顧客管理の暗号鍵の使用

コンセプトに移動

このページでは、バケットでデフォルトの鍵を設定する方法や個々のオブジェクトに鍵を追加するなど、Cloud Storage で Cloud Key Management Service の暗号鍵を使用する方法について説明します。Cloud KMS 暗号鍵は、Cloud KMS によって作成され、ユーザーによって管理される顧客管理の暗号鍵です。

Cloud KMS の詳細については、Cloud KMS をご覧ください。

前提条件

Cloud Storage でこの機能を使用する前に、以下の準備が必要です。

1. 暗号鍵を格納するプロジェクトの Cloud KMS API を有効にする。

   API の有効化

2. 暗号鍵を格納するプロジェクトに対して十分な権限を持つ。

   • 鍵が保存されるプロジェクトを所有している場合は、必要な権限があると考えられます。

   • 新しい暗号キーリングと鍵を作成する予定がある場合は、cloudkms.keyRings.create と cloudkms.cryptoKey.create の権限が必要です。

   • キーリングと鍵を使用する予定がある場合は、それが新規か既存かを問わず、暗号化に使用する鍵に対する cloudkms.cryptoKey.setIamPolicy 権限が必要です。

     この権限があると、Cloud Storage サービス アカウントに Cloud KMS 鍵へのアクセス権を付与できます。

   • 上記の権限は、Cloud KMS 管理者ロールに含まれています。

     このロールを含め、Cloud KMS のロールの取得方法については、IAM と Cloud KMS の使用をご覧ください。

3. Cloud Storage バケット内のオブジェクトを操作するための十分な権限を持つ。

   • バケットを含むプロジェクトを所有している場合は、必要な権限を持っていると考えられます。

   • IAM を使用する場合は、バケットにオブジェクトを書き込むための storage.objects.create 権限とバケットからオブジェクトを読み取るための storage.objects.get 権限が必要です。これらの権限を持つロール（ストレージ オブジェクト管理者など）を取得する手順については、IAM 権限の使用をご覧ください。

   • ACL を使用する場合は、バケットにオブジェクトを書き込むためのバケット範囲の WRITER 権限とバケットからオブジェクトを読み取るためのオブジェクト範囲の READER 権限が必要です。設定方法については、ACL の設定をご覧ください。

4. Cloud KMS キーリングと、キーリング内に少なくとも 1 つの鍵を持っている。

   注: Cloud KMS 鍵は、暗号化するデータと同じロケーションに作成する必要があります。指定できる Cloud KMS のロケーションについては、Cloud KMS のロケーションをご覧ください。
5. 注: gsutil ツールを使用する場合は、次の手順を行う必要はありません。

   Cloud Storage バケットを含むプロジェクトに関連付けられているサービス アカウントのメールアドレスを取得する。

サービス アカウントへの Cloud KMS 鍵の割り当て

顧客管理の暗号鍵を使用するには、Cloud Storage サービス アカウントに Cloud KMS 鍵を使用する権限を付与する必要があります。

Console

1. Google Cloud Console で Cloud Key Management Service 鍵ブラウザを開きます。
   Cloud KMS 鍵のブラウザを開く

2. 目的の鍵を含むキーリングの名前をクリックします。

3. 使用する鍵のチェックボックスをオンにします。

   右側のウィンドウの [権限] タブが有効になります。

4. [メンバーの追加] ダイアログで、アクセス権を付与する Cloud Storage サービス アカウントのメールアドレスを指定します。

5. [役割を選択] プルダウンで、[クラウド KMS 暗号鍵の暗号化 / 復号] を選択します。

6. [追加] をクリックします。

Cloud Storage ブラウザで失敗したオペレーションに関する詳細なエラー情報を確認する方法については、トラブルシューティングをご覧ください。

gsutil

gsutil kms authorize コマンドを使用して、バケットに関連付けられたサービス アカウントに、Cloud KMS 鍵を使用してオブジェクトを暗号化、復号する権限を付与します。

gsutil kms authorize -p PROJECT_STORING_OBJECTS -k KEY_RESOURCE

ここで

• PROJECT_STORING_OBJECTS は、暗号化または復号するオブジェクトが含まれているプロジェクトの ID です。例: my-pet-project
• KEY_RESOURCE は Cloud KMS 鍵リソースです。例: projects/my-pet-project/locations/us-east1/keyRings/my-key-ring/cryptoKeys/my-key

付与された権限を削除するには、gcloud コマンドライン ツールまたは Google Cloud Console のいずれかを使用する必要があります。

コードサンプル

C#

詳細については、Cloud Storage C# API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

using Google.Cloud.Iam.V1;
using Google.Cloud.Kms.V1;

public class IamAddMemberSample
{
    public Policy IamAddMember(
      string projectId = "my-project", string locationId = "us-east1", string keyRingId = "my-key-ring", string keyId = "my-key",
      string member = "user:[e-mail]")
    {
        // Create the client.
        KeyManagementServiceClient client = KeyManagementServiceClient.Create();

        // Build the resource name.
        CryptoKeyName resourceName = new CryptoKeyName(projectId, locationId, keyRingId, keyId);

        // The resource name could also be a key ring.
        // var resourceName = new KeyRingName(projectId, locationId, keyRingId);

        // Get the current IAM policy.
        Policy policy = client.GetIamPolicy(resourceName);

        // Add the member to the policy.
        policy.AddRoleMember("roles/cloudkms.cryptoKeyEncrypterDecrypter", member);

        // Save the updated IAM policy.
        Policy result = client.SetIamPolicy(resourceName, policy);

        // Return the resulting policy.
        return result;
    }
}

Go

詳細については、Cloud Storage Go API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

import (
	"context"
	"fmt"
	"io"

	kms "cloud.google.com/go/kms/apiv1"
)

// iamAddMember adds a new IAM member to the Cloud KMS key
func iamAddMember(w io.Writer, name, member string) error {
	// NOTE: The resource name can be either a key or a key ring. If IAM
	// permissions are granted on the key ring, the permissions apply to all keys
	// in the key ring.
	//
	// name := "projects/my-project/locations/us-east1/keyRings/my-key-ring/cryptoKeys/my-key"
	// member := "user:[e-mail]"

	// Create the client.
	ctx := context.Background()
	client, err := kms.NewKeyManagementClient(ctx)
	if err != nil {
		return fmt.Errorf("failed to create kms client: %v", err)
	}

	// Get the current IAM policy.
	handle := client.ResourceIAM(name)
	policy, err := handle.Policy(ctx)
	if err != nil {
		return fmt.Errorf("failed to get IAM policy: %v", err)
	}

