Criar uma chave externa

Nesta página, mostramos como criar chaves do Cloud External Key Manager (Cloud EKM) em um no Cloud Key Management Service (Cloud KMS).

Antes de começar

Antes de concluir as tarefas nesta página, você precisa ter o seguinte:

• Um recurso de projeto do Google Cloud para conter aos recursos do Cloud KMS. Recomendamos usar um projeto separado para sua os recursos do Cloud KMS que não contêm nenhum outro recursos do Google Cloud.

  Anote a conta de serviço do Cloud EKM do seu projeto. No exemplo a seguir, substitua PROJECT_NUMBER pelo número do seu projeto do Google Cloud. Essas informações também ficam visíveis sempre que você usa o console do Google Cloud para criar uma chave do Cloud EKM.

  [e-mail]
  

• O nome e o local do keyring em que você quer criar a chave. Escolha um keyring em um local próximo aos outros recursos e que ofereça suporte ao Cloud EKM. Para conferir os locais disponíveis e os níveis de proteção compatíveis, consulte Locais do Cloud KMS. Para criar um keyring, consulte Criar um keyring.

• Para criar chaves externas gerenciadas manualmente, você precisa criar a chave no sistema do parceiro de gerenciamento de chaves externas. As etapas exatas variam de acordo com o parceiro externo de gerenciamento de chaves.

  1. Se necessário, solicite acesso ao seu parceiro externo de gerenciamento de chaves para participar.

  2. Criar uma chave simétrica ou assimétrica no sistema do parceiro de gerenciamento de chaves externas ou selecione uma chave existente.

     Crie a chave em uma região próxima à região do Google Cloud que você planeja para usar com chaves do Cloud EKM. Isso ajuda a reduzir a latência entre o projeto do Google Cloud e o parceiro externo de gerenciamento de chaves. Caso contrário, talvez ocorra um aumento no número de operações com falha. Para mais informações, consulte as páginas Cloud EKM e ou várias regiões.

  3. Anote o URI ou caminho da chave externa. Você precisa disto para criar uma chave do Cloud EKM.

• No sistema de parceiros de gerenciamento de chaves externas, conceda à conta de serviço do Google Cloud acesso para usar as chaves externas. Trate a conta de serviço como um endereço de e-mail. Os parceiros da EKM podem usar uma terminologia diferente da usada neste tópico.

• Para criar um EKM usando chaves VPC, você precisa criar um EKM usando uma conexão VPC.

• Opcional: prepare o ambiente para usar a CLI gcloud.

  CLI da gcloud

  In the Google Cloud console, activate Cloud Shell.

  Activate Cloud Shell

Funções exigidas

Para ter as permissões necessárias para criar chaves, peça ao administrador para conceder a você Papel do IAM Administrador do Cloud KMS (roles/cloudkms.admin) no projeto ou em um recurso pai. Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Esse papel predefinido contém as permissões necessárias para criar chaves. Para conferir as permissões exatas necessárias, expanda a seção Permissões necessárias:

Permissões necessárias

As seguintes permissões são necessárias para criar chaves:

• cloudkms.cryptoKeys.create
• cloudkms.cryptoKeys.get
• cloudkms.cryptoKeys.list
• cloudkms.cryptoKeyVersions.create
• cloudkms.cryptoKeyVersions.get
• cloudkms.cryptoKeyVersions.list
• cloudkms.keyRings.get
• cloudkms.keyRings.list
• cloudkms.locations.get
• cloudkms.locations.list
• resourcemanager.projects.get
• Para recuperar uma chave pública: cloudkms.cryptoKeyVersions.viewPublicKey

Essas permissões também podem ser concedidas com funções personalizadas ou outros papéis predefinidos.

Atenção: o papel de administrador do Cloud KMS contém permissões para manutenção de chaves e destruição de versões de chave. Para proteger seus recursos do Cloud KMS, essa função só pode ser atribuída a pessoas responsáveis pela administração de chaves.

Criar uma chave externa coordenada

Console

1. No console do Google Cloud, acesse a página Gerenciamento de chaves.

   Vá para Gerenciamento de chaves

2. Clique no nome do keyring em que a chave será criada.

3. Clique em Criar chave.

4. Em Nome da chave, insira um nome para sua chave.

5. Em Nível de proteção, selecione Externo.

6. Em Tipo de conexão do gerenciador de chaves externo (EKM, na sigla em inglês), selecione via VPC.

7. Em EKM via conexão VPC, selecione uma conexão.

   Se você não tiver a permissão EkmConnection.list, será necessário inserir manualmente o nome do recurso de conexão.

8. Clique em Continuar.

9. Na seção Material da chave, vai aparecer uma mensagem sobre a nova chave. material que está sendo solicitado pelo Cloud KMS e gerado no EKM. Se aparecer o campo Caminho da chave, o EKM via conexão VPC que você selecionada não está configurada para chaves externas coordenadas.

