Utiliser les clés de chiffrement gérées par le client

Cet article explique comment protéger les images de conteneur déployées sur les services Cloud Run à l'aide des clés de chiffrement gérées par le client (CMEK) de Cloud KMS. Vous pouvez utiliser cette fonctionnalité pour protéger les conteneurs importés par Cloud Run avec une clé CMEK au repos.

Vous devez tenir compte des points suivants :

Les métadonnées des fichiers, tels que le chemin d'accès, ne sont pas chiffrées.
Les métadonnées du service Cloud Run, telles que les variables de nom ou d'environnement, ne sont pas chiffrées à l'aide de la clé fournie, mais avec une clé gérée par Google.
Lors de l'exécution, la mémoire et le contenu des fichiers ne sont pas chiffrés.
Si une clé CMEK est désactivée, les nouvelles instances de révisions Cloud Run existantes qui utilisent cette clé ne démarrent pas.
Si une clé CMEK est désactivée, le déploiement d'une nouvelle révision Cloud Run échouera, sauf si une nouvelle clé valide est utilisée.

Étant donné que la clé CMEK est sous votre contrôle et n'est pas contrôlée par Google, personne, y compris Google, ne peut accéder aux données protégées par ces clés de chiffrement lorsque les clés sont désactivées ou détruites.

L'utilisation de CMEK génère des journaux d'audit. Pour en savoir plus, consultez la page Comprendre les journaux d'audit et les messages d'erreur.

Quotas Cloud KMS et Cloud Run

Vous pouvez définir votre CMEK sur l'un des niveaux de protection disponibles pour indiquer comment sont effectuées les opérations de chiffrement. Lorsque vous utilisez des clés de chiffrement gérées par le client (CMEK) dans Cloud Run, vos projets peuvent consommer des quotas de requêtes de chiffrement Cloud KMS. Par exemple, les dépôts chiffrés par CMEK peuvent consommer ces quotas pour chaque importation ou téléchargement.

Les opérations de chiffrement et de déchiffrement utilisant des clés CMEK affectent les quotas de Cloud KMS de différentes manières :

Pour les clés CMEK logicielles générées dans Cloud KMS, aucun quota Cloud KMS n'est utilisé.
Pour les clés CMEK matérielles (parfois appelées clés Cloud HSM), les opérations de chiffrement et de déchiffrement sont comptabilisées dans les quotas Cloud HSM du projet contenant la clé.
Pour les clés CMEK externes, parfois appelées clés Cloud EKM, les opérations de chiffrement et de déchiffrement sont comptabilisées dans les quotas Cloud EKM du projet contenant la clé.

Pour en savoir plus, consultez la page Quotas Cloud KMS.

Impact de la fonctionnalité CMEK sur le comportement de l'autoscaling

Le comportement d'autoscaling attendu pour votre service Cloud Run peut être affecté lorsque vous utilisez des clés de chiffrement gérées par le client. Par exemple, la latence de démarrage des nouvelles instances peut augmenter en raison des délais de communication avec les systèmes de gestion de clés externes pour les opérations de clés.

Le tableau suivant montre les changements de comportement possibles liés à l'utilisation de la fonctionnalité CMEK :

Opération CMEK	Comportement d'autoscaling
Clé désactivée/détruite/révoquée	Les nouvelles instances ne démarrent pas.
Impossible de contacter le gestionnaire de clés externe	Si la requête de clé peut être relancée, aucune instance n'est arrêtée lors des nouvelles tentatives et aucune nouvelle instance ne démarre. Le scaling horizontal peut prendre plus de temps que prévu. Si la requête de clé ne peut pas être relancée, aucune nouvelle instance n'est démarrée et les instances en cours d'exécution sont arrêtées après un délai d'attente.
Quota KMS dépassé	Si ce quota est dépassé, des erreurs `RESOURCE_EXHAUSTED` sont consignées et les nouvelles instances ne démarrent pas. Pour résoudre ce problème, vous pouvez demander un quota supplémentaire.

Avant de commencer

Activez l'API Cloud Run Admin

Autoriser Cloud Run à accéder à une clé

Pour utiliser CMEK pour Cloud Run, procédez comme suit :

Utilisez une clé symétrique Cloud KMS existante ou créez une clé symétrique.
Pour autoriser Cloud Run à accéder à la clé, accordez à l'agent de service Cloud Run le rôle Chiffreur/Déchiffreur de CryptoKeys Cloud KMS :
Console
1. Accédez à la page Clés de chiffrement.
2. Cliquez sur le trousseau de clés pour ouvrir la page de la liste des clés.
3. Sélectionnez la clé, puis cliquez sur Ajouter une entité principale dans l'onglet des autorisations situé à droite.
4. Dans le champ Nouvelles entités principales, copiez l'adresse e-mail de l'agent de service Cloud Run. Elle porte le suffixe suivant :
  
