הוצאה משימוש של מפתחות הצפנה באספקת הלקוח (CSEK) ב-Compute Engine

השימוש במפתחות הצפנה באספקת הלקוח (CSEK) להצפנת המשאבים הבאים של Compute Engine הוצא משימוש. החל מ-20 ביולי 2026, לא תוכלו יותר להשתמש במפתח CSEK כדי להצפין את המשאבים הבאים ב-Compute Engine:

  • דיסקים לאחסון מתמיד (Persistent Disks)
  • תמונות
  • תמונות מכונה
  • קובצי snapshot רגילים וקובצי snapshot של ארכיון
  • קובצי snapshot מואצים

התכונה CSEK תוסר לחלוטין מ-Compute Engine ב-20 ביולי 2027.

חלופות ל-CSEK

שימוש במפתחות הצפנה בניהול הלקוח (CMEK) שמנוהלים על ידי Cloud Key Management Service. ‫Cloud KMS מציע אמצעי אבטחה משופרים, יכולת ביקורת ותמיכה ברוטציה של המפתחות, ותמיכה בנפחי Hyperdisk.

במאמר הזה מוסבר איך להעביר את המשאבים של Compute Engine שמוצפנים באמצעות CSEK לשימוש במפתחות CMEK.

מידע נוסף על שימוש במפתחות CMEK לדיסקים, לתמונות מצב ולתמונות ב-Compute Engine זמין במאמר הגנה על משאבים באמצעות מפתחות Cloud KMS.

העברת משאבים מוצפנים באמצעות CSEK לשימוש במפתחות הצפנה בניהול הלקוח (CMEK)

אי אפשר להסיר את מפתח ה-CSEK ששימש להצפנת משאב ולהחליף אותו במפתח CMEK. צריך ליצור עותק של המשאב הקיים ולהצפין את העותק באמצעות CMEK.

בקטע הזה מוסבר איך להעביר את המשאבים הבאים של Compute Engine לשימוש במפתחות CMEK במקום במפתחות CSEK:

  • נפחי אחסון מתמיד (persistent disk)
  • תמונות
  • תמונות מכונה
  • קבצים רגילים וקבצים של ארכיון
  • קובצי snapshot מואצים

הכנה להעברת משאבים בהצפנת CSEK

כדי להצפין משאב באמצעות CMEK, צריך שיהיה לכם לפחות אוסף מפתחות ומפתח אחד של Cloud KMS. כדי ליצור אוסף מפתחות ומפתח, פועלים לפי השלבים במאמר יצירת אוספי מפתחות ומפתחות.

העברה של נפחי אחסון מתמיד מוצפנים באמצעות CSEK לשימוש ב-CMEK

אי אפשר להסיר את מפתח ה-CSEK מדיסק. במקום זאת, צריך ליצור דיסק חדש שמוצפן באמצעות CMEK מ-snapshot של הדיסק שמוצפן באמצעות CSEK.

  1. אופציונלי: אם הדיסק הקיים שמוצפן באמצעות CSEK הוא דיסק האתחול של מופע פעיל של Compute, מפסיקים את המופע.

  2. יוצרים קובץ snapshot רגיל של הדיסק המוצפן באמצעות CSEK.

  3. יוצרים דיסק חדש מקובץ ה-snapshot הרגיל ומצפינים אותו באמצעות מפתח Cloud KMS. אפשר להשתמש ב-Google Cloud CLI או ב-REST.

    ‫CLI של gcloud

    משתמשים בפקודה gcloud compute disks create.

    אם ה-CSEK של ה-snapshot מוצפן ב-RSA, משתמשים ב-gcloud beta compute disks create command. במקום זאת.

    מציינים את ה-CMEK לדיסק החדש באמצעות הדגל --kms-key.

