Proteger recursos com chaves do Cloud KMS

Console

1. No console do Cloud de Confiance , acesse a página Discos.

   Acessar "Discos"

2. Clique em Novo disco e insira as propriedades do novo disco.
3. Em Criptografia, selecione Chave gerenciada pelo cliente.
4. No menu suspenso, selecione a chave do Cloud KMS que você quer usar para criptografar o disco.
5. Para criar o disco, clique em Criar.

gcloud

Crie um disco criptografado usando o comando gcloud compute disks create e especifique a chave usando a flag --kms-key.

gcloud compute disks create DISK_NAME \
  --kms-key projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY

Substitua:

• DISK_NAME: o nome do novo disco
• KMS_PROJECT_ID: o projeto proprietário da chave do Cloud KMS.
• REGION: a região em que a chave está localizada.
• KEY_RING: o nome do keyring que inclui a chave
• KEY: o nome da chave usada para criptografar o disco

REST

Crie uma solicitação POST para o método instances.insert. Para criptografar um disco, use a propriedade diskEncryptionKey com a propriedade kmsKeyName. Por exemplo, é possível criptografar um novo disco durante a criação da VM com sua chave do Cloud KMS usando:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
"machineType": "zones/ZONE/machineTypes/MACHINE_TYPE",
"disks": [
 {
  "type": "PERSISTENT",
  "diskEncryptionKey": {
    "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
  },
  "initializeParams": {
   "sourceImage": "SOURCE_IMAGE"
  },
  "boot": true
 }
],
...
}

Substitua:

• PROJECT_ID: o ID do projetoCloud de Confiance que executa o Compute Engine
• ZONE: a zona em que a VM será criada
• MACHINE_TYPE: o tipo de máquina, por exemplo, c3-standard-4.
• KMS_PROJECT_ID: o projeto proprietário da chave do Cloud KMS.
• REGION: a região onde o disco está localizado.
• KEY_RING: o nome do keyring que inclui a chave.
• KEY: o nome da chave usada para criptografar o disco.
• SOURCE_IMAGE: a imagem a ser usada ao criar a VM, por exemplo, projects/debian-cloud/global/images/debian-11-bullseye-v20231115.

Da mesma forma, use o método disks.insert para criar um novo Persistent Disk independente e criptografá-lo com a chave do Cloud KMS:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/disks?sourceImage=SOURCE_IMAGE
{
 "name": "DISK_NAME",
 "diskEncryptionKey": {
   "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
  },
 "type": "projects/PROJECT_ID/zones/ZONE/diskTypes/DISK_TYPE"
}

Substitua:

• PROJECT_ID: o ID do projetoCloud de Confiance que executa o Compute Engine
• ZONE: a zona em que o disco será criado
• SOURCE_IMAGE: a imagem a ser usada ao criar o disco, por exemplo, projects/debian-cloud/global/images/debian-11-bullseye-v20231115
• DISK_NAME: um nome para o novo disco
• KMS_PROJECT_ID: o projeto proprietário da chave do Cloud KMS.
• REGION: a região onde o disco está localizado.
• KEY_RING: o nome do keyring que inclui a chave.
• KEY: o nome da chave usada para criptografar o disco.
• DISK_TYPE: o tipo de disco a ser criado

Console

1. No console do Cloud de Confiance , acesse a página Discos.

   Acessar "Discos"

2. Clique em Novo disco e insira as propriedades do novo disco.
3. Na seção Configurações de disco, escolha Hyperdisk Balanced como o tipo de disco.
4. Opcional. Altere as configurações de Tamanho, IOPS provisionadas e Capacidade de processamento provisionada do disco padrão.
5. Na seção Criptografia, selecione Chave do Cloud KMS.
6. Na lista de chaves, selecione a chave do Cloud HSM que você quer usar para criptografar o disco.
7. Na seção Computação confidencial, selecione Ativar serviços de Computação confidencial.
8. Para criar o disco, clique em Criar.

gcloud

Criptografe um novo disco com o modo confidencial para o Hyperdisk Balanced usando o comando gcloud compute disks create. Ative o modo confidencial com a flag --confidential-compute e especifique a chave usando a flag --kms-key.

