Questa pagina mostra come ruotare automaticamente o manualmente una chiave. Per ulteriori informazioni sulla rotazione delle chiavi in generale, consulta la sezione Rotazione delle chiavi.
Ruoli obbligatori
Per ottenere le autorizzazioni di cui hai bisogno per ruotare le chiavi, chiedi all'amministratore di concederti i seguenti ruoli IAM sulla chiave:
-
Amministratore Cloud KMS (
roles/cloudkms.admin
) -
Ricriptare i dati:
Autore crittografia/decriptazione CryptoKey Cloud KMS (
roles/cloudkms.cryptoKeyEncrypterDecrypter
)
Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso a progetti, cartelle e organizzazioni.
Questi ruoli predefiniti le autorizzazioni necessarie per ruotare le chiavi. Per visualizzare le autorizzazioni esatte richieste, espandi la sezione Autorizzazioni richieste:
Autorizzazioni obbligatorie
Per ruotare le chiavi sono necessarie le seguenti autorizzazioni:
-
Cambia la versione della chiave primaria:
cloudkms.cryptoKeys.update
-
Modifica o disattiva la rotazione automatica:
cloudkms.cryptoKeys.update
-
Crea una nuova versione della chiave:
cloudkms.cryptoKeyVersions.create
-
Disabilita le versioni precedenti della chiave:
cloudkms.cryptoKeyVersions.update
-
Ricripta i dati:
-
cloudkms.cryptoKeyVersions.useToDecrypt
-
cloudkms.cryptoKeyVersions.useToEncrypt
-
Potresti anche riuscire a ottenere queste autorizzazioni con ruoli personalizzati altri ruoli predefiniti.
Un singolo utente con un ruolo personalizzato contenente tutte queste autorizzazioni può ruotare le chiavi e ricriptare i dati in autonomia. Utenti con il ruolo Amministratore Cloud KMS e il ruolo Autore crittografia/decrittografia CryptoKey Cloud KMS può collaborare per la rotazione e criptare i dati. Seguire il principio della privilegio minimo durante l'assegnazione ruoli. Per ulteriori dettagli, vedi Autorizzazioni e ruoli.
Quando ruoti una chiave, i dati criptati con versioni precedenti della chiave automaticamente ricriptata. Per ulteriori informazioni, consulta Decriptare e ricriptare. La rotazione di una chiave non disattiva o elimina automaticamente le versioni delle chiavi esistenti. L'eliminazione delle versioni della chiave che non sono più necessarie è utile per ridurre i costi.
Configura la rotazione automatica
Per configurare la rotazione automatica durante la creazione di una nuova chiave:
Console
Quando utilizzi la console Google Cloud per creare una chiave, Cloud KMS imposta automaticamente il periodo di rotazione e la data e l'ora della rotazione successiva. Puoi scegliere di utilizzare i valori predefiniti o specificare valori diversi.
Per specificare un periodo di rotazione e un'ora di inizio diversi, quando crei la chiave, ma prima di fare clic sul pulsante Crea:
Per Periodo di rotazione della chiave, seleziona un'opzione.
In corrispondenza di A partire dal, seleziona la data in cui vuoi che venga registrata la prima la rotazione. Puoi lasciare A partire dal giorno sul valore predefinito per avviare la prima rotazione automatica di un periodo di rotazione della chiave dal momento in cui crei la chiave.
gcloud
Per utilizzare Cloud KMS nella riga di comando, devi prima Installa o esegui l'upgrade alla versione più recente di Google Cloud CLI.
gcloud kms keys create KEY_NAME \ --keyring KEY_RING \ --location LOCATION \ --purpose "encryption" \ --rotation-period ROTATION_PERIOD \ --next-rotation-time NEXT_ROTATION_TIME
Sostituisci quanto segue:
KEY_NAME
: il nome della chiave.KEY_RING
: il nome del keyring che contiene la chiave.LOCATION
: la posizione Cloud KMS della raccolta di chiavi.ROTATION_PERIOD
: l'intervallo per girare la chiave, ad esempio30d
per ruotarla ogni 30 giorni. Il periodo di rotazione deve essere di almeno 1 giorno e massimo 100 anni. Per ulteriori informazioni, vedi CryptoKey.rotationPeriod.NEXT_ROTATION_TIME
: il timestamp al quale completare la prima rotazione, ad esempio2023-01-01T01:02:03
. Puoi omettere--next-rotation-time
per pianificare la prima rotazione per un periodo di rotazione dal momento in cui esegui il comando. Per ulteriori informazioni, vediCryptoKey.nextRotationTime
Per informazioni su tutti i flag e i possibili valori, esegui il comando con il flag --help
.
