Dokumen ini menunjukkan cara menghapus resource Cloud Key Management Service secara permanen. Jenis resource Cloud KMS berikut dapat dihapus:
- Key ring
- Kunci
- Versi kunci
Operasi ini tidak dapat diurungkan. Untuk batasan khusus resource, lihat bagian yang sesuai dalam dokumen ini.
Di Cloud KMS, penghancuran dan penghapusan adalah operasi yang berbeda:
Penghancuran: Menonaktifkan versi kunci secara permanen, termasuk menghancurkan materi kunci yang mendasarinya secara permanen setelah periode penghancuran yang ditentukan. Versi kunci dalam status
DESTROYEDtidak dapat digunakan untuk operasi kriptografis dan tidak lagi ditagih. Anda dapat menghancurkan versi kunci yang digunakan untuk mengenkripsi data guna menghancurkan secara kriptografis data yang Anda inginkan agar tidak dapat dipulihkan secara permanen. Versi kunci yang dihancurkan masih disertakan dalam daftar resource Cloud KMS.Penghapusan: Menghapus key ring, kunci, atau versi kunci dari daftar resource Cloud KMS di konsol Cloud de Confiance , Google Cloud CLI, Cloud Key Management Service API, dan library klien. Untuk project dengan banyak key ring, kunci, atau versi kunci yang tidak lagi aktif, penghapusan akan menyederhanakan operasi penelusuran dan daftar. Saat Anda menghapus key ring, namanya akan tersedia untuk digunakan kembali. Namun, nama CryptoKey yang dihapus tidak dapat digunakan kembali. Anda dapat melihat daftar nama CryptoKey yang dihapus yang tidak dapat digunakan kembali menggunakan metode
retiredResources.list.
Sebelum memulai
Untuk mendapatkan izin yang
Anda perlukan untuk menghapus dan melihat resource Cloud KMS,
minta administrator untuk memberi Anda
peran IAM Cloud KMS administrator (roles/cloudkms.admin) pada kunci.
Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.
Peran bawaan ini berisi izin yang diperlukan untuk menghapus dan melihat resource Cloud KMS. Untuk melihat izin yang benar-benar diperlukan, perluas bagian Izin yang diperlukan:
Izin yang diperlukan
Izin berikut diperlukan untuk menghapus dan melihat resource Cloud KMS:
-
Untuk menghapus versi kunci:
cloudkms.cryptoKeyVersions.delete -
Untuk menghapus kunci:
cloudkms.cryptoKeys.delete -
Untuk menghapus key ring:
cloudkms.keyRings.delete -
Untuk melihat referensi yang dihapus:
-
cloudkms.retiredResources.get -
cloudkms.retiredResources.list
-
Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.
Menghapus versi kunci
Anda dapat menghapus versi kunci jika berada dalam status DESTROYED, IMPORT_FAILED, atau
GENERATION_FAILED. Jika versi kunci diimpor, versi kunci tersebut hanya dapat dihapus jika impor gagal.
Untuk menghapus versi kunci secara permanen, ikuti langkah-langkah berikut:
Konsol
Di konsol Cloud de Confiance , buka halaman Key Management.
Klik nama key ring yang berisi kunci dan versi kunci yang ingin Anda hapus.
Klik kunci yang berisi versi kunci yang ingin Anda hapus.
Di tabel Versions, temukan versi kunci yang ingin Anda hapus, lalu klik More actions.
Di menu Tindakan lainnya, klik Hapus.
Pada dialog konfirmasi, masukkan nama kunci, lalu klik Delete.
gcloud
Untuk menghapus versi kunci, jalankan perintah berikut:
gcloud kms keys versions delete KEY_VERSION \
--location=LOCATION \
--keyring=KEY_RING \
--key=KEY_NAME
Ganti kode berikut:
KEY_VERSION: nomor versi kunci yang ingin Anda hapus secara permanen. Versi kunci yang ditunjukkan harus dalam statusDESTROYED,IMPORT_FAILED, atauGENERATION_FAILED.LOCATION: lokasi Cloud KMS key ring.KEY_RING: nama key ring yang berisi kunci.KEY_NAME: nama kunci yang berisi versi kunci yang ingin Anda hapus secara permanen.
