Daten verschlüsseln und entschlüsseln

In diesem Dokument wird beschrieben, wie Sie Daten mit KMS-Schlüsseln (Key Management System) über die gdcloud CLI ver- und entschlüsseln.

Dieses Dokument richtet sich an Zielgruppen innerhalb der Gruppe der Anwendungsoperatoren, die kryptografische Vorgänge in GDC-Projekten ausführen müssen. Weitere Informationen finden Sie unter Dokumentation zu Zielgruppen für GDC mit Air Gap.

Hinweis

Bevor Sie Daten verschlüsseln oder entschlüsseln, müssen Sie die erforderlichen Berechtigungen haben und Ihre Umgebung vorbereiten.

IAM-Rollen anfordern

Wenn Sie Daten verschlüsseln und entschlüsseln möchten, wenden Sie sich an Ihren IAM-Admin der Organisation, um die Rolle KMS-Entwickler (kms-developer) in Ihrem Projekt-Namespace anzufordern.

Umgebung vorbereiten

Daten verschlüsseln

Verwenden Sie den Befehl gdcloud kms keys encrypt, um Daten zu verschlüsseln. Mit diesem Befehl wird eine bestimmte Klartextdatei mit dem Schlüssel AEAD verschlüsselt und in eine benannte Geheimtextdatei geschrieben.

  • Übergeben Sie zum Verschlüsseln von Daten den Schlüsselnamen und Folgendes:

    gdcloud kms keys encrypt namespaces/NAMESPACE/aeadKeys/KEY_NAME \
  --plaintext-file=PLAINTEXT_PATH \
  --additional-authenticated-data-file=ADDITIONAL_AUTHENTICATED_DATA_FILE \
  --ciphertext-file=CIPHERTEXT_PATH

    Ersetzen Sie die folgenden Variablen:

    • NAMESPACE: der Projekt-Namespace, z. B. kms-test1.
    • KEY_NAME: der Name des Schlüssels, mit dem der Klartext verschlüsselt wird, z. B. key-1.
    • PLAINTEXT_PATH: der Pfad zur Datei, die den zu verschlüsselnden Klartext enthält.
    • ADDITIONAL_AUTHENTICATED_DATA_FILE: Eine optionale Datei, die zusätzliche authentifizierte Daten (AAD) enthält. AAD wird für Integritätsprüfungen verwendet und schützt Ihre Daten vor einem Confused-Deputy-Angriff. Für AAD und den Klartext gilt jeweils eine Größenbeschränkung von 64 KB.
    • CIPHERTEXT_PATH: der Pfad zur Datei, die den verschlüsselten Klartext enthält.

    Nachdem Sie den Befehl ausgeführt haben, wird eine Datei angezeigt, die Sie im Flag --ciphertext-file angegeben haben und die den verschlüsselten Inhalt der Klartextdatei enthält.

Daten entschlüsseln

Verwenden Sie den Befehl gdcloud kms keys decrypt, um Daten zu entschlüsseln. Mit diesem Befehl wird eine bestimmte Geheimtextdatei mit dem Schlüssel AEAD entschlüsselt und in eine benannte Klartextdatei geschrieben.

  • Übergeben Sie zum Entschlüsseln von Geheimtext den Schlüsselnamen und Folgendes:

    gdcloud kms keys decrypt namespaces/NAMESPACE/aeadKeys/KEY_NAME \
 --ciphertext-file=CIPHERTEXT_PATH \
 --additional-authenticated-data-file=ADDITIONAL_AUTHENTICATED_DATA_FILE \
 --plaintext-file=PLAINTEXT_PATH

    Ersetzen Sie die folgenden Variablen:

    • NAMESPACE: der Projekt-Namespace.
    • KEY_NAME: der Name des Schlüssels, mit dem der Klartext verschlüsselt wird.
    • CIPHERTEXT_PATH: der Pfad der Datei, die Sie entschlüsseln möchten.
    • ADDITIONAL_AUTHENTICATED_DATA_FILE: Eine optionale Datei, die zusätzliche authentifizierte Daten (AAD) enthält. AAD wird für Integritätsprüfungen verwendet und schützt Ihre Daten vor einem Confused-Deputy-Angriff. Für AAD und den Klartext gilt jeweils eine Größenbeschränkung von 64 KB.
    • PLAINTEXT_PATH: der Pfad zur Datei, die den entschlüsselten Klartext enthält.

    Nachdem Sie den Befehl ausgeführt haben, wird eine Datei angezeigt, die Sie im Flag --plaintext-file angegeben haben und die die entschlüsselten Daten enthält.