Creare una chiave esterna

Questa pagina mostra come creare chiavi Cloud External Key Manager (Cloud EKM) in un keyring esistente in Cloud Key Management Service (Cloud KMS).

Prima di iniziare

Prima di completare le attività descritte in questa pagina, devi disporre di quanto segue:

  • Una risorsa Cloud de Confiance progetto per contenere le risorse Cloud KMS. Ti consigliamo di utilizzare un progetto separato per le tue risorse Cloud KMS che non contenga altre Cloud de Confiance risorse.

    Prendi nota del account di servizio Cloud EKM del tuo progetto. Nell'esempio seguente, sostituisci PROJECT_NUMBER con il numero del progetto. Cloud de Confiance Queste informazioni sono visibili anche ogni volta che utilizzi la Cloud de Confiance console per creare una chiave Cloud EKM.

        service-PROJECT_NUMBER@gcp-sa-ekms.s3ns-system.iam.gserviceaccount.com
  • Il nome e la località del keyring in cui vuoi creare la chiave. Scegli un keyring in una località vicina alle altre risorse e che supporti Cloud EKM. Per creare un keyring, consulta Crea un keyring.
  • Nel sistema del partner esterno per la gestione delle chiavi, concedi al Cloud de Confiance account di servizio l'accesso per utilizzare le chiavi esterne. Considera il account di servizio come un indirizzo email. I partner EKM potrebbero utilizzare una terminologia diversa da quella utilizzata in questo documento.
  • Per creare chiavi EKM tramite VPC, devi creare una connessione EKM.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per creare le chiavi, chiedi all'amministratore di concederti il ruolo IAM Amministratore Cloud KMS (roles/cloudkms.admin) nel progetto o in una risorsa padre. Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questo ruolo predefinito contiene le autorizzazioni necessarie per creare le chiavi. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per creare le chiavi sono necessarie le seguenti autorizzazioni:

  • cloudkms.cryptoKeys.create
  • cloudkms.cryptoKeys.get
  • cloudkms.cryptoKeys.list
  • cloudkms.cryptoKeyVersions.create
  • cloudkms.cryptoKeyVersions.get
  • cloudkms.cryptoKeyVersions.list
  • cloudkms.keyRings.get
  • cloudkms.keyRings.list
  • cloudkms.locations.get
  • cloudkms.locations.list
  • resourcemanager.projects.get
  • Per recuperare una chiave pubblica: cloudkms.cryptoKeyVersions.viewPublicKey

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Creare una chiave esterna coordinata

Console

  1. Nella Cloud de Confiance console, vai alla pagina Gestione delle chiavi.

    Vai a Gestione delle chiavi

  2. Fai clic sul nome del keyring per il quale creerai una chiave.

  3. Fai clic su Crea chiave.

  4. In Nome chiave, inserisci un nome per la chiave.

  5. In Livello di protezione, seleziona Esterno.

  6. In Tipo di connessione gestore esterno delle chiavi (EKM), seleziona tramite VPC.

  7. In EKM tramite connessione VPC, seleziona una connessione.

    Se non disponi dell'autorizzazione EkmConnection.list, devi inserire manualmente il nome della risorsa di connessione.

  8. Fai clic su Continua.

  9. Nella sezione Materiale della chiave, dovresti visualizzare un messaggio che indica che Cloud KMS ha richiesto un nuovo materiale della chiave e che questo verrà generato nel tuo EKM. Se vedi il campo Percorso chiave, significa che la connessione EKM tramite VPC selezionata non è configurata per le chiavi esterne coordinate.

  10. Configura le altre impostazioni della chiave in base alle esigenze, quindi fai clic su Crea.

Cloud EKM invia una richiesta al tuo EKM per creare una nuova chiave. La chiave viene visualizzata come Generazione in attesa finché il percorso della chiave non viene restituito dal tuo EKM e la chiave Cloud EKM non è disponibile.

gcloud

Per utilizzare Cloud KMS dalla riga di comando, prima installa o esegui l'upgrade all'ultima versione di Google Cloud CLI.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

Sostituisci quanto segue:

  • KEY_NAME: il nome della chiave.
  • KEY_RING: il nome del keyring che contiene la chiave.
  • LOCATION: la località Cloud KMS del keyring.
  • PURPOSE: lo scopo della chiave.
  • ALGORITHM: l'algoritmo da utilizzare per la chiave, ad esempio google-symmetric-encryption. Per un elenco degli algoritmi supportati, consulta Algoritmi.
  • VPC_CONNECTION_RESOURCE_ID: l'ID risorsa della connessione EKM.

Per informazioni su tutti i flag e i valori possibili, esegui il comando con il flag --help.

Passaggi successivi