יצירת מפתחות הצפנה באמצעות Cloud KMS

במדריך למתחילים הזה נסביר איך ליצור מפתחות הצפנה ולהשתמש בהם באמצעות Cloud Key Management Service בפרויקט שבבעלותכם. בשלבים הבאים נשתמש במסוףCloud de Confiance כדי ליצור אוספי מפתחות, מפתחות וגרסאות של מפתחות ב-Cloud KMS. הוראות לשימוש בשיטות אחרות זמינות במאמרים סקירה כללית של Autokey, יצירת מחזיק מפתחות ויצירת מפתח.

במדריך למתחילים הזה משתמשים בשורת הפקודה כדי לשלוח בקשות ל-Cloud KMS API. דוגמאות לתכנות שמשתמשות בספריות הלקוח כדי לשלוח בקשות ל-Cloud KMS API מופיעות במאמר הצפנה ופענוח.

לפני שמתחילים

  1. התקינו את ה-CLI של Google Cloud.

  2. הגדירו שה-CLI של gcloud ישתמש בזהות המאוחדת שלכם.

    איך נכנסים ל-CLI של gcloud באמצעות הזהות המאוחדת?

  3. כדי לאתחל את ה-CLI של gcloud, הריצו את הפקודה הבאה: 

    gcloud init

  4. יוצרים או בוחרים Cloud de Confiance פרויקט.

    תפקידים שנדרשים כדי לבחור או ליצור פרויקט

    • Select a project: כדי לבחור פרויקט לא צריך תפקיד IAM ספציפי – אפשר לבחור כל פרויקט שקיבלתם בו תפקיד.
    • יצירת פרויקט: כדי ליצור פרויקט, צריך את התפקיד Project Creator (roles/resourcemanager.projectCreator), שכולל את ההרשאה resourcemanager.projects.create. איך מקצים תפקידים

    • יוצרים Cloud de Confiance פרויקט:

      gcloud projects create PROJECT_ID

      מחליפים את PROJECT_ID בשם של פרויקט Cloud de Confiance שיוצרים.

    • בוחרים את הפרויקט שיצרתם: Cloud de Confiance 

      gcloud config set project PROJECT_ID

      מחליפים את PROJECT_ID בשם הפרויקט ב- Cloud de Confiance .

  5. מוודאים שהחיוב מופעל בפרויקט Cloud de Confiance .

  6. מפעילים את Cloud KMS API, אם הוא עדיין לא מופעל:

    תפקידים שנדרשים להפעלת ממשקי API

    כדי להפעיל ממשקי API, נדרשת ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד 'בעלים' (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד 'אדמין בממשק Service Usage' (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים 

    gcloud services enable cloudkms.googleapis.com

  7. מעניקים תפקידים לחשבון המשתמש. מריצים את הפקודה הבאה לכל אחד מהתפקידים הבאים ב-IAM: roles/cloudkms.admin, roles/cloudkms.cryptoKeyEncrypterDecrypter 

    gcloud projects add-iam-policy-binding PROJECT_ID --member="user:USER_IDENTIFIER" --role=ROLE

    מחליפים את מה שכתוב בשדות הבאים:

אוספי מפתחות ומפתחות

כדי להצפין ולפענח תוכן, תצטרכו מפתח Cloud KMS, שהוא חלק מאוסף מפתחות.

יוצרים אוסף מפתחות בשם test ומפתח בשם quickstart. מידע נוסף על האובייקטים האלה ועל הקשר ביניהם זמין במאמר סקירה כללית על היררכיית האובייקטים.

gcloud kms keyrings create "test" \
    --location "global"
gcloud kms keys create "quickstart" \
    --location "global" \
    --keyring "test" \
    --purpose "encryption"

אפשר להשתמש באפשרות list כדי להציג את השם והמטא-נתונים של המפתח שיצרתם.

gcloud kms keys list \
    --location "global" \
    --keyring "test"

הפרטים שמוצגים הם:

NAME                                                                      PURPOSE          PRIMARY_STATE
projects/PROJECT_ID/locations/global/keyRings/test/cryptoKeys/quickstart  ENCRYPT_DECRYPT  ENABLED

הצפנת נתונים

עכשיו, כשיש לכם מפתח, אתם יכולים להשתמש בו כדי להצפין טקסט או תוכן בינארי.

מאחסנים טקסט שרוצים להצפין בקובץ שנקרא mysecret.txt.

echo -n "Some text to be encrypted" > mysecret.txt

כדי להצפין את הנתונים באמצעות gcloud kms encrypt, צריך לספק את פרטי המפתח, לציין את שם הקובץ של הטקסט הפשוט שרוצים להצפין ולציין את שם הקובץ שיכיל את התוכן המוצפן:

gcloud kms encrypt \
    --location "global" \
    --keyring "test" \
    --key "quickstart" \
    --plaintext-file ./mysecret.txt \
    --ciphertext-file ./mysecret.txt.encrypted

בשיטה encrypt, התוכן המוצפן נשמר בקובץ שצוין באמצעות הדגל --ciphertext-file.

פענוח טקסט מוצפן

כדי לפענח את הנתונים באמצעות gcloud kms decrypt, צריך לספק את פרטי המפתח, לציין את שם הקובץ המוצפן (קובץ טקסט מוצפן) שרוצים לפענח, ולציין את שם הקובץ שיכיל את התוכן המפוענח:

gcloud kms decrypt \
    --location "global" \
    --keyring "test" \
    --key "quickstart" \
    --ciphertext-file ./mysecret.txt.encrypted \
    --plaintext-file ./mysecret.txt.decrypted

השיטה decrypt שומרת את התוכן המפוענח בקובץ שצוין באמצעות הדגל --plaintext-file.

כדי לפענח תוכן מוצפן, צריך להשתמש באותו מפתח ששימש להצפנת התוכן.

הסרת המשאבים

כדי לא לצבור חיובים בחשבון Cloud de Confiance על המשאבים שבהם השתמשתם בדף הזה, אתם צריכים למחוק את הפרויקט Cloud de Confiance יחד עם המשאבים.

מציגים את הגרסאות הזמינות של המפתח:

gcloud kms keys versions list \
    --location "global" \
    --keyring "test" \
    --key "quickstart"

כדי להשמיד גרסה, מריצים את הפקודה הבאה, כאשר 1 הוא מספר הגרסה של המפתח שרוצים להשמיד:

gcloud kms keys versions destroy 1 \
    --location "global" \
    --keyring "test" \
    --key "quickstart"

המאמרים הבאים