C#
Per eseguire questo codice, per prima cosa configura un ambiente di sviluppo C# e installare l'SDK Cloud KMS C#.
Go
Per eseguire questo codice, devi prima configurare un ambiente di sviluppo Go e installa l'SDK Cloud KMS Go.
Java
Per eseguire questo codice, devi innanzitutto configurare un ambiente di sviluppo Java e installare l'SDK Java Cloud KMS.
Node.js
Per eseguire questo codice, devi prima configurare un ambiente di sviluppo Node.js e installare l'SDK Node.js di Cloud KMS.
PHP
Per eseguire questo codice, devi innanzitutto scoprire come utilizzare PHP su Google Cloud e installare l'SDK PHP Cloud KMS.
Python
Per eseguire questo codice, devi innanzitutto configurare un ambiente di sviluppo Python e installare l'SDK Python Cloud KMS.
Ruby
Per eseguire questo codice, prima configura un ambiente di sviluppo Ruby e installa l'SDK Ruby di Cloud KMS.
API
Questi esempi utilizzano curl come client HTTP per dimostrare l'utilizzo dell'API. Per ulteriori informazioni sul controllo dell'accesso, vedi Accesso all'API Cloud KMS.
Per creare una chiave, utilizza il metodo
CryptoKey.create
:
curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys?crypto_key_id=KEY_NAME" \ --request "POST" \ --header "authorization: Bearer TOKEN" \ --header "content-type: application/json" \ --data '{"purpose": "PURPOSE", "rotationPeriod": "ROTATION_PERIOD", "nextRotationTime": "NEXT_ROTATION_TIME"}'
Sostituisci quanto segue:
PURPOSE
: lo scopo della chiave.ROTATION_PERIOD
: l'intervallo da Ruota la chiave, ad esempio30d
per ruotare la chiave ogni 30 giorni. Il periodo di rotazione deve essere di almeno 1 giorno e massimo 100 anni. Per ulteriori informazioni, consulta CryptoKey.rotationPeriod.NEXT_ROTATION_TIME
: il timestamp al quale completare la prima rotazione, ad esempio2023-01-01T01:02:03
. Per ulteriori informazioni, vediCryptoKey.nextRotationTime
Per configurare la rotazione automatica di una chiave esistente:
Console
Vai alla pagina Gestione delle chiavi nella console Google Cloud.
Fai clic sul nome del keyring che contiene la chiave per la quale vuoi aggiungere una pianificazione di rotazione.
Fai clic sulla chiave a cui vuoi aggiungere una pianificazione di rotazione.
Nell'intestazione, fai clic su Modifica periodo di rotazione.
Nel prompt, scegli nuovi valori per i campi Periodo di rotazione e Inizio.
Al prompt, fai clic su Salva.
gcloud
Per utilizzare Cloud KMS sulla riga di comando, esegui l'installazione o l'upgrade alla versione più recente di Google Cloud CLI.
gcloud kms keys update KEY_NAME \ --location LOCATION \ --keyring KEY_RING \ --rotation-period ROTATION_PERIOD \ --next-rotation-time NEXT_ROTATION_TIME
Sostituisci quanto segue:
KEY_NAME
: il nome della chiave.KEY_RING
: il nome del keyring che contiene la chiave.LOCATION
: la posizione Cloud KMS della raccolta di chiavi.ROTATION_PERIOD
: l'intervallo da Ruota la chiave, ad esempio30d
per ruotare la chiave ogni 30 giorni. Il periodo di rotazione deve essere di almeno 1 giorno e massimo 100 anni. Per ulteriori informazioni, consulta CryptoKey.rotationPeriod.NEXT_ROTATION_TIME
: il timestamp al quale completare la rotazione successiva, ad esempio2023-01-01T01:02:03
. Puoi omettere--next-rotation-time
per pianificare la rotazione successiva per un periodo di rotazione dal momento in cui esegui il comando. Per ulteriori informazioni, consultaCryptoKey.nextRotationTime
.
