Geschützte Ressourcen mit Cloud KMS Autokey erstellen

Console

So erstellen Sie ein Laufwerk:

1. Rufen Sie in der Trusted Cloud Console die Seite Laufwerke auf.

   Zur Seite „Laufwerke“

2. Klicken Sie auf Laufwerk erstellen und geben Sie die Attribute für das neue Laufwerk ein.

3. Wählen Sie unter Verschlüsselung die Option Cloud KMS-Schlüssel aus.

4. Wählen Sie unter Schlüsseltyp die Option Cloud KMS mit Autokey aus und klicken Sie dann auf Neuen Schlüssel anfordern. Eine Meldung informiert Sie darüber, wann Ihr Schlüssel erstellt wurde und einsatzbereit ist.

5. Klicken Sie auf Erstellen, um das Laufwerk zu erstellen.

Sie können einen ähnlichen Prozess verwenden, um geschützte VM-Instanz-, Image- und Maschinen-Image-Ressourcen zu erstellen.

Terraform

Im folgenden Terraform-Beispiel wird ein Schlüssel-Handle erstellt und der zurückgegebene Schlüssel verwendet, um eine neue nichtflüchtige Speicherressource zu schützen:

resource "google_kms_key_handle" "my_key_handle" {
  provider               = google-beta
  project                = "RESOURCE_PROJECT_ID"
  name                   = "KEY_HANDLE"
  location               = "LOCATION"
  resource_type_selector = "compute.googleapis.com/Disk"
}

resource "google_compute_disk" "persistent_disk" {
  project = "RESOURCE_PROJECT_ID"
  name    = "DISK_NAME"
  type    = "pd-ssd"
  zone    = "ZONE"
  size    = 30
  physical_block_size_bytes = 4096
  disk_encryption_key {
    kms_key_self_link = google_kms_key_handle.my_key_handle.kms_key
  }
}

Ersetzen Sie Folgendes:

• RESOURCE_PROJECT_ID: die Projekt-ID des Ressourcenprojekts im Autokey-Ordner, in dem Sie eine geschützte Ressource erstellen möchten.
• KEY_HANDLE: Eine ID, die für den Schlüssel-Handle verwendet werden soll.
• LOCATION: der Ort, an dem Sie die geschützte Ressource erstellen möchten.
• DISK_NAME: durch den Namen des neuen Laufwerks.
• ZONE: die Zone der geschützten Ressource. Dies muss eine Zone innerhalb des Standorts sein, an dem Sie die Ressource erstellen. Wenn Sie die Ressource beispielsweise am Standort us-central1 erstellen, könnte die Zone us-central1-a sein.

In Cloud KMS können Sie keine KeyHandle-Ressourcen löschen. Wenn Sie ein Muster zum Erstellen und Löschen verwenden, führt der Versuch, ein KeyHandle neu zu erstellen, zu einem ALREADY_EXISTS-Fehler. Um dieses Problem zu vermeiden, können Sie eine zuvor erstellte KeyHandle importieren. Weitere Informationen finden Sie auf dieser Seite unter Muster in Terraform erstellen und löschen.

API

1. Fordern Sie einen neuen Cloud KMS-Schlüssel an, indem Sie eine KeyHandle erstellen:

   curl -H "Content-Type: application/json" \
       -H "X-Goog-User-Project: USER_PROJECT" \
       -H "Authorization: Bearer TOKEN" \
       -X POST https://cloudkms.googleapis.com/v1/projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles \
       -d '{"resource_type_selector": "RESOURCE_TYPE"}'
   

   Ersetzen Sie Folgendes:

   • USER_PROJECT: das Projekt, dem die mit dieser Anfrage verbundenen Gebühren in Rechnung gestellt werden.
   • RESOURCE_PROJECT_ID: die Projekt-ID des Ressourcenprojekts im Autokey-Ordner, in dem Sie eine geschützte Ressource erstellen möchten.
   • LOCATION: Der Standort, an dem Sie die geschützte Ressource erstellen möchten.
   • RESOURCE_TYPE: Der Typ der Ressource, die Sie erstellen möchten, z. B. compute.googleapis.com/Disk.

   Die Ausgabe sieht etwa so aus:

   {
     "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
     "metadata": {
       "@type": "type.googleapis.com/google.cloud.kms.v1.CreateKeyHandleMetadata"
     }
   }
   

   Notieren Sie sich den OPERATION_ID aus der Ausgabe. Sie benötigen diesen Wert, um die Ressourcen-ID des erstellten Schlüssels abzurufen.

