Esta página mostra como gerir buckets de armazenamento isolado do Google Distributed Cloud (GDC) encriptados.
Antes de começar
Um espaço de nomes do projeto gere os recursos do bucket no servidor da API Management. Tem de ter um projeto para trabalhar com buckets e objetos.
Também tem de ter as autorizações de bucket adequadas para realizar a seguinte operação. Consulte o artigo Conceder acesso ao bucket.
Para buckets de zona dupla, configure o kubectl para aceder ao servidor da API Global. Siga os passos em Recursos do servidor da API Global e defina a variável de ambiente GLOBAL_API_SERVER para o ficheiro kubeconfig.
Faça a gestão dos recursos de encriptação
Os buckets com encriptação v2 têm um segredo kekRef e várias AEADKeys criadas, em que kekRef é usado para fazer referência às AEADKeys predefinidas ativas que estão a ser usadas, e as AEADKeys incluem as ativas e as arquivadas pertencentes ao bucket.
Atualize as AEADKeys predefinidas ativas de um bucket
Como prática recomendada, atualize as AEADKeys predefinidas do bucket após, aproximadamente, 42 mil milhões de escritas de objetos. Este passo proativo melhora a segurança e evita o esgotamento das chaves. O processo de atualização cria um novo kekRef e desativa as AEADKeys anteriores. Para iniciar o processo de atualização, elimine o segredo kekRef associado ao bucket.
Pode recuperar o kekRef anterior executando o seguinte comando:
kubectl get secrets -n NAMESPACE_NAME -l object.gdc.goog/bucket-name=BUCKET_NAME
Em seguida, pode executar o seguinte comando para eliminar o kekRef existente:
kubectl delete secrets OLD_KEKREF_NAME -n NAMESPACE_NAME
Após a eliminação bem-sucedida, pode executar o seguinte comando para confirmar que foi criado um novo kekRef com base na AGE:
kubectl get secrets -n NAMESPACE_NAME -l object.gdc.goog/bucket-name=BUCKET_NAME
Valide se foram criadas novas AEADKeys predefinidas com base na AGE:
kubectl get aeadkeys -n NAMESPACE_NAME -l cmek.security.gdc.goog/resource-name=BUCKET_NAME
Alterne as AEADKeys predefinidas de um bucket
Se uma AEADKey do bucket for comprometida, tem de alternar manualmente as chaves de encriptação de chaves associadas ao bucket.
Para iniciar o processo, primeiro tem de atualizar as chaves predefinidas ativas. Isto cria novas AEADKeys predefinidas ativas e marca as chaves de encriptação de chaves anteriores como desativadas. Após a atualização das chaves predefinidas, os carregamentos de objetos subsequentes usam as novas AEADKeys como chaves de encriptação de chaves. As AEADKeys anteriores não são destruídas, pelo que ainda pode desencriptar objetos existentes que foram encriptados anteriormente com essas chaves.
Em seguida, siga os passos para transferir e voltar a carregar os objetos no bucket e eliminar os objetos antigos.
Depois de voltar a carregar todos os objetos no bucket, pode limpar as AEADKeys inativas e os objetos antigos. Identifique as AEADKeys desativadas com base na AGE:
kubectl get aeadkeys -n NAMESPACE_NAME -l cmek.security.gdc.goog/resource-name=BUCKET_NAME
Por fim, siga os passos para eliminar as AEADKeys.