando, devi prima Installa o esegui l'upgrade alla versione più recente di Google Cloud CLI.

1. Crea una chiave esterna vuota:

   gcloud kms keys create KEY_NAME \
     --keyring KEY_RING \
     --location LOCATION \
     --purpose PURPOSE \
     --protection-level external \
     --skip-initial-version-creation \
     --default-algorithm ALGORITHM
   

   Sostituisci quanto segue:

   • KEY_NAME: il nome della chiave.
   • KEY_RING: il nome del keyring che contiene la chiave.
   • LOCATION: la località Cloud KMS del keyring.
   • PURPOSE: lo scopo della chiave.
   • ALGORITHM: l'algoritmo da utilizzare per la chiave, ad esempio google-symmetric-encryption. Per un elenco degli algoritmi supportati, consulta Algoritmi.

   Per informazioni su tutti i flag e sui possibili valori, esegui il comando con --help flag.

2. Crea una nuova versione della chiave appena creata:

   gcloud kms keys versions create \
     --key KEY_NAME \
     --keyring KEY_RING \
     --location LOCATION \
     --external-key-uri EXTERNAL_KEY_URI
   

   Sostituisci EXTERNAL_KEY_URI con l'URI della chiave esterna.

   Per le versioni delle chiavi simmetriche, aggiungi il flag --primary per impostare la nuova chiave come versione principale.

   Nota: la versione non viene creata se l'URI della chiave non è valido o irraggiungibile. o se l'account di servizio Google Cloud non ha l'autorizzazione la chiave esterna del partner per la gestione delle chiavi. Se si verifica un errore, correggilo e esegui di nuovo il comando.

Passaggi successivi

• Aggiorna un percorso chiave esterno senza ruotare la chiave.
• Ruota una chiave esterna.