Membuat kunci eksternal

Halaman ini menunjukkan cara membuat kunci Cloud External Key Manager (Cloud EKM) di key ring yang ada di Cloud Key Management Service (Cloud KMS).

Sebelum memulai

Sebelum menyelesaikan tugas di halaman ini, Anda memerlukan hal berikut:

• Resource project untuk menyimpan resource Cloud KMS Anda. Google Cloud Sebaiknya gunakan project terpisah untuk resource Cloud KMS Anda yang tidak berisi resource lain Google Cloud

  Catat akun layanan Cloud EKM project Anda. Dalam contoh berikut, ganti PROJECT_NUMBER dengan nomor project project Anda Google Cloud project's project number. Informasi ini juga terlihat setiap kali Anda menggunakan Google Cloud konsol untuk membuat kunci Cloud EKM.

      [e-mail]
      

• Nama dan lokasi key ring tempat Anda ingin membuat kunci. Pilih key ring di lokasi yang dekat dengan resource Anda lainnya dan yang mendukung Cloud EKM. Untuk melihat lokasi yang tersedia dan tingkat perlindungan yang didukung, lihat Lokasi Cloud KMS. Untuk membuat key ring, lihat Membuat key ring.

• Untuk membuat kunci eksternal yang dikelola secara manual, Anda harus membuat kunci di sistem partner pengelolaan kunci eksternal. Langkah-langkah pastinya berbeda-beda menurut partner pengelolaan kunci eksternal.

  1. Jika perlu, minta akses dari partner pengelolaan kunci eksternal Anda untuk berpartisipasi.

  2. Buat kunci simetris atau asimetris di sistem partner pengelolaan kunci eksternal atau pilih kunci yang ada.

     Buat kunci di region yang dekat dengan Google Cloud region yang Anda rencanakan untuk digunakan bagi kunci Cloud EKM. Hal ini membantu mengurangi latensi jaringan antara project Anda dan partner pengelolaan kunci eksternal. Google Cloud Jika tidak, Anda mungkin akan mengalami peningkatan jumlah operasi yang gagal. Untuk mengetahui informasi selengkapnya, lihat Cloud EKM dan region.

  3. Catat URI atau jalur kunci eksternal. Anda memerlukan ini informasi untuk membuat kunci Cloud EKM.
• Di sistem partner pengelolaan kunci eksternal, berikan Google Cloud akses akun layanan untuk menggunakan kunci eksternal Anda. Perlakukan akun layanan sebagai alamat email. Partner EKM mungkin menggunakan terminologi yang berbeda dengan yang digunakan dalam dokumen ini.
• Untuk membuat kunci EKM melalui VPC, Anda harus membuat koneksi EKM.
• Opsional: Untuk menggunakan gcloud CLI, siapkan lingkungan Anda.

  Di konsol, aktifkan Cloud Shell. Google Cloud

  Aktifkan Cloud Shell

Peran yang diperlukan

Untuk mendapatkan izin yang diperlukan untuk membuat kunci, minta administrator untuk memberi Anda peran IAM Admin Cloud KMS (roles/cloudkms.admin) di project atau resource induk. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Peran bawaan ini berisi izin yang diperlukan untuk membuat kunci. Untuk melihat izin yang benar-benar diperlukan, perluas bagian Izin yang diperlukan:

Izin yang diperlukan

Izin berikut diperlukan untuk membuat kunci:

• cloudkms.cryptoKeys.create
• cloudkms.cryptoKeys.get
• cloudkms.cryptoKeys.list
• cloudkms.cryptoKeyVersions.create
• cloudkms.cryptoKeyVersions.get
• cloudkms.cryptoKeyVersions.list
• cloudkms.keyRings.get
• cloudkms.keyRings.list
• cloudkms.locations.get
• cloudkms.locations.list
• resourcemanager.projects.get
• Untuk mengambil kunci publik: cloudkms.cryptoKeyVersions.viewPublicKey

Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Perhatian: Peran Admin Cloud KMS berisi izin untuk pemeliharaan kunci dan penghancuran versi kunci. Untuk melindungi resource Cloud KMS Anda, peran ini hanya boleh ditetapkan kepada individu yang bertanggung jawab atas administrasi kunci.

Membuat kunci eksternal terkoordinasi

Konsol

1. Di Google Cloud konsol, buka halaman Key Management.

   Buka Key Management

2. Klik nama key ring yang akan Anda buat kunci.

3. Klik Create key.

4. Untuk Key name, masukkan nama untuk kunci Anda.

5. Untuk Protection level, pilih External.

6. Untuk External key manager (EKM) connection type, pilih via VPC.

7. Untuk EKM via VPC connection, pilih koneksi.

   Jika tidak memiliki izin EkmConnection.list, Anda harus memasukkan nama resource koneksi secara manual.

8. Klik Continue.

9. Di bagian Key material, Anda akan melihat pesan tentang materi kunci baru yang diminta oleh Cloud KMS dan dibuat di EKM Anda. Jika Anda melihat kolom Key path, koneksi EKM melalui VPC yang Anda pilih tidak dikonfigurasi untuk kunci eksternal terkoordinasi.