Per informazioni su tutti i flag e sui possibili valori, esegui il comando con
--help
flag.
C#
Per eseguire questo codice, devi innanzitutto configurare un ambiente di sviluppo C# e installare l'SDK C# Cloud KMS.
Go
Per eseguire questo codice, devi prima configurare un ambiente di sviluppo Go e installa l'SDK Cloud KMS Go.
Java
Per eseguire questo codice, devi innanzitutto configurare un ambiente di sviluppo Java e installare l'SDK Java Cloud KMS.
Node.js
Per eseguire questo codice, devi innanzitutto configurare un ambiente di sviluppo Node.js e installare l'SDK Node.js di Cloud KMS.
PHP
Per eseguire questo codice, devi innanzitutto scoprire come utilizzare PHP su Google Cloud e installare l'SDK PHP Cloud KMS.
Python
Per eseguire questo codice, configura prima un ambiente di sviluppo Python e installare l'SDK per Python di Cloud KMS.
Ruby
Per eseguire questo codice, prima configura un ambiente di sviluppo Ruby e installa l'SDK Ruby di Cloud KMS.
API
Questi esempi utilizzano curl come client HTTP per dimostrare l'utilizzo dell'API. Per ulteriori informazioni sul controllo dell'accesso, vedi Accesso all'API Cloud KMS.
Per aggiornare una chiave, utilizza il metodo
CryptoKey.patch
:
curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME?updateMask=rotationPeriod,nextRotationTime" \ --request "PATCH" \ --header "authorization: Bearer TOKEN" \ --header "content-type: application/json" \ --data '{"rotationPeriod": "ROTATION_PERIOD", "nextRotationTime": "NEXT_ROTATION_TIME"}'
Sostituisci quanto segue:
ROTATION_PERIOD
: l'intervallo da Ruota la chiave, ad esempio30d
per ruotare la chiave ogni 30 giorni. La rotazione deve essere di almeno 1 giorno e al massimo 100 anni. Per ulteriori informazioni, consulta CryptoKey.rotationPeriod.NEXT_ROTATION_TIME
: il timestamp in corrispondenza del quale completare la successiva rotazione, ad esempio2023-01-01T01:02:03
. Per ulteriori informazioni, vediCryptoKey.nextRotationTime
Ruotare manualmente una chiave
Innanzitutto, crea una nuova versione della chiave:
Console
Vai alla pagina Gestione delle chiavi nella console Google Cloud.
Fai clic sul nome del mazzo di chiavi contenente la chiave per la quale creerai una nuova versione.
Fai clic sulla chiave per la quale vuoi creare una nuova versione.
Nell'intestazione, fai clic su Ruota.
Nella richiesta, fai clic su Ruota per confermare.
gcloud
Per utilizzare Cloud KMS nella riga di comando, devi prima Installa o esegui l'upgrade alla versione più recente di Google Cloud CLI.
gcloud kms keys versions create \ --key KEY_NAME \ --keyring KEY_RING \ --location LOCATION
Sostituisci quanto segue:
KEY_NAME
: il nome della chiave.KEY_RING
: il nome del keyring che contiene la chiave.LOCATION
: la posizione Cloud KMS della raccolta di chiavi.
Le versioni della chiave sono numerate in sequenza.
Per informazioni su tutti i flag e i possibili valori, esegui il comando con il flag --help
.
C#
Per eseguire questo codice, per prima cosa configura un ambiente di sviluppo C# e installare l'SDK Cloud KMS C#.
Go
Per eseguire questo codice, devi innanzitutto configurare un ambiente di sviluppo Go e installare l'SDK Go Cloud KMS.
Java
Per eseguire questo codice, devi innanzitutto configurare un ambiente di sviluppo Java e installare l'SDK Java Cloud KMS.
Node.js
Per eseguire questo codice, devi prima configurare un ambiente di sviluppo Node.js e installare l'SDK Node.js di Cloud KMS.
