יצירת מפתח חיצוני

בדף הזה מוסבר איך ליצור מפתחות Cloud External Key Manager ‏ (Cloud EKM) בצרור מפתחות קיים ב-Cloud Key Management Service ‏ (Cloud KMS).

לפני שמתחילים

לפני שמבצעים את המשימות בדף הזה, צריך:

• משאב פרויקט Google Cloud שיכיל את משאבי Cloud KMS. מומלץ להשתמש בפרויקט נפרד למשאבי Cloud KMS שלא מכיל משאבי Google Cloud אחרים.

  רושמים את חשבון השירות של Cloud EKM בפרויקט. בדוגמה הבאה, מחליפים את PROJECT_NUMBER ב מספר הפרויקט של Google Cloud הפרויקט. המידע הזה מוצג גם בכל פעם שמשתמשים במסוף Google Cloud כדי ליצור מפתח Cloud EKM.

      [e-mail]
      

• השם והמיקום של אוסף המפתחות שבו רוצים ליצור את המפתח. בוחרים מחזיק מפתחות במיקום שקרוב למשאבים האחרים שלכם ותומך ב-Cloud EKM. כדי לראות את המיקומים הזמינים ואת רמות ההגנה שהם תומכים בהן, אפשר לעיין במאמר בנושא מיקומים של Cloud KMS. כדי ליצור אוסף מפתחות, אפשר לעיין במאמר יצירת אוסף מפתחות.

• כדי ליצור מפתחות חיצוניים שמנוהלים באופן ידני, צריך ליצור את המפתח במערכת של השותף החיצוני לניהול מפתחות. השלבים המדויקים משתנים בהתאם לשותף החיצוני לניהול מפתחות.

  1. במקרה הצורך, צריך לבקש גישה מהשותף החיצוני לניהול מפתחות כדי להשתתף.

  2. יוצרים מפתח סימטרי או אסימטרי במערכת של השותף החיצוני לניהול מפתחות או בוחרים מפתח קיים.

     יוצרים את המפתח באזור שקרוב לאזור Google Cloud שמתכננים להשתמש בו עבור מפתחות Cloud EKM. כך אפשר להקטין את זמן האחזור ברשת בין הפרויקט לבין השותף החיצוני לניהול מפתחות. Google Cloud אחרת, יכול להיות שתיתקלו במספר גדול יותר של פעולות שנכשלו. מידע נוסף זמין במאמר Cloud EKM ואזורים.

  3. רושמים את ה-URI או את נתיב המפתח של המפתח החיצוני. המידע הזה נדרש כדי ליצור מפתח Cloud EKM.
• במערכת של השותף החיצוני לניהול מפתחות, מעניקים לחשבון השירות Google Cloud גישה לשימוש במפתחות החיצוניים. מתייחסים לחשבון השירות כאל כתובת אימייל. יכול להיות ששותפי EKM ישתמשו במינוח שונה מזה שמופיע במסמך הזה.
• כדי ליצור מפתחות EKM ברשת VPC, צריך ליצור חיבור EKM.
• אופציונלי: כדי להשתמש ב-CLI של gcloud, צריך להכין את הסביבה.

  במסוף Google Cloud , מפעילים את Cloud Shell.

  הפעלת Cloud Shell

התפקידים הנדרשים

כדי לקבל את ההרשאות שנדרשות ליצירת מפתחות, צריך לבקש מהאדמין להקצות לכם ב-IAM את התפקיד אדמין של Cloud KMS (roles/cloudkms.admin) בפרויקט או במשאב אב. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

זהו תפקיד שמוגדר מראש וכולל את ההרשאות שנדרשות ליצירת מפתחות. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

ההרשאות הנדרשות

כדי ליצור מפתחות, צריך את ההרשאות הבאות:

• cloudkms.cryptoKeys.create
• cloudkms.cryptoKeys.get
• cloudkms.cryptoKeys.list
• cloudkms.cryptoKeyVersions.create
• cloudkms.cryptoKeyVersions.get
• cloudkms.cryptoKeyVersions.list
• cloudkms.keyRings.get
• cloudkms.keyRings.list
• cloudkms.locations.get
• cloudkms.locations.list
• resourcemanager.projects.get
• כדי לאחזר מפתח ציבורי: cloudkms.cryptoKeyVersions.viewPublicKey

יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

זהירות: התפקיד אדמין של Cloud KMS כולל הרשאות לתחזוקת מפתחות ולהשמדת גרסאות של מפתחות. כדי להגן על משאבי Cloud KMS, צריך להקצות את התפקיד הזה רק לאנשים שאחראים על ניהול המפתחות.