gcloud compute disks create DISK_NAME \
  --type=hyperdisk-balanced \
  --kms-key projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY \
  --confidential-compute

Substitua:

• DISK_NAME: o nome do novo disco.
• KMS_PROJECT_ID: o projeto proprietário da chave do Cloud HSM.
• REGION: a região em que a chave está localizada.
• KEY_RING: o nome do keyring que inclui a chave
• KEY: o nome da chave usada para criptografar o disco

REST

Crie uma solicitação POST para o método instances.insert. Para criptografar um disco com o modo confidencial para o Hyperdisk Balanced, use a propriedade diskEncryptionKey com a propriedade kmsKeyName e defina a flag enableConfidentialCompute. Por exemplo, é possível criptografar um novo disco durante a criação da VM com sua chave do Cloud HSM usando:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
"machineType": "zones/ZONE/machineTypes/MACHINE_TYPE",
"disks": [
 {
  "type": "DISK_TYPE",
  "diskEncryptionKey": {
    "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
  },
  "initializeParams": {
   "sourceImage": "SOURCE_IMAGE",
   "enableConfidentialCompute": true
  },
  "boot": true
 }
],
"networkInterfaces": [
  {
   "network": "global/networks/default"
  }
]
}

Substitua:

• DISK_TYPE: o tipo de disco a ser criado, por exemplo, hyperdisk-balanced.
• PROJECT_ID: o ID do Cloud de Confiance projeto que executa o Compute Engine
• ZONE: a zona em que a VM será criada
• MACHINE_TYPE: o tipo de máquina, por exemplo, n2d-standard-4.
• KMS_PROJECT_ID: o projeto proprietário da chave do Cloud HSM.
• REGION: a região onde o disco está localizado.
• KEY_RING: o nome do keyring que inclui a chave
• KEY: o nome da chave usada para criptografar o disco
• SOURCE_IMAGE: a imagem que oferece suporte à VM confidencial a ser usada ao criar a VM, por exemplo, projects/debian-cloud/global/images/debian-11-bullseye-v20231115.

Da mesma forma, use o método disks.insert para criar um novo modo confidencial para o Hyperdisk Balanced:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/disks?sourceImage=SOURCE_IMAGE
{
 "name": "DISK_NAME",
 "diskEncryptionKey": {
   "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
  },
 "type": "projects/PROJECT_ID/zones/ZONE/diskTypes/DISK_TYPE",
 "enableConfidentialCompute": true
}

Substitua:

• PROJECT_ID: o ID do projetoCloud de Confiance que executa o Compute Engine
• ZONE: a zona em que o disco será criado
• SOURCE_IMAGE: a imagem que oferece suporte à VM confidencial ao criar o disco, por exemplo, projects/debian-cloud/global/images/debian-11-bullseye-v20231115.
• DISK_NAME: um nome para o novo disco
• KMS_PROJECT_ID: o projeto proprietário da chave do Cloud HSM.
• REGION: a região onde o disco está localizado.
• KEY_RING: o nome do keyring que inclui a chave.
• KEY: o nome da chave usada para criptografar o disco.
• DISK_TYPE: o tipo de disco a ser criado, por exemplo, hyperdisk-balanced.

Console

1. No console do Cloud de Confiance , acesse a página Backups.

   Acesse Snapshots

2. Clique em Criar snapshot.
3. Em disco de origem, escolha o disco de origem para o instantâneo. O snapshot é criptografado automaticamente com a mesma chave usada pelo disco de origem.

gcloud

Para criptografia gerenciada pelo cliente, a chave do Cloud KMS que foi usada para criptografar o disco também é usada para criptografar o snapshot.

Crie o snapshot na política de local de armazenamento definida pelas configurações do snapshot ou usando um local de armazenamento alternativo de sua escolha. Para mais informações, consulte Escolher o local de armazenamento dos snapshots.