2. Suchen Sie den Cloud KMS-Schlüssel, der dem Schlüssel-Handle zugeordnet ist:

   curl -H "X-Goog-User-Project: USER_PROJECT" \
       -H "Authorization: Bearer TOKEN" \
       -X GET https://cloudkms.googleapis.com/v1/projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID
   

   Ersetzen Sie Folgendes:

   • USER_PROJECT: das Projekt, dem die mit dieser Anfrage verbundenen Gebühren in Rechnung gestellt werden.
   • RESOURCE_PROJECT_ID: die Projekt-ID des Ressourcenprojekts im Autokey-Ordner, in dem Sie eine geschützte Ressource erstellen möchten.
   • LOCATION: Der Standort, an dem Sie die geschützte Ressource erstellen möchten.
   • OPERATION_ID: Die ID des Vorgangs für die Schlüsselhandle-Anfrage aus der Ausgabe des vorherigen Schritts.

   Die Ausgabe sieht etwa so aus:

   {
     "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
     "done": true,
     "response": {
       "@type": "type.googleapis.com/google.cloud.kms.v1.KeyHandle",
       "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles/KEY_HANDLE",
       "kmsKey": "projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/autokey/cryptoKeys/KEY_NAME",
       "resourceTypeSelector": "RESOURCE_TYPE"
     }
   }
   

   Der Wert des Elements kmsKey in der Ausgabe ist die vollständige Ressourcen-ID des Schlüssels, der von Autokey für diese Ressource erstellt wurde. Sie können diese Ressourcen-ID genauso verwenden wie die Ressourcen-ID für jede andere Cloud KMS-Ressource.

3. Erstellen Sie mit dem Befehl gcloud compute disks create ein verschlüsseltes Laufwerk und geben Sie den Schlüssel mit dem Flag --kms-key an:

   gcloud compute disks create DISK_NAME \
     --kms-key projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/autokey/cryptoKeys/KEY_NAME
   

   Ersetzen Sie Folgendes:

   • DISK_NAME: durch den Namen des neuen Laufwerks.
   • KEY_PROJECT_ID: die Projekt-ID des Schlüsselprojekts.
   • LOCATION: der Ort, an dem Sie die Ressource erstellen möchten.
   • KEY_NAME: Der Name des Schlüssels, der in der Ausgabe des vorherigen Schritts zurückgegeben wurde.

Console

1. Rufen Sie in der Trusted Cloud Console die Seite Bucket erstellen auf.

   Zur Seite „Bucket erstellen“

2. Folgen Sie der Anleitung unter Neuen Bucket erstellen, bis Sie zum Abschnitt Auswählen, wie Objektdaten geschützt werden gelangen.

3. Maximieren Sie unter Auswählen, wie Objektdaten geschützt werden den Bereich Datenverschlüsselung und wählen Sie dann Cloud KMS-Schlüssel aus.

4. Wählen Sie unter Schlüsseltyp die Option Cloud KMS mit Autokey aus und klicken Sie dann auf Neuen Schlüssel anfordern. Eine Meldung informiert Sie darüber, wann Ihr Schlüssel erstellt wurde und einsatzbereit ist.

5. Klicken Sie auf Erstellen, um die Erstellung des Buckets abzuschließen.

Terraform

Im folgenden Terraform-Beispiel wird ein Schlüssel-Handle erstellt und der zurückgegebene Schlüssel verwendet, um einen neuen Storage-Bucket zu schützen:

resource "google_kms_key_handle" "my_key_handle" {
  provider               = google-beta
  project                = "RESOURCE_PROJECT_ID"
  name                   = "KEY_HANDLE"
  location               = "LOCATION"
  resource_type_selector = "storage.googleapis.com/Bucket"
}

resource "google_storage_bucket" "simple_bucket_name" {
  name                        = "BUCKET_NAME"
  location                    = "LOCATION"
  force_destroy               = true
  project                     = "RESOURCE_PROJECT_ID"
  uniform_bucket_level_access = true
  encryption {
    default_kms_key_name      = google_kms_key_handle.my_key_handle.kms_key
  }
}

Ersetzen Sie Folgendes:

• RESOURCE_PROJECT_ID: die Projekt-ID des Ressourcenprojekts im Autokey-Ordner, in dem Sie eine geschützte Ressource erstellen möchten.
• KEY_HANDLE: Eine ID, die für den Schlüssel-Handle verwendet werden soll.
• LOCATION: der Ort, an dem Sie die geschützte Ressource erstellen möchten.
• BUCKET_NAME: der Name des neuen Buckets.