PHP
Per eseguire questo codice, scopri innanzitutto come utilizzare PHP su Google Cloud e installa l'SDK PHP di Cloud KMS.
Python
Per eseguire questo codice, devi innanzitutto configurare un ambiente di sviluppo Python e installare l'SDK Python Cloud KMS.
Ruby
Per eseguire questo codice, devi innanzitutto configurare un ambiente di sviluppo Ruby e installare l'SDK Ruby Cloud KMS.
API
In questi esempi viene utilizzato curl come client HTTP per dimostrare l'uso dell'API. Per ulteriori informazioni sul controllo dell'accesso, consulta Accedere all'API Cloud KMS.
Per ruotare manualmente una chiave, devi prima creare una nuova versione della chiave chiamando il metodo CryptoKeyVersions.create .
curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME/cryptoKeyVersions" \ --request "POST" \ --header "authorization: Bearer TOKEN"
Questo comando crea una nuova versione della chiave, ma non la imposta come principale.
Per impostare la nuova versione della chiave come primaria, consulta la sezione Impostazione di una versione esistente come o la versione della chiave primaria.
Se necessario, cripta nuovamente i dati criptati utilizzando la versione precedente della chiave.
Impostare una versione esistente come versione della chiave principale
Per impostare una versione della chiave diversa come versione primaria di una chiave, aggiorna la chiave con le informazioni sulla nuova versione primaria. È necessario abilitare una versione della chiave prima di poterla configurare come versione principale.
Console
Vai alla pagina Gestione delle chiavi nella console Google Cloud.
Fai clic sul nome del keyring contenente la chiave di cui vuoi aggiornare la versione principale.
Fai clic sulla chiave di cui vuoi aggiornare la versione primaria.
Nella riga corrispondente alla versione della chiave che vuoi impostare come primaria, fai clic su Mostra altro
.Fai clic su Imposta versione principale nel menu.
Nel messaggio di conferma, fai clic su Imposta come principale.
gcloud
Per utilizzare Cloud KMS sulla riga di comando, innanzitutto esegui l'installazione o l'upgrade alla versione più recente di Google Cloud CLI.
gcloud kms keys update KEY_NAME \ --keyring KEY_RING \ --location LOCATION \ --primary-version KEY_VERSION
Sostituisci quanto segue:
KEY_NAME
: il nome della chiave.KEY_RING
: il nome del keyring che contiene la chiave.LOCATION
: la posizione Cloud KMS della raccolta di chiavi.- KEY_VERSION: il numero di versione della nuova versione della chiave primaria.
Per informazioni su tutti i flag e sui possibili valori, esegui il comando con
--help
flag.
C#
Per eseguire questo codice, per prima cosa configura un ambiente di sviluppo C# e installare l'SDK Cloud KMS C#.
Go
Per eseguire questo codice, devi innanzitutto configurare un ambiente di sviluppo Go e installare l'SDK Go Cloud KMS.
Java
Per eseguire questo codice, per prima cosa configura un ambiente di sviluppo Java e installare l'SDK Java di Cloud KMS.
Node.js
Per eseguire questo codice, devi prima configurare un ambiente di sviluppo Node.js e installare l'SDK Node.js di Cloud KMS.
PHP
Per eseguire questo codice, devi innanzitutto scoprire come utilizzare PHP su Google Cloud e installare l'SDK PHP Cloud KMS.
Ruby
Per eseguire questo codice, prima configura un ambiente di sviluppo Ruby e installa l'SDK Ruby di Cloud KMS.
Python
Per eseguire questo codice, configura prima un ambiente di sviluppo Python e installare l'SDK per Python di Cloud KMS.
API
Questi esempi utilizzano curl come client HTTP per dimostrare l'utilizzo dell'API. Per ulteriori informazioni sul controllo dell'accesso, vedi Accesso all'API Cloud KMS.
