Questa pagina descrive come ruotare le chiavi per MACsec per Cloud Interconnect.
Per ruotare le chiavi, devi completare quanto segue:
- Crea una nuova chiave con una data di inizio successiva alle chiavi esistenti.
- Aggiungi la nuova chiave al router on-premise.
- Attendi l'ora di inizio della nuova chiave.
- Verifica che la nuova chiave sia attiva.
- Elimina la chiave più vecchia.
Puoi creare fino a cinque chiavi precondivise con orari di inizio specificati. La chiave le ore di inizio devono essere in ordine crescente e non entro sei ore dal l'ora di inizio della chiave precedente. Per ruotare una chiave che non vuoi più utilizzare: la chiave viene rimossa.
Le chiavi precondivise non scadono. Quando configuri più di una chiave, per tutte le chiavi deve essere configurata un'ora di inizio.
Ruoli obbligatori
Per ottenere le autorizzazioni necessarie per recuperare le chiavi MACsec,
chiedi all'amministratore di concederti il ruolo IAM Amministratore di rete Compute (roles/compute.networkAdmin
) nel progetto.
Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso a progetti, cartelle e organizzazioni.
Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.
Se scegli di utilizzare ruoli personalizzati, assicurati che il tuo ruolo personalizzato
l'amministrazione di MACsec per Cloud Interconnect include
Autorizzazione IAM compute.interconnects.getMacsecConfig
.
(Facoltativo) Aggiorna l'ora di inizio della chiave esistente
Se hai una chiave senza ora di inizio e provi a crearne una nuova, Cloud Interconnect visualizza un errore. Per correggere l'ora di inizio, seleziona una di le seguenti opzioni per impostare un'ora di inizio per la chiave esistente:
Console
Nella console Google Cloud, vai a Cloud Interconnect Scheda Connessioni fisiche.
Seleziona la connessione che vuoi modificare.
Nella scheda MACsec, vai alla sezione Chiavi precondivise e poi fai clic su Chiavi precondivise gestite.
Nel campo Ora di inizio, seleziona o inserisci una nuova ora di inizio.
Fai clic su Invia.
gcloud
gcloud compute interconnects macsec update-key INTERCONNECT_CONNECTION_NAME \
--key-name=KEY_NAME \
--start-time=START_TIME
Sostituisci quanto segue:
INTERCONNECT_CONNECTION_NAME
: il nome del tuo Connessione Cloud InterconnectKEY_NAME
: nome della chiave da aggiornareSTART_TIME
: l'ora a partire dalla quale questa chiave è valida in formato ISO 8601, ad esempio2023-07-01T21:00:01.000Z
Crea una nuova chiave
Per aggiungere una nuova chiave, seleziona una delle seguenti opzioni:
Console
Nella console Google Cloud, vai alla scheda Connessioni fisiche di Cloud Interconnect.
Seleziona la connessione che vuoi modificare.
Nella scheda MACsec, vai alla sezione Chiavi precondivise e poi fai clic su Chiavi precondivise gestite.
Fai clic su Aggiungi chiave.
Specifica i dettagli della chiave precondivisa:
Nome chiave:un nome per la chiave. Questo nome viene visualizzato nella console Google Cloud e viene utilizzato dall'interfaccia a riga di comando gcloud per fare riferimento alla chiave, ad esempio
psk-2
.Ora di inizio: l'ora a partire dalla quale la chiave è valida. Assicurati che l'ora di inizio della nuova chiave precondivisa sia almeno sei ore successiva all'ora di inizio della chiave precedente.
Per aggiungere altre chiavi pre-condivise, fai clic su Aggiungi chiave. Consecutiva le chiavi precondivise devono avere ore di inizio di almeno sei ore l'una dall'altra.
Fai clic su Invia.
gcloud
gcloud compute interconnects macsec add-key INTERCONNECT_CONNECTION_NAME \ --key-name=KEY_NAME \ --start-time="START_TIME"
Sostituisci quanto segue:
INTERCONNECT_CONNECTION_NAME
: il nome della connessione Cloud InterconnectKEY_NAME
: un nome per la chiaveSTART_TIME
: l'ora di validità della chiave nel periodo Formato ISO 8601, ad esempio2023-07-01T21:00:01.000Z
Come best practice, ti consigliamo di impostare un'ora di inizio per tutte le chiavi che crei per MACsec per Cloud Interconnect.
Per elencare le chiavi esistenti e prendere nota della chiave di associazione di connettività della nuova chiave (CAK) e il nome della chiave di associazione della connettività (CKN), seleziona una delle le seguenti opzioni:
Console
Nella sezione Chiavi precondivise, individua il nome delle chiavi che hai aggiunto e poi fai clic su Visualizza. Viene visualizzata una finestra con la chiave di associazione della connettività (CAK) e il nome della chiave di associazione della connettività (CKN). Fai clic su
Copia accanto a ciascun valore per copiarlo negli appunti del computer.Fai clic su Chiudi.
gcloud
gcloud compute interconnects macsec get-config INTERCONNECT_CONNECTION_NAME
L'output è simile al seguente:
preSharedKeys: - name: key1 ckn: 0101010189abcdef...0123456789abcdef cak: 0123456789abcdef...0123456789abcdef startTime: 2023-07-01T12:12:12Z - name: key2 ckn: 0202020289abcdef...0123456789abcdef cak: 0123456889abcdef...0123456789abcdef startTime: 2023-08-01T12:12:12Z
In questo esempio,
key2
è la chiave appena aggiunta.Aggiungi i valori di ora di inizio, CAK e CKN della nuova chiave agli ambienti on-premise configurazione del router.