In Cloud KMS können Sie keine KeyHandle-Ressourcen löschen. Wenn Sie ein Muster zum Erstellen und Löschen verwenden, führt der Versuch, ein KeyHandle neu zu erstellen, zu einem ALREADY_EXISTS-Fehler. Um dieses Problem zu vermeiden, können Sie eine zuvor erstellte KeyHandle importieren. Weitere Informationen finden Sie auf dieser Seite unter Muster in Terraform erstellen und löschen.

API

1. Fordern Sie einen neuen Cloud KMS-Schlüssel an, indem Sie eine KeyHandle erstellen:

   curl -H "Content-Type: application/json" \
       -H "X-Goog-User-Project: USER_PROJECT" \
       -H "Authorization: Bearer TOKEN" \
       -X POST https://cloudkms.googleapis.com/v1/projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles \
       -d '{"resource_type_selector": "RESOURCE_TYPE"}'
   

   Ersetzen Sie Folgendes:

   • USER_PROJECT: das Projekt, dem die mit dieser Anfrage verbundenen Gebühren in Rechnung gestellt werden.
   • RESOURCE_PROJECT_ID: die Projekt-ID des Ressourcenprojekts im Autokey-Ordner, in dem Sie eine geschützte Ressource erstellen möchten.
   • LOCATION: Der Standort, an dem Sie die geschützte Ressource erstellen möchten.
   • RESOURCE_TYPE: Der Typ der Ressource, die Sie erstellen möchten, z. B. storage.googleapis.com/Bucket.

   Die Ausgabe sieht etwa so aus:

   {
     "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
     "metadata": {
       "@type": "type.googleapis.com/google.cloud.kms.v1.CreateKeyHandleMetadata"
     }
   }
   

   Notieren Sie sich den OPERATION_ID aus der Ausgabe. Sie benötigen diesen Wert, um die Ressourcen-ID des erstellten Schlüssels abzurufen.

2. Suchen Sie den Cloud KMS-Schlüssel, der dem Schlüssel-Handle zugeordnet ist:

   curl -H "X-Goog-User-Project: USER_PROJECT" \
       -H "Authorization: Bearer TOKEN" \
       -X GET https://cloudkms.googleapis.com/v1/projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID
   

   Ersetzen Sie Folgendes:

   • USER_PROJECT: das Projekt, dem die mit dieser Anfrage verbundenen Gebühren in Rechnung gestellt werden.
   • RESOURCE_PROJECT_ID: die Projekt-ID des Ressourcenprojekts im Autokey-Ordner, in dem Sie eine geschützte Ressource erstellen möchten.
   • LOCATION: Der Standort, an dem Sie die geschützte Ressource erstellen möchten.
   • OPERATION_ID: Die ID des Vorgangs für die Schlüsselhandle-Anfrage aus der Ausgabe des vorherigen Schritts.

   Die Ausgabe sieht etwa so aus:

   {
     "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
     "done": true,
     "response": {
       "@type": "type.googleapis.com/google.cloud.kms.v1.KeyHandle",
       "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles/KEY_HANDLE",
       "kmsKey": "projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/autokey/cryptoKeys/KEY_NAME",
       "resourceTypeSelector": "RESOURCE_TYPE"
     }
   }
   

   Der Wert des kmsKey-Elements in der Ausgabe ist die vollständige Ressourcen-ID des Schlüssels, der von Autokey für diese Ressource erstellt wurde. Sie können diese Ressourcen-ID genauso verwenden wie die Ressourcen-ID für jede andere Cloud KMS-Ressource.

3. Erstellen Sie mit dem Befehl gcloud storage buckets create und dem Flag --default-encryption-key einen verschlüsselten Bucket:

   gcloud storage buckets create gs://BUCKET_NAME \
       --location=LOCATION \
       --default-encryption-key=projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/autokey/cryptoKeys/KEY_NAME
   

   Ersetzen Sie Folgendes:

   • BUCKET_NAME: der Name des neuen Buckets. Der Bucket-Name muss den Anforderungen für Bucket-Namen entsprechen.
   • LOCATION: der Ort, an dem Sie den Bucket erstellen möchten.
   • KEY_PROJECT_ID: die Projekt-ID des Schlüsselprojekts.
   • LOCATION: der Ort, an dem Sie die Ressource erstellen möchten.
   • KEY_NAME: Der Name des Schlüssels, der in der Ausgabe des vorherigen Schritts zurückgegeben wurde.