Go
Untuk mempelajari cara menginstal dan menggunakan library klien untuk Cloud KMS, lihat library klien Cloud KMS.
Untuk melakukan autentikasi ke Cloud KMS, siapkan Kredensial Default Aplikasi. Untuk mengetahui informasi selengkapnya, lihat Menyiapkan autentikasi untuk lingkungan pengembangan lokal.
Sebelum menjalankan contoh kode, tetapkan variabel
lingkungan GOOGLE_CLOUD_UNIVERSE_DOMAIN ke s3nsapis.fr.
Java
Untuk mempelajari cara menginstal dan menggunakan library klien untuk Cloud KMS, lihat library klien Cloud KMS.
Untuk melakukan autentikasi ke Cloud KMS, siapkan Kredensial Default Aplikasi. Untuk mengetahui informasi selengkapnya, lihat Menyiapkan autentikasi untuk lingkungan pengembangan lokal.
Sebelum menjalankan contoh kode, tetapkan variabel
lingkungan GOOGLE_CLOUD_UNIVERSE_DOMAIN ke s3nsapis.fr.
Python
Untuk mempelajari cara menginstal dan menggunakan library klien untuk Cloud KMS, lihat library klien Cloud KMS.
Untuk melakukan autentikasi ke Cloud KMS, siapkan Kredensial Default Aplikasi. Untuk mengetahui informasi selengkapnya, lihat Menyiapkan autentikasi untuk lingkungan pengembangan lokal.
Sebelum menjalankan contoh kode, tetapkan variabel
lingkungan GOOGLE_CLOUD_UNIVERSE_DOMAIN ke s3nsapis.fr.
API
Untuk menghapus versi kunci, panggil metode
cryptoKeyVersions.delete. Metode ini menampilkan operasi yang berjalan lama yang dapat Anda polling untuk mengonfirmasi bahwa versi kunci telah dihapus.curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME/cryptoKeyVersions/KEY_VERSION" \ --request "DELETE" \ --header "authorization: Bearer TOKEN"
Ganti kode berikut:
PROJECT_ID: ID project yang berisi key ring.LOCATION: lokasi Cloud KMS key ring.KEY_RING: nama key ring yang berisi kunci.KEY_NAME: nama kunci yang berisi versi kunci yang ingin Anda hapus secara permanen.KEY_VERSION: nomor versi kunci yang ingin Anda hapus secara permanen. Versi kunci yang ditunjukkan harus dalam statusDESTROYED,IMPORT_FAILED, atauGENERATION_FAILED.
Output perintah menampilkan
Operation. Anda memerlukannameoperasi untuk langkah berikutnya.Untuk mengonfirmasi bahwa versi kunci telah dihapus, Anda dapat memanggil metode
operations.get:curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/operations/OPERATION_NAME" \ --request "GET" \ --header "authorization: Bearer TOKEN"Ganti kode berikut:
PROJECT_ID: ID project yang berisi key ring.LOCATION: lokasi Cloud KMS key ring.OPERATION_NAME: nama operasi yang ditampilkan oleh metode sebelumnya.
Jika output metode ini menunjukkan bahwa
doneadalahtrue, operasi telah selesai. Jika tidak adaerroryang ditunjukkan, berarti versi kunci telah dihapus secara permanen.
Menghapus kunci
Anda dapat menghapus kunci jika memenuhi kondisi berikut:
- Kunci tidak berisi versi kunci yang belum dihapus.
- Kunci tidak memiliki rotasi kunci otomatis yang dijadwalkan.
- Kunci tidak dibuat oleh Cloud KMS Autokey.
Untuk menghapus kunci secara permanen, ikuti langkah-langkah berikut:
Konsol
Di konsol Cloud de Confiance , buka halaman Key Management.