I router perimetrali di Google utilizzano la chiave con l'ora di inizio più recente e passare automaticamente alla chiave successiva con il passare del tempo. Tutte le chiavi configurate hanno tempi di scadenza infiniti. Ciò significa che per completare una rotazione della chiave, devi rimuovere la vecchia chiave che non vuoi che venga utilizzata.
Verificare la chiave attiva
Completa i seguenti passaggi:
Per elencare le chiavi esistenti, seleziona una delle seguenti opzioni:
Console
Nella console Google Cloud, vai alla scheda Connessioni fisiche di Cloud Interconnect.
Seleziona la connessione che vuoi visualizzare.
Nella sezione Chiavi precondivise della scheda MACsec sono elencate tutte chiavi precondivise per questa connessione.
gcloud
gcloud compute interconnects macsec get-config INTERCONNECT_CONNECTION_NAME
L'output è simile al seguente:
preSharedKeys: - name: key1 ckn: 0101010189abcdef...0123456789abcdef cak: 0123456789abcdef...0123456789abcdef startTime: 2023-07-01T12:12:12Z - name: key2 ckn: 0202020289abcdef...0123456789abcdef cak: 0123456889abcdef...0123456789abcdef startTime: 2023-08-01T12:12:12Z
Prendi nota del valore CKN per la chiave elencata prima dell'ultima chiave.
Per verificare che la chiave attiva sia elencata prima di rimuovere quella precedente, seleziona una delle seguenti opzioni:
Console
- Nella sezione delle chiavi Pre-condivise, verifica che la nuova chiave mostri un stato Attivo, in uso.
gcloud
gcloud compute interconnects get-diagnostics INTERCONNECT_CONNECTION_NAME
L'output è simile al seguente; cerca
macsec
:bundleAggregationType: BUNDLE_AGGREGATION_TYPE_STATIC bundleOperationalStatus: BUNDLE_OPERATIONAL_STATUS_UP links: - circuitId: LOOP-0 googleDemarc: fake-local-demarc-0 lacpStatus: googleSystemId: '00:11:22:33:44:55' neighborSystemId: '55:44:33:22:11:00' state: ACTIVE macsec: ckn: 0202020289abcdef...0123456789abcdef operational: true operationalStatus: LINK_OPERATIONAL_STATUS_UP receivingOpticalPower: state: OK value: -2.49 transmittingOpticalPower: state: OK value: -0.88 macAddress: 00:11:22:33:44:55
Il comando
gcloud compute interconnects get-diagnostics
mostra il valore CKN della chiave attiva. Se hai configurato più di una chiave, la chiave con l'ora di inizio più recente viene selezionata come chiave attiva. di Google i router perimetrali rifiutano le nuove sessioni MACsec che tentano di utilizzare la vecchia chiave.
Rimuovi la vecchia chiave
Come misura di sicurezza, MACsec per Cloud Interconnect ti impedisce rimuovendo l'ultima chiave attiva.
Per rimuovere la vecchia chiave, completa i seguenti passaggi:
Rimuovi la vecchia chiave dalla configurazione del router on-premise. In questo modo, il router on-premise non utilizzerà la vecchia chiave prima che tu la elimini da Cloud Interconnect.
Per rimuovere la vecchia chiave dalla configurazione della connessione Cloud Interconnect, seleziona una delle seguenti opzioni:
Console
Nella console Google Cloud, vai alla scheda Connessioni fisiche di Cloud Interconnect.
Seleziona la connessione che vuoi visualizzare.
Nella scheda MACsec, vai a Chiavi pre-condivise, seleziona la chiave da eliminare e fai clic su Elimina.
Nella sezione Chiavi precondivise, verifica che sia visualizzata la nuova chiave Lo stato della chiave sia Attivo, in uso e che la chiave che volevi elimina non è più in elenco.
gcloud
Esegui questo comando:
gcloud compute interconnects macsec remove-key INTERCONNECT_CONNECTION_NAME \ --key-name=KEY_NAME
Sostituisci quanto segue:
INTERCONNECT_CONNECTION_NAME
: il nome della connessione Cloud InterconnectKEY_NAME
: nome della chiave
Per verificare di aver rimosso la chiave corretta, esegui il seguente comando:
gcloud compute interconnects macsec get-config INTERCONNECT_CONNECTION_NAME
L'output è simile al seguente:
preSharedKeys: - name: key2 ckn: 0202020289abcdef...0123456789abcdef cak: 0123456889abcdef...0123456789abcdef startTime: 2023-08-01T12:12:12Z