Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

הפעלת Cloud KMS Autokey

בדף הזה מוסבר איך להפעיל ולהגדיר את Cloud KMS Autokey לניהול מפתחות מרכזי בתיקיית משאבים או לניהול מפתחות בהרשאת משנה בפרויקטים (גרסת Preview). מידע נוסף על Autokey זמין במאמר סקירה כללית על Autokey. המסמך הזה מיועד לאדמינים.

לפני שמתחילים

כדי להפעיל את Cloud KMS Autokey לניהול מפתחות מרכזי באמצעות פרויקט מפתחות ייעודי לכל הפרויקטים בתיקייה, צריך לוודא שיש לכם את הדברים הבאים:

משאב ארגון שמכיל תיקייה שבה רוצים להפעיל את Autokey. אם אין לכם תיקייה שבה אתם רוצים להפעיל את Autokey, אתם יכולים ליצור תיקיית משאבים חדשה. הפעלת Autokey בתיקייה הזו מפעילה את Autokey לכל פרויקטי המשאבים בתיקייה.
אם יש לכם פרויקטים של משאבים שבהם אתם רוצים להשתמש בניהול מפתחות מרכזי עם Autokey, אבל הם לא נמצאים בתיקייה שבה תפעילו את Autokey, אתם יכולים להעביר פרויקטים קיימים של משאבים לתיקיות חדשות.

כדי להפעיל את Autokey בפרויקטים (גרסת Preview) כדי להפעיל ניהול מפתחות בהרשאת משנה ומפתחות באותו פרויקט, צריך להיות לכם אחד מהדברים הבאים:

פרויקט Google Cloud שבו רוצים להפעיל את Autokey, ושבו ההרשאה keyHandles.create לא חסומה על ידי מדיניות דחייה של IAM.
Google Cloud תיקייה שרוצים להפעיל בה את Autokey, שמכילה לפחות פרויקט אחד שבו ההרשאה keyHandles.create לא חסומה על ידי מדיניות דחייה של IAM.

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות להפעלה ולהגדרה של Autokey, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים בתיקייה, בפרויקט או במשאב אב:

אדמין של Cloud KMS Autokey (roles/cloudkms.autokeyAdmin)
אדמין Service Usage (roles/serviceusage.serviceUsageAdmin)
כדי להפעיל את Autokey באופן מרכזי:
- אדמין IAM בתיקייה (roles/resourcemanager.folderIamAdmin)
- משתמש בחשבון לחיוב (roles/billing.user)

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

התפקידים המוגדרים מראש האלה כוללים את ההרשאות שנדרשות להפעלה ולהגדרה של Autokey. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

ההרשאות הנדרשות

כדי להפעיל ולהגדיר את Autokey, צריך את ההרשאות הבאות:

cloudkms.autokeyConfigs.*
cloudkms.projects.showEffectiveAutokeyConfig
serviceusage.services.enable
כדי להפעיל את Autokey מרכזי:
- resourcemanager.folders.get
- resourcemanager.folders.getIamPolicy
- resourcemanager.folders.setIamPolicy
- billing.resourceAssociations.create

יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

איך רוצים להפעיל את Autokey

אתם יכולים להפעיל את Autokey כחלק מהאסטרטגיה שלכם לניהול תשתית כקוד (IaC) באמצעות Terraform כדי לבצע את שינויי ההגדרה הנדרשים. אם אתם רוצים להשתמש ב-Terraform כדי להפעיל את Autokey, תוכלו לעיין במאמר הפעלת Autokey באמצעות Terraform בדף הזה. אם אתם לא רוצים להשתמש ב-Terraform, אתם יכולים לפעול לפי ההוראות שבקטע הבא.