Modifica la versione della chiave principale chiamando il metodo CryptoKey.updatePrimaryVersion.
curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME:updatePrimaryVersion" \ --request "POST" \ --header "authorization: Bearer TOKEN" \ --header "content-type: application/json" \ --data '{"cryptoKeyVersionId": "KEY_VERSION"}'
Sostituisci quanto segue:
PROJECT_ID
: l'ID del progetto che contiene il keyring.LOCATION
: la località Cloud KMS del keyring.KEY_RING
: il nome del keyring che contiene la chiave.KEY_NAME
: il nome della chiave.- KEY_VERSION: il numero di versione della nuova versione della chiave primaria.
Quando modifichi la versione della chiave primaria, la modifica in genere diventa coerente entro 1 minuto. Tuttavia, in alcuni casi eccezionali, la propagazione di questa modifica può richiedere fino a 3 ore. Durante questo periodo, potrebbe essere utilizzata la versione principale precedente crittografare i dati. Per ulteriori informazioni, vedi Coerenza delle risorse di Cloud KMS.
Disattivare la rotazione automatica
Per disattivare la rotazione automatica per una chiave, cancella la pianificazione di rotazione della chiave:
Console
Vai alla pagina Gestione delle chiavi nella console Google Cloud.
Fai clic sul nome del keyring che contiene la chiave per la quale vuoi rimuovi la pianificazione della rotazione.
Fai clic sulla chiave da cui vuoi rimuovere la pianificazione della rotazione.
Nel titolo, fai clic su Modifica periodo di rotazione.
Nella richiesta, fai clic sul campo Periodo di rotazione e seleziona Mai (rotazione manuale).
Al prompt, fai clic su Salva.
gcloud
Per utilizzare Cloud KMS nella riga di comando, devi prima Installa o esegui l'upgrade alla versione più recente di Google Cloud CLI.
gcloud kms keys update KEY_NAME \ --keyring KEY_RING \ --location LOCATION \ --remove-rotation-schedule
Sostituisci quanto segue:
KEY_NAME
: il nome della chiave.KEY_RING
: il nome del keyring che contiene la chiave.LOCATION
: la posizione Cloud KMS della raccolta di chiavi.
Per informazioni su tutti i flag e i possibili valori, esegui il comando con il flag --help
.
C#
Per eseguire questo codice, per prima cosa configura un ambiente di sviluppo C# e installare l'SDK Cloud KMS C#.
Go
Per eseguire questo codice, devi prima configurare un ambiente di sviluppo Go e installa l'SDK Cloud KMS Go.
Java
Per eseguire questo codice, per prima cosa configura un ambiente di sviluppo Java e installare l'SDK Java di Cloud KMS.
Node.js
Per eseguire questo codice, devi prima configurare un ambiente di sviluppo Node.js e installare l'SDK Node.js di Cloud KMS.
PHP
Per eseguire questo codice, devi innanzitutto scoprire come utilizzare PHP su Google Cloud e installare l'SDK PHP Cloud KMS.
Ruby
Per eseguire questo codice, devi innanzitutto configurare un ambiente di sviluppo Ruby e installare l'SDK Ruby Cloud KMS.
Python
Per eseguire questo codice, devi innanzitutto configurare un ambiente di sviluppo Python e installare l'SDK Python di Cloud KMS.
API
Questi esempi utilizzano curl come client HTTP per dimostrare l'utilizzo dell'API. Per ulteriori informazioni sul controllo dell'accesso, consulta Accedere all'API Cloud KMS.
Per aggiornare una chiave, utilizza
CryptoKey.patch
:
curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME?updateMask=rotationPeriod,nextRotationTime" \ --request "PATCH" \ --header "authorization: Bearer TOKEN" \ --header "content-type: application/json" \ --data '{"rotationPeriod": null, "nextRotationTime": null}'
Per ulteriori dettagli su rotationPeriod
e nextRotationTime
, vedi
keyRings.cryptoKeys
Ruotare una chiave esterna
Ruotare una chiave esterna coordinata
Puoi configurare la rotazione automatica per le chiavi esterne coordinate simmetriche. Puoi anche creare manualmente una nuova versione della chiave per chiavi esterne coordinate simmetriche o asimmetriche.