    כדי ליצור דיסק אזורי, מציינים את אזורי השכפול של הדיסק באמצעות הדגל replica-zones: ‎`--replica-zones=^:^ZONE:REPLICA_ZONE.

        gcloud compute disks create NEW_CMEK_DISK_NAME \
    --source-snapshot=CSEK_SNAPSHOT_NAME \
    --csek-key-file=PATH_TO_CSEK_KEY_FILE \
    --kms-key=projects/KMS_PROJECT_ID/locations/KEY_REGION/keyRings/KEY_RING/cryptoKeysKMS_KEY_NAME \
    --no-require-csek-key-create \
    --LOCATION_FLAG=ZONE_OR_REGION \
    --type=DISK_TYPE

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫NEW_CMEK_DISK_NAME: השם של הדיסק החדש, למשל migrated-cmek-disk.
    • ‫CSEK_SNAPSHOT_NAME: השם של ה-snapshot שנוצר מהדיסק המוצפן באמצעות CSEK, לדוגמה, my-csek-snapshot.
    • ‫PATH_TO_CSEK_KEY_FILE: הנתיב לקובץ שמכיל את מפתח ה-CSEK ששימש להצפנת ה-snapshot, לדוגמה, /tmp/csek_key.json. הפורמט של הקובץ מתואר במאמר פורמט של קובץ מפתח.
    • ‫KMS_PROJECT_ID: מזהה הפרויקט שבו נמצא מפתח Cloud KMS.
    • ‫KEY_REGION: האזור שבו נמצא המפתח.
    • ‫KEY_RING: השם של אוסף המפתחות שכולל את המפתח.
    • ‫KMS_KEY_NAME: השם של המפתח ששימש להצפנת הדיסק
    • ‫LOCATION_FLAG: הדגל לציון המיקום, zone או region.
    • ‫ZONE_OR_REGION: האזור או האזור החדש של הדיסק, למשל us-central1-a או us-central1.
    • ‫DISK_TYPE: הסוג של הדיסק החדש. לדוגמה, כדי ליצור נפח חדש של דיסק אחסון מתמיד מאוזן, מציינים pd-balanced. במאמרים סוגים נתמכים של נפחי Hyperdisk ומשתני סוג של דיסקים לאחסון מתמיד מפורטים הערכים התקינים.

    REST

    שולחים בקשת POST אל ה-method‏ disks.insert.

    POST https://compute.googleapis.com/compute/API_VERSION_TO_USE/projects/PROJECT_ID/LOCATION_TYPE/ZONE_OR_REGION/disks

{
 "name": "NEW_CMEK_DISK_NAME",
 "type": "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/LOCATION_TYPE/ZONE_OR_REGION/diskTypes/DISK_TYPE",
 "sourceSnapshot": "projects/SNAPSHOT_PROJECT_ID/global/snapshots/CSEK_SNAPSHOT_NAME",
 "diskEncryptionKey": {
    "kmsKeyName": "projects/KMS_PROJECT_ID/locations/KEY_REGION/keyRings/KEY_RING/cryptoKeys/KMS_KEY_NAME"
 },
 "sourceSnapshotEncryptionKey": {
    "CSEK_KEY_TYPE": "RAW_OR_RSA_KEY"
 }
}