הגדרת Autokey לניהול מפתחות מרכזי

כשמשתמשים ב-Autokey לניהול מפתחות מרכזי בתיקייה, צריך לבחור פרויקט מפתח יחיד שיכיל את כל המפתחות שנוצרו על ידי Autokey בתיקייה הזו. אם אתם משתמשים במודל של ניהול מפתחות עם הרשאת גישה מוגבלת (בשלב טרום-השקה), אתם לא צריכים פרויקט מפתחות ייעודי. אפשר להמשיך אל הפעלת Autokey לניהול מפתחות עם הרשאת גישה מוגבלת.

מומלץ ליצור פרויקט מפתחות חדש שיכיל משאבי Cloud KMS שנוצרו על ידי Autokey. מומלץ ליצור את פרויקט המפתח בתוך משאב הארגון. אם כבר יש לכם פרויקט מפתח שאתם רוצים להשתמש בו בשביל מפתחות שנוצרו על ידי Autokey, אתם יכולים לדלג על הקטע יצירת פרויקט מפתח ולהמשיך לקטע הגדרת פרויקט המפתח של Autokey בדף הזה.

אפשר ליצור את פרויקט המפתח בתוך אותה תיקייה שבה מתכננים להפעיל את Autokey. לא מומלץ ליצור משאבים אחרים בתוך פרויקט המפתח. אם תנסו ליצור משאבים שמוגנים על ידי Autokey בפרויקט המפתח, Autokey ידחה את הבקשה למפתח חדש.

אם אתם רוצים להעביר את הפרויקט ל-Assured Workloads בעתיד, כדאי ליצור את פרויקט המפתח בתוך אותה תיקייה שבה נמצאים המשאבים שמוגנים על ידי המפתחות האלה.

אם הארגון שלכם משתמש באילוץ מדיניות הארגון constraints/gcp.restrictCmekCryptoKeyProjects כדי לוודא שכל מפתחות ה-CMEK מגיעים מפרויקטים ספציפיים של מפתחות, אתם צריכים להוסיף את פרויקט המפתחות לרשימת הפרויקטים המורשים. מידע נוסף על מדיניות הארגון לגבי CMEK

יצירת פרויקט מרכזי

המסוף

במסוף Google Cloud , נכנסים לדף Manage resources.
כניסה לדף Manage resources
בקטע Select organization (בחירת ארגון), בוחרים את משאב הארגון שבו רוצים ליצור פרויקט.
לוחצים על יצירת פרויקט.
בחלון New project שמופיע, מזינים שם לפרויקט ובוחרים חשבון לחיוב. שם הפרויקט יכול להכיל רק אותיות, מספרים, מירכאות בודדות, מקפים, רווחים או סימני קריאה, והוא צריך להיות באורך של 4 עד 30 תווים.
בקטע Location, בוחרים את המשאב שרוצים להגדיר כמשאב האב של פרויקט המפתח.
כדי לסיים את יצירת הפרויקט, לוחצים על יצירה.