יצירת מפתח חיצוני מתואם

המסוף

1. נכנסים לדף Key Management במסוף Google Cloud .

   כניסה אל Key Management

2. לוחצים על השם של אוסף המפתחות שעבורו רוצים ליצור מפתח.

3. לוחצים על Create key.

4. בשדה Key name, מזינים שם למפתח.

5. בקטע רמת הגנה, בוחרים באפשרות חיצונית.

6. בקטע External key manager (EKM) connection type (סוג החיבור של מנהל מפתחות חיצוני (EKM)), בוחרים באפשרות via VPC (דרך VPC).

7. בקטע EKM via VPC connection (EKM דרך חיבור VPC), בוחרים חיבור.

   אם אין לכם הרשאה מסוג EkmConnection.list, תצטרכו להזין ידנית את שם משאב החיבור.

8. לוחצים על Continue.

9. בקטע Key material (חומר מפתח), אמורה להופיע הודעה על כך ש-Cloud KMS מבקש חומר מפתח חדש ושהוא נוצר ב-EKM. אם מופיע השדה Key path (נתיב המפתח), חיבור ה-EKM דרך ה-VPC שבחרתם לא מוגדר למפתחות חיצוניים מתואמים.

10. מגדירים את שאר הגדרות המפתח לפי הצורך, ואז לוחצים על יצירה.

שירות Cloud EKM שולח בקשה ל-EKM כדי ליצור מפתח חדש. המפתח מוצג כבהמתנה ליצירה עד שמסלול המפתח מוחזר על ידי ה-EKM והמפתח של Cloud EKM זמין.

gcloud

כדי להשתמש ב-Cloud KMS בשורת הפקודה, קודם צריך להתקין את הגרסה האחרונה של Google Cloud CLI או לשדרג אליה.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

מחליפים את מה שכתוב בשדות הבאים:

• ‫KEY_NAME: השם של המפתח.
• ‫KEY_RING: השם של אוסף המפתחות שמכיל את המפתח.
• ‫LOCATION: המיקום ב-Cloud KMS שבו נמצא אוסף המפתחות.
• ‫PURPOSE: המטרה של המפתח.
• ‫ALGORITHM: האלגוריתם שבו יש להשתמש עבור המפתח, לדוגמה google-symmetric-encryption. רשימת האלגוריתמים הנתמכים מופיעה במאמר אלגוריתמים.
• ‫VPC_CONNECTION_RESOURCE_ID: מזהה המשאב של חיבור ה-EKM.

כדי לקבל מידע על כל הדגלים והערכים האפשריים, מריצים את הפקודה עם הדגל --help.

יצירה של Cloud EKM בניהול ידני באמצעות מפתח VPC

המסוף

1. נכנסים לדף Key Management במסוף Google Cloud .

   כניסה אל Key Management

2. לוחצים על השם של אוסף המפתחות שעבורו רוצים ליצור מפתח.

3. לוחצים על Create key.

4. בשדה Key name, מזינים שם למפתח.

5. בקטע רמת הגנה, בוחרים באפשרות חיצונית.

6. בקטע External key manager (EKM) connection type (סוג החיבור של מנהל מפתחות חיצוני (EKM)), בוחרים באפשרות via VPC (דרך VPC).

7. בקטע EKM via VPC connection (EKM דרך חיבור VPC), בוחרים חיבור.

   הערה: אם אין לכם הרשאה של EkmConnection.list, אתם צריכים להזין ידנית את שם משאב החיבור.

8. לוחצים על Continue.

9. בשדה Key path (נתיב המפתח), מזינים את הנתיב למפתח החיצוני.

