Google usa tecnología de IA para traducir contenido al idioma que prefieras. Las traducciones generadas por IA pueden contener errores.

Importar y exportar claves

En este documento se explica cómo importar y exportar claves del sistema de gestión de claves (KMS). Estas operaciones usan la interfaz de línea de comandos (CLI) kubectl e interactúan con los siguientes recursos de Kubernetes:

Para ver más detalles sobre estos recursos, consulta la descripción general de la API KMS.

Consulta la sección Claves admitidas del documento del sistema de gestión de claves para ver la lista completa y los detalles de las claves admitidas por KMS.

Este documento está dirigido a los miembros del grupo de operadores de aplicaciones que realicen operaciones de gestión de claves en Google Distributed Cloud (GDC) aislado. Para obtener más información, consulta la documentación sobre audiencias de GDC aislado.

Antes de empezar

Antes de importar o exportar claves, debes tener los permisos necesarios y preparar tu entorno.

Solicitar roles de gestión de identidades y accesos

Ponte en contacto con el administrador de gestión de identidades y accesos de tu organización para solicitar los siguientes roles en tu proyecto:

Administrador de importación de claves de KMS (kms-keyimport-admin): crea, actualiza y elimina recursos de KeyImport.
Administrador de exportación de claves de KMS (kms-keyexport-admin): crea, actualiza y elimina recursos de KeyExport.

Prepara tu entorno

Descarga e instala la CLI gdcloud si aún no lo has hecho.
Instala la CLI de kubectl.
Genera un archivo kubeconfig para configurar el acceso a kubectl.

Importar una clave exportada

Para importar una clave exportada, sigue estos pasos:

Crea un archivo YAML y añade el recurso KeyImport como valor del objeto kind:
```
apiVersion: "kms.gdc.goog/v1"
kind: KeyImport
metadata:
  name: KEY_IMPORT_NAME
  namespace: PROJECT
spec:
  context:
    mechanism: MECHANISM
```
Sustituye las siguientes variables:
- KEY_IMPORT_NAME: el nombre del recurso KeyImport (por ejemplo, key-import-test).
- PROJECT: el nombre del espacio de nombres del proyecto, por ejemplo, kms-test1.
- MECHANISM: el mecanismo de compartir llaves de la clave por ejemplo, `EDCH_P521_AES256` .
Aplica el contenido del archivo YAML al KMS y crea el KeyImportrecurso:
```
kubectl apply -f FILENAME.yaml
```
Sustituye FILENAME por el nombre del archivo YAML.

Con la clave pública de un par de claves generado internamente, el KMS actualiza el estado del recurso KeyImport a AwaitingKeyToImport. Para continuar, debes ver el estado del recurso y obtener la clave pública generada por KMS.
Para ver el estado del recurso KeyImport y obtener la clave pública generada por KMS, ejecuta lo siguiente:
```
kubectl describe keyimport KEY_IMPORT_NAME --namespace PROJECT
```
Sustituye las siguientes variables:
- KEY_IMPORT_NAME: el nombre del recurso KeyImport (por ejemplo, key-import-test).
- PROJECT: el nombre del espacio de nombres del proyecto. Por ejemplo, kms-test1.
Después de ejecutar el comando, verás un resultado similar al siguiente:
```
...
Status:
  Conditions:
    Last Transition Time:  2022-12-14T20:43:50Z
    Message:               waiting for user to provide KeyToImport
    Observed Generation:   1
    Reason:                AwaitingKeyToImport
    Status:                False
    Type:                  Ready
  Imported Key Ref:
    Kind: KeyImport
    Name: key-import-test
  Peer Context:
    Private Key:
    Public Key: PUBLIC_KEY
Events:           <none>
```
El valor PUBLIC_KEY representa la clave pública generada por KMS. Copia la clave pública y añádela al recurso KeyExport en el paso siguiente.
Crea otro archivo YAML, añade el recurso KeyExport como valor del objeto kind y el siguiente contenido:
```
apiVersion: "kms.gdc.goog/v1"
kind: KeyExport
metadata:
  name: KEY_EXPORT_NAME
  namespace: PROJECT
spec:
  context:
    mechanism: MECHANISM
    publicKey: PUBLIC_KEY
  keyToExport:
    kind: KEY_PRIMITIVE
    name: KEY_NAME
```
Sustituye las siguientes variables:
- KEY_EXPORT_NAME: el nombre del recurso KeyExport (por ejemplo, key-export-test).
- PROJECT: el nombre del espacio de nombres del proyecto. Por ejemplo, kms-test1.
  
  Importante: La definición de recurso personalizado (CRD) KeyExport debe residir en el mismo espacio de nombres del proyecto que la clave importada. Si la clave importada se encuentra en el espacio de nombres del proyecto kms-test1, el CRD KeyExport también debe estar en el mismo espacio de nombres del proyecto.
- MECHANISM: el mecanismo de compartir llaves de la clave por ejemplo, `EDCH_P521_AES256` .
- PUBLIC_KEY: la clave pública de keyImport.Status.PeerContext.PublicKey.
- KEY_PRIMITIVE: el CRD de la clave (por ejemplo, aeadkey y signingkey).
- KEY_NAME: el nombre de la clave (por ejemplo, key-1).
Aplica el contenido del archivo YAML al KMS y crea el KeyExportrecurso:
```
kubectl apply -f FILENAME.yaml
```
Sustituye FILENAME por el nombre del archivo YAML.

Después de ejecutar el comando, KMS actualiza el estado del recurso KeyExport y genera una clave exportada. Para obtener la clave exportada, consulta el estado del recurso.
Para ver el estado del recurso, ejecute lo siguiente:
```
kubectl describe keyexport KEY_EXPORT_NAME --namespace PROJECT
```
Sustituye las siguientes variables:
- KEY_EXPORT_NAME: el nombre del recurso KeyExport (por ejemplo, key-export-test).
- PROJECT: el nombre del espacio de nombres del proyecto. Por ejemplo, kms-test1.
Después de ejecutar el comando, verás un resultado similar al siguiente:
```
...
Status:
Conditions:
Last Transition Time:  2022-12-14T20:45:57Z
Message:               key successfully exported
Observed Generation:   1
Reason:                KeyExportCompleted
Status:                True
Type:                  Ready
Exported Key: EXPORTED_KEY
```
EXPORTED_KEY representa los metadatos de la clave exportada. Copia el contenido de EXPORTED_KEY para continuar con el siguiente paso.

Edita el archivo YAML que contiene el recurso KeyImport y añade el contenido que has copiado del resultado en keyexport.status.exportedkey.

apiVersion: "kms.gdc.goog/v1"
kind: KeyImport
metadata:
  name: key-import-test
  namespace: kms-test1
spec:
  context:
    mechanism: EDCH_P521_AES256
  keyToImport: EXPORTED_KEY

Después de editar el archivo YAML, aplica el contenido al KMS:
```
kubectl apply -f FILENAME.yaml
```
Después de ejecutar el comando, KMS importa la clave exportada que has proporcionado.

Para ver los detalles de la clave importada, ejecuta lo siguiente:

kubectl get keyimport KEY_IMPORT_NAME

Verá un resultado similar al siguiente:

NAMESPACE   NAME             AGE    READY   REASON              KEY KIND
kms-test1  KEY_IMPORT_NAME   60s    True    KeyImportCompleted  KEY_PRIMITIVE

KEY_PRIMITIVE representa el tipo de clave que has importado, entre las claves AEAD y de firma.