gcloud

כדי ליצור פרויקט חדש:
```
gcloud projects create PROJECT_ID \
    --PARENT_TYPE=PARENT_ID
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫PROJECT_ID: מזהה הפרויקט שמכיל את מחזיק המפתחות.
- ‫PARENT_TYPE: סוג המשאב שבו רוצים ליצור את פרויקט המפתח החדש. מזינים organization כדי ליצור את פרויקט המפתח החדש בארגון נתון, או מזינים folder כדי ליצור את פרויקט המפתח החדש בתיקייה נתונה.
- ‫PARENT_ID: המזהה של הארגון או התיקייה שבהם רוצים ליצור את פרויקט המפתח.

הגדרת שיעבוד פרויקט

אחרי שיוצרים את פרויקט Cloud KMS, מומלץ להגן על הפרויקט באמצעות שימוש במנעול למניעת מחיקה (גרסת טרום-השקה (Preview)) כדי למנוע מחיקה מקרית. כשמפעילים מנעול למניעת מחיקה של פרויקט, אי אפשר למחוק את פרויקט Cloud KMS עד שמסירים את המנעול.

הכנת פרויקט המפתח של Autokey

המסוף

מפעילים את Cloud KMS API בפרויקט המפתח.

להפעלת ה-API
אם משתמשים בפרויקט מפתח חדש, צריך להעניק הרשאות אדמין של Cloud KMS בפרויקט המפתח. חוזרים על השלבים הבאים כדי להקצות לעצמכם ולכל משתמש אחר שהוא אדמין של Cloud KMS את התפקיד Cloud KMS Admin:
1. נכנסים לדף IAM במסוף Google Cloud .
  
  כניסה לדף IAM
2. בוחרים את פרויקט המפתח.
3. לוחצים על Grant Access ומזינים את כתובת האימייל של המשתמש.
4. בוחרים בתפקיד Cloud KMS Admin.
5. לוחצים על Save.

gcloud

מפעילים את Cloud KMS API בפרויקט של המפתח:
```
gcloud services enable cloudkms.googleapis.com
```
מעניקים הרשאות אדמין ב-Cloud KMS בפרויקט המפתחות. מריצים את הפקודה הבאה כדי להעניק את התפקיד roles/cloudkms.admin לעצמכם ולכל משתמש אחר שהוא אדמין של Cloud KMS:
```
gcloud projects add-iam-policy-binding PROJECT_NUMBER \
    --role=roles/cloudkms.admin \
    --member=user:KEY_ADMIN_EMAIL
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫PROJECT_NUMBER: מספר הפרויקט של פרויקט המפתח.
- ‫KEY_ADMIN_EMAIL: כתובת האימייל של המשתמש שאחראי לניהול מפתחות Cloud KMS.

הפעלת Cloud KMS Autokey בתיקיית משאבים

המסוף

נכנסים לדף KMS controls במסוף Google Cloud .

כניסה אל אמצעי הבקרה של KMS
בכלי לבחירת הקשר, בוחרים את התיקייה שבה רוצים להפעיל את Autokey.
לוחצים על Enable.
בוחרים את פרויקט המפתח ולוחצים על שליחה.

תופיע הודעה שתאשר שהתכונה Cloud KMS Autokey מופעלת בתיקייה.

API

יוצרים את AutokeyConfig לתיקייה שבה רוצים להפעיל את התכונה 'הקלדה אוטומטית':

curl "https://cloudkms.googleapis.com/v1/folders/FOLDER_ID/autokeyConfig?updateMask=keyProject" \
    --request "PATCH" \
    --header "authorization: Bearer TOKEN" \
    --header "content-type: application/json" \
    --data '{"key_project": "projects/PROJECT_ID"}'

מחליפים את מה שכתוב בשדות הבאים:

‫FOLDER_ID: המזהה של התיקייה שבה רוצים להפעיל את Autokey.
‫PROJECT_ID: מזהה פרויקט המפתח.

הגדרת סוכן השירות של Cloud KMS

סוכן השירות של Cloud KMS בפרויקט המפתחות יוצר מפתחות ומחיל קשרי מדיניות של IAM במהלך יצירת המשאבים, בשם אדמין Cloud KMS שהוא אדם. כדי ליצור ולהקצות מפתחות, לסוכן השירות של Cloud KMS נדרשות הרשאות אדמין של Cloud KMS.

יוצרים את סוכן השירות של Cloud KMS:
```
gcloud beta services identity create --service=cloudkms.googleapis.com \
    --project=PROJECT_NUMBER
```
מחליפים את הערך PROJECT_NUMBER במספר הפרויקט של פרויקט המפתח.

הפלט אמור להיראות כך:
```
Service identity created: service-PROJECT_NUMBER@gcp-sa-ekms.iam.gserviceaccount.com
```
הפלט של הפקודה מציין שחשבון השירות של Cloud EKM (עם תת-הדומיין gcp-sa-ekms) נוצר. עם זאת, הפקודה יוצרת גם את סוכן השירות של Cloud KMS (עם תת-הדומיין gcp-sa-cloudkms), שהוא סוכן השירות שבו משתמשים בהמשך ההוראות האלה.