Console

Bevor Sie versuchen, ein BigQuery-Dataset mit Autokey zu erstellen, müssen Sie die erforderlichen Berechtigungen haben. Weitere Informationen zum Erstellen von Datasets finden Sie unter Datasets erstellen.

1. Rufen Sie in der Trusted Cloud Console die Seite BigQuery auf.

   BigQuery aufrufen

2. Folgen Sie der Anleitung zum Erstellen eines Datasets bis zu Erweiterte Optionen > Verschlüsselung.

3. Wählen Sie unter Verschlüsselung die Option Cloud KMS-Schlüssel aus.

4. Wählen Sie unter Schlüsseltyp die Option Cloud KMS mit Autokey aus und klicken Sie dann auf Neuen Schlüssel anfordern. Eine Meldung informiert Sie darüber, wann Ihr Schlüssel erstellt wurde und einsatzbereit ist.

5. Klicken Sie zum Abschließen des Erstellungsvorgangs auf Dataset erstellen.

Terraform

Im folgenden Terraform-Beispiel wird ein Schlüssel-Handle erstellt und der zurückgegebene Schlüssel verwendet, um ein neues Dataset zu schützen:

resource "google_kms_key_handle" "my_key_handle" {
  provider               = google-beta
  project                = "RESOURCE_PROJECT_ID"
  name                   = "test-key-handle"
  location               = "LOCATION"
  resource_type_selector = "bigquery.googleapis.com/Dataset"
}

resource "google_bigquery_dataset" "dataset" {
  project                     = "RESOURCE_PROJECT_ID"
  dataset_id                  = "DATASET_ID"
  friendly_name               = "DATASET_NAME"
  description                 = "DATASET_DESCRIPTION"
  location                    = "LOCATION"
  default_table_expiration_ms = 3600000

  default_encryption_configuration {
    kms_key_name = google_kms_key_handle.my_key_handle.kms_key
  }
}

Ersetzen Sie Folgendes:

• RESOURCE_PROJECT_ID: die Projekt-ID des Ressourcenprojekts im Autokey-Ordner, in dem Sie eine geschützte Ressource erstellen möchten.
• LOCATION: der Ort, an dem Sie die geschützte Ressource erstellen möchten.
• DATASET_ID: Die ID, die für das neue Dataset verwendet werden soll.
• DATASET_NAME: Ein nutzerfreundlicher Name für das neue Dataset.
• DATASET_DESCRIPTION: eine Beschreibung für das neue Dataset.

In Cloud KMS können Sie keine KeyHandle-Ressourcen löschen. Wenn Sie ein Muster zum Erstellen und Löschen verwenden, führt der Versuch, ein KeyHandle neu zu erstellen, zu einem ALREADY_EXISTS-Fehler. Um dieses Problem zu vermeiden, können Sie eine zuvor erstellte KeyHandle importieren. Weitere Informationen finden Sie auf dieser Seite unter Muster in Terraform erstellen und löschen.

API

1. Fordern Sie einen neuen Cloud KMS-Schlüssel an, indem Sie eine KeyHandle erstellen:

   curl -H "Content-Type: application/json" \
       -H "X-Goog-User-Project: USER_PROJECT" \
       -H "Authorization: Bearer TOKEN" \
       -X POST https://cloudkms.googleapis.com/v1/projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles \
       -d '{"resource_type_selector": "RESOURCE_TYPE"}'
   

   Ersetzen Sie Folgendes:

   • USER_PROJECT: das Projekt, dem die mit dieser Anfrage verbundenen Gebühren in Rechnung gestellt werden.
   • RESOURCE_PROJECT_ID: die Projekt-ID des Ressourcenprojekts im Autokey-Ordner, in dem Sie eine geschützte Ressource erstellen möchten.
   • LOCATION: Der Standort, an dem Sie die geschützte Ressource erstellen möchten.
   • RESOURCE_TYPE: Der Typ der Ressource, die Sie erstellen möchten, z. B. bigquery.googleapis.com/Dataset.

