יצירת מפתח חיצוני

בדף הזה מוסבר איך ליצור מפתחות Cloud External Key Manager ‏ (Cloud EKM) בצרור מפתחות קיים ב-Cloud Key Management Service ‏ (Cloud KMS).

לפני שמתחילים

לפני שמבצעים את המשימות בדף הזה, צריך לוודא שיש לכם את הדברים הבאים:

  • משאב פרויקט Google Cloud שיכיל את משאבי Cloud KMS. מומלץ להשתמש בפרויקט נפרד למשאבי Cloud KMS שלא מכיל משאבי Google Cloud אחרים.

    רושמים את חשבון השירות של Cloud EKM בפרויקט. בדוגמה הבאה, מחליפים את PROJECT_NUMBER ב מספר הפרויקט של Google Cloud הפרויקט. המידע הזה מוצג גם בכל פעם שמשתמשים במסוף Google Cloud כדי ליצור מפתח Cloud EKM.

        service-PROJECT_NUMBER@gcp-sa-ekms.iam.gserviceaccount.com
  • השם והמיקום של אוסף המפתחות שבו רוצים ליצור את המפתח. בוחרים מחזיק מפתחות במיקום שקרוב למשאבים האחרים שלכם ושנתמך על ידי Cloud EKM. כדי לראות את המיקומים הזמינים ואת רמות ההגנה שהם תומכים בהן, אפשר לעיין במאמר בנושא מיקומים של Cloud KMS. כדי ליצור אוסף מפתחות, אפשר לעיין במאמר יצירת אוסף מפתחות.

  • כדי ליצור מפתחות חיצוניים בניהול ידני, צריך ליצור את המפתח במערכת של שותף חיצוני לניהול מפתחות. השלבים המדויקים משתנים בהתאם לשותף החיצוני לניהול מפתחות.

    1. במקרה הצורך, אפשר לבקש גישה מהשותף החיצוני לניהול מפתחות כדי להשתתף.

    2. יוצרים מפתח סימטרי או אסימטרי במערכת של השותף החיצוני לניהול מפתחות או בוחרים מפתח קיים.

      יוצרים את המפתח באזור שקרוב לאזור Google Cloud שמתכננים להשתמש בו למפתחות Cloud EKM. כך אפשר להקטין את זמן האחזור ברשת בין פרויקט Google Cloud לבין השותף החיצוני לניהול מפתחות. אחרת, יכול להיות שתיתקלו במספר גדול יותר של פעולות שנכשלו. מידע נוסף זמין במאמר בנושא Cloud EKM ואזורים.

    3. רושמים את ה-URI או את נתיב המפתח של המפתח החיצוני. המידע הזה נדרש כדי ליצור מפתח Cloud EKM.
  • במערכת של השותף החיצוני לניהול מפתחות, מעניקים לחשבון השירות Google Cloudגישה לשימוש במפתחות החיצוניים. מתייחסים לחשבון השירות כאל כתובת אימייל. יכול להיות ששותפי EKM ישתמשו במינוח שונה מזה שמופיע במסמך הזה.
  • כדי ליצור מפתחות EKM ברשת VPC, צריך ליצור חיבור EKM.
  • אופציונלי: כדי להשתמש ב-CLI של gcloud, צריך להכין את הסביבה.

    במסוף Google Cloud , מפעילים את Cloud Shell.

    הפעלת Cloud Shell

התפקידים הנדרשים

כדי לקבל את ההרשאות שנדרשות ליצירת מפתחות, צריך לבקש מהאדמין להקצות לכם ב-IAM את התפקיד אדמין של Cloud KMS (roles/cloudkms.admin) בפרויקט או במשאב אב. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

זהו תפקיד שמוגדר מראש וכולל את ההרשאות שנדרשות ליצירת מפתחות. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

ההרשאות הנדרשות

כדי ליצור מפתחות, צריך את ההרשאות הבאות:

