Utilizzo delle chiavi di crittografia gestite dal cliente (CMEK)


Questa pagina descrive come utilizzare le chiavi di crittografia gestite dal cliente (CMEK) su Google Kubernetes Engine (GKE). Se hai bisogno di controllare la gestione delle chiavi, puoi utilizzare Cloud Key Management Service e CMEK per proteggere i dischi permanenti collegati e i dischi di avvio personalizzati nel cluster GKE.

Panoramica

Per impostazione predefinita, Google Cloud cripta i contenuti at-rest dei clienti e GKE gestisce la crittografia per conto tuo senza che sia necessario alcun intervento da parte tua.

Se vuoi controllare e gestire autonomamente rotazione della chiave di crittografia, puoi utilizzare CMEK. Queste chiavi criptano le chiavi di crittografia dei dati che criptano i tuoi dati. Per ulteriori informazioni, consulta Gestione delle chiavi.

Puoi anche criptare i secret nel cluster utilizzando le chiavi che gestisci. Per maggiori dettagli, consulta Crittografia dei secret a livello di applicazione.

In GKE, CMEK può proteggere i dati di due tipi di dischi di archiviazione: dischi di avvio dei nodi e dischi collegati.

Dischi di avvio dei nodi
I dischi di avvio dei nodi fanno parte dei pool di nodi del cluster. Puoi creare un disco di avvio dei nodi criptato con CMEK quando crei cluster e pool di nodi.
Dischi collegati
I dischi collegati sono oggetti PersistentVolume utilizzati dai pod per un'archiviazione durevole. I dischi permanenti collegati criptati tramite CMEK sono disponibili in GKE come PersistentVolume di cui è stato eseguito il provisioning dinamico.

Per scoprire di più sui dischi di archiviazione, vedi Opzioni di archiviazione. I dischi del piano di controllo utilizzati per i piani di controllo GKE non possono essere protetti con CMEK.

Prima di iniziare

  1. Per eseguire gli esercizi in questo documento, sono necessari due progetti Google Cloud:

    • Progetto chiave: qui puoi creare una chiave di crittografia.

    • Progetto cluster: qui puoi creare un cluster che abilita CMEK.

  2. Nel progetto della chiave, assicurati di aver abilitato l'API Cloud KMS.

    Abilita l'API Cloud KMS

  3. Nel tuo progetto della chiave, l'utente che crea il keyring e la chiave deve avere le seguenti autorizzazioni IAM:

    • cloudkms.keyRings.getIamPolicy
    • cloudkms.keyRings.setIamPolicy

    Queste autorizzazioni vengono concesse al ruolo Identity and Access Management predefinito di roles/cloudkms.admin. Per saperne di più su come concedere le autorizzazioni per la gestione delle chiavi, consulta la documentazione di Cloud KMS.

  4. Nel tuo progetto cluster, assicurati di aver abilitato l'API Cloud KMS.

    Abilita l'API Cloud KMS

  5. Assicurati di aver installato gcloud CLI.

  6. Aggiorna gcloud alla versione più recente:

    gcloud components update
    

Crea una chiave Cloud KMS

Per poter proteggere il disco di avvio del nodo o il disco collegato con una CMEK, sono necessari key ring e chiave di Cloud KMS.

Il keyring e la chiave devono avere i seguenti requisiti:

  • La chiave deve utilizzare la crittografia simmetrica.

  • Devi concedere all'account di servizio GKE le autorizzazioni per utilizzare la chiave.

  • Il keyring deve avere una posizione corrispondente a quella del cluster GKE:

    • Un cluster di zona deve utilizzare un keyring da una posizione soprainsieme. Ad esempio, un cluster nella zona us-central1-a può utilizzare una chiave solo nella regione us-central1.

    • Un cluster a livello di regione deve utilizzare un keyring dalla stessa località. Ad esempio, un cluster nell'area geografica asia-northeast1 deve essere protetto con un keyring dall'area geografica asia-northeast1.

    • La regione global di Cloud KMS non è supportata per l'utilizzo con GKE.

Per istruzioni su come creare un keyring e una chiave, consulta Creazione di chiavi simmetriche.

Concedi l'autorizzazione a utilizzare la chiave

Devi assegnare all'account di servizio Compute Engine utilizzato dai nodi nel tuo cluster il ruolo Autore crittografia/decrittografia CryptoKey Cloud KMS. Questa operazione è necessaria per consentire ai dischi permanenti GKE di accedere e utilizzare la chiave di crittografia.