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫API_VERSION_TO_USE: גרסת ה-API שבה ייעשה שימוש. אם מפתח ה-CSEK הוא מפתח שעטוף ב-RSA, מציינים beta. אחרת, מציינים את הערך v1.
    • ‫PROJECT_ID: מזהה הפרויקט, לדוגמה, myproject-171.
    • ‫LOCATION_TYPE: סוג המיקום, zones כדי ליצור דיסק אזורי או regions כדי ליצור דיסק אזורי.
    • ‫ZONE_OR_REGION: האזור או האזור החדש של הדיסק, למשל us-central1-a או us-central1.
    • ‫DISK_TYPE: הסוג של הדיסק החדש. לדוגמה, כדי ליצור נפח חדש של דיסק אחסון מתמיד מאוזן, מציינים pd-balanced. במאמרים סוגים נתמכים של נפחי Hyperdisk ומשתני סוג של דיסקים לאחסון מתמיד מפורטים הערכים התקינים.
    • ‫NEW_CMEK_DISK_NAME: השם של הדיסק החדש, למשל migrated-cmek-disk.
    • ‫SNAPSHOT_PROJECT_ID: מזהה הפרויקט של התמונה.
    • ‫CSEK_SNAPSHOT_NAME: השם של קובץ ה-snapshot שנוצר מהדיסק המוצפן באמצעות CSEK, לדוגמה, my-csek-snapshot.
    • ‫KMS_PROJECT_ID: מזהה הפרויקט שבו נמצא המפתח של Cloud KMS.
    • ‫KEY_REGION: האזור שבו נמצא המפתח.
    • ‫KEY_RING: השם של אוסף המפתחות שכולל את המפתח.
    • ‫KMS_KEY_NAME: השם של המפתח ששימש להצפנת הדיסק
    • ‫CSEK_KEY_TYPE: הסוג של מפתח הצפנה מטעם הלקוח (CSEK), rawKey אם המפתח הוא גולמי או rsaEncryptedKey אם המפתח עטוף ב-RSA.
    • ‫RAW_OR_RSA_KEY: הערך של המפתח הגולמי או של המפתח המוצפן ב-RSA.

  4. משתמשים בדיסק החדש עם מכונת החישוב:

    1. אם הדיסק הקיים שמוצפן באמצעות CSEK הוא דיסק האתחול של מופע פעיל של Compute, מפסיקים את המופע.

    2. כדי להתחיל להשתמש בדיסק החדש, מנתקים את דיסק המקור המוצפן באמצעות CSEK מהאינסטנס ומצרפים את הדיסק החדש שיצרתם.

    3. מפעילים את המכונה.

    4. מוודאים שהדיסק החדש פועל כמו שצריך.

    5. אחרי שבודקים את הדיסק החדש, מוחקים את התמונה ואת הדיסק המקורי שמוצפן באמצעות CSEK.

      תמשיכו לשלם על הדיסק ועל התמונה עד שתמחקו אותם.

העברת קובצי snapshot מואצים בהצפנת CSEK

אי אפשר להסיר ישירות את מפתח ה-CSEK מתמונת מצב מיידית. במקום זאת, צריך להמיר את קובץ ה-snapshot לקובץ snapshot מואץ מוצפן באמצעות CMEK על ידי השלמת המשימות הבאות:

  1. יוצרים snapshot רגיל זמני שמוצפן באמצעות CSEK מתוך ה-snapshot המיידי.

  2. יוצרים דיסק זמני עם הצפנה באמצעות CMEK מקובץ ה-snapshot עם הצפנה באמצעות CSEK.

  3. יוצרים קובץ snapshot מיידי מוצפן באמצעות CMEK של הדיסק החדש.

  4. אחרי שיוצרים את קובץ ה-snapshot המיידי המוצפן באמצעות CMEK, מוחקים את קובץ ה-snapshot הרגיל המוצפן באמצעות CSEK ואת הדיסק הזמני.

העברת תמונות וסנאפשוטים מוצפנים באמצעות CSEK

אי אפשר להסיר את מפתח ה-CSEK מתמונה, מקובץ snapshot של ארכיון, מקובץ snapshot מואץ או מקובץ snapshot רגיל. במקום זאת, צריך ליצור דיסק חדש שמוצפן באמצעות CMEK מהתמונה או מה-snapshot, ואז ליצור תמונה או snapshot של הדיסק החדש.

  1. יוצרים נפח חדש של Hyperdisk או של דיסק אחסון מתמיד (persistent disk) ב-Google Cloud מהאימג' או מקובץ ה-snapshot:

  2. יוצרים תמונה או קובץ snapshot רגיל של הדיסק החדש. הצפנה של התמונה או צילום המסך החדשים באמצעות CMEK.

