Per impostazione predefinita, Google Cloud Managed Lustre cripta i contenuti inattivi dei clienti. Managed Lustre gestisce la crittografia per conto tuo senza che tu debba fare altro. Questa opzione è denominata Crittografia predefinita di Google.
Se vuoi controllare le tue chiavi di crittografia, puoi utilizzare le chiavi di crittografia gestite dal cliente (CMEK) in Cloud KMS con i servizi integrati con CMEK, tra cui Managed Lustre. L'utilizzo delle chiavi Cloud KMS ti consente di controllare il livello di protezione, la località, la pianificazione della rotazione, le autorizzazioni di utilizzo e di accesso e i limiti crittografici. Con Cloud KMS puoi inoltre visualizzare gli audit log e controllare i cicli di vita delle chiavi. Invece di Google, sei tu ad avere la proprietà e la gestione delle chiavi di crittografia della chiave (KEK) simmetriche che proteggono i tuoi dati. Puoi controllare e gestire queste chiavi in Cloud KMS.
Dopo aver configurato le risorse con le CMEK, l'esperienza di accesso alle risorse Managed Lustre è simile all'utilizzo della crittografia predefinita di Google. Per saperne di più sulle opzioni di crittografia, consulta Chiavi di crittografia gestite dal cliente (CMEK).
I seguenti dati di Managed Lustre sono protetti da CMEK:
- Dati del file
- Metadati del file system, come i nomi file
Limitazioni
Si applicano le seguenti limitazioni:
Il provisioning dinamico delle istanze Managed Lustre protette da CMEK non è supportato in Google Kubernetes Engine, ma è supportato il provisioning statico.
Quando crei un'istanza Managed Lustre protetta da CMEK all'interno di un perimetro dei Controlli di servizio VPC, la chiave Cloud KMS deve essere:
- All'interno dello stesso perimetro dei Controlli di servizio VPC; oppure
- Accessibile tramite una regola in uscita. Per maggiori dettagli, consulta Utilizza i Controlli di servizio VPC con le chiavi di crittografia gestite dal cliente (CMEK).
Crea una chiave Cloud KMS
Prima di creare un'istanza Lustre abilitata per CMEK, devi avere una chiave automatizzata Cloud KMS e una chiave Cloud KMS.
Managed Lustre supporta tre livelli di protezione:
- Software (
SOFTWARE) - Hardware (
HSM) - Esterno su internet (
EXTERNAL)
Quando crei la chiave, ti consigliamo di creare la chiave Cloud KMS in un progetto diverso da quello contenente l'istanza Managed Lustre. Consulta Separazione dei compiti.
La chiave Cloud KMS deve essere creata nella stessa regione dell'istanza Managed Lustre che stai creando.
Per creare una chiave:
- Se non ne hai già uno, crea un keyring.
- Crea una chiave Cloud KMS.
Concedi le autorizzazioni IAM all'agente di servizio Managed Lustre
Managed Lustre utilizza un agente di servizio per accedere alle tue risorse ed eseguire azioni per tuo conto. Per utilizzare CMEK, devi concedere
all'agente di servizio il ruolo IAM roles/cloudkms.cryptoKeyEncrypterDecrypter
sulla chiave Cloud KMS.
Se creerai l'istanza di Managed Lustre protetta da CMEK utilizzando la console Google Cloud , puoi saltare questa sezione. La console Google Cloud concede le autorizzazioni richieste nell'ambito del flusso di creazione dell'istanza.
Se non conosci l'identità dell'agente di servizio del tuo progetto, consulta Crea o recupera l'identità dell'agente di servizio.
Concedi le autorizzazioni all'agente di servizio
Per concedere il ruolo all'agente di servizio, utilizza il comando gcloud kms keys add-iam-policy-binding:
gcloud kms keys add-iam-policy-binding KEY_NAME \
--keyring=KEY_RING \
--location=REGION \
--project=KMS_PROJECT_ID \
--member=serviceAccount:SERVICE_AGENT_IDENTITY \
--role=roles/cloudkms.cryptoKeyEncrypterDecrypter
Sostituisci le seguenti variabili:
- KEY_NAME: il nome della chiave Cloud KMS.
- KEY_RING: il nome delle chiavi automatizzate che contengono la chiave.
- REGION: la regione in cui si trovano le chiavi automatizzate.
- KMS_PROJECT_ID: l'ID del progetto che contiene la tua chiave Cloud KMS.
- SERVICE_AGENT_IDENTITY: l'identità dell'agente di servizio Managed Lustre (
service-<var>PROJECT_NUMBER</var>@gcp-sa-lustre.).
