Administra recursos de encriptación

En esta página, se muestra cómo administrar buckets de almacenamiento encriptados de Google Distributed Cloud (GDC) aislado.

Antes de comenzar

Los buckets de almacenamiento son recursos que se limitan a un proyecto específico. El proyecto actúa como un contenedor, agrupa tus buckets y habilita su administración a través del servidor de la API de Management. Antes de realizar las operaciones de esta página, debes crear un proyecto nuevo o seleccionar uno existente en el que tengas los permisos suficientes.

Roles de IAM obligatorios

Comunícate con el administrador de IAM de tu proyecto para solicitar los siguientes roles en el espacio de nombres del proyecto:

  • Administrador de proyectos de buckets (project-bucket-admin): Crea, actualiza y borra buckets de almacenamiento.
  • Visualizador de proyectos de objetos de bucket (project-bucket-object-viewer): Permite ver y verificar los detalles de los buckets y objetos de almacenamiento.

Para obtener más información, consulta Otorga acceso al bucket.

Prepara el entorno

Para ejecutar comandos en el servidor de la API de administración o en el servidor de la API global, haz lo siguiente:

  1. Accede y genera el archivo kubeconfig para el servidor de la API de administración zonal si no tienes uno.
  2. En el caso de los buckets de zona doble, haz lo siguiente:
    • Verifica con tu operador de infraestructura (IO) que se haya creado el recurso personalizado BucketLocationConfig para tus zonas vinculadas.
    • Genera el archivo kubeconfig para el servidor de la API global.

Administra los recursos de encriptación

Los buckets con encriptación v2 tendrían un secreto kekRef y varias AEADKeys creadas, en las que se usa kekRef para hacer referencia a las AEADKeys predeterminadas activas que se usan, y las AEADKeys incluyen las activas y las de archivo que pertenecen al bucket.

Actualiza las AEADKeys predeterminadas activas de un bucket

Como práctica recomendada, actualiza las AEADKeys predeterminadas de tu bucket después de aproximadamente 42,000 millones de escrituras de objetos. Este paso proactivo mejora la seguridad y evita el agotamiento de claves. El proceso de actualización creará un kekRef nuevo y desactivará las AEADKeys anteriores. Para iniciar el proceso de actualización, borra el secreto kekRef asociado con el bucket.

Para recuperar el kekRef anterior, ejecuta el siguiente comando:

kubectl get secrets -n NAMESPACE_NAME -l  object.gdc.goog/bucket-name=BUCKET_NAME

Luego, puedes ejecutar el siguiente comando para borrar la kekRef existente:

kubectl delete secrets OLD_KEKREF_NAME -n  NAMESPACE_NAME

Después de la eliminación correcta, puedes ejecutar lo siguiente para confirmar que se creó un nuevo kekRef basado en AGE:

kubectl get secrets -n NAMESPACE_NAME -l  object.gdc.goog/bucket-name=BUCKET_NAME

Verifica que se hayan creado nuevas AEADKeys predeterminadas basadas en AGE:

kubectl get aeadkeys -n NAMESPACE_NAME -l  cmek.security.gdc.goog/resource-name=BUCKET_NAME

Rota las AEADKeys predeterminadas de un bucket

Si se vulnera una AEADKey de tu bucket, debes rotar de forma manual las claves de encriptación de claves asociadas con el bucket.

Para iniciar el proceso, primero debes actualizar las claves predeterminadas activas. Esto crea nuevas AEADKeys predeterminadas activas y marca las claves de encriptación de claves anteriores como desactivadas. Después de que se actualicen las claves predeterminadas, las cargas de objetos posteriores usarán las nuevas AEADKeys como claves de encriptación de claves. Las AEADKeys anteriores no se destruyen, por lo que aún puedes desencriptar los objetos existentes que se encriptaron con esas claves.

Luego, sigue los pasos para descargar y volver a subir los objetos de tu bucket y borrar los objetos antiguos.

Después de volver a subir todos los objetos de tu bucket, puedes limpiar las AEADKeys inactivas y los objetos antiguos. Identifica las AEADKeys desactivadas según AGE:

kubectl get aeadkeys -n NAMESPACE_NAME -l  cmek.security.gdc.goog/resource-name=BUCKET_NAME

Por último, sigue los pasos para borrar las AEADKeys.