Ritiro delle chiavi di crittografia fornite dal cliente (CSEK) in Compute Engine

L'utilizzo delle chiavi di crittografia fornite dal cliente (CSEK) per criptare le seguenti risorse Compute Engine è deprecato. A partire dal 20 luglio 2026, non potrai più utilizzare una CSEK per criptare nessuna delle seguenti risorse Compute Engine:

  • Dischi permanenti
  • Google Immagini
  • Immagini macchina
  • Snapshot standard e di archiviazione
  • Snapshot istantanei

Le CSEK verranno rimosse completamente da Compute Engine il 20 luglio 2027.

Alternative alle CSEK

Utilizza le chiavi di crittografia gestite dal cliente (CMEK) gestite dal Cloud Key Management Service. Cloud KMS offre controlli di sicurezza avanzati, auditabilità e supporto per la rotazione delle chiavi, nonché supporto per i volumi Hyperdisk.

Questo documento descrive come eseguire la migrazione delle risorse Compute Engine criptate con CSEK per utilizzare invece le CMEK.

Per saperne di più sull'utilizzo delle CMEK per dischi, snapshot, e immagini di Compute Engine, consulta Proteggi le risorse con le chiavi Cloud KMS.

Esegui la migrazione delle risorse criptate con CSEK per utilizzare le chiavi di crittografia gestite dal cliente (CMEK)

Non puoi rimuovere la CSEK utilizzata per criptare una risorsa e sostituirla con una CMEK. Devi creare una copia della risorsa esistente e criptarla con la CMEK.

Questa sezione descrive come eseguire la migrazione delle seguenti risorse Compute Engine per utilizzare le CMEK anziché le CSEK:

  • Volumi di Persistent Disk
  • Google Immagini
  • Immagini macchina
  • Snapshot standard e di archiviazione
  • Snapshot istantanei

Preparati a eseguire la migrazione delle risorse criptate con CSEK

Prima di poter criptare una risorsa con una CMEK, devi avere almeno una chiave automatizzata e una chiave Cloud KMS. Per creare una chiave automatizzata e una chiave, segui i passaggi descritti in Creare chiavi automatizzate e chiavi.

Esegui la migrazione dei volumi di Persistent Disk criptati con CSEK per utilizzare le CMEK

Non puoi rimuovere la CSEK da un disco. In alternativa, devi creare un nuovo disco criptato con CMEK da uno snapshot del disco criptato con CSEK.

  1. (Facoltativo) Se il disco criptato con CSEK esistente è il disco di avvio di un'istanza di computing in esecuzione, arresta l'istanza.

  2. Crea uno snapshot standard del disco criptato con CSEK.

  3. Crea un nuovo disco dallo snapshot standard e criptalo con una chiave Cloud KMS. Puoi utilizzare Google Cloud CLI o REST.

    gcloud CLI

    Utilizza il gcloud compute disks create comando.

    Se la CSEK per lo snapshot è con wrapping RSA, utilizza il gcloud beta compute disks create command. invece.

    Specifica la CMEK per il nuovo disco con il flag --kms-key.

    Per creare un disco a livello di regione, specifica le zone di replica del disco utilizzando il replica-zones flag: `--replica-zones=^:^ZONE:REPLICA_ZONE.

        gcloud compute disks create NEW_CMEK_DISK_NAME \
    --source-snapshot=CSEK_SNAPSHOT_NAME \
    --csek-key-file=PATH_TO_CSEK_KEY_FILE \
    --kms-key=projects/KMS_PROJECT_ID/locations/KEY_REGION/keyRings/KEY_RING/cryptoKeysKMS_KEY_NAME \
    --no-require-csek-key-create \
    --LOCATION_FLAG=ZONE_OR_REGION \
    --type=DISK_TYPE

    Sostituisci quanto segue:

