Crear claves asimétricas

Esta es una versión de Cloud KMS. se pueden producir cambios que generen incompatibilidad con versiones anteriores is sujetas a ningún ANS o política de baja del servicio.

En este tema, se proporciona información sobre cómo crear claves asimétricas, las que son compatibles con la versión Beta de Cloud Key Management Service. Si quieres crear claves simétricas, consulta el tema sobre cómo hacerlo correspondiente a la versión de Cloud KMS disponible para el público general.

Crear un llavero de claves

La ubicación y el nombre definen a un llavero de claves.

Console

1. Ve a la página Claves criptográficas en GCP Console.

2. Haz clic en Crear un llavero de claves.

3. Ingresa el nombre del llavero en el campo Nombre del llavero de claves.

4. Selecciona una ubicación en el menú desplegable Ubicación.

5. Haz clic en Crear.

Línea de comandos

Crea un llavero de claves nuevo con el nombre [KEYRING_NAME] en la ubicación [LOCATION].

gcloud kms keyrings create [KEYRING_NAME] \
  --location [LOCATION]

API

Llama al método KeyRing.create para crear un llavero de claves.

Crear una clave

Las claves se deben crear en un llavero de claves.

Console

1. Ve a la página Claves criptográficas en GCP Console.

2. Haz clic en el nombre del llavero de claves para el que crearás la clave.

3. Haz clic en Crear clave.

4. Ingresa el nombre en el campo Nombre de la clave.

5. Haz clic en el menú desplegable Propósito. Selecciona un propósito de clave asimétrica (por ejemplo Acceso asimétrico o Desencriptación asimétrica). Consulta Propósitos de claves para obtener más información al respecto.

6. Haz clic en el menú desplegable Algoritmo. Selecciona un algoritmo para tu clave. Puedes cambiar este parámetro para versiones de clave futuras. El Propósito que elijas determina los algoritmos disponibles. Por ejemplo, si el propósito de clave es el Acceso asimétrico, uno de los algoritmos admitidos será Curva elíptica P-256 - Resumen de SHA256. Consulta Propósitos de claves y algoritmos a fin de obtener más información sobre los algoritmos para una clave asimétrica.

7. En Nivel de protección, selecciona Software o HSM. Consulta Niveles de protección para obtener más información sobre estos.
   Tu página Claves criptográficas debe verse similar a la siguiente imagen:

   

8. [Opcional] En el campo Etiquetas, haz clic en Agregar etiqueta para agregar etiquetas a tu clave.

9. Haz clic en Crear.

Línea de comandos

Crea una clave [KEY_NAME] nueva para el llavero de claves [KEYRING_NAME].

Sigue estos pasos para crear una clave asimétrica:

• Configura --purpose en asymmetric-signing o asymmetric-encryption. Consulta Propósitos de claves para obtener más información al respecto.
• Configura --default-algorithm en función del algoritmo que quieres usar. Puedes cambiar este parámetro para versiones de clave futuras. La opción de propósito de clave determina los algoritmos que se admiten. Por ejemplo, si el propósito de clave es asymmetric-signing, uno de los algoritmos admitidos será ec-sign-p256-sha256. Consulta el --default-algorithm para ver la lista de valores admitidos de --default-algorithm. Consulta Propósitos de clave y algoritmos para obtener más información sobre los algoritmos de una clave.
• Configura --protection-level en software o hsm. Consulta Niveles de protección para obtener más información sobre los niveles de protección.

gcloud alpha kms keys create [KEY_NAME] \
  --location [LOCATION] \
  --keyring [KEYRING_NAME] \
  --purpose [PURPOSE] \
  --default-algorithm [ALGORITHM] \
  --protection-level [PROTECTION_LEVEL]

API

Llama al método CryptoKey.create para crear una clave asimétrica.

• Especifica un propósito de clave de ASYMMETRIC_SIGN o ASYMMETRIC_DECRYPT con el tipo CryptoKeyPurpose. Consulta Propósitos de claves para obtener más información al respecto.
• Especifica un algoritmo mediante el tipo CryptoKeyVersionAlgorithm. Puedes cambiar este parámetro para versiones futuras. La opción de propósito de clave determina los algoritmos que se admiten. Por ejemplo, si el propósito de clave es ASYMMETRIC_SIGN, uno de los algoritmos admitidos será EC_SIGN_P256_SHA256. Consulta Propósitos de clave y algoritmos para obtener más información sobre los algoritmos de una clave.
• Especifica un nivel de protección de software o HSM mediante el tipo ProtectionLevel.

Cuando creas una clave asimétrica, el estado inicial de la versión de la clave es “Pendiente de generarse”. Cuando Cloud KMS termina de generar la versión de la clave, el estado se cambia automáticamente a habilitado. Consulta Estados de las claves para obtener más información sobre estos.

Para recuperar la porción de la clave pública de la versión de clave recién creada, sigue las instrucciones de Recuperar una clave pública.

Control de acceso a las claves asimétricas

Un firmante o validador requiere el permiso o función adecuados para la clave asimétrica.

• Para un servicio o usuario que realizará las operaciones de firma, concede el permiso cloudkms.cryptoKeyVersions.useToSign en la clave asimétrica.

• Para un usuario o servicio que recuperará la clave pública, concede el permiso cloudkms.cryptoKeyVersions.viewPublicKey en la clave asimétrica. Para la validación de la firma se necesita la clave pública.

Para conocer más sobre los permisos y las funciones en esta versión de Cloud KMS, sigue este vínculo.

Próximos pasos

• Más información sobre la creación y validación de firmas
• Más información sobre la encriptación y desencriptación de datos con una clave de RSA.
• Más información sobre la recuperación de una clave pública.