  3. מוחקים את הדיסק שיצרתם קודם.

העברה של קובצי אימג' של מכונות וירטואליות בהצפנת CSEK

כדי ליצור קובץ אימג' של מכונה שמוצפן באמצעות CMEK מקובץ אימג' של מכונה שמוצפן באמצעות CSEK, צריך ליצור מכונה זמנית מקובץ האימג' של המכונה ואז ליצור קובץ אימג' של מכונה שמוצפן באמצעות CMEK מהמכונה הזמנית. כך עושים את זה:

  1. יוצרים מכונה חדשה מקובץ אימג' של מכונה שהוצפן באמצעות CSEK, ומציינים מפתח Cloud KMS לכל דיסק שנמצא במכונה שמופיעה באימג'. לצורך כך, אתם צריכים להשתמש ב-REST או ב-Google Cloud CLI. מידע נוסף על שינוי מאפיינים כשיוצרים קובץ אימג' של מכונה זמין במאמר יצירת מכונה מקובץ אימג' של מכונה עם שינוי מאפיינים.

    Google Cloud CLI

    משתמשים בפקודה gcloud compute instances create

    gcloud compute instances create NEW_INSTANCE_NAME \
 --project=PROJECT_ID \
 --zone=ZONE \
 --machine-type=INSTANCE_MACHINE_TYPE \
 --source-machine-image=CSEK_MACHINE_IMAGE_NAME \
 --source-machine-image-csek-key-file=PATH_TO_CSEK_KEY_FILE \
 --create-disk=device-name=BOOT_DISK_DEVICE_NAME,boot=yes,auto-delete=yes,kms-key=projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/BOOT_DISK_KMS_KEY \
 --create-disk=device-name=DEVICE_NAME_FOR_DATA_DISK_1,boot=no,kms-key=projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KMS_KEY_FOR_DATA_DISK_1 \
 --create-disk=device-name=DEVICE_NAME_FOR_DATA_DISK_2,boot=no,kms-key=projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KMS_KEY_FOR_DATA_DISK_2

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫NEW_INSTANCE_NAME: השם של המכונה החדשה, לדוגמה, migrated-instance.
    • ‫PROJECT_ID: המזהה של הפרויקט שבו רוצים ליצור את המופע, לדוגמה,myproject-123.
    • ‫ZONE: האזור של המכונה החדשה, למשל us-central1-a.
    • ‫INSTANCE_MACHINE_TYPE: סוג המכונה של המופע החדש, לדוגמה c3-standard-4.
    • ‫CSEK_MACHINE_IMAGE_NAME: השם של תמונת המכונה המקורית שמוצפנת באמצעות CSEK.
    • ‫PATH_TO_CSEK_KEY_FILE: הנתיב לקובץ שמכיל את מפתח ה-CSEK ששימש להצפנת תמונת המכונה של המקור, לדוגמה, /tmp/csek_key.json. במאמר פורמט קובץ המפתח מפורט הפורמט הנדרש של הקובץ.
    • BOOT_DISK_DEVICE_NAME: שם המכשיר החדש של דיסק האתחול, כפי שמוגדר בתמונת המכונה.
    • ‫KMS_PROJECT_ID: מזהה הפרויקט שבו נמצא המפתח של Cloud KMS.
    • ‫REGION: האזור שבו נמצא מפתח Cloud KMS, לדוגמה, us-central1.
    • ‫KEY_RING: השם של אוסף המפתחות שכולל את המפתחות.
    • ‫BOOT_DISK_KMS_KEY: השם של מפתח Cloud KMS ששימש להצפנת דיסק האתחול של המופע החדש.
    • ‫DEVICE_NAME_FOR_DATA_DISK_1: שם חדש למכשיר של דיסק הנתונים הראשון, כפי שמוגדר בקובץ האימג' של מכונת המקור.
    • ‫KMS_KEY_FOR_DATA_DISK_1: השם של מפתח Cloud KMS שמשמש להצפנה של דיסק הנתונים הראשון.
    • ‫KMS_KEY_FOR_DATA_DISK_2: השם של מפתח Cloud KMS שמשמש להצפנת דיסק הנתונים השני.