  @serverless-robot-prod.iam.gserviceaccount.com.
5. Dans le champ Sélectionner un rôle, sélectionnez Chiffreur/Déchiffreur de CryptoKeys Cloud KMS.
gcloud
Exécutez la commande gcloud kms suivante :
```
gcloud kms keys add-iam-policy-binding KEY_NAME \
--keyring=KEYRING \
--location=LOCATION) \
--member=MEMBER \
--role='roles/cloudkms.cryptoKeyEncrypterDecrypter'
```
Remplacer
- KEY_NAME par le nom de votre clé.
- KEYRING par le nom de votre trousseau de clés.
- LOCATION par le nom de votre région.
- MEMBERCopiez l'adresse e-mail de l'agent de service Cloud Run. Elle porte le suffixe @serverless-robot-prod.iam.gserviceaccount.com.
Vous devez disposer des autorisations nécessaires pour administrer les ressources Cloud KMS du projet Google Cloud afin d'accorder le rôle IAM roles/cloudkms.cryptoKeyEncrypterDecrypter. Seuls les membres IAM dotés du rôle de propriétaire (roles/owner) ou d'administrateur Cloud KMS (roles/cloudkms.admin) peuvent accorder ou révoquer l'accès aux ressources Cloud KMS.

Configurer le chiffrement CMEK pour un service Cloud Run

Tout changement de configuration entraîne la création d'une révision. Les révisions ultérieures obtiennent aussi automatiquement le même paramètre de configuration, à moins que vous ne le mettiez explicitement à jour.

Console

Dans la console Google Cloud, accédez à Cloud Run :

Accédez à Cloud Run
Cliquez sur Créer un service si vous configurez un nouveau service sur lequel effectuer un déploiement. Si vous configurez un service existant, cliquez sur celui-ci puis sur Modifier et déployer la nouvelle révision.
Si vous configurez un nouveau service, remplissez la page initiale des paramètres du service selon vos besoins, puis cliquez sur Conteneur(s), volumes, mise en réseau et sécurité pour développer la page de configuration du service.
Cliquez sur l'onglet Security (Sécurité).
- Sous Chiffrement :
  1. Sélectionnez Clé de chiffrement gérée par le client (CMEK).
  2. Dans le menu Sélectionner une clé gérée par le client, choisissez l'une des options suivantes :
  3. Dans le menu du Action en cas de révocation de clé, choisissez l'une des options suivantes :
Cliquez sur Créer ou Déployer.

gcloud

Pour définir une clé sur un service, utilisez l'une des commandes suivantes :

gcloud run deploy SERVICE \
--image IMAGE_URL \
--key KEY \
--post-key-revocation-action-type KEY_REVOCATION_ACTION
--encryption-key-shutdown-hours SHUTDOWN_HOURS

gcloud run services update SERVICE --key KEY
--post-key-revocation-action-type KEY_REVOCATION_ACTION
--encryption-key-shutdown-hours SHUTDOWN_HOURS

Remplacer

SERVICE par le nom de votre service.
IMAGE_URL par une référence à l'image de conteneur, par exemple us-docker.pkg.dev/cloudrun/container/hello:latest. Si vous utilisez Artifact Registry, le dépôt REPO_NAME doit déjà être créé. L'URL se présente sous la forme suivante : LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG
KEY par le nom complet de la clé, au format suivant : projects/PROJECT_NAME/locations/LOCATION/keyRings/RING_NAME/cryptoKeys/KEY_NAME.
KEY_REVOCATION_ACTION par shut-down ou prevent-new, en fonction de vos préférences de révocation de clé.
SHUTDOWN_HOURS par le délai d'arrêt avant la fermeture du service après la révocation.

YAML

Vous pouvez télécharger et afficher les configurations de service existantes à l'aide de la commande gcloud run services describe --format export, qui renvoie les résultats nettoyés au format YAML. Vous pouvez ensuite modifier les champs décrits ci-dessous et importer le fichier YAML modifié à l'aide de la commande gcloud run services replace. Veillez à ne modifier que les champs indiqués.

Pour afficher et télécharger la configuration, exécutez la commande suivante :
```
gcloud run services describe SERVICE --format export > service.yaml
```
Mettez à jour les annotations CMEK suivantes avec les valeurs souhaitées :
```
apiVersion: serving.knative.dev/v1
kind: Service
metadata:
  name: SERVICE
spec:
  template:
    metadata:
      annotations:
        run.googleapis.com/encryption-key: projects/PROJECT_NAME/locations/LOCATION/keyRings/RING_NAME/cryptoKeys/KEY_NAME
        run.googleapis.com/post-key-revocation-action-type: KEY_REVOCATION_ACTION
        run.googleapis.com/encryption-key-shutdown-hours: SHUTDOWN_HOURS
      name: REVISION
```
Remplacer
- SERVICE par le nom de votre service Cloud Run ;
- PROJECT_NAME par le nom du projet dans lequel la clé a été créée.
- LOCATION par l'emplacement dans lequel la clé a été créée. Doit correspondre à l'emplacement du service Cloud Run.
- RING_NAME par le nom du trousseau de clés.
- KEY_NAME par le nom de la clé.
- KEY_REVOCATION_ACTION par shut-down ou prevent-new, en fonction de vos préférences de révocation de clé.
- SHUTDOWN_HOURS par le délai d'arrêt avant la fermeture du service après la révocation.
- REVISION par un nouveau nom de révision ou supprimez-le (le cas échéant). Si vous indiquez un nouveau nom de révision, il doit répondre aux critères suivants :
  - Commencer par SERVICE-
  - Ne contenir que des lettres minuscules, des chiffres et -
  - Ne pas se terminer par -
  - Ne pas dépasser 63 caractères
Remplacez la configuration du service en utilisant la commande suivante :
```
gcloud run services replace service.yaml
```