• Para criar um snapshot no local padrão predefinido ou personalizado definido nas configurações do snapshot, use o comando gcloud compute snapshots create.

  gcloud compute snapshots create SNAPSHOT_NAME \
      --source-disk-zone=SOURCE_ZONE \
      --source-disk=SOURCE_DISK_NAME \
      --snapshot-type=SNAPSHOT_TYPE
  

• Como alternativa, para substituir as configurações de snapshot e criar um snapshot em um local de armazenamento personalizado, inclua a flag --storage-location para indicar onde ele deve ser armazenado:

  gcloud compute snapshots create SNAPSHOT_NAME \
      --source-disk-zone=SOURCE_ZONE \
      --source-disk=SOURCE_DISK_NAME \
      --snapshot-type=SNAPSHOT_TYPE \
      --storage-location=STORAGE_LOCATION
  

• Prévia: para criar um snapshot com escopo regional em uma região permitida, inclua a flag --region para indicar onde ele deve ser criado.

    gcloud beta compute snapshots create SNAPSHOT_NAME \
        --region=SNAPSHOT_SCOPE_REGION
        --source-disk=SOURCE_DISK_NAME \
        --source-disk-zone=SOURCE_ZONE \
        --snapshot-type=SNAPSHOT_TYPE \
        --kms-key=projects/KMS_PROJECT_ID/locations/KEY_REGION/keyRings/KEY_RING/cryptoKeys/SNAPSHOT_KEY
  

Substitua:

• SNAPSHOT_NAME: um nome para o snapshot.
• SOURCE_ZONE: a zona do disco de origem.
• SOURCE_DISK_NAME: o nome do volume de disco a partir do qual você quer criar um snapshot.
• KMS_PROJECT_ID: o projeto que contém a chave de criptografia armazenada no Cloud Key Management Service.
• KEY_REGION: a região onde a chave do Cloud KMS está localizada.
• KEY_RING: o nome do keyring que contém a chave do Cloud KMS.
• SNAPSHOT_KEY: o nome da chave do Cloud KMS que você usou para criptografar o disco de origem.
• SNAPSHOT_TYPE: o tipo de snapshot, que é STANDARD ou ARCHIVE. Se um tipo de snapshot não for especificado, um snapshot STANDARD será criado.

• STORAGE_LOCATION (opcional): para snapshots com escopo global, a multirregião do Cloud Storage ou a região do Cloud Storage em que você quer armazenar o snapshot. É possível especificar apenas um local de armazenamento.

  Use o parâmetro --storage-location somente quando quiser substituir o local de armazenamento padrão predefinido ou personalizado que está definido nas configurações de snapshot.

• SNAPSHOT_SCOPE_REGION: opcional: para snapshots com escopo regional, a região em que o snapshot está no escopo. Se você incluir esse parâmetro, não poderá usar o parâmetro --storage-location. O STORAGE_LOCATION é definido automaticamente como SNAPSHOT_SCOPE_REGION.

REST

Crie o snapshot na política de local de armazenamento definida pelas configurações do snapshot ou usando um local de armazenamento alternativo de sua escolha. Para mais informações, consulte Escolher o local de armazenamento dos snapshots.

• Para criar o snapshot no local padrão predefinido ou personalizado configurado nas configurações de snapshot, faça uma solicitação POST para o método snapshots.insert.

  POST https://compute.s3nsapis.fr/compute/v1/projects/DESTINATION_PROJECT_ID/global/snapshots
  {
      "name": "SNAPSHOT_NAME",
      "sourceDisk": "projects/SOURCE_PROJECT_ID/zones/SOURCE_ZONE/disks/SOURCE_DISK_NAME",
      "snapshotEncryptionKey":  {
       "kmsKeyName": "projects/KMS_PROJECT_ID/locations/KEY_REGION/keyRings/KEY_RING/cryptoKeys/SNAPSHOT_KEY"
      },
      "snapshotType": "SNAPSHOT_TYPE"
  }
  

• Como alternativa, para substituir as configurações de snapshot e criar um snapshot em um local de armazenamento personalizado, faça uma solicitação POST ao método snapshots.insert e inclua nela a propriedade storageLocations:

  POST https://compute.s3nsapis.fr/compute/v1/projects/DESTINATION_PROJECT_ID/global/snapshots
  {
      "name": "SNAPSHOT_NAME",
      "sourceDisk": "projects/SOURCE_PROJECT_ID/zones/SOURCE_ZONE/disks/SOURCE_DISK_NAME",
      "snapshotEncryptionKey":  {
       "kmsKeyName": "projects/KMS_PROJECT_ID/locations/KEY_REGION/keyRings/KEY_RING/cryptoKeys/SNAPSHOT_KEY"
      },
      "snapshotType": "SNAPSHOT_TYPE",
      "storageLocations": [
          "STORAGE_LOCATION"
      ],
  }
  