Crea un'istanza Managed Lustre abilitata per CMEK
Per creare un'istanza Managed Lustre protetta da CMEK, utilizza una delle seguenti interfacce. Per configurare CMEK in un progetto di Cluster Toolkit, consulta Utilizza le chiavi di crittografia gestite dal cliente (CMEK) nella documentazione di Cluster Toolkit.
gcloud
Per creare un'istanza protetta da CMEK utilizzando gcloud, segui i passaggi descritti in Crea un'istanza. Specifica l'identificatore della chiave come valore di --kms-key-name, come mostrato di seguito:
gcloud lustre instance create INSTANCE_ID \
--filesystem=FILESYSTEM_NAME \
--per-unit-storage-throughput=PERF_TIER \
--capacity-gib=CAPACITY_GIB \
--location=ZONE \
--network=NETWORK_NAME \
--project=PROJECT_ID \
--kms-key-name=projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY_NAME
La chiave Cloud KMS deve trovarsi nella stessa regione dell'istanza Managed Lustre che stai creando.
REST
Per creare un'istanza protetta da CMEK utilizzando l'API REST, segui i passaggi descritti in Crea un'istanza. Specifica l'identificatore della chiave come valore di kmsKey, come mostrato di seguito:
POST https://lustre.googleapis.com/v1/projects/PROJECT_ID/locations/ZONE/instances?instanceId=INSTANCE_NAME
Authorization: Bearer AUTH_TOKEN
{
"filesystem": "FILESYSTEM_NAME",
"perUnitStorageThroughput": PERF_TIER,
"capacityGib": CAPACITY_GIB,
"network": "NETWORK_NAME",
"kmsKey": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY_NAME"
}
La chiave Cloud KMS deve trovarsi nella stessa regione dell'istanza Managed Lustre che stai creando.
Consulta la documentazione di riferimento della risorsa Instance per un elenco completo dei campi e delle relative descrizioni.
Console Google Cloud
Per creare un'istanza protetta da CMEK utilizzando la console Google Cloud , segui i passaggi descritti in Crea un'istanza. Nella pagina Crea istanza della console Google Cloud :
Nella sezione Crittografia, seleziona Chiave Cloud KMS.
Seleziona Cloud KMS come tipo di gestione delle chiavi e seleziona la tua chiave. Se la chiave si trova in un progetto diverso (opzione consigliata), fai clic su Cambia progetto, seleziona il progetto della chiave e seleziona la chiave. La chiave Cloud KMS deve trovarsi nella stessa regione dell'istanza Managed Lustre che stai creando.
Se l'agente di servizio di Managed Lustre non dispone delle autorizzazioni necessarie per utilizzare CMEK, ti verrà chiesto di concedere il ruolo
cloudkms.cryptoKeyEncrypterDecrypter. Fai clic su Concedi per applicare il ruolo.
Se la chiave Cloud KMS non è disponibile o se si verificano problemi di autorizzazione
quando avvii l'operazione di creazione, l'operazione non va a buon fine e restituisce un
errore FAILED_PRECONDITION.
Gestione delle chiavi
Le chiavi di Cloud Key Management Service possono essere ruotate, disabilitate, riabilitate o eliminate. Possono diventare non disponibili per vari motivi.
Ruota una chiave
Puoi ruotare la chiave Cloud KMS. La rotazione di una chiave crea una nuova versione della chiave.
La rotazione di una chiave non esegue nuovamente la crittografia dei dati nell'istanza Managed Lustre. Managed Lustre non supporta la decrittografia o la nuova crittografia dei dati.
La capacità esistente dell'istanza Managed Lustre continua a essere criptata dalla versione della chiave in uso al momento della creazione dell'istanza.
Quando aumenti la capacità di archiviazione dell'istanza, la nuova capacità è protetta dalla versione della chiave principale al momento della richiesta di aumento della capacità e tutti i dati scritti in quella capacità sono protetti da quella versione della chiave.
Ciò significa che puoi avere più versioni della chiave che criptano l'istanza Managed Lustre, se hai aumentato la capacità dell'istanza dopo aver ruotato la versione della chiave.
Disattiva una chiave
Puoi disabilitare una versione della chiave. Durante il periodo in cui qualsiasi versione della chiave utilizzata dalla tua istanza Managed Lustre è disattivata, l'istanza viene sospesa. Per riprendere l'istanza, riporta tutte le versioni delle chiavi che la proteggono in uno stato disponibile. Consulta Chiavi non disponibili per informazioni sulle istanze sospese.
Per saperne di più, consulta Abilita e disabilita le versioni delle chiavi.
Riattivare una chiave
Se una versione della chiave è disabilitata, puoi riattivarla tramite l'API Cloud KMS. Consulta Abilita e disabilita le versioni delle chiavi.
Per riprendere l'istanza di Managed Lustre, tutte le versioni della chiave che criptano la capacità di archiviazione devono essere abilitate o ripristinate.