Afficher les paramètres de sécurité

Pour afficher les paramètres actuels de sécurité pour votre service Cloud Run, procédez comme suit :

Console

Dans la console Google Cloud, accédez à Cloud Run :

Accédez à Cloud Run
Cliquez sur le service qui vous intéresse pour ouvrir la page Informations sur le service.
Cliquez sur l'onglet Révisions.
Dans le panneau de détails situé à droite, le paramètre de sécurité est répertorié sous l'onglet Sécurité.

Ligne de commande

Exécutez la commande suivante :
```
gcloud run services describe SERVICE
```
Recherchez le paramètre de sécurité dans la configuration renvoyée.

Comprendre les journaux d'audit et les messages d'erreur

Si vous êtes responsable de la surveillance des journaux d'audit, l'une de vos tâches peut consister à vérifier les opérations CMEK dans votre service Cloud Run. Dans ce cas, vous devez comprendre les journaux d'audit associés.

Si vous êtes responsable du traitement et de la correction des erreurs d'exécution pour votre service Cloud Run, vous devrez peut-être résoudre les erreurs CMEK consignées lors du fonctionnement du service Cloud Run.

Les sections suivantes fournissent les informations nécessaires pour effectuer les tâches ci-dessus.

Journaux d'audit

Les journaux d'audit KMS fournissent une piste d'audit pour chaque opération effectuée avec une clé. Pour les services Cloud Run sur lesquels l'option CMEK est activée, Cloud Run ajoute un contexte d'appelant spécifique à Cloud Run qui détaille la raison pour laquelle le système a accédé à la clé client. Le tableau suivant répertorie les contextes que vous pouvez rencontrer dans les journaux d'audit :

Motif de l'accès à la clé	Description
`Decrypting CMEK-encrypted layer during container clone start.`	Consigné chaque fois qu'une nouvelle instance est démarrée.
`Encrypting a newly created data-encryption-key w/ the customer-managed-encryption-key.`	Consigné lors du déploiement d'un service avec CMEK, lorsque la clé CMEK est encapsulée par une clé KMS.
`Decrypting an existing encrypted data-encryption-key, under the same customer-managed-encryption-key, to be used to encrypt container contents.`	Consigné au démarrage d'une nouvelle instance, ce qui nécessite un déchiffrement de l'image.
`Performing an encrypt operation on dummy data to check the customer-managed-encryption-key status and access.`	Consigné chaque fois qu'une vérification de validation est effectuée sur la clé, ce qui arrive régulièrement.
`Performing an decrypt operation on dummy data to check the customer-managed-encryption-key status and access.`	Consigné chaque fois qu'une vérification de validation est effectuée sur la clé, ce qui arrive régulièrement.

Pour en savoir plus sur le format et le contenu des journaux d'audit, consultez la page Journaux d'audit KMS.

Messages d'erreur

Notez que les messages d'erreur fournis par un gestionnaire de clés externe sont directement transmis aux journaux Cloud Run de votre service.

Le tableau suivant répertorie les messages d'erreur liés aux CMEK que vous pouvez rencontrer, accompagnés de descriptions et de solutions possibles.

Message	Description
`User's service account does not have CMEK decrypter permission. Service account: %s`	Solution : Autorisez le service à accéder à la clé.
`User's KMS operation quota has been exceeded. CMEK key: %s`	Le service avec CMEK a dépassé les quotas KMS. Solution : Demandez un quota KMS plus élevé
`User's CMEK key has been disabled. CMEK key: %s`	La clé CMEK a été révoquée. Solution : Modifiez la clé CMEK du service et redéployez-le.
`User's CMEK key has been destroyed. CMEK key: %s`	La clé CMEK a été supprimée. Solution : Modifiez la clé CMEK du service et redéployez-le.
`User's CMEK key has been scheduled for deletion. CMEK Key: %s`	La suppression de la clé CMEK a été programmée. Solution : Modifiez la clé CMEK du service et redéployez-le.

Étape suivante

En savoir plus sur les autorisations et rôles dans Cloud KMS.
Créez une clé.
Journaux d'audit