Klik nama key ring yang berisi kunci yang ingin Anda hapus.
Di baris untuk kunci yang ingin Anda hapus, klik Tindakan kunci, lalu klik Hapus.
Pada dialog konfirmasi, masukkan nama kunci, lalu klik Delete.
gcloud
Untuk menghapus kunci, jalankan perintah berikut:
gcloud kms keys delete KEY_NAME \
--location=LOCATION \
--keyring=KEY_RING
Ganti kode berikut:
KEY_NAME: nama kunci yang ingin Anda hapus secara permanen. Kunci tidak boleh berisi versi kunci yang belum dihapus, dan tidak boleh berupa kunci yang dibuat oleh Autokey.LOCATION: lokasi Cloud KMS key ring.KEY_RING: nama key ring yang berisi kunci.
Go
Untuk mempelajari cara menginstal dan menggunakan library klien untuk Cloud KMS, lihat library klien Cloud KMS.
Untuk melakukan autentikasi ke Cloud KMS, siapkan Kredensial Default Aplikasi. Untuk mengetahui informasi selengkapnya, lihat Menyiapkan autentikasi untuk lingkungan pengembangan lokal.
Sebelum menjalankan contoh kode, tetapkan variabel
lingkungan GOOGLE_CLOUD_UNIVERSE_DOMAIN ke s3nsapis.fr.
Java
Untuk mempelajari cara menginstal dan menggunakan library klien untuk Cloud KMS, lihat library klien Cloud KMS.
Untuk melakukan autentikasi ke Cloud KMS, siapkan Kredensial Default Aplikasi. Untuk mengetahui informasi selengkapnya, lihat Menyiapkan autentikasi untuk lingkungan pengembangan lokal.
Sebelum menjalankan contoh kode, tetapkan variabel
lingkungan GOOGLE_CLOUD_UNIVERSE_DOMAIN ke s3nsapis.fr.
Python
Untuk mempelajari cara menginstal dan menggunakan library klien untuk Cloud KMS, lihat library klien Cloud KMS.
Untuk melakukan autentikasi ke Cloud KMS, siapkan Kredensial Default Aplikasi. Untuk mengetahui informasi selengkapnya, lihat Menyiapkan autentikasi untuk lingkungan pengembangan lokal.
Sebelum menjalankan contoh kode, tetapkan variabel
lingkungan GOOGLE_CLOUD_UNIVERSE_DOMAIN ke s3nsapis.fr.
API
Untuk menghapus kunci, panggil metode
cryptoKey.delete. Metode ini menampilkan operasi yang berjalan lama yang dapat Anda polling untuk mengonfirmasi bahwa kunci telah dihapus.curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME" \ --request "DELETE" \ --header "authorization: Bearer TOKEN"
Ganti kode berikut:
PROJECT_ID: ID project yang berisi key ring.LOCATION: lokasi Cloud KMS key ring.KEY_RING: nama key ring yang berisi kunci.KEY_NAME: nama kunci yang ingin Anda hapus secara permanen. Kunci tidak boleh berisi versi kunci yang belum dihapus, dan tidak boleh berupa kunci yang dibuat oleh Autokey.
Output perintah menampilkan
Operation. Anda memerlukannameoperasi untuk langkah berikutnya.Untuk mengonfirmasi bahwa kunci telah dihapus, Anda dapat memanggil metode
operations.get:curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/operations/OPERATION_NAME" \ --request "GET" \ --header "authorization: Bearer TOKEN"Ganti kode berikut:
PROJECT_ID: ID project yang berisi key ring.LOCATION: lokasi Cloud KMS key ring.OPERATION_NAME: nama operasi yang ditampilkan oleh metode sebelumnya.
Jika output metode ini menunjukkan bahwa
doneadalahtrue, berarti operasi telah selesai. Jika tidak adaerroryang ditunjukkan, berarti kunci telah dihapus secara permanen.