• (Prévia) Para criar um snapshot regional em uma região permitida, faça uma solicitação POST ao método snapshots.insert e defina a região de criação:

  POST https://compute.s3nsapis.fr/compute/beta/projects/DESTINATION_PROJECT_ID/regions/SNAPSHOT_SCOPE_REGION/snapshots
  {
    "name": "SNAPSHOT_NAME",
    "sourceDisk": "projects/SOURCE_PROJECT_ID/regions/SOURCE_REGION/disks/SOURCE_DISK_NAME",
    "snapshotType": "SNAPSHOT_TYPE",
    "snapshotEncryptionKey": {
      "kmsKeyName":"projects/KMS_PROJECT_ID/locations/KEY_REGION/keyRings/KEY_RING/cryptoKeys/SNAPSHOT_KEY",
    },
  }
  

Substitua:

• DESTINATION_PROJECT_ID: o ID do projeto em que você quer criar o snapshot.
• SNAPSHOT_NAME: um nome para o snapshot.
• SOURCE_PROJECT_ID: o ID do projeto de disco de origem.
• SOURCE_ZONE: a zona do disco de origem.
• SOURCE_DISK_NAME: o nome do disco a partir do qual você quer criar um snapshot.
• KMS_PROJECT_ID: o projeto que contém a chave de criptografia armazenada no Cloud Key Management Service.
• KEY_REGION: a região onde a chave do Cloud KMS está localizada.
• KEY_RING: o nome do keyring que contém a chave do Cloud KMS.
• SNAPSHOT_KEY: o nome da chave do Cloud KMS que você usou para criptografar o disco de origem.
• SNAPSHOT_TYPE: o tipo de snapshot, que é STANDARD ou ARCHIVE. Se um tipo de snapshot não for especificado, um snapshot STANDARD será criado.

• STORAGE_LOCATION (opcional): para snapshots com escopo global, a multirregião do Cloud Storage ou a região do Cloud Storage em que você quer armazenar o snapshot. É possível especificar apenas um local de armazenamento.

  Use o parâmetro storageLocations somente quando quiser substituir o local de armazenamento padrão predefinido ou personalizado que está definido nas configurações de snapshot.

• SNAPSHOT_SCOPE_REGION (opcional): para snapshots com escopo regional, a região em que o snapshot está no escopo. Se você incluir esse parâmetro, não poderá usar o parâmetro storageLocations. O STORAGE_LOCATION é definido automaticamente como SNAPSHOT_SCOPE_REGION.

Console

1. No console do Cloud de Confiance , acesse a página Imagens.

   Acessar "Imagens"

2. Clique em Criar imagem.
3. Em disco de origem, selecione o disco do qual quer criar uma imagem.
4. Em Criptografia, selecione Chave gerenciada pelo cliente.
5. No menu suspenso, selecione a chave do Cloud KMS que você quer usar para criptografar essa imagem.
6. Continue com o processo de criação da imagem.

gcloud

Para importar e criptografar uma imagem, use o comando gcloud compute images create. Para criptografia gerenciada pelo cliente, especifique a chave do Cloud KMS para a imagem.

gcloud compute images create IMAGE_NAME \
    --source-disk=SOURCE_DISK  \
    --kms-key projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY

Substitua:

• IMAGE_NAME: o nome da imagem que você está criando
• SOURCE_DISK: o nome do disco para criar um snapshot
• KMS_PROJECT_ID: o projeto que contém a chave do Cloud KMS
• REGION: a região em que a chave do Cloud KMS está localizada
• KEY_RING: o keyring que contém a chave do Cloud KMS
• KEY: o nome da chave a ser usada para criptografar o novo disco

REST

Para criptografar uma imagem importada, crie uma solicitação POST para o método images.insert. Especifique o URI do arquivo compactado, adicione a propriedade imageEncryptionKey à solicitação de criação de imagem e especifique a chave para criptografar a imagem na propriedade kmsKeyName.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/images