	// Grant the member permissions. This example grants permission to use the key
	// to encrypt data.
	policy.Add(member, "roles/cloudkms.cryptoKeyEncrypterDecrypter")
	if err := handle.SetPolicy(ctx, policy); err != nil {
		return fmt.Errorf("failed to save policy: %v", err)
	}

	fmt.Fprintf(w, "Updated IAM policy for %s\n", name)
	return nil
}

Java

詳細については、Cloud Storage Java API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

import com.google.cloud.kms.v1.CryptoKeyName;
import com.google.cloud.kms.v1.KeyManagementServiceClient;
import com.google.iam.v1.Binding;
import com.google.iam.v1.Policy;
import java.io.IOException;

public class IamAddMember {

  public void iamAddMember() throws IOException {
    // TODO(developer): Replace these variables before running the sample.
    String projectId = "your-project-id";
    String locationId = "us-east1";
    String keyRingId = "my-key-ring";
    String keyId = "my-key";
    String member = "user:[e-mail]";
    iamAddMember(projectId, locationId, keyRingId, keyId, member);
  }

  // Add the given IAM member to the key.
  public void iamAddMember(
      String projectId, String locationId, String keyRingId, String keyId, String member)
      throws IOException {
    // Initialize client that will be used to send requests. This client only
    // needs to be created once, and can be reused for multiple requests. After
    // completing all of your requests, call the "close" method on the client to
    // safely clean up any remaining background resources.
    try (KeyManagementServiceClient client = KeyManagementServiceClient.create()) {
      // Build the key version name from the project, location, key ring, key,
      // and key version.
      CryptoKeyName resourceName = CryptoKeyName.of(projectId, locationId, keyRingId, keyId);

      // The resource name could also be a key ring.
      // KeyRingName resourceName = KeyRingName.of(projectId, locationId, keyRingId);

      // Get the current policy.
      Policy policy = client.getIamPolicy(resourceName);

      // Create a new IAM binding for the member and role.
      Binding binding =
          Binding.newBuilder()
              .setRole("roles/cloudkms.cryptoKeyEncrypterDecrypter")
              .addMembers(member)
              .build();

      // Add the binding to the policy.
      Policy newPolicy = policy.toBuilder().addBindings(binding).build();

      client.setIamPolicy(resourceName, newPolicy);
      System.out.printf("Updated IAM policy for %s%n", resourceName.toString());
    }
  }
}

Node.js

詳細については、Cloud Storage Node.js API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

//
// TODO(developer): Uncomment these variables before running the sample.
//
// const projectId = 'my-project';
// const locationId = 'us-east1';
// const keyRingId = 'my-key-ring';
// const keyId = 'my-key';
// const member = 'user:[e-mail]';

// Imports the Cloud KMS library
const {KeyManagementServiceClient} = require('@google-cloud/kms');

// Instantiates a client
const client = new KeyManagementServiceClient();

// Build the resource name
const resourceName = client.cryptoKeyPath(
  projectId,
  locationId,
  keyRingId,
  keyId
);

// The resource name could also be a key ring.
// const resourceName = client.keyRingPath(projectId, locationId, keyRingId);

async function iamAddMember() {
  // Get the current IAM policy.
  const [policy] = await client.getIamPolicy({
    resource: resourceName,
  });

  // Add the member to the policy.
  policy.bindings.push({
    role: 'roles/cloudkms.cryptoKeyEncrypterDecrypter',
    members: [member],
  });

  // Save the updated policy.
  const [updatedPolicy] = await client.setIamPolicy({
    resource: resourceName,
    policy: policy,
  });

  console.log('Updated policy');
  return updatedPolicy;
}

return iamAddMember();

PHP

詳細については、Cloud Storage PHP API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

use Google\Cloud\Iam\V1\Binding;
use Google\Cloud\Kms\V1\KeyManagementServiceClient;

function iam_add_member_sample(
    string $projectId = 'my-project',
    string $locationId = 'us-east1',
    string $keyRingId = 'my-key-ring',
    string $keyId = 'my-key',
    string $member = 'user:[e-mail]'
) {
    // Create the Cloud KMS client.
    $client = new KeyManagementServiceClient();

    // Build the resource name.
    $resourceName = $client->cryptoKeyName($projectId, $locationId, $keyRingId, $keyId);

    // The resource name could also be a key ring.
    // $resourceName = $client->keyRingName($projectId, $locationId, $keyRingId);

    // Get the current IAM policy.
    $policy = $client->getIamPolicy($resourceName);

    // Add the member to the policy.
    $bindings = $policy->getBindings();
    $bindings[] = (new Binding())
        ->setRole('roles/cloudkms.cryptoKeyEncrypterDecrypter')
        ->setMembers([$member]);
    $policy->setBindings($bindings);

    // Save the updated IAM policy.
    $updatedPolicy = $client->setIamPolicy($resourceName, $policy);
    printf('Added %s' . PHP_EOL, $member);
    return $updatedPolicy;
}

Python

詳細については、Cloud Storage Python API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

def iam_add_member(project_id, location_id, key_ring_id, key_id, member):
    """
    Add an IAM member to a resource.

    Args:
        project_id (string): Google Cloud project ID (e.g. 'my-project').
        location_id (string): Cloud KMS location (e.g. 'us-east1').
        key_ring_id (string): ID of the Cloud KMS key ring (e.g. 'my-key-ring').
        key_id (string): ID of the key to use (e.g. 'my-key').
        member (string): Member to add (e.g. 'user:[e-mail]')

    Returns:
        Policy: Updated Cloud IAM policy.

    """

    # Import the client library.
    from google.cloud import kms

    # Create the client.
    client = kms.KeyManagementServiceClient()

    # Build the resource name.
    resource_name = client.crypto_key_path(project_id, location_id, key_ring_id, key_id)

    # The resource name could also be a key ring.
    # resource_name = client.key_ring_path(project_id, location_id, key_ring_id);

    # Get the current policy.
    policy = client.get_iam_policy(request={'resource': resource_name})

    # Add the member to the policy.
    policy.bindings.add(
        role='roles/cloudkms.cryptoKeyEncrypterDecrypter',
        members=[member])

    # Save the updated IAM policy.
    request = {
        'resource': resource_name,
        'policy': policy
    }

    updated_policy = client.set_iam_policy(request=request)
    print('Added {} to {}'.format(member, resource_name))
    return updated_policy

Ruby

詳細については、Cloud Storage Ruby API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

# TODO(developer): uncomment these values before running the sample.
# project_id  = "my-project"
# location_id = "us-east1"
# key_ring_id = "my-key-ring"
# key_id      = "my-key"
# member      = "user:[e-mail]"

# Require the library.
require "google/cloud/kms"

# Create the client.
client = Google::Cloud::Kms.key_management_service

# Build the resource name.
resource_name = client.crypto_key_path project:    project_id,
                                       location:   location_id,
                                       key_ring:   key_ring_id,
                                       crypto_key: key_id