נותנים לסוכן השירות הרשאות אדמין ב-Cloud KMS:

gcloud projects add-iam-policy-binding PROJECT_NUMBER \
    --role=roles/cloudkms.admin \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-cloudkms.iam.gserviceaccount.com

מחליפים את הערך PROJECT_NUMBER במספר הפרויקט של פרויקט המפתח.

הפעלת Autokey לניהול מפתחות בהרשאת גישה

כשמשתמשים ב-Autokey לניהול מפתחות בהרשאת גישה, המערכת יוצרת את המפתחות בתוך אותו פרויקט שבו נמצאים המשאבים שהם מגנים עליהם. פרויקטים שתומכים בניהול מפתחות בהרשאת גישה מוגבלת באמצעות Autokey יכולים להיות בתיקיות שבהן Autokey מופעל לניהול מפתחות מרכזי. כשמפעילים את Autokey בפרויקט, ההגדרה של Autokey ברמת הפרויקט מבטלת את ההגדרה של Autokey בתיקיית האב.

כדי להפעיל את Autokey בפרויקט ספציפי, מבצעים את השלבים הבאים:

באמצעות API בארכיטקטורת REST, יוצרים את AutokeyConfig לפרויקט שבו רוצים להפעיל את Autokey:

curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/autokeyConfig?updateMask=key_project_resolution_mode" \
    --request "PATCH" \
    --header "authorization: Bearer TOKEN" \
    --header "content-type: application/json" \
    --data '{"key_project_resolution_mode": "RESOURCE_PROJECT"}'

מחליפים את PROJECT_ID במזהה הפרויקט שבו רוצים להפעיל את התכונה 'מפתחות אוטומטיים'.

ב-CLI של gcloud, מפעילים את Cloud KMS API בפרויקט:
```
gcloud services enable cloudkms.googleapis.com
```

כדי להפעיל את Autokey לכל הפרויקטים בתיקייה, מבצעים את השלבים הבאים:

באמצעות API בארכיטקטורת REST, יוצרים את AutokeyConfig עבור התיקייה שבה רוצים להפעיל את Autokey כדי להשתמש בניהול מפתחות בהרשאת גישה מוגבלת:
```
curl "https://cloudkms.googleapis.com/v1/folders/FOLDER_ID/autokeyConfig?updateMask=key_project_resolution_mode" \
    --request "PATCH" \
    --header "authorization: Bearer TOKEN" \
    --header "content-type: application/json" \
    --data '{"key_project_resolution_mode": "RESOURCE_PROJECT"}'
```
מחליפים את FOLDER_ID במזהה התיקייה שבה רוצים להפעיל את Autokey. הפקודה הזו מפעילה את Autokey באותו פרויקט לכל הפרויקטים בתיקייה.
ב-CLI של gcloud, מפעילים את Cloud KMS API בכל פרויקט שבו רוצים להשתמש ב-Autokey לניהול מפתחות בהרשאת משנה:
```
gcloud services enable cloudkms.googleapis.com
```
אתם יכולים להפעיל את Cloud KMS API בכל הפרויקטים בבת אחת, או להפעיל את ה-API בפרויקטים ספציפיים לפי הצורך. המפתחים לא יכולים להשתמש ב-Autokey בפרויקט עד שמפעילים את Cloud KMS API בפרויקט הזה.