{
 "rawDisk": {
  "source": "http://storage.googleapis.com/example-image/example-image.tar.gz"
  },
 "name": "IMAGE_NAME",
 "sourceType": "RAW",
 "imageEncryptionKey": {
   "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
   }
}

Substitua:

• PROJECT_ID: o projeto em que a imagem criptografada será criada
• IMAGE_NAME: o nome da imagem que você está criando
• KMS_PROJECT_ID: o projeto que contém a chave do Cloud KMS
• REGION: a região em que a chave do Cloud KMS está localizada
• KEY_RING: o keyring que contém a chave do Cloud KMS
• KEY: o nome da chave que você usou para criptografar o disco de origem

Console

1. No console do Cloud de Confiance , acesse a página Discos.

   Acessar "Discos"

2. Clique em Novo disco e insira as propriedades do novo disco.
3. Em Tipo de origem, selecione o snapshot ou a imagem que você quer usar.

4. Opcional: para definir uma nova chave de criptografia, em Criptografia, especifique o tipo de chave a ser usada e forneça as informações da chave.

   Se você quiser remover a chave de criptografia gerenciada ou fornecida pelo cliente, em Criptografar, use o valor padrão Google Cloud-powered encryption key.

5. Continue com o processo de criação do disco.

gcloud

• Para criar um disco com base em um snapshot criptografado de escopo global, use o comando gcloud compute disks create.

  gcloud compute disks create DISK_NAME \
    --zone=ZONE \
    --source-snapshot=SNAPSHOT_NAME \
    --kms-key=projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY
  

• (Prévia) Para criar um disco com base em um snapshot criptografado de escopo regional, use o comando gcloud compute disks create e especifique a região do snapshot de origem.

  gcloud compute disks create DISK_NAME \
    --zone=ZONE \
    --source-snapshot=SNAPSHOT_NAME \
    --source-snapshot-region=SOURCE_REGION \
    --kms-key=projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY
  

Substitua:

• DISK_NAME: o nome do novo disco

• SNAPSHOT_NAME: o nome do snapshot criptografado.

  Para usar uma imagem em vez de um snapshot, substitua --source-snapshot SNAPSHOT_NAME por --image IMAGE_NAME.

• KMS_PROJECT_ID (opcional): o projeto que contém a chave do Cloud KMS.

• REGION (opcional): a região em que a chave do Cloud KMS está localizada

• SOURCE_REGION: a região em que o snapshot de origem está no escopo

• ZONE: a zona em que o novo disco vai residir

• KEY_RING (opcional): o keyring que contém a chave do Cloud KMS

• KEY (opcional): o nome da chave do Cloud KMS a ser usada para criptografar o novo disco

  Para criptografar o novo disco, siga um destes procedimentos:

  • Para especificar uma nova chave de criptografia gerenciada pelo cliente, use a flag --kms-key.
  • Para usar o Google Cloud-powered encryption keypadrão, não inclua a flag --kms-key.

REST

• Para criar um disco com base em um snapshot criptografado de escopo global, crie uma solicitação POST para o método compute.disks.insert. Use a propriedade sourceSnapshot para especificar o snapshot.

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/disks
  
  {
    "name": "DISK_NAME",
    "sourceSnapshot": "projects/SNAPSHOT_PROJECT_ID/global/snapshots/SNAPSHOT_NAME",
    "diskEncryptionKey": {
      "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
    }
  }
  

• (Visualização) Para criar um disco com base em um snapshot criptografado de escopo regional, crie uma solicitação POST para o método compute.disks.insert. Use a propriedade sourceSnapshot para especificar o snapshot.