# The resource name could also be a key ring.
# resource_name = client.key_ring_path project: project_id, location: location_id, key_ring: key_ring_id

# Create the IAM client.
iam_client = Google::Cloud::Kms::V1::IAMPolicy::Client.new

# Get the current IAM policy.
policy = iam_client.get_iam_policy resource: resource_name

# Add the member to the policy.
policy.bindings << Google::Iam::V1::Binding.new(
  members: [member],
  role:    "roles/cloudkms.cryptoKeyEncrypterDecrypter"
)

# Save the updated policy.
updated_policy = iam_client.set_iam_policy resource: resource_name, policy: policy
puts "Added #{member}"

REST API

JSON API

注: このタスクでは、ほとんどの Cloud Storage タスクとは別のエンドポイントを使用します。

1. OAuth 2.0 Playground から承認アクセス トークンを取得します。固有の OAuth 認証情報を使用するように Playground を構成します。

2. 次の情報が含まれる .json ファイルを作成します。

   {
     "policy": {
       "bindings": {
         "role": "roles/cloudkms.cryptoKeyEncrypterDecrypter",
         "members": "SERVICE_ACCOUNT_EMAIL_ADDRESS"
       },
     }
   }

   ここで、SERVICE_ACCOUNT_EMAIL_ADDRESS はサービス アカウントに関連付けられたメールアドレスです。例: [e-mail]

3. cURL を使用して、POST setIamPolicy リクエストで Cloud KMS API を呼び出します。

   curl -X POST --data-binary @JSON_FILE_NAME.json \
   -H "Authorization: Bearer OAUTH2_TOKEN" \
   -H "Content-Type: application/json" \
   "https://cloudkms.googleapis.com/v1/KEY_RESOURCE:setIamPolicy"

   ここで

   • JSON_FILE_NAME は、手順 2 で作成したファイルの名前です。
   • OAUTH2_TOKEN は、手順 1 で生成したアクセス トークンです。
   • KEY_RESOURCE は Cloud KMS 鍵リソースです。例: projects/my-pet-project/locations/us-east1/keyRings/my-key-ring/cryptoKeys/my-key

注意: このリクエストにより、鍵のリソースの既存の IAM ポリシーが置き換えられます。

注: ロールを割り当てた後、そのロールがサービス アカウントに適用されるまでには数秒かかることがあります。この権限をプログラムで付与する場合は、30 秒待ってから Cloud Storage を構成します。

XML API

XML API を使用して、Cloud KMS をサービス アカウントに割り当てることはできません。代わりに、gsutil などの、他のいずれかの Cloud Storage ツールを使用してください。

デフォルトの暗号鍵の使用

バケットのデフォルトの鍵の追加または変更

オブジェクトがバケットに書き込まれたときにデフォルトで使用される Cloud KMS 鍵を追加または変更するには:

Console

1. Google Cloud Console で Cloud Storage ブラウザを開きます。
   Cloud Storage ブラウザを開く

2. バケットのリストで、目的のバケットをクリックします。

3. バケットの詳細ページで、[構成] タブをクリックします。

4. 暗号化タイプのエントリに関連付けられた鉛筆アイコンをクリックします。

5. 現在、バケットで Cloud KMS 鍵が使用されていない場合は、[顧客管理の暗号鍵] ラジオボタンをオンにします。

6. 顧客管理の鍵のプルダウン メニューで、選択可能な鍵のいずれかを選択します。

7. [保存] をクリックします。

Cloud Storage ブラウザで失敗したオペレーションに関する詳細なエラー情報を確認する方法については、トラブルシューティングをご覧ください。

gsutil

gsutil kms encryption コマンドを使用します。

gsutil kms encryption -k KEY_RESOURCE gs://BUCKET_NAME

ここで

• KEY_RESOURCE は Cloud KMS 鍵リソースです。例: projects/my-pet-project/locations/us-east1/keyRings/my-key-ring/cryptoKeys/my-key
• BUCKET_NAME は、関連するバケットの名前です。例: my-bucket

成功した場合、レスポンスは次のようになります。

Setting default KMS key for bucket gs://my-bucket...

コードサンプル

C++

詳細については、Cloud Storage C++ API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

namespace gcs = google::cloud::storage;
using ::google::cloud::StatusOr;
[](gcs::Client client, std::string const& bucket_name,
   std::string const& key_name) {
  StatusOr<gcs::BucketMetadata> updated = client.PatchBucket(
      bucket_name, gcs::BucketMetadataPatchBuilder().SetEncryption(
                       gcs::BucketEncryption{key_name}));
  if (!updated) throw std::runtime_error(updated.status().message());

  if (!updated->has_encryption()) {
    std::cerr << "The change to set the encryption attribute on bucket "
              << updated->name()
              << " was sucessful, but the encryption is not set."
              << "This is unexpected, maybe a concurrent change?\n";
    return;
  }

  std::cout << "Successfully set default KMS key on bucket "
            << updated->name() << " to "
            << updated->encryption().default_kms_key_name << "."
            << "\nFull metadata: " << *updated << "\n";
}

C#

詳細については、Cloud Storage C# API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

using Google.Apis.Storage.v1.Data;
using Google.Cloud.Storage.V1;
using System;

public class EnableDefaultKMSKeySample
{
    public Bucket EnableDefaultKMSKey(
        string projectId = "your-project-id",
        string bucketName = "your-unique-bucket-name",
        string keyLocation = "us-west1",
        string kmsKeyRing = "kms-key-ring",
        string kmsKeyName = "key-name")
    {
        // KMS Key identifier of an already created KMS key.
        // If you use the Google.Cloud.Kms.V1 library, you can construct these names using helper class CryptoKeyName.
        // var fullKeyName = new CryptoKeyName(projectId, keyLocation, kmsKeyRing, kmsKeyName).ToString();
        string keyPrefix = $"projects/{projectId}/locations/{keyLocation}";
        string fullKeyringName = $"{keyPrefix}/keyRings/{kmsKeyRing}";
        string fullKeyName = $"{fullKeyringName}/cryptoKeys/{kmsKeyName}";
        var storage = StorageClient.Create();
        var bucket = storage.GetBucket(bucketName, new GetBucketOptions { Projection = Projection.Full });
        bucket.Encryption = new Bucket.EncryptionData { DefaultKmsKeyName = fullKeyName };
        var updatedBucket = storage.UpdateBucket(bucket);
        Console.WriteLine($"Default KMS key for {bucketName} was set to {kmsKeyName}.");
        return updatedBucket;
    }
}

Go

詳細については、Cloud Storage Go API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

import (
	"context"
	"fmt"
	"io"
	"time"

