יצירת מפתח חיצוני

בדף הזה מוסבר איך ליצור מפתחות של Cloud External Key Manager ‏ (Cloud EKM) באוסף מפתחות קיים ב-Cloud Key Management Service ‏ (Cloud KMS).

לפני שמתחילים

לפני שמבצעים את המשימות בדף הזה, צריך:

  • משאב פרויקט Google Cloud שיכיל את משאבי Cloud KMS. מומלץ להשתמש בפרויקט נפרד למשאבי Cloud KMS שלא מכיל משאבי Google Cloud אחרים.

    רושמים את חשבון השירות של Cloud EKM בפרויקט. בדוגמה הבאה, מחליפים את PROJECT_NUMBER ב מספר הפרויקט של Google Cloud הפרויקט. המידע הזה מוצג גם בכל פעם שמשתמשים במסוף Google Cloud כדי ליצור מפתח Cloud EKM.

        service-PROJECT_NUMBER@gcp-sa-ekms.
  • השם והמיקום של אוסף המפתחות שבו רוצים ליצור את המפתח. בוחרים אוסף מפתחות במיקום שקרוב למשאבים האחרים שלכם, ושתומך ב-Cloud EKM. כדי ליצור אוסף מפתחות, ראו יצירת אוסף מפתחות.
  • במערכת של השותף החיצוני לניהול מפתחות, נותנים לחשבון השירות Google Cloudגישה לשימוש במפתחות החיצוניים. מתייחסים לחשבון השירות ככתובת אימייל. יכול להיות ששותפי EKM ישתמשו במינוח שונה מזה שמופיע במסמך הזה.
  • כדי ליצור מפתחות EKM ברשת VPC, צריך ליצור חיבור EKM.

התפקידים הנדרשים

כדי לקבל את ההרשאות שנדרשות ליצירת מפתחות, צריך לבקש מהאדמין להקצות לכם ב-IAM את התפקיד אדמין של Cloud KMS (roles/cloudkms.admin) בפרויקט או במשאב אב. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

זהו תפקיד שמוגדר מראש וכולל את ההרשאות שנדרשות ליצירת מפתחות. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

ההרשאות הנדרשות

כדי ליצור מפתחות, צריך את ההרשאות הבאות:

  • cloudkms.cryptoKeys.create
  • cloudkms.cryptoKeys.get
  • cloudkms.cryptoKeys.list
  • cloudkms.cryptoKeyVersions.create
  • cloudkms.cryptoKeyVersions.get
  • cloudkms.cryptoKeyVersions.list
  • cloudkms.keyRings.get
  • cloudkms.keyRings.list
  • cloudkms.locations.get
  • cloudkms.locations.list
  • resourcemanager.projects.get
  • כדי לאחזר מפתח ציבורי: cloudkms.cryptoKeyVersions.viewPublicKey

יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

יצירת מפתח חיצוני מתואם

המסוף

  1. נכנסים לדף Key Management במסוף Google Cloud .

    כניסה אל Key Management

  2. לוחצים על השם של אוסף המפתחות שבו רוצים ליצור מפתח.

  3. לוחצים על Create key.

  4. בשדה שם המפתח, מזינים שם למפתח.

  5. בקטע רמת הגנה, בוחרים באפשרות חיצונית.

  6. בשדה External key manager (EKM) connection type, בוחרים באפשרות via VPC.

  7. בקטע EKM via VPC connection, בוחרים חיבור.

    אם אין לכם את ההרשאה EkmConnection.list, תצטרכו להזין את שם המשאב של החיבור באופן ידני.

  8. לוחצים על Continue.

  9. בקטע Key material אמורה להופיע הודעה על כך ש-Cloud KMS ביקש חומר מפתח חדש, ושהוא נוצר ב-EKM. אם מופיע השדה Key path, סימן שהחיבור ל-EKM דרך VPC שבחרתם לא מוגדר למפתחות חיצוניים מתואמים.

  10. מגדירים את שאר הגדרות המפתח לפי הצורך ולוחצים על Create.

שירות Cloud EKM שולח בקשה ל-EKM שלכם כדי ליצור מפתח חדש. המפתח מוצג כבהמתנה ליצירה עד שנתיב המפתח מוחזר על ידי ה-EKM והמפתח של Cloud EKM זמין.

gcloud

כדי להשתמש ב-Cloud KMS בשורת הפקודה, קודם צריך להתקין את הגרסה העדכנית של Google Cloud CLI או לשדרג אליה.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

מחליפים את מה שכתוב בשדות הבאים:

  • ‫KEY_NAME: השם של המפתח.
  • ‫KEY_RING: השם של אוסף המפתחות שמכיל את המפתח.
  • ‫LOCATION: המיקום ב-Cloud KMS שבו נמצא אוסף המפתחות.
  • ‫PURPOSE: המטרה של המפתח.
  • ‫ALGORITHM: האלגוריתם שבו יש להשתמש עבור המפתח, לדוגמה google-symmetric-encryption. רשימת האלגוריתמים הנתמכים זמינה במאמר אלגוריתמים.
  • ‫VPC_CONNECTION_RESOURCE_ID: מזהה המשאב של החיבור ל-EKM.

כדי לקבל מידע על כל הדגלים והערכים האפשריים, מריצים את הפקודה עם הדגל --help.

המאמרים הבאים