Il nome dell'account di servizio Compute Engine ha il seguente formato:

service-PROJECT_NUMBER@compute-system.iam.gserviceaccount.com

Sostituisci PROJECT_NUMBER con il numero di progetto del tuo cluster.

Per concedere l'accesso all'account di servizio, puoi utilizzare il comando gcloud o la console Google Cloud.

gcloud

Concedi al tuo account di servizio Compute Engine il ruolo Autore crittografia/decriptazione CryptoKey Cloud KMS:

gcloud kms keys add-iam-policy-binding KEY_NAME \
    --location LOCATION \
    --keyring RING_NAME \
    --member serviceAccount:SERVICE_ACCOUNT \
    --role roles/cloudkms.cryptoKeyEncrypterDecrypter \
    --project KEY_PROJECT_ID

Sostituisci quanto segue:

  • KEY_NAME: il nome della chiave.
  • LOCATION: la regione in cui hai creato il keyring.
  • RING_NAME: il nome del keyring.
  • SERVICE_ACCOUNT: il nome del tuo account di servizio Compute Engine.
  • KEY_PROJECT_ID: l'ID progetto chiave.

Console

Concedi al tuo account di servizio Compute Engine il ruolo Autore crittografia/decriptazione CryptoKey Cloud KMS:

  1. Apri il browser Cloud Key Management Service Key nella console Google Cloud.
    Apri il browser Chiavi Cloud KMS
  2. Fai clic sul nome del keyring che contiene la chiave desiderata.

  3. Seleziona la casella di controllo della chiave.

    La scheda Autorizzazioni nel riquadro della finestra a destra diventa disponibile.

  4. Nella finestra di dialogo Aggiungi membri, specifica l'indirizzo email dell'account di servizio Compute Engine a cui stai concedendo l'accesso.

  5. Nel menu a discesa Seleziona un ruolo, scegli Autore crittografia/decriptazione CryptoKey Cloud KMS.

  6. Fai clic su Salva.

Utilizza dischi di avvio dei nodi protetti da CMEK

In questa sezione creerai un nuovo cluster o pool di nodi con un disco di avvio protetto da CMEK.

Non puoi abilitare la crittografia gestita dal cliente per i dischi di avvio dei nodi su un cluster esistente, poiché non puoi modificare il tipo di disco di avvio di un cluster o di un pool di nodi esistente. Tuttavia, puoi creare un nuovo pool di nodi per il tuo cluster con la crittografia gestita dal cliente abilitata ed eliminare il pool di nodi precedente.

Inoltre, non puoi disabilitare la crittografia gestita dal cliente per i dischi di avvio dei nodi su un cluster o un pool di nodi esistente. Tuttavia, puoi creare un nuovo pool di nodi per il tuo cluster con la crittografia gestita dal cliente disabilitata ed eliminare il pool di nodi precedente.

Crea un cluster con un disco di avvio del nodo protetto da CMEK

Puoi creare un cluster con un disco di avvio dei nodi protetto da CMEK utilizzando gcloud CLI o la console Google Cloud.

Per i cluster standard, solo un Persistent Disk standard (pd-standard) o un disco permanente SSD (pd-ssd) può essere criptato con una chiave CMEK.

gcloud

Per creare un cluster il cui disco di avvio è criptato con una chiave CMEK, specifica un valore per il parametro --boot-disk-kms-key nel comando di creazione del cluster.

Crea un cluster Standard

Per creare un cluster standard il cui disco di avvio è criptato con una chiave CMEK, utilizza il comando seguente:

gcloud container clusters create CLUSTER_NAME \
    --cluster-version=latest \
    --region COMPUTE_REGION \
    --boot-disk-kms-key projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/RING_NAME/cryptoKeys/KEY_NAME \
    --project CLUSTER_PROJECT_ID \
    --disk-type DISK_TYPE

Crea un cluster Autopilot

Per creare un cluster Autopilot il cui disco di avvio è criptato con una chiave CMEK, utilizza il comando seguente:

gcloud container clusters create-auto CLUSTER_NAME \
    --cluster-version=latest \
    --region COMPUTE_REGION \
    --boot-disk-kms-key projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/RING_NAME/cryptoKeys/KEY_NAME \
    --project CLUSTER_PROJECT_ID

Sostituisci quanto segue:

  • CLUSTER_NAME: il nome del nuovo cluster.
  • COMPUTE_REGION: la regione di computing per il piano di controllo del cluster.
  • KEY_PROJECT_ID: l'ID progetto chiave.
  • LOCATION: la posizione del keyring.
  • RING_NAME: il nome del keyring.
  • KEY_NAME: il nome della chiave.
  • CLUSTER_PROJECT_ID è l'ID progetto del tuo cluster.
  • DISK_TYPE: pd-standard (valore predefinito) o pd-ssd.