	"cloud.google.com/go/storage"
)

// setBucketDefaultKMSKey sets the Cloud KMS encryption key for the bucket.
func setBucketDefaultKMSKey(w io.Writer, bucketName, keyName string) error {
	// bucketName := "bucket-name"
	// keyName := "key"
	ctx := context.Background()
	client, err := storage.NewClient(ctx)
	if err != nil {
		return fmt.Errorf("storage.NewClient: %v", err)
	}
	defer client.Close()

	ctx, cancel := context.WithTimeout(ctx, time.Second*10)
	defer cancel()

	bucket := client.Bucket(bucketName)
	bucketAttrsToUpdate := storage.BucketAttrsToUpdate{
		Encryption: &storage.BucketEncryption{DefaultKMSKeyName: keyName},
	}
	if _, err := bucket.Update(ctx, bucketAttrsToUpdate); err != nil {
		return fmt.Errorf("Bucket(%q).Update: %v", bucketName, err)
	}
	fmt.Fprintf(w, "Default KMS Key Name: %v", bucketAttrsToUpdate.Encryption.DefaultKMSKeyName)
	return nil
}

Java

詳細については、Cloud Storage Java API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

// Instantiate a Google Cloud Storage client
Storage storage = StorageOptions.getDefaultInstance().getService();

// The name of the existing bucket to set a default KMS key for, e.g. "my-bucket"
// String bucketName = "my-bucket"

// The name of the KMS-key to use as a default
// Key names are provided in the following format:
// 'projects/<PROJECT>/locations/<LOCATION>/keyRings/<RING_NAME>/cryptoKeys/<KEY_NAME>'
// String kmsKeyName = ""

BucketInfo bucketInfo =
    BucketInfo.newBuilder(bucketName).setDefaultKmsKeyName(kmsKeyName).build();

Bucket bucket = storage.update(bucketInfo);

System.out.println("Default KMS Key Name: " + bucket.getDefaultKmsKeyName());

Node.js

詳細については、Cloud Storage Node.js API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

/**
 * TODO(developer): Uncomment the following lines before running the sample.
 */
// const bucketName = 'Name of a bucket, e.g. my-bucket';
// const defaultKmsKeyName = 'KMS key resource id, e.g. my-key';

// Imports the Google Cloud client library
const {Storage} = require('@google-cloud/storage');

// Creates a client
const storage = new Storage();

async function enableDefaultKMSKey() {
  await storage.bucket(bucketName).setMetadata({
    encryption: {
      defaultKmsKeyName,
    },
  });

  console.log(
    `Default KMS key for ${bucketName} was set to ${defaultKmsKeyName}.`
  );
}

enableDefaultKMSKey().catch(console.error);

PHP

詳細については、Cloud Storage PHP API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

use Google\Cloud\Storage\StorageClient;

/**
 * Enable a bucket's requesterpays metadata.
 *
 * @param string $projectId Your Google Cloud project ID.
 * @param string $bucketName Name of your Google Cloud Storage bucket.
 * @param string $kmsKeyName KMS key ID to use as the default KMS key.
 *
 * @return void
 */
function enable_default_kms_key($projectId, $bucketName, $kmsKeyName)
{
    $storage = new StorageClient([
        'projectId' => $projectId
    ]);
    $bucket = $storage->bucket($bucketName);
    $bucket->update([
        'encryption' => [
            'defaultKmsKeyName' => $kmsKeyName
        ]
    ]);
    printf('Default KMS key for %s was set to %s' . PHP_EOL,
        $bucketName,
        $bucket->info()['encryption']['defaultKmsKeyName']);
}

Python

詳細については、Cloud Storage Python API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

from google.cloud import storage

def enable_default_kms_key(bucket_name, kms_key_name):
    """Sets a bucket's default KMS key."""
    # bucket_name = "your-bucket-name"
    # kms_key_name = "projects/PROJ/locations/LOC/keyRings/RING/cryptoKey/KEY"

    storage_client = storage.Client()
    bucket = storage_client.get_bucket(bucket_name)
    bucket.default_kms_key_name = kms_key_name
    bucket.patch()

    print(
        "Set default KMS key for bucket {} to {}.".format(
            bucket.name, bucket.default_kms_key_name
        )
    )

Ruby

詳細については、Cloud Storage Ruby API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

def set_bucket_default_kms_key bucket_name:, default_kms_key:
  # The ID of your GCS bucket
  # bucket_name = "your-unique-bucket-name"

  # The name of the KMS key to manage this object with
  # default_kms_key = "projects/your-project-id/locations/global/keyRings/your-key-ring/cryptoKeys/your-key"

  require "google/cloud/storage"

  storage = Google::Cloud::Storage.new
  bucket  = storage.bucket bucket_name

  bucket.default_kms_key = default_kms_key

  puts "Default KMS key for #{bucket.name} was set to #{bucket.default_kms_key}"
end

REST API

JSON API

1. OAuth 2.0 Playground から承認アクセス トークンを取得します。固有の OAuth 認証情報を使用するように Playground を構成します。

2. 次の情報が含まれる .json ファイルを作成します。

   {
     "encryption": {
       "defaultKmsKeyName": "KEY_RESOURCE"
     }
   }

   ここで、KEY_RESOURCE は Cloud KMS 鍵リソースです。例: projects/my-pet-project/locations/us-east1/keyRings/my-key-ring/cryptoKeys/my-key

3. cURL を使用して JSON API を呼び出し、PATCH Bucket リクエストを行います。

   curl -X PATCH --data-binary @JSON_FILE_NAME.json \
   -H "Authorization: Bearer OAUTH2_TOKEN" \
   -H "Content-Type: application/json" \
   "https://storage.googleapis.com/storage/v1/b/BUCKET_NAME?fields=encryption"

   ここで

   • JSON_FILE_NAME は、手順 2 で作成したファイルです。
   • OAUTH2_TOKEN は、手順 1 で生成したアクセス トークンです。
   • BUCKET_NAME は、関連するバケットの名前です。例: my-bucket

XML API

1. OAuth 2.0 Playground から承認アクセス トークンを取得します。固有の OAuth 認証情報を使用するように Playground を構成します。

2. 次の情報を含む .xml ファイルを作成します。

   <EncryptionConfiguration>
     <DefaultKmsKeyName>KEY_RESOURCE</DefaultKmsKeyName>
   </EncryptionConfiguration>

   ここで、KEY_RESOURCE は Cloud KMS 鍵リソースです。例: projects/my-pet-project/locations/us-east1/keyRings/my-key-ring/cryptoKeys/my-key