Menghapus key ring
Anda dapat menghapus key ring jika memenuhi kondisi berikut:
- Semua kunci dalam key ring harus dihapus.
- Semua tugas impor di key ring harus sudah tidak berlaku.
Saat Anda menghapus key ring, nama key ring akan tersedia untuk digunakan kembali dalam waktu sekitar 5 hingga 10 menit.
Untuk menghapus key ring secara permanen, ikuti langkah-langkah berikut:
Konsol
Di konsol Cloud de Confiance , buka halaman Key Management.
Di baris untuk key ring yang ingin Anda hapus, klik Key ring actions, lalu klik Delete.
Pada dialog konfirmasi, masukkan nama key ring, lalu klik Delete.
gcloud
Untuk menghapus key ring, jalankan perintah berikut:
gcloud kms keyrings delete KEY_RING \
--location=LOCATION \
Ganti kode berikut:
KEY_RING: nama key ring yang ingin Anda hapus secara permanen. Key ring tidak boleh berisi kunci atau tugas impor apa pun dalam statusACTIVE.LOCATION: lokasi Cloud KMS key ring.
API
Untuk menghapus key ring, panggil metode
keyRings.delete. Metode ini menampilkan operasi yang berjalan lama yang dapat Anda polling untuk mengonfirmasi bahwa key ring telah dihapus.curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING" \ --request "DELETE" \ --header "authorization: Bearer TOKEN"
Ganti kode berikut:
PROJECT_ID: ID project yang berisi key ring.LOCATION: lokasi Cloud KMS key ring.KEY_RING: nama key ring yang ingin Anda hapus secara permanen. Key ring tidak boleh berisi kunci atau tugas impor apa pun dalam statusACTIVE.
Output perintah menampilkan
Operation. Anda memerlukannameoperasi untuk langkah berikutnya.Untuk mengonfirmasi bahwa key ring telah dihapus, Anda dapat memanggil metode
operations.get:curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/operations/OPERATION_NAME" \ --request "GET" \ --header "authorization: Bearer TOKEN"Ganti kode berikut:
PROJECT_ID: ID project yang berisi key ring.LOCATION: lokasi Cloud KMS key ring.OPERATION_NAME: nama operasi yang ditampilkan oleh metode sebelumnya.
Jika output metode ini menunjukkan bahwa
doneadalahtrue, berarti operasi telah selesai. Jika tidak adaerroryang ditunjukkan, berarti key ring telah dihapus secara permanen.
Melihat nama resource yang tidak digunakan lagi
Nama kunci yang telah dihapus tidak dapat digunakan kembali dalam projectCloud de Confiance yang sama. Hal ini mencegah dua kunci yang berbeda memiliki ID resource yang sama. Nama untuk kunci yang dihapus disimpan dalam objek retiredResources. Anda dapat mengkueri retiredResources untuk melihat nama yang tidak dapat digunakan kembali untuk resource Cloud KMS baru.
Untuk melihat daftar semua resource yang dihentikan, ikuti langkah-langkah berikut:
gcloud
Jalankan perintah berikut:
gcloud kms retired-resources list \
--location=LOCATION
Ganti kode berikut:
LOCATION: lokasi tempat Anda ingin melihat resource yang dihentikan.
Go
Untuk mempelajari cara menginstal dan menggunakan library klien untuk Cloud KMS, lihat library klien Cloud KMS.
Untuk melakukan autentikasi ke Cloud KMS, siapkan Kredensial Default Aplikasi. Untuk mengetahui informasi selengkapnya, lihat Menyiapkan autentikasi untuk lingkungan pengembangan lokal.
Sebelum menjalankan contoh kode, tetapkan variabel
lingkungan GOOGLE_CLOUD_UNIVERSE_DOMAIN ke s3nsapis.fr.
Java
Untuk mempelajari cara menginstal dan menggunakan library klien untuk Cloud KMS, lihat library klien Cloud KMS.