10. מגדירים את שאר הגדרות המפתח לפי הצורך, ואז לוחצים על יצירה.

gcloud

כדי להשתמש ב-Cloud KMS בשורת הפקודה, קודם צריך להתקין את הגרסה האחרונה של Google Cloud CLI או לשדרג אליה.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --skip-initial-version-creation \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

מחליפים את מה שכתוב בשדות הבאים:

• ‫KEY_NAME: השם של המפתח.
• KEY_RING
• ‫LOCATION: המיקום ב-Cloud KMS שבו נמצא אוסף המפתחות.
• ‫PURPOSE: המטרה של המפתח.
• ‫ALGORITHM: האלגוריתם שבו יש להשתמש עבור המפתח, לדוגמה google-symmetric-encryption. רשימת האלגוריתמים הנתמכים מופיעה במאמר אלגוריתמים.
• ‫VPC_CONNECTION_RESOURCE_ID: מזהה המשאב של חיבור ה-EKM.

כדי לקבל מידע על כל הדגלים והערכים האפשריים, מריצים את הפקודה עם הדגל --help.

יצירה של Cloud EKM בניהול ידני באמצעות מפתח אינטרנט

המסוף

1. נכנסים לדף Key Management במסוף Google Cloud .

   כניסה אל Key Management

2. לוחצים על השם של אוסף המפתחות שעבורו רוצים ליצור מפתח.

3. לוחצים על Create key.

4. בשדה Key name, מזינים שם למפתח.

5. בקטע רמת הגנה, בוחרים באפשרות חיצונית.

6. בקטע External key manager (EKM) connection type (סוג החיבור של מנהל מפתחות חיצוני (EKM)), בוחרים באפשרות via internet (דרך האינטרנט).

7. לוחצים על Continue.

8. בשדה Key URI (כתובת URI של מפתח), מזינים את הנתיב למפתח החיצוני.

9. מגדירים את שאר הגדרות המפתח לפי הצורך, ואז לוחצים על יצירה.

   הערה: אם תזינו את ה-URI בצורה שגויה, או אם המפתח לא יימצא ב-URI הזה, המפתח ייווצר אבל לא תהיה לו גרסה. במקרה כזה, לוחצים על Rotate Key (רוטציה של המפתח) כדי ליצור גרסה חדשה, ומזינים את ה-URI הנכון. פרטים נוספים על השגיאה זמינים בכרטיסייה פעילות בחלונית הצגת המידע או ב[יומני ביקורת של פעילות האדמין][audit_logging] (מופעלים כברירת מחדל).

gcloud

כדי להשתמש ב-Cloud KMS בשורת הפקודה, קודם צריך להתקין את הגרסה האחרונה של Google Cloud CLI או לשדרג אליה.

1. יוצרים מפתח חיצוני ריק:

   gcloud kms keys create KEY_NAME \
     --keyring KEY_RING \
     --location LOCATION \
     --purpose PURPOSE \
     --protection-level external \
     --skip-initial-version-creation \
     --default-algorithm ALGORITHM
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫KEY_NAME: השם של המפתח.
   • ‫KEY_RING: השם של אוסף המפתחות שמכיל את המפתח.
   • ‫LOCATION: המיקום ב-Cloud KMS שבו נמצא אוסף המפתחות.
   • ‫PURPOSE: המטרה של המפתח.
   • ‫ALGORITHM: האלגוריתם שבו יש להשתמש עבור המפתח, לדוגמה google-symmetric-encryption. רשימת האלגוריתמים הנתמכים מופיעה במאמר אלגוריתמים.

   כדי לקבל מידע על כל הדגלים והערכים האפשריים, מריצים את הפקודה עם הדגל --help.

2. יוצרים גרסה חדשה של המפתח שיצרתם:

   gcloud kms keys versions create \
     --key KEY_NAME \
     --keyring KEY_RING \
     --location LOCATION \
     --external-key-uri EXTERNAL_KEY_URI
   

   מחליפים את EXTERNAL_KEY_URI במזהה המשאבים האחיד (URI) של המפתח החיצוני.

   לגרסאות של מפתחות סימטריים, מוסיפים את הדגל --primary כדי להגדיר את גרסת המפתח החדשה כגרסה הראשית.

   הערה: הגרסה לא נוצרת אם ה-URI של המפתח לא תקין או שלא ניתן להגיע אליו, או אם לחשבון השירות Google Cloud אין הרשאה להשתמש במפתח של שותף חיצוני לניהול מפתחות. אם מתרחשת שגיאה, מתקנים את הבעיה ומריצים את הפקודה שוב.

המאמרים הבאים

• עדכון של נתיב מפתח חיצוני בלי לבצע רוטציה של המפתח.
• ביצוע רוטציה למפתח חיצוני.