In Cloud KMS, il materiale della chiave di crittografia che utilizzi criptare, decriptare, firmare e verificare che i dati siano archiviati in una versione della chiave. Una chiave ha zero o più versioni della chiave. Quando ruoti una chiave, ne crei una nuova versione.
Questo argomento mostra come disabilitare la versione di una chiave. Durante il periodo di tempo in cui una chiave viene disattivata, non è possibile accedere ai dati criptati con la chiave. Per accedere al puoi riabilitare la versione della chiave.
La disattivazione di una versione della chiave è coerente all'interno da alcuni secondi a tre ore. Abilitazione di una versione della chiave è quasi istantaneo. Puoi anche gestire l'accesso a una versione della chiave utilizzando Identity and Access Management (IAM). le operazioni IAM sono coerenti secondi. Per saperne di più, consulta Utilizzo di IAM.
Puoi anche eliminare definitivamente la versione di una chiave. A seconda dei criteri dell'organizzazione, potrebbe essere necessario disabilitare una versione della chiave prima di poterla distruggere. Per ulteriori informazioni, consulta Versione della chiave di controllo la distruzione di massa.
Disabilitazione della versione di una chiave
Puoi disabilitare la versione di una chiave nello stato abilitato. Prima di disabilitare una chiave ti consigliamo di controllare se la chiave è ancora in uso. Puoi visualizza i dettagli di monitoraggio dell'utilizzo della chiave relativi alla chiave se sta proteggendo le risorse CMEK. Se le risorse sono protette versione della chiave che vuoi disabilitare, criptala nuovamente con un'altra versione della chiave prima di disabilitare la chiave.
Console
Vai alla pagina Gestione delle chiavi nella console Google Cloud.
Fai clic sul nome del keyring che contiene la chiave di cui hai specificato la versione viene disattivato.
Fai clic sulla chiave di cui vuoi disabilitare la versione.
Seleziona la casella accanto alle versioni della chiave che vuoi disabilitare.
Fai clic su Disattiva nell'intestazione.
Nel messaggio di conferma, fai clic su Disattiva.
gcloud
Per utilizzare Cloud KMS nella riga di comando, devi prima Installa o esegui l'upgrade alla versione più recente di Google Cloud CLI.
gcloud kms keys versions disable key-version \ --key key \ --keyring key-ring \ --location location
Sostituisci key-version con la versione della chiave da disabilitare. Sostituisci key con il nome della chiave. Sostituisci key-ring con il nome del keyring in cui si trova la chiave. Sostituisci location con la località di Cloud KMS per il keyring.
Per informazioni su tutti i flag e sui possibili valori, esegui il comando con
--help
flag.
C#
Per eseguire questo codice, per prima cosa configura un ambiente di sviluppo C# e installare l'SDK Cloud KMS C#.
Go
Per eseguire questo codice, devi prima configurare un ambiente di sviluppo Go e installa l'SDK Cloud KMS Go.
Java
Per eseguire questo codice, per prima cosa configura un ambiente di sviluppo Java e installare l'SDK Java di Cloud KMS.
Node.js
Per eseguire questo codice, devi prima configurare un ambiente di sviluppo Node.js e installare l'SDK Node.js di Cloud KMS.
PHP
Per eseguire questo codice, scopri innanzitutto come utilizzare PHP su Google Cloud e installa l'SDK PHP di Cloud KMS.
Python
Per eseguire questo codice, configura prima un ambiente di sviluppo Python e installare l'SDK per Python di Cloud KMS.
Ruby
Per eseguire questo codice, prima configura un ambiente di sviluppo Ruby e installa l'SDK Ruby di Cloud KMS.
Dopo aver inviato la richiesta, lo stato della versione della chiave diventa disabilitata.
Le versioni delle chiavi disabilitate sono risorse fatturate.
Disabilitazione o eliminazione di una chiave esterna
Per disattivare temporaneamente l'associazione tra una chiave Cloud EKM e un chiave esterna, puoi disabilitare Cloud EKM chiave o versione della chiave. Ti consigliamo di disabilitare tutte le versioni della chiave. Disattivazione di una chiave diventa effettiva entro tre ore.