10. Configure o restante das configurações principais conforme necessário e clique em Criar.

O Cloud EKM envia uma solicitação ao EKM para criar uma nova chave. A chave aparece como Geração pendente até que o caminho da chave seja retornado pelo EKM. e a chave do Cloud EKM está disponível.

gcloud

Para usar o Cloud KMS na linha de comando, primeiro Instale ou faça upgrade para a versão mais recente da Google Cloud CLI.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

Substitua:

• KEY_NAME: o nome da chave;
• KEY_RING: o nome do keyring que contém a chave.
• LOCATION: o local do Cloud KMS do keyring.
• PURPOSE: o propósito da chave.
• ALGORITHM: o algoritmo a ser usado para a chave, por exemplo, google-symmetric-encryption. Para uma lista de algoritmos compatíveis, consulte Algoritmos.
• VPC_CONNECTION_RESOURCE_ID: o ID do recurso da conexão EKM.

Para informações sobre todas as sinalizações e valores possíveis, execute o comando com a sinalização --help.

Criar um Cloud EKM gerenciado manualmente usando a chave da VPC

Console

1. No console do Google Cloud, acesse Gerenciamento de chaves.

   Vá para Gerenciamento de chaves

2. Clique no nome do keyring em que a chave será criada.

3. Clique em Criar chave.

4. Em Nome da chave, insira um nome para sua chave.

5. Em Nível de proteção, selecione Externo.

6. Em Tipo de conexão do gerenciador de chaves externo (EKM, na sigla em inglês), selecione via VPC.

7. Em EKM via conexão VPC, selecione uma conexão.

   Se você não tiver a permissão EkmConnection.list, será necessário inserir manualmente o nome do recurso de conexão.

8. Clique em Continuar.

9. No campo Caminho da chave, insira o caminho para a chave externa.

10. Configure o restante das configurações principais conforme necessário e clique em Criar.

gcloud

Para usar o Cloud KMS na linha de comando, primeiro Instale ou faça upgrade para a versão mais recente da Google Cloud CLI.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --skip-initial-version-creation \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

Substitua:

• KEY_NAME: o nome da chave;
• KEY_RING
• LOCATION: o local do keyring no Cloud KMS.
• PURPOSE: a finalidade da chave.
• ALGORITHM: o algoritmo a ser usado para a chave, por exemplo. google-symmetric-encryption. Para uma lista de algoritmos compatíveis, consulte Algoritmos.
• VPC_CONNECTION_RESOURCE_ID: o ID do recurso da conexão EKM.

Para informações sobre todas as sinalizações e valores possíveis, execute o comando com a sinalização --help.

Criar um Cloud EKM gerenciado manualmente usando uma chave de Internet

Console

1. No console do Google Cloud, acesse Gerenciamento de chaves.

   Vá para Gerenciamento de chaves

2. Clique no nome do keyring em que a chave será criada.

3. Clique em Criar chave.

4. Em Nome da chave, insira um nome para sua chave.

5. Em Nível de proteção, selecione Externo.

6. Em Tipo de conexão do gerenciador de chaves externo (EKM, na sigla em inglês), selecione pela Internet.

7. Clique em Continuar.

8. No campo URI da chave, insira o caminho para a chave externa.

9. Configure as outras configurações principais conforme necessário e clique em Criar.

   Observação: se você inserir o URI incorretamente ou se a chave não for encontrada nesse URI, a chave será criada, mas não terá versão. Se isso acontecer, clique em Alternar a chave para criar uma nova versão e inserir o URI correto. Você pode encontre mais detalhes sobre o erro na guia Atividade do Mostrar painel de informações ou no [Registros de auditoria de atividade do administrador][audit_logging] (ativado por padrão).

gcloud

Para usar o Cloud KMS na linha de comando, primeiro instale ou faça upgrade para a versão mais recente da Google Cloud CLI.

1. Crie uma chave externa vazia:

   gcloud kms keys create KEY_NAME \
     --keyring KEY_RING \
     --location LOCATION \
     --purpose PURPOSE \
     --protection-level external \
     --skip-initial-version-creation \
     --default-algorithm ALGORITHM
   

   Substitua:

   • KEY_NAME: o nome da chave;
   • KEY_RING: o nome do keyring que contém a chave.
   • LOCATION: o local do Cloud KMS do keyring.
   • PURPOSE: a finalidade da chave.
   • ALGORITHM: o algoritmo a ser usado para a chave, por exemplo, google-symmetric-encryption. Para uma lista de algoritmos compatíveis, consulte Algoritmos.

   Para informações sobre todas as sinalizações e valores possíveis, execute o comando com a sinalização --help.

2. Crie uma nova versão para a chave recém-criada:

   gcloud kms keys versions create \
     --key KEY_NAME \
     --keyring KEY_RING \
     --location LOCATION \
     --external-key-uri EXTERNAL_KEY_URI
   

   Substitua EXTERNAL_KEY_URI pelo URI da chave externa.

   Para versões de chave simétrica, adicione a sinalização --primary para definir a nova chave. como a principal.

   Observação: a versão não será criada se o URI de chave for inválido ou não estiver disponível ou se a conta de serviço do Google Cloud não tiver permissão para usar a chave do parceiro de gerenciamento externo. Se ocorrer um erro, corrija o problema e execute o comando novamente.

A seguir

• Atualize um caminho de chave externa sem girar a chave.
• Alternar uma chave externa.