הפעלת Autokey באמצעות Terraform

ניהול מרוכז של מפתחות באמצעות Terraform

בדוגמה הבאה של Terraform מבוצעות אוטומטית פעולות ההגדרה הבאות:

יצירת תיקיית משאבים
יצירת פרויקט מרכזי
מתן הרשאות למשתמשים
הגדרת סוכן השירות של Cloud KMS
הפעלת Autokey

צריך ליצור בנפרד פרויקטים של משאבים בתיקיית המשאבים.

variable "organization_ID" {
  description = "Your Google Cloud Org ID"
  type        = string
  default     = "ORGANIZATION_ID"
}

variable "billing_account" {
  description = "Your Google Cloud Billing Account ID"
  type        = string
  default     = "BILLING_ACCOUNT_ID"
}

/* List the users who should have the authority to enable and configure
   Autokey at a folder level */
variable "autokey_folder_admins" {
  type    = list(string)
  default = [AUTOKEY_ADMIN_USER_IDS]
}

/* List the users who should have the authority to protect their resources
   with Autokey */
variable "autokey_folder_users" {
  type    = list(string)
  default = [AUTOKEY_DEVELOPER_USER_IDS]
}

/* List the users who should have the authority to manage crypto operations in
   the Autokey key project */
variable "autokey_project_kms_admins" {
  type    = list(string)
  default = [KEY_PROJECT_ADMIN_USER_IDS]
}

/* The project ID to use for the key project. The project ID must be 6 to 30
   characters with lowercase letters, digits, hyphens. The project ID must start
   with a letter. Trailing hyphens are prohibited */
variable "key_management_project_ID" {
  description = "Sets the project ID for the Key Management Project. This project will contain the Key Rings and Keys generated by Cloud KMS Autokey"
  type        = string
  default     = "KEY_PROJECT_ID"
}

# Create a new folder
resource "google_folder" "autokey_folder" {
  parent       = "organizations/${var.organization_ID}"
  display_name = "autokey_folder"
}

# Set permissions for key admins to use Autokey in this folder
resource "google_folder_iam_binding" "autokey_folder_admin" {
  folder  = google_folder.autokey_folder.name
  role    = "roles/cloudkms.autokeyAdmin"
  members = var.autokey_folder_admins
}

# Set permissions for users to protect resources with Autokey in this folder
resource "google_folder_iam_binding" "autokey_folder_users" {
  folder  = google_folder.autokey_folder.name
  role    = "roles/cloudkms.autokeyUser"
  members = var.autokey_folder_users
}

# Create a key project to store keys created by Autokey
 resource "google_project" "key_management_project" {
  project_id      = var.key_management_project_ID
  name            = var.key_management_project_ID
  billing_account = var.billing_account
  folder_id       = google_folder.autokey_folder.name
}

output "project_number" {
  value = google_project.key_management_project.number
}

# Grant role for Cloud KMS admins to use Autokey in the key project
resource "google_project_iam_binding" "autokey_project_admin" {
  project    = google_project.key_management_project.project_id
  role       = "roles/cloudkms.admin"
  members    = var.autokey_project_kms_admins
  depends_on = [ google_project.key_management_project ]
}

# Enable the Cloud KMS API in the key project
resource "google_project_service" "enable_api" {
  service                    = "cloudkms.googleapis.com"
  project                    = google_project.key_management_project.project_id
  disable_on_destroy         = false
  disable_dependent_services = false
  depends_on                 = [google_project.key_management_project]
}

# Create Cloud KMS service agent
resource "google_project_service_identity" "KMS_Service_Agent" {
  provider   = google-beta
  service    = "cloudkms.googleapis.com"
  project    = google_project.key_management_project.project_id
  depends_on = [google_project.key_management_project]
}

/* Grant role for the Cloud KMS service agent to use delegated
   Cloud KMS administrator permissions */
resource "google_project_iam_member" "autokey_project_admin" {
  project = google_project.key_management_project.project_id
  role    = "roles/cloudkms.admin"
  member  = "serviceAccount:service-${google_project.key_management_project.number}@gcp-sa-cloudkms.iam.gserviceaccount.com"
}