10. Konfigurasi setelan kunci lainnya sesuai kebutuhan, lalu klik Create.

Cloud EKM mengirimkan permintaan ke EKM Anda untuk membuat kunci baru. Kunci akan ditampilkan sebagai Pending generation hingga jalur kunci ditampilkan oleh EKM Anda dan kunci Cloud EKM tersedia.

gcloud

Untuk menggunakan Cloud KMS di command line, pertama instal atau upgrade Google Cloud CLI ke versi terbaru.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

Ganti kode berikut:

• KEY_NAME: nama kunci.
• KEY_RING: nama key ring yang berisi kunci.
• LOCATION: lokasi Cloud KMS key ring.
• PURPOSE: tujuan kunci.
• ALGORITHM: algoritma yang akan digunakan untuk kunci, misalnya google-symmetric-encryption. Untuk mengetahui daftar algoritma yang didukung, lihat Algoritma.
• VPC_CONNECTION_RESOURCE_ID: ID resource koneksi EKM.

Untuk mengetahui informasi tentang semua flag dan nilai yang mungkin, jalankan perintah dengan flag --help.

Membuat kunci Cloud EKM yang dikelola secara manual melalui VPC

Konsol

1. Di Google Cloud konsol, buka halaman Key Management.

   Buka Key Management

2. Klik nama key ring yang akan Anda buat kunci.

3. Klik Create key.

4. Untuk Key name, masukkan nama untuk kunci Anda.

5. Untuk Protection level, pilih External.

6. Untuk External key manager (EKM) connection type, pilih via VPC.

7. Untuk EKM via VPC connection, pilih koneksi.

   Perhatikan bahwa jika tidak memiliki izin EkmConnection.list, Anda harus memasukkan nama resource koneksi secara manual.

8. Klik Continue.

9. Di kolom Key path, masukkan jalur ke kunci eksternal Anda.

10. Konfigurasi setelan kunci lainnya sesuai kebutuhan, lalu klik Create.

gcloud

Untuk menggunakan Cloud KMS di command line, pertama instal atau upgrade Google Cloud CLI ke versi terbaru.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --skip-initial-version-creation \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

Ganti kode berikut:

• KEY_NAME: nama kunci.
• KEY_RING
• LOCATION: lokasi Cloud KMS key ring.
• PURPOSE: tujuan kunci.
• ALGORITHM: algoritma yang akan digunakan untuk kunci, misalnya google-symmetric-encryption. Untuk mengetahui daftar algoritma yang didukung, lihat Algoritma.
• VPC_CONNECTION_RESOURCE_ID: ID resource koneksi EKM.

Untuk mengetahui informasi tentang semua flag dan nilai yang mungkin, jalankan perintah dengan flag --help.

Membuat kunci Cloud EKM yang dikelola secara manual melalui internet

Konsol

1. Di Google Cloud konsol, buka halaman Key Management.

   Buka Key Management

2. Klik nama key ring yang akan Anda buat kunci.

3. Klik Create key.

4. Untuk Key name, masukkan nama untuk kunci Anda.

5. Untuk Protection level, pilih External.

6. Untuk External key manager (EKM) connection type, pilih via internet.

7. Klik Continue.

8. Di kolom Key URI, masukkan jalur ke kunci eksternal Anda.

9. Konfigurasi setelan kunci lainnya sesuai kebutuhan, lalu klik Create.

   Catatan: Jika Anda memasukkan URI dengan salah, atau kunci tidak ditemukan di URI tersebut, kunci akan dibuat tetapi tidak memiliki versi. Jika hal ini terjadi, klik Rotate Key untuk membuat versi baru, lalu masukkan URI yang benar. Anda dapat menemukan detail selengkapnya tentang error di tab Activity pada Show info panel, atau di [Admin Activity audit logs][audit_logging] (diaktifkan secara default).

gcloud

Untuk menggunakan Cloud KMS di command line, pertama instal atau upgrade Google Cloud CLI ke versi terbaru.

1. Buat kunci eksternal kosong:

   gcloud kms keys create KEY_NAME \
     --keyring KEY_RING \
     --location LOCATION \
     --purpose PURPOSE \
     --protection-level external \
     --skip-initial-version-creation \
     --default-algorithm ALGORITHM
   

   Ganti kode berikut:

   • KEY_NAME: nama kunci.
   • KEY_RING: nama key ring yang berisi kunci.
   • LOCATION: lokasi Cloud KMS key ring.
   • PURPOSE: tujuan kunci.
   • ALGORITHM: algoritma yang akan digunakan untuk kunci, misalnya google-symmetric-encryption. Untuk mengetahui daftar algoritma yang didukung, lihat Algoritma.

   Untuk mengetahui informasi tentang semua flag dan nilai yang mungkin, jalankan perintah dengan flag --help.

2. Buat versi kunci baru untuk kunci yang baru saja Anda buat:

   gcloud kms keys versions create \
     --key KEY_NAME \
     --keyring KEY_RING \
     --location LOCATION \
     --external-key-uri EXTERNAL_KEY_URI
   

   Ganti EXTERNAL_KEY_URI dengan URI kunci eksternal.

   Untuk versi kunci simetris, tambahkan flag --primary untuk menetapkan versi kunci baru sebagai versi utama.

   Catatan: Versi tidak dibuat jika URI kunci tidak valid atau tidak dapat dijangkau, atau jika Google Cloud akun layanan tidak memiliki izin untuk menggunakan kunci partner pengelolaan kunci eksternal. Jika terjadi error, perbaiki masalah tersebut dan jalankan perintah lagi.

Langkah berikutnya

• Memperbarui jalur kunci eksternal tanpa merotasi kunci.
• Merotasi kunci eksternal.