יצירת מפתח חיצוני

בדף הזה מוסבר איך ליצור מפתחות של Cloud External Key Manager ‏ (Cloud EKM) באוסף מפתחות קיים ב-Cloud Key Management Service ‏ (Cloud KMS).

לפני שמתחילים

לפני שמבצעים את המשימות בדף הזה, צריך:

  • משאב פרויקט Google Cloud שיכיל את משאבי Cloud KMS. מומלץ להשתמש בפרויקט נפרד למשאבי Cloud KMS שלא מכיל משאבי Google Cloud אחרים.

    רושמים את חשבון השירות של Cloud EKM בפרויקט. בדוגמה הבאה, מחליפים את PROJECT_NUMBER ב מספר הפרויקט של Google Cloud הפרויקט. המידע הזה מוצג גם בכל פעם שמשתמשים במסוף Google Cloud כדי ליצור מפתח Cloud EKM.

        service-PROJECT_NUMBER@gcp-sa-ekms.iam.gserviceaccount.com
  • השם והמיקום של אוסף המפתחות שבו רוצים ליצור את המפתח. בוחרים אוסף מפתחות במיקום שקרוב למשאבים האחרים שלכם, ושתומך ב-Cloud EKM. כדי לראות את המיקומים הזמינים ואת רמות ההגנה שהם תומכים בהן, אפשר לעיין במאמר בנושא מיקומים של Cloud KMS. כדי ליצור אוסף מפתחות, ראו יצירת אוסף מפתחות.

  • כדי ליצור מפתחות חיצוניים שמנוהלים באופן ידני, צריך ליצור את המפתח במערכת של השותף החיצוני לניהול מפתחות. השלבים המדויקים משתנים בהתאם לשותף החיצוני לניהול מפתחות.

    1. במקרה הצורך, אפשר לבקש גישה מהשותף החיצוני לניהול מפתחות כדי להשתתף.

    2. יוצרים מפתח סימטרי או אסימטרי במערכת של השותף החיצוני לניהול מפתחות או בוחרים מפתח קיים.

      יוצרים את המפתח באזור שקרוב לאזור Google Cloud שמתכננים להשתמש בו למפתחות Cloud EKM. כך אפשר להקטין את זמן האחזור ברשת בין Google Cloud הפרויקט לבין השותף החיצוני לניהול מפתחות. אחרת, יכול להיות שתהיה עלייה במספר הפעולות שנכשלו. מידע נוסף זמין במאמר Cloud EKM ואזורים.

    3. רושמים את ה-URI או את נתיב המפתח של המפתח החיצוני. המידע הזה נדרש כדי ליצור מפתח Cloud EKM.
  • במערכת של השותף החיצוני לניהול מפתחות, נותנים לחשבון השירות Google Cloudגישה לשימוש במפתחות החיצוניים. מתייחסים לחשבון השירות ככתובת אימייל. יכול להיות ששותפי EKM ישתמשו במינוח שונה מזה שמופיע במסמך הזה.
  • כדי ליצור מפתחות EKM ברשת VPC, צריך ליצור חיבור EKM.
  • אופציונלי: כדי להשתמש ב-CLI של gcloud, צריך להכין את הסביבה.

    במסוף Google Cloud , מפעילים את Cloud Shell.

    הפעלת Cloud Shell

התפקידים הנדרשים

כדי לקבל את ההרשאות שנדרשות ליצירת מפתחות, צריך לבקש מהאדמין להקצות לכם ב-IAM את התפקיד אדמין של Cloud KMS (roles/cloudkms.admin) בפרויקט או במשאב אב. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

זהו תפקיד שמוגדר מראש וכולל את ההרשאות שנדרשות ליצירת מפתחות. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

ההרשאות הנדרשות

כדי ליצור מפתחות, צריך את ההרשאות הבאות:

  • cloudkms.cryptoKeys.create
  • cloudkms.cryptoKeys.get
  • cloudkms.cryptoKeys.list
  • cloudkms.cryptoKeyVersions.create
  • cloudkms.cryptoKeyVersions.get
  • cloudkms.cryptoKeyVersions.list
  • cloudkms.keyRings.get
  • cloudkms.keyRings.list
  • cloudkms.locations.get
  • cloudkms.locations.list
  • resourcemanager.projects.get
  • כדי לאחזר מפתח ציבורי: cloudkms.cryptoKeyVersions.viewPublicKey

יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

יצירת מפתח חיצוני מתואם

המסוף

  1. נכנסים לדף Key Management במסוף Google Cloud .

    כניסה אל Key Management

  2. לוחצים על השם של אוסף המפתחות שבו רוצים ליצור מפתח.

  3. לוחצים על Create key.

  4. בשדה שם המפתח, מזינים שם למפתח.

  5. בקטע רמת הגנה, בוחרים באפשרות חיצונית.

  6. בשדה External key manager (EKM) connection type, בוחרים באפשרות via VPC.

  7. בקטע EKM via VPC connection, בוחרים חיבור.

    אם אין לכם את ההרשאה EkmConnection.list, תצטרכו להזין את שם המשאב של החיבור באופן ידני.

  8. לוחצים על Continue.

  9. בקטע Key material אמורה להופיע הודעה על כך ש-Cloud KMS ביקש חומר מפתח חדש, ושהוא נוצר ב-EKM. אם מופיע השדה Key path, סימן שהחיבור ל-EKM דרך VPC שבחרתם לא מוגדר למפתחות חיצוניים מתואמים.

  10. מגדירים את שאר הגדרות המפתח לפי הצורך ולוחצים על Create.