    • NEW_CMEK_DISK_NAME: il nome del nuovo disco, ad esempio migrated-cmek-disk.
    • CSEK_SNAPSHOT_NAME: il nome dello snapshot creato da disco criptato con CSEK, ad esempio my-csek-snapshot.
    • PATH_TO_CSEK_KEY_FILE: il percorso del file contenente la CSEK utilizzata per criptare lo snapshot, ad esempio /tmp/csek_key.json. Il formato del file è descritto in Formato del file di chiavi.
    • KMS_PROJECT_ID: l'ID progetto in cui si trova la chiave Cloud KMS.
    • KEY_REGION: la regione in cui si trova la chiave.
    • KEY_RING: il nome delle chiavi automatizzate che includono la chiave.
    • KMS_KEY_NAME: il nome della chiave utilizzata per criptare il disco
    • LOCATION_FLAG: il flag per specificare la località, zone o region.
    • ZONE_OR_REGION: la zona o la regione per il nuovo disco, ad esempio us-central1-a o us-central1.
    • DISK_TYPE: il tipo per il nuovo disco, ad esempio, per creare un nuovo volume di Balanced Persistent Disk, specifica pd-balanced. Per i valori validi, consulta Tipi supportati per i volumi Hyperdisk e Variabili del tipo di disco permanente.

    REST

    Invia una richiesta POST al disks.insert metodo.

    POST https://compute.googleapis.com/compute/API_VERSION_TO_USE/projects/PROJECT_ID/LOCATION_TYPE/ZONE_OR_REGION/disks

{
 "name": "NEW_CMEK_DISK_NAME",
 "type": "https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/LOCATION_TYPE/ZONE_OR_REGION/diskTypes/DISK_TYPE",
 "sourceSnapshot": "projects/SNAPSHOT_PROJECT_ID/global/snapshots/CSEK_SNAPSHOT_NAME",
 "diskEncryptionKey": {
    "kmsKeyName": "projects/KMS_PROJECT_ID/locations/KEY_REGION/keyRings/KEY_RING/cryptoKeys/KMS_KEY_NAME"
 },
 "sourceSnapshotEncryptionKey": {
    "CSEK_KEY_TYPE": "RAW_OR_RSA_KEY"
 }
}

    Sostituisci quanto segue:

    • API_VERSION_TO_USE: la versione dell'API da utilizzare. Se la chiave CSEK è una chiave con wrapping RSA, specifica beta. In caso contrario, specifica v1.
    • PROJECT_ID: l'ID del tuo progetto, ad esempio myproject-171.
    • LOCATION_TYPE: il tipo di località, zones per creare un disco a livello di zona, o regions per creare un disco a livello di regione.
    • ZONE_OR_REGION: la zona o la regione per il nuovo disco, ad esempio us-central1-a o us-central1.
    • DISK_TYPE: il tipo per il nuovo disco, ad esempio, per creare un nuovo volume di Balanced Persistent Disk, specifica pd-balanced. Per i valori validi, consulta Tipi supportati per i volumi Hyperdisk e Variabili del tipo di disco permanente.
    • NEW_CMEK_DISK_NAME: il nome del nuovo disco, ad esempio migrated-cmek-disk.
    • SNAPSHOT_PROJECT_ID: l'ID progetto dello snapshot.
    • CSEK_SNAPSHOT_NAME: il nome dello snapshot creato dal disco criptato con CSEK, ad esempio my-csek-snapshot.
    • KMS_PROJECT_ID: l'ID progetto in cui si trova la chiave Cloud KMS.
    • KEY_REGION: la regione in cui si trova la chiave.
    • KEY_RING: il nome delle chiavi automatizzate che includono la chiave.
    • KMS_KEY_NAME: il nome della chiave utilizzata per criptare il disco
    • CSEK_KEY_TYPE: il tipo di chiave di crittografia fornita dal cliente, rawKey per una chiave non elaborata o rsaEncryptedKey se la chiave è con wrapping RSA.
    • RAW_OR_RSA_KEY: il valore della chiave non elaborata o criptata con RSA.

  4. Utilizza il nuovo disco con l'istanza di computing:

    1. Se il disco criptato con CSEK esistente è il disco di avvio di un'istanza di computing in esecuzione, arresta l'istanza.

    2. Per iniziare a utilizzare il nuovo disco, scollega il disco di origine criptato con CSEK dall'istanza e collega il nuovo disco appena creato.