   Die Ausgabe sieht etwa so aus:

   {
     "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
     "metadata": {
       "@type": "type.googleapis.com/google.cloud.kms.v1.CreateKeyHandleMetadata"
     }
   }
   

   Notieren Sie sich den OPERATION_ID aus der Ausgabe. Sie benötigen diesen Wert, um die Ressourcen-ID des erstellten Schlüssels abzurufen.

2. Suchen Sie den Cloud KMS-Schlüssel, der dem Schlüssel-Handle zugeordnet ist:

   curl -H "X-Goog-User-Project: USER_PROJECT" \
       -H "Authorization: Bearer TOKEN" \
       -X GET https://cloudkms.googleapis.com/v1/projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID
   

   Ersetzen Sie Folgendes:

   • USER_PROJECT: das Projekt, dem die mit dieser Anfrage verbundenen Gebühren in Rechnung gestellt werden.
   • RESOURCE_PROJECT_ID: die Projekt-ID des Ressourcenprojekts im Autokey-Ordner, in dem Sie eine geschützte Ressource erstellen möchten.
   • LOCATION: Der Standort, an dem Sie die geschützte Ressource erstellen möchten.
   • OPERATION_ID: Die ID des Vorgangs für die Schlüsselhandle-Anfrage aus der Ausgabe des vorherigen Schritts.

   Die Ausgabe sieht etwa so aus:

   {
     "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
     "done": true,
     "response": {
       "@type": "type.googleapis.com/google.cloud.kms.v1.KeyHandle",
       "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles/KEY_HANDLE",
       "kmsKey": "projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/autokey/cryptoKeys/KEY_NAME",
       "resourceTypeSelector": "RESOURCE_TYPE"
     }
   }
   

   Der Wert des kmsKey-Elements in der Ausgabe ist die vollständige Ressourcen-ID des Schlüssels, der von Autokey für diese Ressource erstellt wurde. Sie können diese Ressourcen-ID genauso verwenden wie die Ressourcen-ID für jede andere Cloud KMS-Ressource.

3. Erstellen Sie mit dem Befehl bq mk und dem Flag --destination_kms_key ein verschlüsseltes Dataset.

   bq --location=LOCATION mk \
       --dataset \
       --default_kms_key=projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/autokey/cryptoKeys/KEY_NAME \
       --default_table_expiration=TABLE_EXPIRATION \
       --description="DATASET_DESCRIPTION" \
       RESOURCE_PROJECT_ID:DATASET_ID
   

   Ersetzen Sie Folgendes:

   • LOCATION: der Ort, an dem Sie das Dataset erstellen möchten.
   • KEY_PROJECT_ID: die Projekt-ID des Schlüsselprojekts.
   • KEY_NAME: Der Name des Schlüssels, der in der Ausgabe des vorherigen Schritts zurückgegeben wurde.
   • TABLE_EXPIRATION: die Standardlebensdauer neuer Tabellen in diesem Dataset in Sekunden.
   • DATASET_DESCRIPTION: eine Beschreibung für das neue Dataset.
   • RESOURCE_PROJECT_ID: die Projekt-ID des Ressourcenprojekts im Autokey-Ordner, in dem Sie eine geschützte Ressource erstellen möchten.
   • DATASET_ID: die ID des zu erstellenden Datasets.

   Weitere Informationen zum bq-Tool finden Sie unter bq-Befehlszeilentool entdecken.

Terraform

Im folgenden Terraform-Beispiel wird ein Schlüssel-Handle erstellt und der zurückgegebene Schlüssel verwendet, um ein neues Secret mit automatischer Replikation zu schützen:

resource "google_kms_key_handle" "my_key_handle" {
  provider               = google-beta
  project                = "RESOURCE_PROJECT_ID"
  name                   = "test-key-handle"
  location               = "global"
  resource_type_selector = "secretmanager.googleapis.com/Secret"
}

resource "google_secret_manager_secret" "my_secret" {
  project   = "RESOURCE_PROJECT_ID"
  secret_id = "SECRET_ID"

  replication {
    auto {
      customer_managed_encryption {
        kms_key_name = google_kms_key_handle.my_key_handle.kms_key
      }
    }
  }
}

Ersetzen Sie Folgendes:

• RESOURCE_PROJECT_ID: die Projekt-ID des Ressourcenprojekts im Autokey-Ordner, in dem Sie eine geschützte Ressource erstellen möchten.
• SECRET_ID: Die ID, die für das neue Secret verwendet werden soll.