3. cURL を使用して、PUT Bucket リクエストと encryption クエリ文字列パラメータを含めた XML API を呼び出します。

   curl -X PUT --data-binary @XML_FILE_NAME.xml \
   -H "Authorization: Bearer OAUTH2_TOKEN" \
   "https://storage.googleapis.com/BUCKET_NAME?encryptionConfig"

   ここで

   • XML_FILE_NAME は、手順 2 で作成したファイルです。
   • OAUTH2_TOKEN は、手順 1 で生成したアクセス トークンです。
   • BUCKET_NAME は、関連するバケットの名前です。例: my-bucket

注: デフォルトの鍵を追加または変更する前にバケットに書き込まれたオブジェクトは、以前の暗号化方法で暗号化されたままです。

バケットのデフォルトの鍵の表示

バケットのデフォルトとして現在設定されている Cloud KMS 鍵を表示するには:

Console

1. Google Cloud Console で Cloud Storage ブラウザを開きます。
   Cloud Storage ブラウザを開く

2. バケットのリストで、目的のバケットをクリックします。

3. バケットの詳細ページで、[構成] タブをクリックします。

4. バケットの現在のデフォルトの鍵が [暗号鍵] フィールドに表示されます。

Cloud Storage ブラウザで失敗したオペレーションに関する詳細なエラー情報を確認する方法については、トラブルシューティングをご覧ください。

gsutil

gsutil kms encryption コマンドを使用します。

gsutil kms encryption gs://BUCKET_NAME

ここで、BUCKET_NAME は鍵を表示するバケットの名前です。例: my-bucket

成功した場合、レスポンスは次のようになります。

Default encryption key for gs://my-bucket:
KEY_RESOURCE

REST API

JSON API

1. OAuth 2.0 Playground から承認アクセス トークンを取得します。固有の OAuth 認証情報を使用するように Playground を構成します。

2. cURL を使用して、目的の fields を含む GET Bucket リクエストで JSON API を呼び出します。

   curl -X GET -H "Authorization: Bearer OAUTH2_TOKEN" \
   "https://storage.googleapis.com/storage/v1/b/BUCKET_NAME?fields=encryption"

   ここで

   • OAUTH2_TOKEN は、手順 1 で生成したアクセス トークンです。
   • BUCKET_NAME は鍵を表示するバケットの名前です。例: my-bucket

   次の例のようなレスポンスになります。

   {
     "encryption" : {
        "defaultKmsKeyName": "KEY_RESOURCE"
      },
   }

XML API

1. OAuth 2.0 Playground から承認アクセス トークンを取得します。固有の OAuth 認証情報を使用するように Playground を構成します。

2. cURL を使用して、encryption クエリ パラメータが含まれる GET Bucket リクエストで XML API を呼び出します。

   curl -X GET -H "Authorization: Bearer OAUTH2_TOKEN" \
   "https://storage.googleapis.com/BUCKET_NAME?encryptionConfig"

   ここで

   • OAUTH2_TOKEN は、手順 1 で生成したアクセス トークンです。
   • BUCKET_NAME は鍵を表示するバケットの名前です。例: my-bucket

   次の例のようなレスポンスになります。

   <EncryptionConfiguration>
     <DefaultKmsKeyName>KEY_RESOURCE</DefaultKmsKeyName>
   </EncryptionConfiguration>

バケットからのデフォルトの鍵の削除

バケットに設定したデフォルトの Cloud KMS 鍵を削除するには:

Console

1. Google Cloud Console で Cloud Storage ブラウザを開きます。
   Cloud Storage ブラウザを開く

2. バケットのリストで、目的のバケットをクリックします。

3. バケットの詳細ページで、[構成] タブをクリックします。

4. 暗号化タイプのエントリに関連付けられた鉛筆アイコンをクリックします。

5. [Google が管理する鍵] ラジオボタンをオンにします。

6. [保存] をクリックします。

Cloud Storage ブラウザで失敗したオペレーションに関する詳細なエラー情報を確認する方法については、トラブルシューティングをご覧ください。

gsutil

gsutil kms encryption コマンドを使用します。

gsutil kms encryption -d gs://BUCKET_NAME

BUCKET_NAME は、該当するバケットの名前です。例: my-bucket

成功した場合、レスポンスは次のようになります。

Clearing default encryption key for gs://my-bucket...

コードサンプル

C++

詳細については、Cloud Storage C++ API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

namespace gcs = google::cloud::storage;
using ::google::cloud::StatusOr;
[](gcs::Client client, std::string const& bucket_name) {
  StatusOr<gcs::BucketMetadata> updated = client.PatchBucket(
      bucket_name, gcs::BucketMetadataPatchBuilder().ResetEncryption());
  if (!updated) throw std::runtime_error(updated.status().message());

  std::cout << "Successfully removed default KMS key on bucket "
            << updated->name() << "\n";
}

Go

詳細については、Cloud Storage Go API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

import (
	"context"
	"fmt"
	"io"
	"time"

	"cloud.google.com/go/storage"
)

// removeBucketDefaultKMSKey removes any default Cloud KMS key set on a bucket.
func removeBucketDefaultKMSKey(w io.Writer, bucketName string) error {
	// bucketName := "bucket-name"
	ctx := context.Background()
	client, err := storage.NewClient(ctx)
	if err != nil {
		return fmt.Errorf("storage.NewClient: %v", err)
	}
	defer client.Close()

	ctx, cancel := context.WithTimeout(ctx, time.Second*10)
	defer cancel()

	bucket := client.Bucket(bucketName)
	bucketAttrsToUpdate := storage.BucketAttrsToUpdate{
		Encryption: &storage.BucketEncryption{},
	}
	if _, err := bucket.Update(ctx, bucketAttrsToUpdate); err != nil {
		return fmt.Errorf("Bucket(%q).Update: %v", bucketName, err)
	}
	fmt.Fprintf(w, "Default KMS key was removed from: %v", bucketName)
	return nil
}

Java

詳細については、Cloud Storage Java API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

import com.google.cloud.storage.Bucket;
import com.google.cloud.storage.Storage;
import com.google.cloud.storage.StorageOptions;

public class RemoveBucketDefaultKMSKey {
  public static void removeBucketDefaultKmsKey(String projectId, String bucketName) {
    // The ID of your GCP project
    // String projectId = "your-project-id";

    // The ID of your GCS bucket
    // String bucketName = "your-unique-bucket-name";

    Storage storage = StorageOptions.newBuilder().setProjectId(projectId).build().getService();
    Bucket bucket = storage.get(bucketName);
    bucket.toBuilder().setDefaultKmsKeyName(null).build().update();