    3. Avvia l'istanza.

    4. Verifica che il nuovo disco funzioni come previsto.

    5. Dopo aver testato il nuovo disco, elimina lo snapshot e il disco originale criptato con CSEK.

      Continuerai a ricevere addebiti per il disco e lo snapshot finché non li elimini.

Esegui la migrazione degli snapshot istantanei criptati con CSEK

Non puoi rimuovere direttamente la CSEK da uno snapshot istantaneo. In alternativa, devi convertire lo snapshot in uno snapshot istantaneo criptato con CMEK completando le seguenti attività:

  1. Crea uno snapshot standard temporaneo criptato con CSEK dallo snapshot istantaneo.

  2. Crea un disco temporaneo criptato con CMEK dallo snapshot criptato con CSEK.

  3. Crea uno snapshot istantaneo criptato con CMEK del nuovo disco.

  4. Dopo aver creato lo snapshot istantaneo criptato con CMEK, elimina lo snapshot standard criptato con CSEK e il disco temporaneo.

Esegui la migrazione di immagini e snapshot criptati con CSEK

Non puoi rimuovere la CSEK da un'immagine, uno snapshot di archiviazione, uno snapshot istantaneo o uno snapshot standard. In alternativa, devi creare un nuovo disco criptato con CMEK dall'immagine o dallo snapshot, quindi creare un'immagine o uno snapshot del nuovo disco.

  1. Crea un nuovo volume di Google Cloud Hyperdisk o Persistent Disk dall'immagine o dallo snapshot:

  2. Crea un'immagine o uno snapshot standard del nuovo disco. Cripta la nuova immagine o il nuovo snapshot con una CMEK.

  3. Elimina il disco che hai creato in precedenza.

Esegui la migrazione delle immagini macchina criptate con CSEK

Per creare un'immagine macchina criptata con CMEK da un'immagine macchina criptata con CSEK, devi creare un'istanza temporanea dall'immagine macchina e poi creare un'immagine macchina criptata con CMEK dall'istanza temporanea. Segui questi passaggi.

  1. Crea una nuova istanza dall'immagine macchina criptata con CSEK, specificando una chiave Cloud KMS per ogni disco presente nell'immagine macchina. Devi utilizzare REST o Google Cloud CLI. Per saperne di più sull'override delle proprietà durante la creazione di un'immagine macchina, consulta Crea un'istanza da un'immagine macchina con override delle proprietà.

    Google Cloud CLI

    Utilizza il gcloud compute instances create comando

    gcloud compute instances create NEW_INSTANCE_NAME \
 --project=PROJECT_ID \
 --zone=ZONE \
 --machine-type=INSTANCE_MACHINE_TYPE \
 --source-machine-image=CSEK_MACHINE_IMAGE_NAME \
 --source-machine-image-csek-key-file=PATH_TO_CSEK_KEY_FILE \
 --create-disk=device-name=BOOT_DISK_DEVICE_NAME,boot=yes,auto-delete=yes,kms-key=projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/BOOT_DISK_KMS_KEY \
 --create-disk=device-name=DEVICE_NAME_FOR_DATA_DISK_1,boot=no,kms-key=projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KMS_KEY_FOR_DATA_DISK_1 \
 --create-disk=device-name=DEVICE_NAME_FOR_DATA_DISK_2,boot=no,kms-key=projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KMS_KEY_FOR_DATA_DISK_2

    Sostituisci quanto segue:

    • NEW_INSTANCE_NAME: il nome della nuova istanza, ad esempio migrated-instance.
    • PROJECT_ID: l'ID del progetto in cui vuoi creare l' istanza, ad esempio myproject-123.
    • ZONE: la zona per la nuova istanza, ad esempio us-central1-a.
    • INSTANCE_MACHINE_TYPE: il tipo di macchina per la nuova istanza, ad esempio c3-standard-4.
    • CSEK_MACHINE_IMAGE_NAME: il nome dell'immagine macchina di origine criptata con CSEK.
    • PATH_TO_CSEK_KEY_FILE: il percorso del file contenente la CSEK utilizzata per criptare l'immagine macchina di origine, ad esempio /tmp/csek_key.json. Per il formato del file richiesto, consulta Formato del file di chiavi.
    • BOOT_DISK_DEVICE_NAME: il nuovo nome del dispositivo per il disco di avvio come definito nell'immagine macchina.
    • KMS_PROJECT_ID: l'ID progetto in cui si trova la chiave Cloud KMS.
    • REGION: la regione in cui si trova la chiave Cloud KMS, ad esempio us-central1.
    • KEY_RING: il nome delle chiavi automatizzate che includono le chiavi.
    • BOOT_DISK_KMS_KEY: il nome della chiave Cloud KMS utilizzata per criptare il disco di avvio per la nuova istanza.
    • DEVICE_NAME_FOR_DATA_DISK_1: un nuovo nome del dispositivo per il primo disco dati come definito nell'immagine macchina di origine.
    • KMS_KEY_FOR_DATA_DISK_1: il nome della chiave Cloud KMS utilizzata per criptare il primo disco dati.
    • KMS_KEY_FOR_DATA_DISK_2: il nome della chiave Cloud KMS utilizzata per criptare il secondo disco dati.

    REST

    Invia una richiesta POST al metodo instances.insert

     POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

 {
    "name": "NEW_INSTANCE_NAME",
    "sourceMachineImage": "projects/PROJECT_ID/global/machineImages/CSEK_MACHINE_IMAGE_NAME",
       "disks": [
       {
          "deviceName": "BOOT_DISK_DEVICE_NAME",
          "boot": true,
          "diskEncryptionKey": {
             "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/BOOT_DISK_KMS_KEY"
          }
       },
       {
          "deviceName": "DEVICE_NAME_FOR_DATA_DISK_1",
          "boot": false,
          "diskEncryptionKey": {
             "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KMS_KEY_FOR_DATA_DISK_1"
          }
       },
       {
          "deviceName": "DEVICE_NAME_FOR_DATA_DISK_2",
          "boot": false,
          "diskEncryptionKey": {
             "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys//KMS_KEY_FOR_DATA_DISK_2"
          }
       }
    ]
 }

    Sostituisci quanto segue:

    • PROJECT_ID: l'ID progetto del progetto in cui vuoi creare l'istanza temporanea, ad esempio myproject-123.
    • ZONE: la zona per la nuova istanza, ad esempio us-central1-a.
    • NEW_INSTANCE_NAME: il nome dell'istanza temporanea da creare, ad esempio migrated-instance.
    • CSEK_MACHINE_IMAGE_NAME: il nome dell'immagine macchina di origine criptata con CSEK, ad esempio csek-encrypted-image.
    • BOOT_DISK_DEVICE_NAME: il nome del dispositivo del disco di avvio come definito nell'immagine macchina di origine, ad esempio boot-disk-0.
    • KMS_PROJECT_ID: l'ID progetto in cui si trova la chiave Cloud KMS.
    • REGION: la regione in cui si trova la chiave Cloud KMS, ad esempio us-central1.
    • KEY_RING: il nome delle chiavi automatizzate che includono le chiavi di crittografia.
    • BOOT_DISK_KMS_KEY: il nome della chiave Cloud KMS utilizzata per criptare il nuovo disco di avvio.
    • DEVICE_NAME_FOR_DATA_DISK_1: il nome del dispositivo del primo disco dati come definito nell'immagine macchina di origine.
    • KMS_KEY_FOR_DATA_DISK_1: il nome della chiave Cloud KMS utilizzata per criptare il primo disco dati.
    • DEVICE_NAME_FOR_DATA_DISK_2: il nome del dispositivo del secondo disco dati come definito nell'immagine macchina di origine.
    • KMS_KEY_FOR_DATA_DISK_2: il nome della chiave Cloud KMS utilizzata per criptare il secondo disco dati.

  2. Verifica che l'istanza funzioni come previsto.

  3. Dopo aver testato l'istanza, crea un'immagine macchina criptata con CMEK dalla nuova istanza.

  4. Elimina l'istanza temporanea.

Rimuovi le risorse inutilizzate

Per evitare di incorrere in costi per le risorse inutilizzate, elimina tutti i dischi, le immagini macchina, gli snapshot, le istanze e le immagini di cui non hai più bisogno.

Passaggi successivi