Quando disabiliti una chiave, devi anche revoca l'accesso alla chiave. Le operazioni IAM sono coerente in pochi secondi. Valuta anche la possibilità di revocare il servizio Google Cloud l'accesso dell'account al sistema esterno di gestione delle chiavi del partner.
Per rimuovere definitivamente l'associazione tra una chiave Cloud EKM e una chiave esterna, puoi pianifica l'eliminazione della versione della chiave Cloud EKM. Dopo il periodo pianificato per l'eliminazione, la chiave viene eliminata. Eliminazione di un della chiave è permanente. Dopo aver eliminato la versione della chiave, non puoi più cripta i dati o decripta quelli che sono stati criptati con la chiave Cloud EKM completamente gestita. Non puoi ricreare una versione della chiave Cloud EKM che è stata anche se utilizzi lo stesso URI o lo stesso percorso della chiave esterna. Quando di eliminazione del materiale della chiave esterna, consigliamo prima di eliminare la chiave o la chiave in Google Cloud e poi, solo dopo che è stata eliminato, distruggendo il materiale della chiave nel gestore di chiavi esterno.
La disabilitazione di una chiave o della relativa versione in Cloud KMS non modifica chiave nel sistema esterno di gestione delle chiavi del partner.
L'eliminazione di una versione di una chiave gestita manualmente in Cloud KMS non modifica la chiave nel sistema esterno di gestione delle chiavi del partner. Distruzione di una chiave esterna coordinata in Cloud KMS elimina il materiale della chiave interna e invia una richiesta al sistema esterno di gestione delle chiavi del partner di eliminazione del materiale della chiave esterna.
Abilitazione della versione di una chiave
Puoi abilitare una versione della chiave nello stato disabilitato.
Console
Vai alla pagina Gestione delle chiavi nella console Google Cloud.
Fai clic sul nome del keyring che contiene la chiave di cui hai specificato la versione .
Fai clic sulla chiave di cui vuoi abilitare la versione.
Seleziona la casella accanto alle versioni della chiave che vuoi abilitare.
Fai clic su Attiva nell'intestazione.
Nel messaggio di conferma, fai clic su Attiva.
gcloud
Per utilizzare Cloud KMS nella riga di comando, devi prima Installa o esegui l'upgrade alla versione più recente di Google Cloud CLI.
gcloud kms keys versions enable key-version \ --key key \ --keyring key-ring \ --location location
Sostituisci key-version con la versione della chiave da abilitare. Sostituisci key con il nome della chiave. Sostituisci key-ring con il nome del keyring in cui si trova la chiave. Sostituisci location con la località di Cloud KMS per il keyring.
Per informazioni su tutti i flag e sui possibili valori, esegui il comando con
--help
flag.
C#
Per eseguire questo codice, per prima cosa configura un ambiente di sviluppo C# e installare l'SDK Cloud KMS C#.
Go
Per eseguire questo codice, devi prima configurare un ambiente di sviluppo Go e installa l'SDK Cloud KMS Go.
Java
Per eseguire questo codice, per prima cosa configura un ambiente di sviluppo Java e installare l'SDK Java di Cloud KMS.
Node.js
Per eseguire questo codice, devi prima configurare un ambiente di sviluppo Node.js e installare l'SDK Node.js di Cloud KMS.
PHP
Per eseguire questo codice, scopri innanzitutto come utilizzare PHP su Google Cloud e installa l'SDK PHP di Cloud KMS.
Python
Per eseguire questo codice, configura prima un ambiente di sviluppo Python e installare l'SDK per Python di Cloud KMS.
Ruby
Per eseguire questo codice, prima configura un ambiente di sviluppo Ruby e installa l'SDK Ruby di Cloud KMS.
Dopo aver inviato la richiesta, lo stato della versione della chiave diventa Abilitata.
Autorizzazioni IAM richieste
Per abilitare o disabilitare la versione di una chiave, il chiamante deve avere
cloudkms.cryptoKeyVersions.update
autorizzazione IAM sulla chiave,
al keyring oppure al progetto, alla cartella o all'organizzazione.
Questa autorizzazione è concessa al ruolo Amministratore Cloud KMS
(roles/cloudkms.admin
)