Console

Crea un cluster Standard

Per creare un cluster standard il cui disco di avvio è criptato con una chiave CMEK, segui questi passaggi:

  1. Vai alla pagina Google Kubernetes Engine nella console Google Cloud.

    Vai a Google Kubernetes Engine

  2. Fai clic su Crea.

  3. Nella sezione Standard, fai clic su Configura.

  4. Configura il cluster in base alle esigenze.

  5. Dal menu di navigazione, in Pool di nodi, fai clic su Nodi.

  6. Nell'elenco a discesa Tipo di disco di avvio, seleziona Disco permanente standard o Disco permanente SSD.

  7. Seleziona la casella di controllo Abilita la crittografia gestita dal cliente per il disco di avvio e scegli la chiave di crittografia Cloud KMS che hai creato in precedenza.

  8. Fai clic su Crea.

Crea un cluster Autopilot

Per creare un cluster Autopilot il cui disco di avvio è criptato con una chiave CMEK, esegui questi passaggi:

  1. Vai alla pagina Google Kubernetes Engine nella console Google Cloud.

    Vai a Google Kubernetes Engine

  2. Fai clic su Crea.

  3. Nella sezione Autopilot, fai clic su Configura.

  4. Configura il cluster in base alle esigenze.

  5. Espandi la sezione Opzioni avanzate e individua le opzioni Sicurezza.

  6. Seleziona la casella di controllo Abilita la crittografia gestita dal cliente per il disco di avvio e scegli la chiave di crittografia Cloud KMS che hai creato in precedenza.

  7. Fai clic su Crea.

Crea un nuovo pool di nodi con dischi di avvio dei nodi protetti da CMEK

Per creare un nuovo pool di nodi con CMEK abilitata su un cluster standard esistente, puoi utilizzare gcloud CLI o la console Google Cloud.

gcloud

Per creare un pool di nodi con crittografia gestita dal cliente per i dischi di avvio dei nodi, specifica un valore per il parametro --boot-disk-kms-key nel comando di creazione.

gcloud container node-pools create NODE_POOL_NAME \
    --region COMPUTE_REGION \
    --disk-type DISK_TYPE \
    --boot-disk-kms-key projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/RING_NAME/cryptoKeys/KEY_NAME \
    --project CLUSTER_PROJECT_ID \
    --cluster CLUSTER_NAME

Sostituisci quanto segue:

  • NODE_POOL_NAME: il nome che scegli per il pool di nodi.
  • COMPUTE_REGION: la regione di computing per il piano di controllo del cluster.
  • DISK_TYPE: pd-standard (valore predefinito) o pd-ssd.
  • KEY_PROJECT_ID:l'ID progetto chiave.
  • LOCATION: la posizione del keyring.
  • RING_NAME: il nome del keyring.
  • KEY_NAME: il nome della chiave.
  • CLUSTER_PROJECT_ID: l'ID progetto del tuo cluster.
  • CLUSTER_NAME: il nome del cluster standard creato nel passaggio precedente.

Console

  1. Vai alla pagina Google Kubernetes Engine nella console Google Cloud.

    Vai a Google Kubernetes Engine

  2. Nell'elenco dei cluster, fai clic sul nome del cluster da modificare.

  3. Fai clic su Aggiungi pool di nodi.

  4. Dal menu di navigazione, fai clic su Nodi.

  5. Nella sezione Configurazione macchina, assicurati che il Tipo di disco di avvio sia Disco permanente standard o Disco permanente SSD.

  6. Seleziona la casella di controllo Abilita la crittografia gestita dal cliente per il disco di avvio e la chiave di crittografia Cloud KMS che hai creato.