    System.out.println("Default KMS key was removed from " + bucketName);
  }
}

Python

詳細については、Cloud Storage Python API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

from google.cloud import storage

def bucket_delete_default_kms_key(bucket_name):
    """Delete a default KMS key of bucket"""
    # bucket_name = "your-bucket-name"

    storage_client = storage.Client()

    bucket = storage_client.get_bucket(bucket_name)
    bucket.default_kms_key_name = None
    bucket.patch()

    print("Default KMS key was removed from {}".format(bucket.name))
    return bucket

Ruby

詳細については、Cloud Storage Ruby API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

def bucket_delete_default_kms_key bucket_name:
  # The ID of your GCS bucket
  # bucket_name = "your-unique-bucket-name"

  require "google/cloud/storage"

  storage = Google::Cloud::Storage.new
  bucket = storage.bucket bucket_name

  bucket.default_kms_key = nil

  puts "Default KMS key was removed from #{bucket_name}"
end

REST API

JSON API

1. OAuth 2.0 Playground から承認アクセス トークンを取得します。固有の OAuth 認証情報を使用するように Playground を構成します。

2. 次の情報が含まれる .json ファイルを作成します。

   {
     "encryption": {
       "defaultKmsKeyName": null
     }
   }

3. cURL を使用して JSON API を呼び出し、PATCH Bucket リクエストを行います。

   curl -X PATCH --data-binary @JSON_FILE_NAME.json \
   -H "Authorization: Bearer OAUTH2_TOKEN" \
   -H "Content-Type: application/json" \
   "https://storage.googleapis.com/storage/v1/b/BUCKET_NAME?fields=encryption"

   ここで

   • JSON_FILE_NAME は、手順 2 で作成したファイルです。
   • OAUTH2_TOKEN は、手順 1 で生成したアクセス トークンです。
   • BUCKET_NAME は、関連するバケットの名前です。例: my-bucket

XML API

1. OAuth 2.0 Playground から承認アクセス トークンを取得します。固有の OAuth 認証情報を使用するように Playground を構成します。

2. 次の情報を含む .xml ファイルを作成します。

   <EncryptionConfiguration></EncryptionConfiguration>

3. cURL を使用して、PUT Bucket リクエストと encryption クエリ文字列パラメータを含めた XML API を呼び出します。

   curl -X PUT --data-binary @XML_FILE_NAME.xml \
   -H "Authorization: Bearer OAUTH2_TOKEN" \
   "https://storage.googleapis.com/BUCKET_NAME?encryptionConfig"

   ここで

   • XML_FILE_NAME は、手順 2 で作成したファイルです。
   • OAUTH2_TOKEN は、手順 1 で生成したアクセス トークンです。
   • BUCKET_NAME は、関連するバケットの名前です。例: my-bucket

注: デフォルトの鍵を削除する前にバケットに書き込まれ、デフォルトの鍵を使用したオブジェクトは、その鍵で暗号化されたままです。

Cloud KMS 鍵を使用したオブジェクトの暗号化

Cloud KMS 鍵を使用してオブジェクトを個々に暗号化できます。これは、バケットに設定したデフォルトの鍵とは異なる鍵を使用する場合や、バケットにデフォルトの鍵が設定されていない場合に便利です。

Console

Cloud Console で個々のオブジェクトを暗号化することはできません。代わりに gsutil かクライアント ライブラリを使用してください。

gsutil

1. .boto 構成ファイルの [GSUtil] セクションに、次のオプションを追加します。

   encryption_key = KEY_RESOURCE

   ここで、KEY_RESOURCE は Cloud KMS 鍵リソースです。例: projects/my-pet-project/locations/us-east1/keyRings/my-key-ring/cryptoKeys/my-key

   注: この情報を各 gsutil コマンドに含めるには、-o トップレベル フラグを使用することもできます（-o "GSUtil:encryption_key=KEY_RESOURCE"）。

2. gsutil cp や gsutil rewrite などを使用して、通常どおりにバケットにオブジェクトを書き込みます。

コードサンプル

C++

詳細については、Cloud Storage C++ API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

namespace gcs = google::cloud::storage;
using ::google::cloud::StatusOr;
[](gcs::Client client, std::string const& bucket_name,
   std::string const& object_name, std::string const& old_csek_key_base64,
   std::string const& new_cmek_key_name) {
  StatusOr<gcs::ObjectMetadata> metadata = client.RewriteObjectBlocking(
      bucket_name, object_name, bucket_name, object_name,
      gcs::SourceEncryptionKey::FromBase64Key(old_csek_key_base64),
      gcs::DestinationKmsKeyName(new_cmek_key_name));
  if (!metadata) throw std::runtime_error(metadata.status().message());

  std::cout << "Changed object " << metadata->name() << " in bucket "
            << metadata->bucket()
            << " from using CSEK to CMEK key.\nFull Metadata: " << *metadata
            << "\n";
}

C#

詳細については、Cloud Storage C# API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

        private void UploadEncryptedFileWithKmsKey(string bucketName,
            string keyLocation, string kmsKeyRing, string kmsKeyName,
            string localPath, string objectName = null)
        {
            string KeyPrefix = $"projects/{s_projectId}/locations/{keyLocation}";
            string FullKeyringName = $"{KeyPrefix}/keyRings/{kmsKeyRing}";
            string FullKeyName = $"{FullKeyringName}/cryptoKeys/{kmsKeyName}";

            var storage = StorageClient.Create();
            using (var f = File.OpenRead(localPath))
            {
                objectName = objectName ?? Path.GetFileName(localPath);
                storage.UploadObject(bucketName, objectName, null, f,
                    new UploadObjectOptions()
                    {
                        KmsKeyName = FullKeyName
                    });
                Console.WriteLine($"Uploaded {objectName}.");
            }
        }

Go

詳細については、Cloud Storage Go API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

import (
	"context"
	"fmt"
	"io"
	"time"

	"cloud.google.com/go/storage"
)

// uploadWithKMSKey writes an object using Cloud KMS encryption.
func uploadWithKMSKey(w io.Writer, bucket, object, keyName string) error {
	// bucket := "bucket-name"
	// object := "object-name"
	// keyName := "projects/projectId/locations/global/keyRings/keyRingID/cryptoKeys/cryptoKeyID"
	ctx := context.Background()
	client, err := storage.NewClient(ctx)
	if err != nil {
		return fmt.Errorf("storage.NewClient: %v", err)
	}
	defer client.Close()

	obj := client.Bucket(bucket).Object(object)

	ctx, cancel := context.WithTimeout(ctx, time.Second*50)
	defer cancel()

	// Encrypt the object's contents.
	wc := obj.NewWriter(ctx)
	wc.KMSKeyName = keyName
	if _, err := wc.Write([]byte("top secret")); err != nil {
		return fmt.Errorf("Writer.Write: %v", err)
	}
	if err := wc.Close(); err != nil {
		return fmt.Errorf("Writer.Close: %v", err)
	}
	fmt.Fprintf(w, "Uploaded blob %v with KMS key.\n", object)
	return nil
}

