Crear una clave encapsulada

En esta página se describe cómo usar Cloud Key Management Service (Cloud KMS) para crear una clave envuelta que pueda usar para enviar solicitudes deidentify y reidentify a la API Cloud Data Loss Prevention de Protección de Datos Sensibles.

El proceso de usar una clave criptográfica para anonimizar y volver a identificar contenido se denomina seudonimización (o tokenización). Para obtener información conceptual sobre este proceso, consulta Pseudonimización.

Para ver un ejemplo completo que muestre cómo crear una clave envuelta, tokenizar contenido y reidentificar contenido tokenizado, consulta Guía de inicio rápido: Desidentificar y reidentificar texto sensible.

Puedes completar los pasos de este tema en un plazo de entre 5 y 10 minutos, sin incluir los pasos de la sección Antes de empezar.

Nota: Cuando usas Cloud KMS para realizar operaciones criptográficas, se aplican cargos. Además, cuando usas una clave de Cloud HSM o una clave de Cloud EKM, consumes cuota de Cloud KMS en el proyecto que contiene la clave. Por el contrario, si usas una clave de software de Cloud KMS con Protección de Datos Sensibles, no se aplican valores de cuota. Para obtener más información, consulta Cuotas en la documentación de Cloud KMS.

Antes de empezar

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.
Install the Google Cloud CLI.
Si utilizas un proveedor de identidades (IdP) externo, primero debes iniciar sesión en la CLI de gcloud con tu identidad federada.
Para inicializar gcloud CLI, ejecuta el siguiente comando:
gcloud init
Create or select a Google Cloud project.
Roles required to select or create a project
• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.
Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.
• Create a Google Cloud project:

  gcloud projects create PROJECT_ID

  Replace PROJECT_ID with a name for the Google Cloud project you are creating.

• Select the Google Cloud project that you created:

  gcloud config set project PROJECT_ID

  Replace PROJECT_ID with your Google Cloud project name.
Verify that billing is enabled for your Google Cloud project.
Enable the Sensitive Data Protection and Cloud KMS APIs:
Roles required to enable APIs
To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.
gcloud services enable dlp.googleapis.com cloudkms.googleapis.com
Grant roles to your user account. Run the following command once for each of the following IAM roles: roles/dlp.user
gcloud projects add-iam-policy-binding PROJECT_ID --member="user:USER_IDENTIFIER" --role=ROLE
Replace the following:
• PROJECT_ID: your project ID.
• USER_IDENTIFIER: the identifier for your user account—for example, [e-mail].
• ROLE: the IAM role that you grant to your user account.

Install the Google Cloud CLI.

Si utilizas un proveedor de identidades (IdP) externo, primero debes iniciar sesión en la CLI de gcloud con tu identidad federada.

Para inicializar gcloud CLI, ejecuta el siguiente comando:

gcloud init

Create or select a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

• Create a Google Cloud project:

  gcloud projects create PROJECT_ID

  Replace PROJECT_ID with a name for the Google Cloud project you are creating.

• Select the Google Cloud project that you created:

  gcloud config set project PROJECT_ID

  Replace PROJECT_ID with your Google Cloud project name.

Verify that billing is enabled for your Google Cloud project.

Enable the Sensitive Data Protection and Cloud KMS APIs:

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

gcloud services enable dlp.googleapis.com cloudkms.googleapis.com

Grant roles to your user account. Run the following command once for each of the following IAM roles: roles/dlp.user

gcloud projects add-iam-policy-binding PROJECT_ID --member="user:USER_IDENTIFIER" --role=ROLE

Replace the following:

• PROJECT_ID: your project ID.
• USER_IDENTIFIER: the identifier for your user account—for example, [e-mail].
• ROLE: the IAM role that you grant to your user account.

Paso 1: Crea un conjunto de claves y una clave

Antes de iniciar este procedimiento, decide dónde quieres que Protección de Datos Sensibles procese tus solicitudes de desidentificación y reidentificación. Cuando creas una clave de Cloud KMS, debes almacenarla en global o en la misma región que vayas a usar para tus solicitudes de protección de datos sensibles. De lo contrario, las solicitudes de protección de datos sensibles fallarán.

Puedes consultar una lista de las ubicaciones admitidas en Ubicaciones de Protección de Datos Sensibles. Anota el nombre de la región que hayas elegido (por ejemplo, us-west1).

En este procedimiento se usa global como ubicación para todas las solicitudes de API. Si quieres usar otra región, sustituye global por el nombre de la región.