  • cloudkms.cryptoKeys.create
  • cloudkms.cryptoKeys.get
  • cloudkms.cryptoKeys.list
  • cloudkms.cryptoKeyVersions.create
  • cloudkms.cryptoKeyVersions.get
  • cloudkms.cryptoKeyVersions.list
  • cloudkms.keyRings.get
  • cloudkms.keyRings.list
  • cloudkms.locations.get
  • cloudkms.locations.list
  • resourcemanager.projects.get
  • כדי לאחזר מפתח ציבורי: cloudkms.cryptoKeyVersions.viewPublicKey

יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

יצירת מפתח חיצוני מתואם

המסוף

  1. נכנסים לדף Key Management במסוף Google Cloud .

    כניסה אל Key Management

  2. לוחצים על השם של אוסף המפתחות שעבורו רוצים ליצור מפתח.

  3. לוחצים על Create key.

  4. בשדה שם המפתח, מזינים שם למפתח.

  5. בקטע רמת הגנה, בוחרים באפשרות חיצונית.

  6. בקטע External key manager (EKM) connection type (סוג החיבור של מנהל מפתחות חיצוני (EKM)), בוחרים באפשרות via VPC (דרך VPC).

  7. בקטע EKM via VPC connection (EKM דרך חיבור VPC), בוחרים חיבור.

    אם אין לכם את ההרשאה EkmConnection.list, תצטרכו להזין את שם המשאב של החיבור באופן ידני.

  8. לוחצים על Continue.

  9. בקטע Key material (חומר מפתח), אמורה להופיע הודעה על כך ש-Cloud KMS מבקש חומר מפתח חדש ושהוא נוצר ב-EKM. אם מופיע השדה נתיב המפתח, חיבור ה-EKM דרך ה-VPC שבחרתם לא מוגדר למפתחות חיצוניים מתואמים.

  10. מגדירים את שאר ההגדרות של המפתח לפי הצורך, ואז לוחצים על יצירה.

שירות Cloud EKM שולח בקשה ל-EKM שלכם כדי ליצור מפתח חדש. המפתח מוצג כבהמתנה ליצירה עד שנתיב המפתח מוחזר על ידי ה-EKM והמפתח של Cloud EKM זמין.

gcloud

כדי להשתמש ב-Cloud KMS בשורת הפקודה, קודם צריך להתקין את הגרסה האחרונה של Google Cloud CLI או לשדרג אליה.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

מחליפים את מה שכתוב בשדות הבאים:

  • ‫KEY_NAME: השם של המפתח.
  • ‫KEY_RING: השם של אוסף המפתחות שמכיל את המפתח.
  • ‫LOCATION: המיקום ב-Cloud KMS שבו נמצא אוסף המפתחות.
  • ‫PURPOSE: המטרה של המפתח.
  • ‫ALGORITHM: האלגוריתם שבו יש להשתמש עבור המפתח, לדוגמה google-symmetric-encryption. רשימת האלגוריתמים הנתמכים זמינה במאמר אלגוריתמים.
  • ‫VPC_CONNECTION_RESOURCE_ID: מזהה המשאב של חיבור ה-EKM.

כדי לקבל מידע על כל הדגלים והערכים האפשריים, מריצים את הפקודה עם הדגל --help.

יצירת מפתח Cloud EKM ב-VPC שמנוהל באופן ידני

המסוף

  1. נכנסים לדף Key Management במסוף Google Cloud .

    כניסה אל Key Management

  2. לוחצים על השם של אוסף המפתחות שעבורו רוצים ליצור מפתח.

  3. לוחצים על Create key.

  4. בשדה שם המפתח, מזינים שם למפתח.

  5. בקטע רמת הגנה, בוחרים באפשרות חיצונית.

  6. בקטע External key manager (EKM) connection type (סוג החיבור של מנהל מפתחות חיצוני (EKM)), בוחרים באפשרות via VPC (דרך VPC).

  7. בקטע EKM via VPC connection (EKM דרך חיבור VPC), בוחרים חיבור.

    אם אין לכם את ההרשאה EkmConnection.list, תצטרכו להזין את שם המשאב של החיבור באופן ידני.