/* Enable AutokeyConfig for centralized key management in this folder */
resource "google_kms_autokey_config" "autokey_config" {
  provider    = google-beta
  folder      = google_folder.autokey_folder.folder_id
  key_project = "projects/${google_project.key_management_project.project_id}"
  key_project_resolution_mode = "DEDICATED_KEY_PROJECT"
  # For folder scope, valid values are: DEDICATED_KEY_PROJECT, RESOURCE_PROJECT, DISABLED
  # With DEDICATED_KEY_PROJECT, define the key_project as well. With RESOURCE_PROJECT,
  #   omit key_project. Keys will be created in the same project as the protected resource.
}

מחליפים את מה שכתוב בשדות הבאים:

‫BILLING_ACCOUNT_ID: מזהה החשבון לחיוב ב- Google Cloud . מזהה החשבון לחיוב הוא ערך אלפאנומרי באורך 18 תווים, שמופרד במקפים – לדוגמה, 010101-F0FFF0-10XX01.
‫AUTOKEY_ADMIN_USER_IDS: רשימה של כתובות אימייל של משתמשים שצריכים לקבל את התפקיד roles/cloudkms.autokeyAdmin, לדוגמה "Ariel@example.com", "Charlie@example.com".
‫AUTOKEY_DEVELOPER_USER_IDS: רשימה של כתובות אימייל של משתמשים שצריכים לקבל את התפקיד roles/cloudkms.autokeyUser, לדוגמה "Kalani@example.com", "Mahan@example.com".
KEY_PROJECT_ADMIN_USER_IDS: רשימה של כתובות אימייל של משתמשים שצריכים לקבל את התפקיד roles/cloudkms.admin. לדוגמה, "Sasha@example.com", "Nur@example.com".
‫KEY_PROJECT_ID: המזהה שרוצים להשתמש בו לפרויקט המפתח הייעודי, לדוגמה autokey-key-project. אם מציינים פרויקט מפתח, הערך של key_project_resolution_mode חייב להיות DEDICATED_KEY_PROJECT.

ניהול מפתחות בהרשאת משנה באמצעות Terraform

כדי להפעיל את Autokey בכל הפרויקטים בתיקייה לניהול מפתחות בהרשאת משנה, משתמשים במשאב folder_config שדומה לזה:

/* Enable AutokeyConfig on a folder */
resource "google_kms_autokey_config" "folder_config" {
  provider    = google-beta
  folder      = google_folder.autokey_folder.name
  key_project_resolution_mode = "RESOURCE_PROJECT"
  # For folder scope, valid values are: DEDICATED_KEY_PROJECT, RESOURCE_PROJECT, DISABLED
  # With DEDICATED_KEY_PROJECT, define the key_project as well. With RESOURCE_PROJECT,
  #   omit key_project. Keys will be created in the same project as the protected resource.
}

כדי להפעיל את התכונה 'מפתחות אוטומטיים' בפרויקטים ספציפיים לניהול מפתחות בהרשאת גישה, משתמשים במשאב autokey_config_project שדומה לזה:

/* To set autokey config for a project */
resource "google_kms_autokey_config" "autokey_config_project" {
  provider = google-beta
  project = "projects/${google_project.key_management_project.project_id}"
  key_project_resolution_mode = "RESOURCE_PROJECT"
  # For project scope, valid values are: RESOURCE_PROJECT, DISABLED
}

אכיפת השימוש ב-Autokey

אם רוצים לאכוף שימוש ב-Autokey בתיקייה, אפשר לעשות זאת באמצעות שילוב של אמצעי בקרה לגישה ב-IAM עם מדיניות הארגון ל-CMEK. האילוץ הזה פועל על ידי הסרת הרשאות ליצירת מפתחות מבעלי הרשאות שאינם סוכן השירות של Cloud KMS, ולאחר מכן דרישה שכל המשאבים יהיו מוגנים על ידי CMEK באמצעות פרויקט המפתח Autokey.