Node.js

詳細については、Cloud Storage Node.js API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

/**
 * TODO(developer): Uncomment the following lines before running the sample.
 */
// const bucketName = 'Name of a bucket, e.g. my-bucket';
// const filename = 'Local file to upload, e.g. ./local/path/to/file.txt';
// const kmsKeyName = 'KMS key resource id, e.g. my-key';

// Imports the Google Cloud client library
const {Storage} = require('@google-cloud/storage');

// Creates a client
const storage = new Storage();

async function uploadFileWithKmsKey() {
  // Uploads a local file to the bucket with the kms key
  await storage.bucket(bucketName).upload(filename, {
    kmsKeyName,
  });

  console.log(`${filename} uploaded to ${bucketName} using ${kmsKeyName}.`);
}

uploadFileWithKmsKey().catch(console.error);

PHP

詳細については、Cloud Storage PHP API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

use Google\Cloud\Storage\StorageClient;

/**
 * Upload a file using KMS encryption.
 *
 * @param string $projectId Your Google Cloud project ID.
 * @param string $bucketName the name of your Google Cloud bucket.
 * @param string $objectName the name of the object.
 * @param string $source the path to the file to upload.
 * @param string $kmsKeyName KMS key ID used to encrypt objects server side.
 *
 * @return Psr\Http\Message\StreamInterface
 */
function upload_with_kms_key($projectId, $bucketName, $objectName, $source, $kmsKeyName)
{
    $storage = new StorageClient([
        'projectId' => $projectId,
    ]);
    $file = fopen($source, 'r');
    $bucket = $storage->bucket($bucketName);
    $object = $bucket->upload($file, [
        'name' => $objectName,
        'destinationKmsKeyName' => $kmsKeyName,
    ]);
    printf('Uploaded %s to gs://%s/%s using encryption key %s' . PHP_EOL,
        basename($source),
        $bucketName,
        $objectName,
        $kmsKeyName);
}

Python

詳細については、Cloud Storage Python API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

from google.cloud import storage

def object_csek_to_cmek(bucket_name, blob_name, encryption_key, kms_key_name):
    """Change a blob's customer-supplied encryption key to KMS key"""
    # bucket_name = "your-bucket-name"
    # blob_name = "your-object-name"
    # encryption_key = "TIbv/fjexq+VmtXzAlc63J4z5kFmWJ6NdAPQulQBT7g="
    # kms_key_name = "projects/PROJ/locations/LOC/keyRings/RING/cryptoKey/KEY"

    storage_client = storage.Client()
    bucket = storage_client.bucket(bucket_name)

    current_encryption_key = base64.b64decode(encryption_key)
    source_blob = bucket.blob(blob_name, encryption_key=current_encryption_key)

    destination_blob = bucket.blob(blob_name, kms_key_name=kms_key_name)
    token, rewritten, total = destination_blob.rewrite(source_blob)

    while token is not None:
        token, rewritten, total = destination_blob.rewrite(source_blob, token=token)

    print(
        "Blob {} in bucket {} is now managed by the KMS key {} instead of a customer-supplied encryption key".format(
            blob_name, bucket_name, kms_key_name
        )
    )
    return destination_blob

Ruby

詳細については、Cloud Storage Ruby API のリファレンス ドキュメントをご覧ください。

GitHub で表示 フィードバック

def upload_with_kms_key bucket_name:, local_file_path:, file_name: nil, kms_key:
  # The ID of your GCS bucket
  # bucket_name = "your-unique-bucket-name"

  # The path to your file to upload
  # local_file_path = "/local/path/to/file.txt"

  # The ID of your GCS object
  # file_name = "your-file-name"

  # The name of the KMS key to manage this object with
  # kms_key = "projects/your-project-id/locations/global/keyRings/your-key-ring/cryptoKeys/your-key"

  require "google/cloud/storage"

  storage = Google::Cloud::Storage.new

  bucket = storage.bucket bucket_name

  file = bucket.create_file local_file_path, file_name, kms_key: kms_key

  puts "Uploaded #{file.name} and encrypted service side using #{file.kms_key}"
end

Java

詳細については、Cloud Storage Java API のリファレンス ドキュメントをご覧ください。

次のサンプルでは、顧客管理の暗号鍵を使用してオブジェクトを暗号化します。

GitHub で表示 フィードバック

byte[] data = "Hello, World!".getBytes(UTF_8);

// The name of the existing bucket to set a default KMS key for, e.g. "my-bucket"
// String bucketName = "my-bucket"

// The name of the KMS-key to use as a default
// Key names are provided in the following format:
// 'projects/<PROJECT>/locations/<LOCATION>/keyRings/<RING_NAME>/cryptoKeys/<KEY_NAME>'
// String kmsKeyName = ""

BlobId blobId = BlobId.of(bucketName, blobName);
BlobInfo blobInfo = BlobInfo.newBuilder(blobId).setContentType("text/plain").build();
Blob blob = storage.create(blobInfo, data, BlobTargetOption.kmsKeyName(kmsKeyName));

次のサンプルでは、オブジェクトの暗号化に使用する鍵を顧客指定の暗号鍵から顧客管理の暗号鍵に変更します。

GitHub で表示 フィードバック

import com.google.cloud.storage.BlobId;
import com.google.cloud.storage.Storage;
import com.google.cloud.storage.StorageOptions;

public class ChangeObjectCSEKtoKMS {
  public static void changeObjectFromCSEKtoKMS(
      String projectId,
      String bucketName,
      String objectName,
      String decryptionKey,
      String kmsKeyName) {
    // The ID of your GCP project
    // String projectId = "your-project-id";

    // The ID of your GCS bucket
    // String bucketName = "your-unique-bucket-name";

    // The ID of your GCS object
    // String objectName = "your-object-name";

    // The Base64 encoded decryption key, which should be the same key originally used to encrypt
    // the object
    // String decryptionKey = "TIbv/fjexq+VmtXzAlc63J4z5kFmWJ6NdAPQulQBT7g=";

    // The name of the KMS key to manage this object with
    // String kmsKeyName =
    // "projects/your-project-id/locations/global/keyRings/your-key-ring/cryptoKeys/your-key";

    Storage storage = StorageOptions.newBuilder().setProjectId(projectId).build().getService();
    BlobId blobId = BlobId.of(bucketName, objectName);
    Storage.CopyRequest request =
        Storage.CopyRequest.newBuilder()
            .setSource(blobId)
            .setSourceOptions(Storage.BlobSourceOption.decryptionKey(decryptionKey))
            .setTarget(blobId, Storage.BlobTargetOption.kmsKeyName(kmsKeyName))
            .build();
    storage.copy(request);

