Criptare e decriptare i dati

Questo documento descrive come crittografare e decrittografare i dati utilizzando le chiavi del sistema di gestione delle chiavi (KMS) con la CLI gdcloud.

Questo documento è rivolto ai membri del gruppo di operatori dell'applicazione che devono eseguire operazioni di crittografia all'interno dei progetti GDC. Per saperne di più, consulta la documentazione sui segmenti di pubblico per GDC con air gap.

Prima di iniziare

Prima di criptare o decriptare i dati, devi disporre delle autorizzazioni necessarie e preparare l'ambiente.

Richiedi ruoli IAM

Per criptare e decriptare i dati, contatta l'amministratore dell'organizzazione IAM per richiedere il ruolo Sviluppatore KMS (kms-developer) nello spazio dei nomi del progetto.

prepara l'ambiente

• Scarica e installa l'interfaccia a riga di comando gdcloud, se non l'hai ancora fatto.

• Accedi alla CLI gdcloud.

Cripta i dati

Per criptare i dati, utilizza il comando gdcloud kms keys encrypt. Questo comando cripta un file di testo non crittografato utilizzando la chiave AEAD e lo scrive in un file di testo crittografato denominato.

• Per criptare i dati, passa il nome della chiave e quanto segue:

  gdcloud kms keys encrypt namespaces/NAMESPACE/aeadKeys/KEY_NAME \
    --plaintext-file=PLAINTEXT_PATH \
    --additional-authenticated-data-file=ADDITIONAL_AUTHENTICATED_DATA_FILE \
    --ciphertext-file=CIPHERTEXT_PATH
  

  Sostituisci le seguenti variabili:

  • NAMESPACE: lo spazio dei nomi del progetto, ad esempio: kms-test1.
  • KEY_NAME: il nome della chiave utilizzata per criptare il testo non crittografato, ad esempio: key-1.
  • PLAINTEXT_PATH: il percorso del file che contiene il testo non crittografato da criptare.
  • ADDITIONAL_AUTHENTICATED_DATA_FILE: un file facoltativo che contiene dati autenticati aggiuntivi (AAD). I dati di autenticazione aggiuntivi vengono utilizzati per i controlli di integrità e proteggono i tuoi dati da un attacco di tipo confused deputy. AAD e il testo non crittografato hanno ciascuno un limite di dimensione di 64 kB.
  • CIPHERTEXT_PATH: il percorso del file che contiene il testo non crittografato.

  Dopo aver eseguito il comando, vedrai un file specificato nel flag --ciphertext-file che contiene i contenuti criptati del file di testo non crittografato.

Decripta i dati

Per decriptare i dati, utilizza il comando gdcloud kms keys decrypt. Questo comando decripta un determinato file di testo cifrato utilizzando la chiave AEAD e lo scrive in un file di testo non crittografato denominato.

• Per decriptare il testo cifrato, passa il nome della chiave e quanto segue:

  gdcloud kms keys decrypt namespaces/NAMESPACE/aeadKeys/KEY_NAME \
   --ciphertext-file=CIPHERTEXT_PATH \
   --additional-authenticated-data-file=ADDITIONAL_AUTHENTICATED_DATA_FILE \
   --plaintext-file=PLAINTEXT_PATH
  

  Sostituisci le seguenti variabili:

  • NAMESPACE: lo spazio dei nomi del progetto.
  • KEY_NAME: il nome della chiave utilizzata per criptare il testo non crittografato.
  • CIPHERTEXT_PATH: il percorso del file che vuoi decriptare.
  • ADDITIONAL_AUTHENTICATED_DATA_FILE: un file facoltativo che contiene dati autenticati aggiuntivi (AAD). I dati di autenticazione aggiuntivi vengono utilizzati per i controlli di integrità e proteggono i tuoi dati da un attacco di tipo confused deputy. AAD e il testo non crittografato hanno ciascuno un limite di dimensione di 64 kB.
    Nota: devi utilizzare gli stessi dati AAD che hai passato durante l'operazione di crittografia per l'operazione di decriptazione.
  • PLAINTEXT_PATH: il percorso del file che contiene il testo non crittografato decriptato.

  Dopo aver eseguito il comando, vedrai un file specificato nel flag --plaintext-file che contiene i dati decriptati.