Wenn Sie versuchen, ein Schlüssel-Handle für ein Secret im selben Projekt und am selben Standort zu erstellen, für das bereits ein Schlüssel-Handle vorhanden ist, wird eine Fehlermeldung mit den Details des vorhandenen Schlüssel-Handles zurückgegeben. Achten Sie in diesem Fall darauf, dass nur ein Block das Schlüssel-Handle erstellt. Sie können den Schlüssel-Handle mit seiner ID (KEY_HANDLE) wiederverwenden, um zusätzliche Secrets zu erstellen, die den Schlüssel gemeinsam nutzen sollen.

In Cloud KMS können Sie keine KeyHandle-Ressourcen löschen. Wenn Sie ein Muster zum Erstellen und Löschen verwenden, führt der Versuch, ein KeyHandle neu zu erstellen, zu einem ALREADY_EXISTS-Fehler. Um dieses Problem zu vermeiden, können Sie eine zuvor erstellte KeyHandle importieren. Weitere Informationen finden Sie auf dieser Seite unter Muster in Terraform erstellen und löschen.

API

1. Fordern Sie einen neuen Cloud KMS-Schlüssel an, indem Sie eine KeyHandle erstellen:

   curl -H "Content-Type: application/json" \
       -H "X-Goog-User-Project: USER_PROJECT" \
       -H "Authorization: Bearer TOKEN" \
       -X POST https://cloudkms.googleapis.com/v1/projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles \
       -d '{"resource_type_selector": "RESOURCE_TYPE"}'
   

   Ersetzen Sie Folgendes:

   • USER_PROJECT: das Projekt, dem die mit dieser Anfrage verbundenen Gebühren in Rechnung gestellt werden.
   • RESOURCE_PROJECT_ID: die Projekt-ID des Ressourcenprojekts im Autokey-Ordner, in dem Sie eine geschützte Ressource erstellen möchten.
   • LOCATION: Der Standort, an dem Sie die geschützte Ressource erstellen möchten.
   • RESOURCE_TYPE: Der Typ der Ressource, die Sie erstellen möchten, z. B. secretmanager.googleapis.com/Secret.

   Die Ausgabe sieht etwa so aus:

   {
     "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
     "metadata": {
       "@type": "type.googleapis.com/google.cloud.kms.v1.CreateKeyHandleMetadata"
     }
   }
   

   Notieren Sie sich den OPERATION_ID aus der Ausgabe. Sie benötigen diesen Wert, um die Ressourcen-ID des erstellten Schlüssels abzurufen.

   Wenn Sie versuchen, ein Schlüssel-Handle für ein Secret im selben Projekt und am selben Standort zu erstellen, für das bereits ein Schlüssel-Handle vorhanden ist, wird eine Fehlermeldung mit den Details des vorhandenen Schlüssel-Handles zurückgegeben. Überspringen Sie in diesem Fall den nächsten Schritt und verwenden Sie die Schlüsselressourcen-ID im Feld existingKmsKey, um das neue Secret zu schützen.

2. Suchen Sie den Cloud KMS-Schlüssel, der dem Schlüssel-Handle zugeordnet ist:

   curl -H "X-Goog-User-Project: USER_PROJECT" \
       -H "Authorization: Bearer TOKEN" \
       -X GET https://cloudkms.googleapis.com/v1/projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID
   

   Ersetzen Sie Folgendes:

   • USER_PROJECT: das Projekt, dem die mit dieser Anfrage verbundenen Gebühren in Rechnung gestellt werden.
   • RESOURCE_PROJECT_ID: die Projekt-ID des Ressourcenprojekts im Autokey-Ordner, in dem Sie eine geschützte Ressource erstellen möchten.
   • LOCATION: Der Standort, an dem Sie die geschützte Ressource erstellen möchten.
   • OPERATION_ID: Die ID des Vorgangs für die Schlüsselhandle-Anfrage aus der Ausgabe des vorherigen Schritts.