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/disks
  
  {
    "name": "DISK_NAME",
    "sourceSnapshot": "projects/SNAPSHOT_PROJECT_ID/regions/SOURCE_REGION/snapshots/SNAPSHOT_NAME",
    "type": "projects/PROJECT_ID/zones/ZONE/diskTypes/DISK_TYPE",
    "zone": "projects/PROJECT_ID/zones/ZONE"
    "diskEncryptionKey": {
      "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
    }
  }
  

Substitua:

• PROJECT_ID: o projeto em que o novo disco será criado
• ZONE: a zona em que o novo disco será criado
• SOURCE_REGION: a região em que o snapshot de origem está no escopo
• DISK_NAME: o nome do novo disco
• DISK_TYPE: o URL completo ou parcial do tipo do disco, por exemplo, PROJECT_ID/zones/ZONE/diskTypes/pd-ssd
• SNAPSHOT_PROJECT_ID: o projeto que contém o snapshot

• SNAPSHOT_NAME: o nome do snapshot criptografado

  Para usar uma imagem em vez de um snapshot, substitua sourceSnapshot por sourceImage.

• KMS_PROJECT_ID (opcional): o projeto que contém a chave do Cloud KMS.

• REGION (opcional): a região em que a chave do Cloud KMS está localizada

• KEY_RING (opcional): o keyring que contém a chave do Cloud KMS

• KEY (opcional): o nome da chave do Cloud KMS a ser usada para criptografar o novo disco

  Se você incluir diskEncryptionKey, o disco será criptografado com a chave do Cloud KMS especificada. Se você não incluir diskEncryptionKey, o disco será criptografado usando um Google Cloud-powered encryption key.

Console

1. No console do Cloud de Confiance , acesse a página Criar uma instância.

   Acesse "Criar uma instância"

2. Especifique os detalhes da VM e, na seção Disco de inicialização, clique em Alterar. Em seguida, faça o seguinte:

   1. Clique em discos existentes.
   2. Na lista Disco, selecione um disco existente para anexar à VM.
   3. Clique em Selecionar.

3. Continue com o processo de criação da VM.

gcloud

Para anexar um disco criptografado ao criar uma nova VM, use o comando gcloud compute instances create. Use a flag --disk para especificar o disco de inicialização criptografado, conforme mostrado no exemplo a seguir:

gcloud compute instances create VM_NAME \
  ...
  --disk name=DISK_NAME,boot=yes

Substitua:

• VM_NAME: o nome da VM que você está criando
• DISK_NAME: o nome do disco criptografado

REST

Crie uma solicitação POST para o método compute.instances.insert. Use a propriedade disks para especificar o disco de inicialização criptografado, conforme mostrado no exemplo a seguir:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances
{
  ...
  "disks": [
    {
      "deviceName": "DISK_ALIAS",
      "source": "projects/PROJECT_ID/zones/ZONE/disks/DISK_NAME"
    }
  ]
}

Substitua:

• PROJECT_ID: o projeto em que a nova VM será criada.
• ZONE: zona em que a VM será criada
• DISK_ALIAS: um nome de dispositivo exclusivo a ser usado como o alias de disco no diretório /dev/disk/by-id/google-* da VM que executa um sistema operacional Linux. Esse nome pode ser usado para fazer referência ao disco em operações como montagem ou redimensionamento na instância. Se você não especificar um nome de dispositivo, a VM escolherá um nome de dispositivo padrão para aplicar a esse disco, no formato persistent-disk-x, em que x é um número atribuído pelo no Compute Engine. Esse campo só é aplicável a volumes do Persistent Disk.
• DISK_NAME: o nome do disco criptografado

gcloud

Para fazer a rotação da chave do Cloud KMS usada para criptografar um disco, um snapshot de arquivamento ou um snapshot padrão para uma nova versão de chave, use o comando gcloud compute disks update-kms-key ou comando gcloud compute snapshots update-kms-key.

• Para alternar a versão da chave que criptografa um disco:

  gcloud compute disks update-kms-key DISK_NAME \
  --zone ZONE
  

• Para alternar a versão da chave que criptografa um snapshot padrão:

  gcloud compute snapshots update-kms-key SNAPSHOT_NAME
  

Substitua:

• DISK_NAME: o nome do disco criptografado
• ZONE: a zona em que o disco criptografado está localizado
• SNAPSHOT_NAME: o nome do snapshot criptografado.

REST

Para fazer a rotação da chave do Cloud KMS usada para criptografar um disco, um snapshot arquivado ou um snapshot padrão para uma nova versão de chave, crie uma solicitação PATCH para o método compute.disks.updateKmsKey ou compute.snapshots.updateKmsKey.