    System.out.println(
        "Object "
            + objectName
            + " in bucket "
            + bucketName
            + " is now managed by the KMS key "
            + kmsKeyName
            + " instead of a customer-supplied encryption key");
  }
}

REST API

JSON API

注: 次の手順は、特に JSON API を使用してオブジェクトを挿入する場合に適用されます。JSON API を使用してオブジェクトの作成や置き換えをする場合も手順は同様です。

1. OAuth 2.0 Playground から承認アクセス トークンを取得します。固有の OAuth 認証情報を使用するように Playground を構成します。

2. オブジェクトのデータをリクエストの本文に追加します。

3. cURL を使用して、POST Object リクエストで JSON API を呼び出します。

   curl -X POST --data-binary @OBJECT \
   -H "Authorization: Bearer OAUTH2_TOKEN" \
   -H "Content-Type: OBJECT_CONTENT_TYPE" \
   "https://storage.googleapis.com/upload/storage/v1/b/BUCKET_NAME/o?uploadType=media&name=OBJECT_NAME&kmsKeyName=KEY_RESOURCE"

   ここで

   • OBJECT は、アップロードするオブジェクトへのパスです。例: Desktop/dog.png
   • OAUTH2_TOKEN は、手順 1 で生成したアクセス トークンです。
   • OBJECT_CONTENT_TYPE は、オブジェクトのコンテンツ タイプです。例: image/png
   • BUCKET_NAME は、オブジェクトをアップロードするバケットの名前です。例: my-bucket
   • OBJECT_NAME は、アップロードするオブジェクトの名前です。例: pets/dog.png
   • KEY_RESOURCE は Cloud KMS 鍵リソースです。例: projects/my-pet-project/locations/us-east1/keyRings/my-key-ring/cryptoKeys/my-key

XML API

注: 次の手順は、特に XML API を使用してオブジェクトをアップロードする場合に適用されます。XML API を使用してオブジェクトの作成やコピーをする場合も手順は同様です。

1. OAuth 2.0 Playground から承認アクセス トークンを取得します。固有の OAuth 認証情報を使用するように Playground を構成します。

2. オブジェクトのデータをリクエストの本文に追加します。

3. cURL を使用して、PUT Object リクエストで XML API を呼び出します。

   curl -X PUT --data-binary @OBJECT \
   -H "Authorization: Bearer OAUTH2_TOKEN" \
   -H "Content-Type: OBJECT_CONTENT_TYPE" \
   -H "x-goog-encryption-kms-key-name: KEY_RESOURCE" \
   "https://storage.googleapis.com/BUCKET_NAME/OBJECT_NAME"

   ここで

   • OBJECT は、アップロードするオブジェクトへのパスです。例: Desktop/dog.png
   • OAUTH2_TOKEN は、手順 1 で生成したアクセス トークンです。
   • OBJECT_CONTENT_TYPE は、オブジェクトのコンテンツ タイプです。例: image/png
   • BUCKET_NAME は、オブジェクトをアップロードするバケットの名前です。例: my-bucket
   • OBJECT_NAME は、アップロードするオブジェクトの名前です。例: pets/dog.png
   • KEY_RESOURCE は Cloud KMS 鍵リソースです。例: projects/my-pet-project/locations/us-east1/keyRings/my-key-ring/cryptoKeys/my-key

オブジェクトを暗号化するために使用される鍵の特定

オブジェクトの暗号化に使用された Cloud KMS 鍵の名前を確認するには:

Console

1. Google Cloud Console で Cloud Storage ブラウザを開きます。
   Cloud Storage ブラウザを開く

2. バケットのリストで、目的のオブジェクトが含まれるバケットの名前をクリックします。

   [バケットの詳細] ページが開き、[オブジェクト ] タブが選択されています。

3. フォルダ内にあるオブジェクトに移動します。

4. [暗号化] 列でそのオブジェクトのエントリにカーソルを合わせます。

   鍵名の形式は次のとおりです。

   LOCATION/KEY_RING_NAME/KEY_NAME/KEY_VERSION

gsutil

gsutil stat コマンドを使用します。

gsutil stat gs://BUCKET_NAME/OBJECT_NAME

ここで

• BUCKET_NAME は、暗号化されたオブジェクトが格納されているバケットの名前です。例: my-bucket
• OBJECT_NAME は暗号化されたオブジェクトの名前です。例: pets/dog.png

成功した場合、レスポンスに鍵の名前が含まれます。

gs://my-bucket/pets/dog.png:
...
KMS key: projects/my-pet-project/locations/us-east1/keyRings/my-key-ring/cryptoKeys/my-key
...

REST API

JSON API

1. OAuth 2.0 Playground から承認アクセス トークンを取得します。固有の OAuth 認証情報を使用するように Playground を構成します。

2. cURL を使用して、GET Object リクエストで JSON API を呼び出します。

   curl -X GET \
   -H "Authorization: Bearer OAUTH2_TOKEN" \
   "https://storage.googleapis.com/storage/v1/b/BUCKET_NAME/o/OBJECT_NAME?fields=kmsKeyName"

   ここで

   • OAUTH2_TOKEN は、手順 1 で生成したアクセス トークンです。
   • BUCKET_NAME は、暗号化されたオブジェクトが格納されているバケットの名前です。例: my-bucket
   • OBJECT_NAME は暗号化されたオブジェクトの名前です。例: pets/dog.png

XML API

1. OAuth 2.0 Playground から承認アクセス トークンを取得します。固有の OAuth 認証情報を使用するように Playground を構成します。

2. cURL を使用して、GET Object リクエストで XML API を呼び出します。

   curl -X GET \
   -H "Authorization: Bearer OAUTH2_TOKEN" \
   "https://storage.googleapis.com/BUCKET_NAME/OBJECT_NAME?encryption"

   ここで

   • OAUTH2_TOKEN は、手順 1 で生成したアクセス トークンです。
   • BUCKET_NAME は、暗号化されたオブジェクトが格納されているバケットの名前です。例: my-bucket
   • OBJECT_NAME は暗号化されたオブジェクトの名前です。例: pets/dog.png

注: オブジェクトが Cloud KMS 以外の暗号化方法で作成されている場合、このメタデータ フィールドに関連付けられた情報はありません。

オブジェクトの復号

顧客管理の暗号鍵で暗号化されたオブジェクトの復号は、関連するサービス アカウントがその鍵にアクセスできる限り、自動的に実行されます。詳細については、顧客管理の暗号鍵を使用したサービス アカウントをご覧ください。

次のステップ

• Cloud Storage の顧客管理の暗号鍵について学習する。
• Cloud Storage で使用可能な他の暗号化オプションについて学習する。
• Cloud KMS で動作できる他のプロダクトについて調べる。