1. Crea un conjunto de claves:

   gcloud kms keyrings create "dlp-keyring" \
       --location "global"
   

2. Para crear una clave, sigue estos pasos:

   gcloud kms keys create "dlp-key" \
       --location "global" \
       --keyring "dlp-keyring" \
       --purpose "encryption"
   

3. Consulta tu conjunto de claves y tu clave:

   gcloud kms keys list \
       --location "global" \
       --keyring "dlp-keyring"
   

   Obtendrás el siguiente resultado:

   NAME                                                                                   PURPOSE          ALGORITHM                    PROTECTION_LEVEL  LABELS  PRIMARY_ID  PRIMARY_STATE
   projects/PROJECT_ID/locations/global/keyRings/dlp-keyring/cryptoKeys/dlp-key  ENCRYPT_DECRYPT  GOOGLE_SYMMETRIC_ENCRYPTION  SOFTWARE                  1           ENABLED
   

   En este resultado, PROJECT_ID es el ID de tu proyecto.

   La ruta de NAME es el nombre de recurso completo de tu clave de Cloud KMS. Anótalo, ya que es necesario para las solicitudes de anonimización y reidentificación.

Paso 2: Crea una clave AES codificada en base64

En esta sección se describe cómo crear una clave del estándar de cifrado avanzado (AES) y codificarla en formato base64.

Nota: En estos pasos se usan los comandos openssl y base64, pero hay muchas otras formas de llevar a cabo esta tarea.

1. Crea una clave AES de 128, 192 o 256 bits. El siguiente comando usa openssl para crear una clave de 256 bits en el directorio actual:

   openssl rand -out "./aes_key.bin" 32
   

   El archivo aes_key.bin se añade al directorio actual.

2. Codifica la clave AES como una cadena base64:

   base64 -i ./aes_key.bin
   

   Obtendrás un resultado similar al siguiente:

   uEDo6/yKx+zCg2cZ1DBwpwvzMVNk/c+jWs7OwpkMc/s=
   

   Advertencia: No utilices esta clave de ejemplo para proteger cargas de trabajo sensibles reales. Esta clave se proporciona únicamente a modo de ejemplo. Como se ha compartido aquí, no es seguro usar esta clave.

Paso 3: Encapsula la clave AES con la clave de Cloud KMS

En esta sección se describe cómo usar la clave de Cloud KMS que has creado en el paso 1 para envolver la clave AES codificada en base64 que has creado en el paso 2.

Para envolver la clave AES, usa curl para enviar la siguiente solicitud a la API de Cloud KMS projects.locations.keyRings.cryptoKeys.encrypt:

curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/global/keyRings/dlp-keyring/cryptoKeys/dlp-key:encrypt" \
  --request "POST" \
  --header "Authorization:Bearer $(gcloud auth application-default print-access-token)" \
  --header "content-type: application/json" \
  --data "{\"plaintext\": \"BASE64_ENCODED_AES_KEY\"}"

Haz los cambios siguientes:

• PROJECT_ID: el ID de tu proyecto.
• BASE64_ENCODED_AES_KEY: la cadena codificada en base64 devuelta en el paso 2.

La respuesta que obtienes de Cloud KMS es similar al siguiente archivo JSON:

{
  "name": "projects/PROJECT_ID/locations/global/keyRings/dlp-keyring/cryptoKeys/dlp-key/cryptoKeyVersions/1",
  "ciphertext": "CiQAYuuIGo5DVaqdE0YLioWxEhC8LbTmq7Uy2G3qOJlZB7WXBw0SSQAjdwP8ZusZJ3Kr8GD9W0vaFPMDksmHEo6nTDaW/j5sSYpHa1ym2JHk+lUgkC3Zw5bXhfCNOkpXUdHGZKou1893O8BDby/82HY=",
  "ciphertextCrc32c": "901327763",
  "protectionLevel": "SOFTWARE"
}

En este resultado, PROJECT_ID es el ID de tu proyecto.

Anota el valor de ciphertext en la respuesta que recibas. Esa es tu clave encapsulada.

Siguientes pasos

• Más información sobre la tokenización de datos mediante una clave criptográfica

• Consulta un ejemplo completo que muestra cómo crear una clave envuelta, tokenizar contenido y volver a identificar contenido tokenizado.

• Consulta más información sobre los métodos de anonimización que aceptan esta clave envuelta y examina ejemplos de código.