  7. Fai clic su Crea.

Utilizza istanze Filestore o dischi permanenti protetti da CMEK

Le informazioni seguenti spiegano come criptare le istanze Filestore o i dischi permanenti appena creati. Puoi abilitare CMEK su un cluster nuovo o esistente utilizzando una chiave Cloud KMS nuova o esistente.

Queste istruzioni devono essere completate una volta per ogni cluster GKE:

Creazione di un oggetto StorageClass con riferimento alla chiave Cloud KMS

  1. Copia il contenuto di seguito in un file YAML denominato cmek-sc.yaml. Questa configurazione consente il provisioning dinamico dei volumi criptati.

    Istanze Filestore

    apiVersion: storage.k8s.io/v1
    kind: StorageClass
    metadata:
      name: csi-filestore-cmek
    provisioner: filestore.csi.storage.gke.io
    allowVolumeExpansion: true
    parameters:
      tier: enterprise
      instance-encryption-kms-key: projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/RING_NAME/cryptoKeys/KEY_NAME
    
    • Il campo instance-encryption-kms-key deve essere l'identificatore di risorsa completo per la chiave che verrà utilizzata per criptare le nuove istanze Filestore.
    • I valori in instance-encryption-kms-key sono sensibili alle maiuscole (ad esempio: keyRings e cryptoKeys). Il provisioning di un nuovo volume con valori errati genera un errore invalidResourceUsage.
    • Non puoi aggiungere il parametro instance-encryption-kms-key a un oggetto StorageClass esistente. Tuttavia, puoi eliminare l'oggetto StorageClass e ricrearlo con lo stesso nome, ma un insieme di parametri diverso.

    Dischi permanenti

    apiVersion: storage.k8s.io/v1
    kind: StorageClass
    metadata:
      name: csi-gce-pd-cmek
    provisioner: pd.csi.storage.gke.io
    volumeBindingMode: "WaitForFirstConsumer"
    allowVolumeExpansion: true
    parameters:
      type: pd-standard
      disk-encryption-kms-key: projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/RING_NAME/cryptoKeys/KEY_NAME
    
    • Il campo disk-encryption-kms-key deve essere l'identificatore di risorsa completo per la chiave che verrà utilizzata per criptare i nuovi dischi.
    • I valori in disk-encryption-kms-key sono sensibili alle maiuscole (ad esempio: keyRings e cryptoKeys). Il provisioning di un nuovo volume con valori errati genera un errore invalidResourceUsage.
    • Non puoi aggiungere il parametro disk-encryption-kms-key a un oggetto StorageClass esistente. Tuttavia, puoi eliminare l'oggetto StorageClass e ricrearlo con lo stesso nome, ma un insieme di parametri diverso. Assicurati che il provisioner del corso esistente sia pd.csi.storage.gke.io.

    Puoi impostare StorageClass come predefinito.

  2. Esegui il deployment di StorageClass sul cluster GKE utilizzando kubectl:

    kubectl apply -f cmek-sc.yaml
    
  3. Verifica che StorageClass abbia utilizzato il driver Filestore di Compute Engine o Persistent Disk CSI e che includa l'ID della chiave:

    Istanze Filestore

    kubectl describe storageclass csi-filestore-cmek
    

    Nell'output del comando, verifica quanto segue:

    • Il provisioner è impostato come filestore.csi.storage.gke.io.
    • L'ID della chiave segue istanza-encryption-kms-key.
    Name:                  csi-filestore-cmek
    IsDefaultClass:        No
    Annotations:           None
    Provisioner:           filestore.csi.storage.gke.io
    Parameters:            instance-encryption-kms-key=projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/RING_NAME/cryptoKeys/KEY_NAME,type=pd-standard
    AllowVolumeExpansion:  true
    MountOptions:          none
    ReclaimPolicy:         Delete
    VolumeBindingMode:     WaitForFirstConsumer
    Events:                none
    

    Dischi permanenti

    kubectl describe storageclass csi-gce-pd-cmek
    

    Nell'output del comando, verifica quanto segue:

    • Il provisioner è impostato come pd.csi.storage.gke.io.
    • L'ID della chiave è conforme alle norme disk-encryption-kms-key.
    Name:                  csi-gce-pd-cmek
    IsDefaultClass:        No
    Annotations:           None
    Provisioner:           pd.csi.storage.gke.io
    Parameters:            disk-encryption-kms-key=projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/RING_NAME/cryptoKeys/KEY_NAME,type=pd-standard
    AllowVolumeExpansion:  unset
    MountOptions:          none
    ReclaimPolicy:         Delete
    VolumeBindingMode:     WaitForFirstConsumer
    Events:                none
    

Crea un volume di archiviazione criptato in GKE

In questa sezione eseguirai il provisioning dinamico dei volumi di archiviazione di Kubernetes criptati con la nuova chiave StorageClass e Cloud KMS.