    REST

    שולחים בקשת POST אל ה-method‏ instances.insert.

     POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

 {
    "name": "NEW_INSTANCE_NAME",
    "sourceMachineImage": "projects/PROJECT_ID/global/machineImages/CSEK_MACHINE_IMAGE_NAME",
       "disks": [
       {
          "deviceName": "BOOT_DISK_DEVICE_NAME",
          "boot": true,
          "diskEncryptionKey": {
             "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/BOOT_DISK_KMS_KEY"
          }
       },
       {
          "deviceName": "DEVICE_NAME_FOR_DATA_DISK_1",
          "boot": false,
          "diskEncryptionKey": {
             "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KMS_KEY_FOR_DATA_DISK_1"
          }
       },
       {
          "deviceName": "DEVICE_NAME_FOR_DATA_DISK_2",
          "boot": false,
          "diskEncryptionKey": {
             "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys//KMS_KEY_FOR_DATA_DISK_2"
          }
       }
    ]
 }

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫PROJECT_ID: מזהה הפרויקט שבו רוצים ליצור את המופע הזמני, לדוגמה, myproject-123.
    • ‫ZONE: האזור של המכונה החדשה, למשל us-central1-a.
    • ‫NEW_INSTANCE_NAME: השם של המופע הזמני שרוצים ליצור, לדוגמה, migrated-instance.
    • ‫CSEK_MACHINE_IMAGE_NAME: השם של תמונת המכונה המוצפנת באמצעות CSEK, לדוגמה, csek-encrypted-image.
    • ‫BOOT_DISK_DEVICE_NAME: שם המכשיר של דיסק האתחול כפי שמוגדר בתמונת המכונה של המקור, לדוגמה, boot-disk-0.
    • ‫KMS_PROJECT_ID: מזהה הפרויקט שבו נמצא מפתח Cloud KMS.
    • ‫REGION: האזור שבו נמצא המפתח של Cloud KMS, לדוגמה, us-central1.
    • ‫KEY_RING: השם של אוסף המפתחות שכולל את מפתחות ההצפנה.
    • ‫BOOT_DISK_KMS_KEY: השם של מפתח Cloud KMS ששימש להצפנת דיסק האתחול החדש.
    • ‫DEVICE_NAME_FOR_DATA_DISK_1: שם המכשיר של דיסק הנתונים הראשון, כפי שמוגדר בתמונת המכונה של המקור.
    • ‫KMS_KEY_FOR_DATA_DISK_1: השם של מפתח Cloud KMS שמשמש להצפנה של דיסק הנתונים הראשון.
    • ‫DEVICE_NAME_FOR_DATA_DISK_2: שם המכשיר של דיסק הנתונים השני, כפי שמוגדר בתמונת המכונה של המקור.
    • ‫KMS_KEY_FOR_DATA_DISK_2: השם של מפתח Cloud KMS שמשמש להצפנה של דיסק הנתונים השני.

  2. מוודאים שהמופע פועל כמו שצריך.

  3. אחרי שבודקים את המכונה, יוצרים קובץ אימג' של מכונה שמוצפן באמצעות CMEK מהמכונה החדשה.

  4. מוחקים את המכונה הזמנית.

הסרה של משאבים שלא נמצאים בשימוש

כדי להימנע מחיוב על משאבים שלא נעשה בהם שימוש, מומלץ למחוק דיסקים, תמונות של מכונות, תמונות מצב, מכונות וירטואליות ותמונות שכבר לא נחוצים.

המאמרים הבאים