Membuat kunci eksternal

Halaman ini menunjukkan cara membuat kunci Cloud External Key Manager (Cloud EKM) pada key ring yang ada di Cloud Key Management Service (Cloud KMS).

Sebelum memulai

Sebelum menyelesaikan tugas di halaman ini, Anda memerlukan hal berikut:

  • Resource project Trusted Cloud untuk memuat resource Cloud KMS Anda. Sebaiknya gunakan project terpisah untuk resource Cloud KMS yang tidak berisi resource Trusted Cloud lainnya.

    Catat akun layanan Cloud EKM project Anda. Pada contoh berikut, ganti PROJECT_NUMBER dengan Trusted Cloud project's nomor project. Informasi ini juga terlihat setiap kali Anda menggunakan konsol Trusted Cloud untuk membuat kunci Cloud EKM.

        service-PROJECT_NUMBER@gcp-sa-ekms.s3ns-system.iam.gserviceaccount.com
  • Nama dan lokasi key ring tempat Anda ingin membuat kunci. Pilih ring kunci di lokasi yang dekat dengan resource Anda yang lain dan yang mendukung Cloud EKM. Untuk membuat key ring, lihat Membuat key ring.
  • Di sistem partner pengelolaan kunci eksternal, berikan akses akun layanan untuk menggunakan kunci eksternal Anda. Trusted CloudPerlakukan akun layanan sebagai alamat email. Partner EKM mungkin menggunakan terminologi yang berbeda dengan yang digunakan dalam dokumen ini.
  • Untuk membuat kunci EKM melalui VPC, Anda harus membuat koneksi EKM.

Peran yang diperlukan

Untuk mendapatkan izin yang diperlukan untuk membuat kunci, minta administrator untuk memberi Anda peran IAM Admin Cloud KMS (roles/cloudkms.admin) di project atau resource induk. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Peran bawaan ini berisi izin yang diperlukan untuk membuat kunci. Untuk melihat izin yang benar-benar diperlukan, luaskan bagian Izin yang diperlukan:

Izin yang diperlukan

Izin berikut diperlukan untuk membuat kunci:

  • cloudkms.cryptoKeys.create
  • cloudkms.cryptoKeys.get
  • cloudkms.cryptoKeys.list
  • cloudkms.cryptoKeyVersions.create
  • cloudkms.cryptoKeyVersions.get
  • cloudkms.cryptoKeyVersions.list
  • cloudkms.keyRings.get
  • cloudkms.keyRings.list
  • cloudkms.locations.get
  • cloudkms.locations.list
  • resourcemanager.projects.get
  • Untuk mengambil kunci publik: cloudkms.cryptoKeyVersions.viewPublicKey

Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Membuat kunci eksternal yang terkoordinasi

Konsol

  1. Di Trusted Cloud console, buka halaman Key Management.

    Buka Key Management

  2. Klik nama key ring yang akan Anda buat kunci.

  3. Klik Create key.

  4. Untuk Key name, masukkan nama untuk kunci Anda.

  5. Untuk Tingkat perlindungan, pilih Eksternal.

  6. Untuk External key manager (EKM) connection type, pilih via VPC.

  7. Untuk EKM via VPC connection, pilih koneksi.

    Jika Anda tidak memiliki izin EkmConnection.list, Anda harus memasukkan nama resource koneksi secara manual.

  8. Klik Lanjutkan.

  9. Di bagian Materi kunci, Anda akan melihat pesan tentang materi kunci baru yang diminta oleh Cloud KMS dan dibuat di EKM Anda. Jika Anda melihat kolom Key path, koneksi EKM melalui VPC yang Anda pilih tidak dikonfigurasi untuk kunci eksternal terkoordinasi.

  10. Konfigurasikan setelan kunci lainnya sesuai kebutuhan, lalu klik Buat.

Cloud EKM mengirim permintaan ke EKM Anda untuk membuat kunci baru. Kunci ditampilkan sebagai Menunggu pembuatan hingga jalur kunci ditampilkan oleh EKM Anda dan kunci Cloud EKM tersedia.

gcloud

Untuk menggunakan Cloud KMS di command line, Instal atau upgrade ke versi terbaru Google Cloud CLI terlebih dahulu.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

Ganti kode berikut:

  • KEY_NAME: nama kunci.
  • KEY_RING: nama key ring yang berisi kunci.
  • LOCATION: lokasi Cloud KMS key ring.
  • PURPOSE: tujuan kunci.
  • ALGORITHM: algoritma yang akan digunakan untuk kunci, misalnya google-symmetric-encryption. Untuk mengetahui daftar algoritma yang didukung, lihat Algoritma.
  • VPC_CONNECTION_RESOURCE_ID: ID resource koneksi EKM.

Untuk mengetahui informasi tentang semua flag dan kemungkinan nilai, jalankan perintah dengan flag --help.

Langkah berikutnya