   Die Ausgabe sieht etwa so aus:

   {
     "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
     "done": true,
     "response": {
       "@type": "type.googleapis.com/google.cloud.kms.v1.KeyHandle",
       "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles/KEY_HANDLE",
       "kmsKey": "projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/autokey/cryptoKeys/KEY_NAME",
       "resourceTypeSelector": "RESOURCE_TYPE"
     }
   }
   

   Der Wert des kmsKey-Elements in der Ausgabe ist die vollständige Ressourcen-ID des Schlüssels, der von Autokey für diese Ressource erstellt wurde. Sie können diese Ressourcen-ID genauso verwenden wie die Ressourcen-ID für jede andere Cloud KMS-Ressource.

3. Erstellen Sie mit dem Befehl gcloud secrets create und dem Flag --kms-key-name ein verschlüsseltes Secret mit automatischer Replikation.

   gcloud secrets create "SECRET_ID" \
       --replication-policy "automatic" \
       --kms-key-name "projects/KEY_PROJECT_ID/locations/global/keyRings/autokey/cryptoKeys/KEY_NAME" \
       --project "RESOURCE_PROJECT_ID"
   

   Ersetzen Sie Folgendes:

   • SECRET_ID: Die ID, die für das neue Secret verwendet werden soll.
   • KEY_PROJECT_ID: die Projekt-ID des Schlüsselprojekts.
   • KEY_NAME: Der Name des Schlüssels, der in der Ausgabe des vorherigen Schritts zurückgegeben wurde.
   • RESOURCE_PROJECT_ID: die Projekt-ID des Ressourcenprojekts im Autokey-Ordner, in dem Sie eine geschützte Ressource erstellen möchten.

API

1. Fordern Sie einen neuen Cloud KMS-Schlüssel an, indem Sie eine KeyHandle erstellen:

   curl -H "Content-Type: application/json" \
       -H "X-Goog-User-Project: USER_PROJECT" \
       -H "Authorization: Bearer TOKEN" \
       -X POST https://cloudkms.googleapis.com/v1/projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles \
       -d '{"resource_type_selector": "dataflow.googleapis.com/Job"}'
   

   Ersetzen Sie Folgendes:

   • USER_PROJECT: das Projekt, dem die mit dieser Anfrage verbundenen Gebühren in Rechnung gestellt werden.
   • RESOURCE_PROJECT_ID: die Projekt-ID des Ressourcenprojekts im Autokey-Ordner, in dem Sie eine geschützte Ressource erstellen möchten.
   • LOCATION: Der Standort, an dem Sie die geschützte Ressource erstellen möchten.

   Die Ausgabe sieht etwa so aus:

   {
     "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
     "metadata": {
       "@type": "type.googleapis.com/google.cloud.kms.v1.CreateKeyHandleMetadata"
     }
   }
   

   Notieren Sie sich den OPERATION_ID aus der Ausgabe. Sie benötigen diesen Wert, um die Ressourcen-ID des erstellten Schlüssels abzurufen.

2. Suchen Sie den Cloud KMS-Schlüssel, der dem Schlüssel-Handle zugeordnet ist:

   curl -H "X-Goog-User-Project: USER_PROJECT" \
       -H "Authorization: Bearer TOKEN" \
       -X GET https://cloudkms.googleapis.com/v1/projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID
   

   Ersetzen Sie Folgendes:

   • USER_PROJECT: das Projekt, dem die mit dieser Anfrage verbundenen Gebühren in Rechnung gestellt werden.
   • RESOURCE_PROJECT_ID: die Projekt-ID des Ressourcenprojekts im Autokey-Ordner, in dem Sie eine geschützte Ressource erstellen möchten.
   • LOCATION: Der Standort, an dem Sie die geschützte Ressource erstellen möchten.
   • OPERATION_ID: Die ID des Vorgangs für die Schlüsselhandle-Anfrage aus der Ausgabe des vorherigen Schritts.

   Die Ausgabe sieht etwa so aus:

   {
     "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
     "done": true,
     "response": {
       "@type": "type.googleapis.com/google.cloud.kms.v1.KeyHandle",
       "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles/KEY_HANDLE",
       "kmsKey": "projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/autokey/cryptoKeys/KEY_NAME",
       "resourceTypeSelector": "RESOURCE_TYPE"
     }
   }
   

   Der Wert des Elements kmsKey in der Ausgabe ist die vollständige Ressourcen-ID des Schlüssels, der von Autokey für diese Ressource erstellt wurde. Sie können diese Ressourcen-ID genauso verwenden wie die Ressourcen-ID für jede andere Cloud KMS-Ressource.