כדי לאכוף את השימוש ב-Autokey בתיקייה, פועלים לפי השלבים הבאים:

מסירים את הגישה ליצירת מפתחות באופן ידני בפרויקט המפתחות. אם אי אפשר ליצור מפתחות באופן ידני, אפשר ליצור בפרויקט הזה רק מפתחות שנוצרו על ידי Autokey. מידע נוסף על בקרת גישה זמין במאמר בקרת גישה באמצעות IAM.
מגדירים מדיניות ארגון בתיקייה כדי לדרוש שהמשאבים יהיו מוגנים באמצעות CMEK באמצעות האילוץ constraints/gcp.restrictNonCmekServices. מידע נוסף זמין במאמר בנושא דרישת הגנה באמצעות CMEK.
מגדירים מדיניות ארגון בתיקייה כדי לדרוש שהמפתחות שמשמשים ל-CMEK יהיו מפרויקט המפתחות של Autokey, באמצעות האילוץ constraints/gcp.restrictCmekCryptoKeyProjects. מידע נוסף זמין במאמר הגבלת השימוש במפתחות Cloud KMS עבור CMEK.

השבתת התכונה 'הקלדה אוטומטית'

Cloud KMS Autokey מופעל ומושבת ברמת התיקייה. אותם תפקידים שיכולים להפעיל את Autokey בתיקייה יכולים גם להשבית את Autokey בתיקייה הזו. כדי להשבית את Autokey בתיקייה, צריך לבטל את הסימון של AutokeyConfig כדי להסיר את השיוך בין התיקייה לבין פרויקט המפתח של Autokey.

אחרי שמסירים את הגדרת Autokey בתיקייה, סוכן השירות של Cloud KMS לא יכול יותר ליצור מפתחות למפתחים כשהם יוצרים משאבים בתיקייה. הסרת הקישור בין התיקייה לבין הפרויקט המרכזי משביתה את Autokey בתיקייה. עם זאת, מומלץ גם להסיר את הקישורים של IAM לתפקידים roles/cloudkms.autokeyAdmin ו-roles/cloudkms.autokeyUser.

השבתת Autokey לא משפיעה על מפתחות קיימים בפרויקט המפתחות. אתם יכולים להמשיך להשתמש במפתחות האלה כדי להגן על המשאבים שלכם.

ניקוי ההגדרה AutokeyConfig

המסוף

נכנסים לדף KMS controls במסוף Google Cloud .

כניסה אל אמצעי הבקרה של KMS
בכלי לבחירת ההקשר, בוחרים את התיקייה שבה רוצים להשבית את Autokey.
לוחצים על השבתה.

תוצג הודעה שבה תתבקשו לאשר שאתם רוצים להשבית את Autokey.
כדי להשבית את Autokey, לוחצים על אישור.

הודעה מאשרת שהתכונה Cloud KMS Autokey מושבתת בתיקייה.

API

מבטלים את הסימון של התיבה AutokeyConfig של התיקייה שבה רוצים להשבית את Autokey:

curl "https://cloudkms.googleapis.com/v1/folders/FOLDER_ID/autokeyConfig?updateMask=keyProject" \
    --request "PATCH" \
    --header "authorization: Bearer TOKEN" \
    --header "content-type: application/json" \
    --data '{}'

מחליפים את מה שכתוב בשדות הבאים:

‫FOLDER_ID: המזהה של התיקייה שבה רוצים להשבית את Autokey.