שירות Cloud EKM שולח בקשה ל-EKM שלכם כדי ליצור מפתח חדש. המפתח מוצג כבהמתנה ליצירה עד שנתיב המפתח מוחזר על ידי ה-EKM והמפתח של Cloud EKM זמין.

gcloud

כדי להשתמש ב-Cloud KMS בשורת הפקודה, קודם צריך להתקין את הגרסה העדכנית של Google Cloud CLI או לשדרג אליה.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

מחליפים את מה שכתוב בשדות הבאים:

  • ‫KEY_NAME: השם של המפתח.
  • ‫KEY_RING: השם של אוסף המפתחות שמכיל את המפתח.
  • ‫LOCATION: המיקום ב-Cloud KMS שבו נמצא אוסף המפתחות.
  • ‫PURPOSE: המטרה של המפתח.
  • ‫ALGORITHM: האלגוריתם שבו יש להשתמש עבור המפתח, לדוגמה google-symmetric-encryption. רשימת האלגוריתמים הנתמכים זמינה במאמר אלגוריתמים.
  • ‫VPC_CONNECTION_RESOURCE_ID: מזהה המשאב של החיבור ל-EKM.

כדי לקבל מידע על כל הדגלים והערכים האפשריים, מריצים את הפקודה עם הדגל --help.

יצירת מפתח Cloud EKM ב-VPC שמנוהל באופן ידני

המסוף

  1. נכנסים לדף Key Management במסוף Google Cloud .

    כניסה אל Key Management

  2. לוחצים על השם של אוסף המפתחות שעבורו רוצים ליצור מפתח.

  3. לוחצים על Create key.

  4. בשדה שם המפתח, מזינים שם למפתח.

  5. בקטע רמת הגנה, בוחרים באפשרות חיצונית.

  6. בשדה External key manager (EKM) connection type, בוחרים באפשרות via VPC.

  7. בקטע EKM via VPC connection, בוחרים חיבור.

    אם אין לכם את ההרשאה EkmConnection.list, תצטרכו להזין את שם המשאב של החיבור באופן ידני.

  8. לוחצים על Continue.

  9. בשדה Key path (נתיב המפתח), מזינים את הנתיב למפתח החיצוני.

  10. מגדירים את שאר הגדרות המפתח לפי הצורך ולוחצים על Create.

gcloud

כדי להשתמש ב-Cloud KMS בשורת הפקודה, קודם צריך להתקין את הגרסה העדכנית של Google Cloud CLI או לשדרג אליה.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --skip-initial-version-creation \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

מחליפים את מה שכתוב בשדות הבאים:

  • ‫KEY_NAME: השם של המפתח.
  • ‫KEY_RING: השם של אוסף המפתחות שמכיל את המפתח.
  • ‫LOCATION: המיקום ב-Cloud KMS שבו נמצא אוסף המפתחות.
  • ‫PURPOSE: המטרה של המפתח.
  • ‫ALGORITHM: האלגוריתם שבו יש להשתמש עבור המפתח, לדוגמה google-symmetric-encryption. רשימת האלגוריתמים הנתמכים זמינה במאמר אלגוריתמים.
  • ‫VPC_CONNECTION_RESOURCE_ID: מזהה המשאב של חיבור ה-EKM.

כדי לקבל מידע על כל הדגלים והערכים האפשריים, מריצים את הפקודה עם הדגל --help.

יצירת Cloud EKM בניהול ידני באמצעות מפתח באינטרנט

המסוף

  1. נכנסים לדף Key Management במסוף Google Cloud .

    כניסה אל Key Management

  2. לוחצים על השם של אוסף המפתחות שבו רוצים ליצור מפתח.

  3. לוחצים על Create key.

  4. בשדה שם המפתח, מזינים שם למפתח.

  5. בקטע רמת הגנה, בוחרים באפשרות חיצונית.

  6. בשדה External key manager (EKM) connection type, בוחרים באפשרות via internet.

  7. לוחצים על Continue.

  8. בשדה Key URI, מזינים את הנתיב למפתח החיצוני.

  9. מגדירים את שאר ההגדרות של המפתח לפי הצורך, ואז לוחצים על יצירה.

gcloud

כדי להשתמש ב-Cloud KMS בשורת הפקודה, קודם צריך להתקין את הגרסה העדכנית של Google Cloud CLI או לשדרג אליה.

  1. יוצרים מפתח חיצוני ריק:

    gcloud kms keys create KEY_NAME \
  --keyring KEY_RING \
  --location LOCATION \
  --purpose PURPOSE \
  --protection-level external \
  --skip-initial-version-creation \
  --default-algorithm ALGORITHM

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫KEY_NAME: השם של המפתח.
    • ‫KEY_RING: השם של אוסף המפתחות שמכיל את המפתח.
    • ‫LOCATION: המיקום ב-Cloud KMS שבו נמצא אוסף המפתחות.
    • ‫PURPOSE: המטרה של המפתח.
    • ‫ALGORITHM: האלגוריתם שבו יש להשתמש עבור המפתח, לדוגמה google-symmetric-encryption. רשימת האלגוריתמים הנתמכים זמינה במאמר אלגוריתמים.

    כדי לקבל מידע על כל הדגלים והערכים האפשריים, מריצים את הפקודה עם הדגל --help.

  2. יוצרים גרסת מפתח חדשה למפתח שיצרתם:

    gcloud kms keys versions create \
  --key KEY_NAME \
  --keyring KEY_RING \
  --location LOCATION \
  --external-key-uri EXTERNAL_KEY_URI

    מחליפים את EXTERNAL_KEY_URI במזהה המשאבים האחיד (URI) של המפתח החיצוני.

    לגרסאות של מפתחות סימטריים, מוסיפים את הדגל --primary כדי להגדיר את הגרסה החדשה של המפתח כגרסה הראשית.

המאמרים הבאים