Dopo che tutte le chiavi richieste tornano allo stato ENABLED,
Managed Lustre rileva automaticamente le modifiche alle chiavi e riavvia
l'istanza. Lo stato dell'istanza diventa ACTIVE e il servizio Managed Lustre riprende il normale funzionamento. Puoi eseguire operazioni di I/O e tutte le altre operazioni a lunga esecuzione.
Elimina una chiave
Le versioni delle chiavi Cloud KMS possono essere distrutte, il che significa che il materiale della chiave viene eliminato definitivamente.
Le chiavi Cloud KMS non possono essere distrutte immediatamente; devi invece pianificare la distruzione di una versione della chiave. Durante la durata pianificata, puoi ripristinare una versione della chiave per annullarne l'eliminazione. Per maggiori dettagli, consulta Elimina e ripristina le versioni delle chiavi.
Una versione della chiave pianificata per l'eliminazione non è disponibile; tutte le istanze di Managed Lustre protette da quella versione della chiave vengono sospese. Consulta Chiavi non disponibili per informazioni sulle istanze sospese.
Una volta eliminata, una versione della chiave non può essere ripristinata. L'istanza rimane sospesa definitivamente. L'unica operazione disponibile sull'istanza Managed Lustre è l'eliminazione dell'istanza.
Chiavi non disponibili
Una chiave può diventare non disponibile per i seguenti motivi:
- La chiave è disattivata.
- La chiave è stata eliminata o è stata pianificata la sua eliminazione.
- Le autorizzazioni richieste vengono rimosse dall'agente di servizio.
- La fatturazione è disabilitata nel progetto della chiave Cloud KMS e rimane disabilitata per più di un'ora.
- Una chiave esterna rimane non raggiungibile per più di un'ora.
In questi casi, entro pochi minuti dall'evento, l'istanza Managed Lustre viene arrestata e il suo stato viene impostato su SUSPENDED.
Un'istanza SUSPENDED può essere recuperata rendendo nuovamente disponibile la chiave.
I possibili motivi della sospensione sono i seguenti:
| Azione sulla chiave | Stato istanza | Motivo della sospensione | Può essere riattivata |
|---|---|---|---|
| Disattiva | SUSPENDED |
KEY_DISABLE |
Sì |
| Pianifica l'eliminazione | SUSPENDED |
KEY_DESTROY_SCHEDULED |
Sì |
| Elimina | SUSPENDED |
KEY_DESTROY |
No |
| Rimuovi autorizzazione | SUSPENDED |
PERMISSION_DENIED |
Sì |
| Disabilita la fatturazione per 1 ora | SUSPENDED |
BILLING_DISABLED |
Sì |
| Chiave EKM non raggiungibile per 1 ora | SUSPENDED |
EKM_KEY_UNREACHABLE |
Sì |
Quando un'istanza viene sospesa:
- Le operazioni a lunga esecuzione, come gli aggiornamenti delle istanze e l'importazione/esportazione,
vengono bloccate e restituiscono un errore
FAILED_PRECONDITION. - Le operazioni di I/O smettono di rispondere finché i nodi del server non vengono arrestati. Questo avviene entro 30 minuti.
- L'unica operazione a lunga esecuzione consentita è
DeleteInstance.
Le istanze sospese per più di quattro mesi potrebbero non essere ripristinabili.
Fatturazione per le istanze sospese
Se un'istanza Managed Lustre entra nello stato SUSPENDED a causa della mancata disponibilità della chiave, continuerai a maturare addebiti per l'istanza. Lo stato di sospensione non mette in pausa la fatturazione. Per interrompere gli addebiti per l'istanza, devi eliminarla.
Cloud KMS ti addebita separatamente anche le versioni delle chiavi in uso.
Visualizza l'utilizzo delle chiavi ed elenca le versioni delle chiavi
Puoi visualizzare le risorse Google Cloud all'interno della tua organizzazione protette dalle tue chiavi Cloud KMS. Per maggiori dettagli, consulta Visualizza l'utilizzo delle chiavi.
Per visualizzare l'elenco completo delle versioni delle chiavi utilizzate dall'istanza Managed Lustre, utilizza il comando gcloud kms inventory search-protected-resources:
gcloud kms inventory search-protected-resources \
--keyname=projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY_NAME \
--scope=organizations/ORGANIZATION_ID \
--filter="name:projects/PROJECT_ID/locations/REGION/instances/INSTANCE_ID" \
--flatten="cryptoKeyVersions" \
--format="value(cryptoKeyVersions)"
Dove:
- ORGANIZATION_ID è l'ID numerico della tua organizzazione. Consulta Recupero dell'ID risorsa dell'organizzazione.
Puoi anche visualizzare le informazioni chiave dalla pagina Inventario chiavi.