• Para alternar a versão da chave que criptografa um disco zonal:

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/disks/DISK_NAME/updateKmsKey
  

• Para alternar a versão da chave que criptografa um disco regional:

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/disks/DISK_NAME/updateKmsKey
  

• Para alternar a versão da chave que criptografa um snapshot padrão de escopo global:

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/snapshots/SNAPSHOT_NAME/updateKmsKey
  

• (Visualização) Para fazer a rotação da versão da chave que criptografa um snapshot padrão com escopo regional:

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/snapshots/SNAPSHOT_NAME/updateKmsKey
  

Substitua:

• PROJECT_ID: o projeto em que o disco ou snapshot criptografado está localizado
• ZONE: a zona em que o disco criptografado está localizado
• REGION: a região em que o disco regional ou snapshot de escopo regional está localizado
• DISK_NAME: o nome do disco criptografado
• SNAPSHOT_NAME: o nome do snapshot criptografado.
• REGION: a região em que o disco regional ou snapshot de escopo regional está localizado

A resposta vai incluir um item name com um valor de operação que representa a rotação de chaves:

  "name": "operation-YYYYYYYYYYYYY-YYYYYYYYYYYYY-YYYYYYYY-YYYYYYYY"
  

Em seguida, pesquise o status da operação para determinar se a chamada de API foi bem-sucedida fazendo uma solicitação GET:

  GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/operations/OPERATION_NAME
  

Substitua:

• PROJECT_ID: o projeto em que o disco ou snapshot criptografado está localizado
• ZONE: a zona em que o disco criptografado está localizado
• OPERATION_NAME: o nome da operação de rotação da CMEK, no formato operation-YYYYYYYYYYYYY-YYYYYYYYYYYYY-YYYYYYYY-YYYYYYYY

A resposta vai incluir um valor progress que representa o status da rotação de chaves. Quando progress é 100, a operação foi concluída.

gcloud

Para mudar a chave do Cloud KMS de um disco ou snapshot padrão, use a flag --kms-key com o comando gcloud compute disks update-kms-key ou comando gcloud compute snapshots update-kms-key.

• Para mudar a chave de um disco zonal:

  gcloud compute disks update-kms-key DISK_NAME \
  --kms-key=projects/KEY_PROJECT_ID/locations/global/keyRings/KEY_RING/cryptoKeys/NEW_KEY_NAME \
  --zone=ZONE
  

• Para mudar a chave de um disco regional:

  gcloud compute disks update-kms-key DISK_NAME \
  --kms-key=projects/KEY_PROJECT_ID/locations/global/keyRings/KEY_RING/cryptoKeys/NEW_KEY_NAME \
  --region=REGION
  

• Para mudar a chave de um snapshot global:

  gcloud compute snapshots update-kms-key SNAPSHOT_NAME \
  --kms-key=projects/KEY_PROJECT_ID/locations/global/keyRings/KEY_RING/cryptoKeys/NEW_KEY_NAME
  

• Para mudar a chave de um snapshot com escopo regional:

  gcloud beta compute snapshots update-kms-key SNAPSHOT_NAME \
  --kms-key=projects/KEY_PROJECT_ID/locations/global/keyRings/KEY_RING/cryptoKeys/NEW_KEY_NAME \
  --regions=REGION
  

Substitua:

• DISK_NAME: o nome do disco criptografado.
• NEW_KMS_KEY: o ID completo do recurso da nova CMEK.
• ZONE: a zona em que o disco está localizado.
• REGION: a região em que o disco ou snapshot está localizado.
• SNAPSHOT_NAME: o nome do snapshot criptografado.

REST

Para mudar a chave, envie uma solicitação POST para o método compute.disks.updateKmsKey ou método compute.snapshots.updateKmsKey e inclua o kmsKeyName no corpo da solicitação.