La rotazione o la creazione di una nuova versione della chiave fa sì che tutti i dati di nuova creazione protetti con quella chiave vengano criptati con la nuova versione. Dati protetti con se una versione precedente della chiave non viene ricriptata. Di conseguenza, il gestore di chiavi esterno deve continuare a rendere disponibile per l'utilizzo il materiale della chiave della versione precedente della chiave.
Per creare una nuova versione della chiave per una chiave esterna coordinata, completa i seguenti passaggi:
Console
Nella console Google Cloud, vai alla pagina Gestione delle chiavi.
Seleziona il keyring e poi la chiave.
Fai clic su Crea versione. Un messaggio indica che la nuova versione della chiave sia in Cloud KMS che nell'EKM. Se visualizzi un campo Percorso chiave o URI chiave, la chiave selezionata non è una chiave esterna coordinata.
Per confermare di voler creare una nuova versione della chiave, fai clic su Crea versione.
La nuova versione della chiave viene visualizzata nello stato Generare in attesa. Per simmetri le versioni delle chiavi create manualmente non vengono impostate automaticamente come e la versione della chiave primaria. Puoi impostare la nuova versione della chiave come principale.
Interfaccia a riga di comando gcloud
Per creare una nuova versione della chiave simmetrica e impostarla come versione della chiave primaria,
usa il comando kms keys versions create
con il flag --primary
:
gcloud kms keys versions create \ --key KEY_NAME \ --keyring KEY_RING \ --location LOCATION \ --primary
Sostituisci quanto segue:
KEY_NAME
: il nome della chiave.KEY_RING
: il nome del keyring che contiene la chiave.LOCATION
: la località Cloud KMS del keyring.
Per creare una nuova versione della chiave asimmetrica o una nuova versione della chiave simmetrica diversa dalla versione della chiave principale, utilizza il comando kms keys versions
create
:
gcloud kms keys versions create \ --key KEY_NAME \ --keyring KEY_RING \ --location LOCATION
Sostituisci quanto segue:
KEY_NAME
: il nome della chiave.KEY_RING
: il nome del keyring che contiene la chiave.LOCATION
: la località Cloud KMS del keyring.
Ruota un Cloud EKM gestito manualmente tramite chiave VPC
Innanzitutto, ruota il materiale della chiave esterna nel gestore di chiavi esterno. Se questo comporta un nuovo percorso della chiave, devi ruotare o creare una nuova versione della chiave Cloud EKM con il nuovo percorso della chiave. Per le chiavi di crittografia simmetrica, ruota la chiave EKM cloud e specifica il nuovo percorso della chiave dal gestore di chiavi esterno. Per le chiavi asimmetriche, crea una nuova versione della chiave e specifica la nuova chiave del tuo percorso di apprendimento.
La rotazione o la creazione di una nuova versione della chiave fa sì che tutti i nuovi dati creati siano protetti a quella chiave per la crittografia con la nuova versione della chiave. Dati protetti con se una versione precedente della chiave non viene ricriptata. Di conseguenza, la chiave esterna gestore deve continuare a creare il materiale della chiave della versione precedente della chiave possono essere utilizzate.
Se il materiale della chiave nel sistema esterno di gestione delle chiavi del partner non cambia, ma la chiave modifiche al percorso, puoi aggiornare il campo senza ruotare la chiave.
Console
Nella console Google Cloud, vai alla Gestione delle chiavi.
Seleziona il keyring e poi la chiave.
Fai clic su Ruota la chiave.
In Percorso chiave, inserisci il percorso della chiave per la nuova versione.
Fai clic su Ruota chiave per confermare.
gcloud
Per utilizzare Cloud KMS nella riga di comando, devi prima Installa o esegui l'upgrade alla versione più recente di Google Cloud CLI.
Per creare una nuova versione della chiave simmetrica e impostarla come versione della chiave principale,
utilizza il comando kms keys versions create
con il flag --primary
:
gcloud kms keys versions create \ --key KEY_NAME \ --keyring KEY_RING \ --location LOCATION \ --ekm-connection-key-path EXTERNAL_KEY_PATH \ --primary
Sostituisci quanto segue:
KEY_NAME
: il nome della chiave.KEY_RING
: il nome del keyring che contiene la chiave.LOCATION
: la posizione Cloud KMS della raccolta di chiavi.EXTERNAL_KEY_PATH
: il percorso del nuovo server esterno e la versione della chiave.