Untuk melakukan autentikasi ke Cloud KMS, siapkan Kredensial Default Aplikasi. Untuk mengetahui informasi selengkapnya, lihat Menyiapkan autentikasi untuk lingkungan pengembangan lokal.
Sebelum menjalankan contoh kode, tetapkan variabel
lingkungan GOOGLE_CLOUD_UNIVERSE_DOMAIN ke s3nsapis.fr.
Python
Untuk mempelajari cara menginstal dan menggunakan library klien untuk Cloud KMS, lihat library klien Cloud KMS.
Untuk melakukan autentikasi ke Cloud KMS, siapkan Kredensial Default Aplikasi. Untuk mengetahui informasi selengkapnya, lihat Menyiapkan autentikasi untuk lingkungan pengembangan lokal.
Sebelum menjalankan contoh kode, tetapkan variabel
lingkungan GOOGLE_CLOUD_UNIVERSE_DOMAIN ke s3nsapis.fr.
API
Gunakan metode retiredResources.list:
curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/retiredResources/" \
--request "GET" \
--header "authorization: Bearer TOKEN"
Ganti kode berikut:
PROJECT_ID: ID project tempat Anda ingin melihat resource yang dihentikan.LOCATION: lokasi tempat Anda ingin melihat resource yang dihentikan.
Untuk melihat metadata setiap resource yang dihentikan, ikuti langkah-langkah berikut:
gcloud
Jalankan perintah berikut:
gcloud kms retired-resources describe RETIRED_RESOURCE \
--location=LOCATION
Ganti kode berikut:
RETIRED_RESOURCE: nama resource yang ingin Anda lihat.LOCATION: lokasi tempat Anda ingin melihat resource yang dihentikan.
Go
Untuk mempelajari cara menginstal dan menggunakan library klien untuk Cloud KMS, lihat library klien Cloud KMS.
Untuk melakukan autentikasi ke Cloud KMS, siapkan Kredensial Default Aplikasi. Untuk mengetahui informasi selengkapnya, lihat Menyiapkan autentikasi untuk lingkungan pengembangan lokal.
Sebelum menjalankan contoh kode, tetapkan variabel
lingkungan GOOGLE_CLOUD_UNIVERSE_DOMAIN ke s3nsapis.fr.
Java
Untuk mempelajari cara menginstal dan menggunakan library klien untuk Cloud KMS, lihat library klien Cloud KMS.
Untuk melakukan autentikasi ke Cloud KMS, siapkan Kredensial Default Aplikasi. Untuk mengetahui informasi selengkapnya, lihat Menyiapkan autentikasi untuk lingkungan pengembangan lokal.
Sebelum menjalankan contoh kode, tetapkan variabel
lingkungan GOOGLE_CLOUD_UNIVERSE_DOMAIN ke s3nsapis.fr.
Python
Untuk mempelajari cara menginstal dan menggunakan library klien untuk Cloud KMS, lihat library klien Cloud KMS.
Untuk melakukan autentikasi ke Cloud KMS, siapkan Kredensial Default Aplikasi. Untuk mengetahui informasi selengkapnya, lihat Menyiapkan autentikasi untuk lingkungan pengembangan lokal.
Sebelum menjalankan contoh kode, tetapkan variabel
lingkungan GOOGLE_CLOUD_UNIVERSE_DOMAIN ke s3nsapis.fr.
API
Gunakan metode retiredResources.get:
curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/retiredResources/RETIRED_RESOURCE" \
--request "GET" \
--header "authorization: Bearer TOKEN"
Ganti kode berikut:
PROJECT_ID: ID project tempat Anda ingin melihat resource yang dihentikan.LOCATION: lokasi tempat Anda ingin melihat resource yang dihentikan.RETIRED_RESOURCE: nama resource yang ingin Anda lihat.
Output metode ini mencakup resourceType, deleteTime, dan ID resource lengkap dari resource yang dihapus.
Langkah berikutnya
- Pelajari lebih lanjut cara menghancurkan dan memulihkan versi kunci.