  8. לוחצים על Continue.

  9. בשדה Key path (נתיב המפתח), מזינים את הנתיב למפתח החיצוני.

  10. מגדירים את שאר ההגדרות של המפתח לפי הצורך, ואז לוחצים על יצירה.

gcloud

כדי להשתמש ב-Cloud KMS בשורת הפקודה, קודם צריך להתקין את הגרסה האחרונה של Google Cloud CLI או לשדרג אליה.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --skip-initial-version-creation \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

מחליפים את מה שכתוב בשדות הבאים:

  • ‫KEY_NAME: השם של המפתח.
  • ‫KEY_RING: השם של אוסף המפתחות שמכיל את המפתח.
  • ‫LOCATION: המיקום ב-Cloud KMS שבו נמצא אוסף המפתחות.
  • ‫PURPOSE: המטרה של המפתח.
  • ‫ALGORITHM: האלגוריתם שבו יש להשתמש עבור המפתח, לדוגמה google-symmetric-encryption. רשימת האלגוריתמים הנתמכים זמינה במאמר אלגוריתמים.
  • ‫VPC_CONNECTION_RESOURCE_ID: מזהה המשאב של חיבור ה-EKM.

כדי לקבל מידע על כל הדגלים והערכים האפשריים, מריצים את הפקודה עם הדגל --help.

יצירה של Cloud EKM בניהול ידני באמצעות מפתח באינטרנט

המסוף

  1. נכנסים לדף Key Management במסוף Google Cloud .

    כניסה אל Key Management

  2. לוחצים על השם של אוסף המפתחות שעבורו רוצים ליצור מפתח.

  3. לוחצים על Create key.

  4. בשדה שם המפתח, מזינים שם למפתח.

  5. בקטע רמת הגנה, בוחרים באפשרות חיצונית.

  6. בקטע External key manager (EKM) connection type (סוג החיבור של מנהל מפתחות חיצוני (EKM)), בוחרים באפשרות via internet (דרך האינטרנט).

  7. לוחצים על Continue.

  8. בשדה Key URI (כתובת ה-URI של המפתח), מזינים את הנתיב למפתח החיצוני.

  9. מגדירים את שאר ההגדרות של המפתח לפי הצורך, ואז לוחצים על יצירה.

gcloud

כדי להשתמש ב-Cloud KMS בשורת הפקודה, קודם צריך להתקין את הגרסה האחרונה של Google Cloud CLI או לשדרג אליה.

  1. יוצרים מפתח חיצוני ריק:

    gcloud kms keys create KEY_NAME \
  --keyring KEY_RING \
  --location LOCATION \
  --purpose PURPOSE \
  --protection-level external \
  --skip-initial-version-creation \
  --default-algorithm ALGORITHM

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫KEY_NAME: השם של המפתח.
    • ‫KEY_RING: השם של אוסף המפתחות שמכיל את המפתח.
    • ‫LOCATION: המיקום ב-Cloud KMS שבו נמצא אוסף המפתחות.
    • ‫PURPOSE: המטרה של המפתח.
    • ‫ALGORITHM: האלגוריתם שבו יש להשתמש עבור המפתח, לדוגמה google-symmetric-encryption. רשימת האלגוריתמים הנתמכים זמינה במאמר אלגוריתמים.

    כדי לקבל מידע על כל הדגלים והערכים האפשריים, מריצים את הפקודה עם הדגל --help.

  2. יוצרים גרסת מפתח חדשה למפתח שיצרתם:

    gcloud kms keys versions create \
  --key KEY_NAME \
  --keyring KEY_RING \
  --location LOCATION \
  --external-key-uri EXTERNAL_KEY_URI

    מחליפים את EXTERNAL_KEY_URI במזהה המשאבים האחיד (URI) של המפתח החיצוני.

    לגרסאות של מפתחות סימטריים, מוסיפים את הדגל --primary כדי להגדיר את גרסת המפתח החדשה כגרסה הראשית.

המאמרים הבאים