ביטול תפקידים ב-Autokey

אופציונלי: ביטול התפקיד roles/cloudkms.autokeyAdmin:
```
gcloud resource-manager folders remove-iam-policy-binding \
    FOLDER_ID --role=roles/cloudkms.autokeyAdmin \
    --member=user:USER_EMAIL
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫FOLDER_ID: המזהה של התיקייה שבה השבתתם את Autokey.
- ‫USER_EMAIL: כתובת האימייל של המשתמש שרוצים לבטל את ההרשאה שלו לנהל את Autokey.
אופציונלי: ביטול התפקיד roles/cloudkms.autokeyUser ברמת התיקייה:
```
gcloud resource-manager folders remove-iam-policy-binding \
    FOLDER_ID --role=roles/cloudkms.autokeyUser \
    --member=user:USER_EMAIL
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫FOLDER_ID: המזהה של התיקייה שבה השבתתם את Autokey.
- ‫USER_EMAIL: כתובת האימייל של המשתמש שרוצים לבטל את ההרשאה שלו להשתמש ב-Autokey.
אופציונלי: ביטול התפקיד roles/cloudkms.autokeyUser ברמת הפרויקט:
```
gcloud projects remove-iam-policy-binding RESOURCE_PROJECT_NUMBER \
    --role=roles/cloudkms.autokeyUser \
    --member=user:USER_EMAIL
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫RESOURCE_PROJECT_NUMBER: מספר הפרויקט של פרויקט משאבים בתיקייה שבה השבתתם את Autokey.
- ‫USER_EMAIL: כתובת האימייל של המשתמש שרוצים לבטל את ההרשאה שלו להשתמש ב-Autokey.
אופציונלי: אם אתם לא מתכננים להמשיך להשתמש בפרויקט המפתח עבור Autokey לתיקיות אחרות, אתם יכולים לבטל את ההרשאה לתפקיד roles/cloudkms.admin לסוכן השירות של Cloud KMS:
```
gcloud projects remove-iam-policy-binding KEY_PROJECT_NUMBER \
    --role=roles/cloudkms.admin \
    --member=serviceAccount:service-KEY_PROJECT_NUMBER@gcp-sa-cloudkms.iam.gserviceaccount.com
```
מחליפים את הערך KEY_PROJECT_NUMBER במזהה המספרי של פרויקט המפתח.
אופציונלי: אם אתם לא מתכננים להמשיך להשתמש במפתחות שנוצרו בפרויקט המפתחות, מבטלים את ההרשאה לתפקיד roles/cloudkms.admin לאדמין של Cloud KMS:
```
gcloud projects remove-iam-policy-binding KEY_PROJECT_NUMBER \
    --role=roles/cloudkms.admin \
    --member=user:KEY_ADMIN_EMAIL
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫KEY_PROJECT_NUMBER: מספר הפרויקט של פרויקט המפתח.
- ‫USER_EMAIL: כתובת האימייל של המשתמש שרוצים לבטל את ההרשאה שלו להשתמש ב-Autokey.

המאמרים הבאים

מידע נוסף על המקרים שבהם כדאי להשתמש ב-Autokey
איך Autokey עובד
מפתחי Autokey יכולים עכשיו ליצור משאבים מוגנים באמצעות Autokey.

הפעלת Cloud KMS Autokey קל לארגן דפים בעזרת אוספים אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.

לפני שמתחילים

התפקידים הנדרשים

ההרשאות הנדרשות

איך רוצים להפעיל את Autokey

הגדרת Autokey לניהול מפתחות מרכזי

יצירת פרויקט מרכזי

המסוף

gcloud

הגדרת שיעבוד פרויקט

הכנת פרויקט המפתח של Autokey

המסוף

gcloud

הפעלת Cloud KMS Autokey בתיקיית משאבים

המסוף

API

הגדרת סוכן השירות של Cloud KMS

הפעלת Autokey לניהול מפתחות בהרשאת גישה

הפעלת Autokey באמצעות Terraform

ניהול מרוכז של מפתחות באמצעות Terraform

ניהול מפתחות בהרשאת משנה באמצעות Terraform

אכיפת השימוש ב-Autokey

השבתת התכונה 'הקלדה אוטומטית'

ניקוי ההגדרה AutokeyConfig

המסוף

API

ביטול תפקידים ב-Autokey

המאמרים הבאים

הפעלת Cloud KMS Autokey