Per creare una nuova versione della chiave asimmetrica o una nuova versione della chiave simmetrica diversa dalla versione della chiave principale, utilizza il comando kms keys versions
create
:
gcloud kms keys versions create \ --key KEY_NAME \ --keyring KEY_RING \ --location LOCATION \ --ekm-connection-key-path EXTERNAL_KEY_PATH
Sostituisci quanto segue:
KEY_NAME
: il nome della chiave.KEY_RING
: il nome del keyring che contiene la chiave.LOCATION
: la posizione Cloud KMS della raccolta di chiavi.EXTERNAL_KEY_PATH
: il percorso del nuovo server esterno e la versione della chiave.
Per informazioni su tutti i flag e i possibili valori, esegui il comando con il flag --help
.
Dopo aver creato la versione della chiave, puoi utilizzarla come faresti e utilizzare qualsiasi altra versione della chiave Cloud KMS.
Ruotare un Cloud EKM gestito manualmente tramite chiave internet
Innanzitutto, ruota il materiale della chiave esterna nel gestore di chiavi esterno. Se viene generato un nuovo URI, devi ruotare o creare una nuova versione della chiave Cloud EKM con il nuovo URI. Per le chiavi di crittografia simmetriche, ruota la chiave Cloud EKM e specifica il nuovo URI della chiave dalla chiave esterna responsabile. Per le chiavi asimmetriche, crea una nuova versione della chiave e specifica il nuovo URI della chiave.
La rotazione o la creazione di una nuova versione della chiave fa sì che tutti i nuovi dati creati siano protetti a quella chiave per la crittografia con la nuova versione della chiave. Dati protetti con se una versione precedente della chiave non viene ricriptata. Di conseguenza, la chiave esterna gestore deve continuare a creare il materiale della chiave della versione precedente della chiave possono essere utilizzate.
Se il materiale della chiave nel sistema di gestione delle chiavi esterno del partner non cambia, ma l'URI cambia, puoi aggiornare l'URI esterno della chiave senza ruotare la chiave.
Console
Nella console Google Cloud, vai alla Gestione delle chiavi.
Seleziona il keyring e poi la chiave.
Seleziona Ruota chiave per le chiavi simmetriche o Crea versione per le chiavi asimmetriche.
Inserisci il nuovo URI della chiave, quindi seleziona Ruota chiave per le chiavi simmetriche oppure Crea la versione per le chiavi asimmetriche.
La nuova versione della chiave diventa la versione primaria.
Interfaccia a riga di comando gcloud
Per creare una nuova versione della chiave simmetrica e impostarla come versione della chiave primaria,
usa il comando kms keys versions create
con il flag --primary
:
gcloud kms keys versions create \ --key KEY_NAME \ --keyring KEY_RING \ --location LOCATION \ --external-key-uri EXTERNAL_KEY_URI \ --primary
Sostituisci quanto segue:
KEY_NAME
: il nome della chiave.KEY_RING
: il nome del keyring che contiene la chiave.LOCATION
: la località Cloud KMS del keyring.EXTERNAL_KEY_URI
: l'URI della chiave del nuovo server esterno e la versione della chiave.
Per creare una nuova versione della chiave asimmetrica o creare una nuova chiave simmetrica
diversa da quella della chiave primaria, usa il comando kms keys versions
create
:
gcloud kms keys versions create \ --key KEY_NAME \ --keyring KEY_RING \ --location LOCATION \ --external-key-uri EXTERNAL_KEY_URI
Sostituisci quanto segue:
KEY_NAME
: il nome della chiave.KEY_RING
: il nome del keyring che contiene la chiave.LOCATION
: la località Cloud KMS del keyring.EXTERNAL_KEY_URI
: l'URI della chiave del nuovo server esterno e la versione della chiave.
Passaggi successivi
- Dopo aver ruotato una chiave, puoi criptare nuovamente dati criptati con quella chiave.
- Dopo aver ricriptato i dati, puoi controllare se la versione della chiave è in uso.
- Dopo aver confermato che una versione della chiave non è più in uso, puoi elimina una versione della chiave.