  1. Copia i seguenti contenuti in un nuovo file denominato pvc.yaml e assicurati che il valore di storageClassName corrisponda al nome dell'oggetto StorageClass:

    Istanze Filestore

    kind: PersistentVolumeClaim
    apiVersion: v1
    metadata:
      name: podpvc
    spec:
      accessModes:
        - ReadWriteMany
      storageClassName: csi-filestore-cmek
      resources:
        requests:
          storage: 1Ti
    

    Dischi permanenti

    kind: PersistentVolumeClaim
    apiVersion: v1
    metadata:
      name: podpvc
    spec:
      accessModes:
        - ReadWriteOnce
      storageClassName: csi-gce-pd-cmek
      resources:
        requests:
          storage: 6Gi
    
  2. Applica PersistentVolumeClaim (PVC) al cluster GKE:

    kubectl apply -f pvc.yaml
    
  3. Se per StorageClass il campo volumeBindingMode è impostato su WaitForFirstConsumer, devi creare un pod per utilizzare la PVC prima di poterla verificare. Copia i seguenti contenuti in un nuovo file denominato pod.yaml e assicurati che il valore di claimName corrisponda al nome del tuo oggetto PersistentVolumeClaim:

    apiVersion: v1
    kind: Pod
    metadata:
      name: web-server
    spec:
      containers:
       - name: web-server
         image: nginx
         volumeMounts:
           - mountPath: /var/lib/www/html
             name: mypvc
      volumes:
       - name: mypvc
         persistentVolumeClaim:
           claimName: podpvc
           readOnly: false
    
  4. Applica il pod sul tuo cluster GKE:

    kubectl apply -f pod.yaml
    
  5. Ottieni lo stato di PersistentVolumeClaim del cluster e verifica che la PVC sia stata creata e associata a un PersistentVolume di cui è stato eseguito il provisioning di recente.

    Istanze Filestore

    kubectl get pvc
    

    L'output è simile al seguente:

    NAME      STATUS    VOLUME                                     CAPACITY   ACCESS MODES   STORAGECLASS     AGE
    podpvc    Bound     pvc-e36abf50-84f3-11e8-8538-42010a800002   1Ti        RWO            csi-filestore-cmek  9s
    

    Dischi permanenti

    kubectl get pvc
    

    L'output è simile al seguente:

    NAME      STATUS    VOLUME                                     CAPACITY   ACCESS MODES   STORAGECLASS     AGE
    podpvc    Bound     pvc-e36abf50-84f3-11e8-8538-42010a800002   6Gi       RWO            csi-gce-pd-cmek  9s
    

Ora puoi utilizzare il tuo Persistent Disk protetto da CMEK con il tuo cluster GKE.

Rimuovi la protezione CMEK

Per rimuovere la protezione CMEK da un Persistent Disk, segui le istruzioni nella documentazione di Compute Engine.

Impossibile rimuovere la crittografia CMEK dalle istanze Filestore.

Criteri dell'organizzazione GKE e CMEK

GKE supporta i criteri dell'organizzazione CMEK (anteprima) che possono richiedere la protezione CMEK e possono limitare le chiavi Cloud KMS che puoi utilizzare per la protezione CMEK.

Quando container.googleapis.com è nell'elenco dei servizi dei criteri Deny per il vincolo constraints/gcp.restrictNonCmekServices, GKE si rifiuta di creare le seguenti risorse se non abiliti la protezione CMEK:

  • Nuovi cluster e pool di nodi
  • Nuove istanze Filestore e dischi permanenti

Quando il vincolo constraints/gcp.restrictNonCmekCryptoKeyProjects viene configurato in un criterio dell'organizzazione, GKE crea solo risorse protette da CMEK che utilizzano una chiave di crittografia di un progetto, una cartella o un'organizzazione consentiti.

Passaggi successivi