• Para mudar a chave de um disco zonal:

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/disks/DISK_NAME/updateKmsKey
  
  {
  "kmsKeyName": "projects/KEY_PROJECT_ID/locations/global/keyRings/KEY_RING/cryptoKeys/NEW_KEY_NAME"
  }
  

• Para mudar a chave de um disco regional:

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/disks/DISK_NAME/updateKmsKey
  
  {
  "kmsKeyName": "projects/KEY_PROJECT_ID/locations/global/keyRings/KEY_RING/cryptoKeys/NEW_KEY_NAME"
  }
  

• Para mudar a chave de um snapshot global:

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/snapshots/SNAPSHOT_NAME/updateKmsKey
  
  {
  "kmsKeyName": "projects/KEY_PROJECT_ID/locations/global/keyRings/KEY_RING/cryptoKeys/NEW_KEY_NAME"
  }
  

• Para mudar a chave de um snapshot com escopo regional:

  POST https://compute.googleapis.com/compute/beta/projects/PROJECT_ID/regions/REGION/snapshots/SNAPSHOT_NAME/updateKmsKey
  
  {
  "kmsKeyName": "projects/KEY_PROJECT_ID/locations/global/keyRings/KEY_RING/cryptoKeys/NEW_KEY_NAME"
  }
  

Substitua:

• PROJECT_ID: o projeto que contém o disco ou snapshot.
• ZONE: a zona em que o disco está localizado.
• REGION: a região em que o disco ou snapshot está localizado.
• DISK_NAME: o nome do disco.
• NEW_KEY_NAME: o nome da nova CMEK.
• SNAPSHOT_NAME: o nome do snapshot criptografado.

Console

Para configurar o encerramento da VM quando uma chave do Cloud KMS é revogada, faça o seguinte:

1. Comece a criar uma VM que inclua um disco protegido por uma chave do Cloud KMS.
2. Abra a seção Rede, discos, segurança, gerenciamento, locação individual.
3. Expanda a seção Gerenciamento.
4. Em Política de revogação da chave de criptografia gerenciada pelo cliente (CMEK), selecione Encerrar.

gcloud

Use o comando gcloud compute instances create para criar uma VM e inclua --key-revocation-action-type=stop.

gcloud compute instances create VM_NAME \
  --image IMAGE \
  --key-revocation-action-type=stop

REST

Use o método instances.insert para criar uma VM e defina a propriedade "keyRevocationActionType" como "STOP". O exemplo a seguir cria a VM a partir de uma imagem pública.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
  "machineType": "zones/MACHINE_TYPE_ZONE/machineTypes/MACHINE_TYPE",
  "name": "VM_NAME",
  "disks": [
    {
      "initializeParams": {
        "sourceImage": "projects/IMAGE_PROJECT/global/images/IMAGE"
      },
      "boot": true
    }
  ],
  "keyRevocationActionType": "STOP"
}

Console

É possível usar um modelo de instância para criar VMs que são encerradas quando uma chave do Cloud KMS é revogada.

1. Comece a criar um novo modelo de instância que inclua um disco protegido por uma chave do Cloud KMS.
2. Abra a seção Rede, discos, segurança, gerenciamento, locação individual.
3. Expanda a seção Gerenciamento.
4. Em Política de revogação da chave de criptografia gerenciada pelo cliente (CMEK), selecione Encerrar.

gcloud

Crie um modelo de instância usando o comando gcloud compute instance-templates create e inclua --key-revocation-action-type=stop.

gcloud compute instance-templates create INSTANCE_TEMPLATE_NAME \
  --key-revocation-action-type=stop

REST

Envie uma solicitação POST ao método instanceTemplates.insert. No corpo da solicitação, é preciso definir explicitamente todos os campos de configuração necessários. Se você quiser que as VMs criadas a partir deste modelo sejam encerradas na revogação da chave, especifique "keyRevocationActionType":"STOP". Por exemplo, um modelo de instância com o mínimo de campos obrigatórios que criará VMs que encerram na revogação da chave é semelhante ao seguinte:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instanceTemplates

{
  "name": "example-template",
  "properties": {
  "machineType": "e2-standard-4",
  "networkInterfaces": [
    {
      "network": "global/networks/default",
      "accessConfigs": [
        {
          "name": "external-IP",
          "type": "ONE_TO_ONE_NAT"
        }
      ]
    }
  ],
  "disks":
  [
    {
      "type": "PERSISTENT",
      "boot": true,
      "mode": "READ_WRITE",
      "initializeParams":
      {
        "sourceImage": "projects/debian-cloud/global/images/family/debian-11"
      }
    }
  ],
  "keyRevocationActionType": "STOP"
  }
}