Usa claves de Cloud KMS en Cloud de Confiance

En esta página, se explica cómo usar las claves de encriptación administradas por el cliente de Cloud KMS en otros servicios de Cloud de Confiance para proteger tus recursos. Para obtener más información, consulta Claves de encriptación administradas por el cliente (CMEK).

Cuando un servicio admite CMEK, se dice que tiene una integración con CMEK. Algunos servicios, como GKE, tienen varias integraciones con CMEK para proteger diferentes tipos de datos relacionados con el servicio. Para obtener una lista de los servicios con integraciones de CMEK, consulta Habilita la CMEK para los servicios compatibles en esta página.

Antes de comenzar

Antes de que puedas usar las claves de Cloud KMS en otros servicios de Cloud de Confiance , debes tener un recurso de proyecto para contener tus claves de Cloud KMS. Te recomendamos que uses un proyecto independiente para tus recursos de Cloud KMS que no contenga ningún otro recurso de Cloud de Confiance .

Integraciones de CMEK

Preparación para habilitar la integración de CMEK

Para conocer los pasos exactos a fin de habilitar CMEK, consulta la documentación del servicio deCloud de Confiance correspondiente. En Habilita la CMEK para los servicios admitidos de esta página, puedes encontrar un vínculo a la documentación de CMEK para cada servicio. Para cada servicio, es posible que sigas pasos similares a los siguientes:

1. Crea un llavero de claves o selecciona uno existente. El llavero de claves debe estar ubicado lo más cerca posible geográficamente de los recursos que deseas proteger.

2. En el llavero de claves seleccionado, crea una clave o selecciona una existente. Asegúrate de que el nivel de protección, el propósito y el algoritmo de la clave sean adecuados para los recursos que deseas proteger. Esta es la clave CMEK.

3. Obtén el ID de recurso de la clave de CMEK. Necesitarás este ID de recurso más adelante.

4. Otorga la función de IAM de encriptador/desencriptador de CryptoKey (roles/cloudkms.cryptoKeyEncrypterDecrypter) en la clave CMEK a la cuenta de servicio para el servicio.

Después de crear la clave y asignar los permisos requeridos, puedes crear o configurar un servicio para que use tu clave de CMEK.

Usa claves de Cloud KMS con servicios integrados en CMEK

En los siguientes pasos, se usa Secret Manager como ejemplo. Para conocer los pasos exactos para usar una clave de CMEK de Cloud KMS en un servicio determinado, busca ese servicio en la lista de servicios integrados en CMEK.

En Secret Manager, puedes usar una CMEK para proteger los datos en reposo.

1. En la consola de Cloud de Confiance , ve a la página Secret Manager.

   Ir a Secret Manager

2. Para crear un secreto, haz clic en Create Secret.

3. En la sección Encriptación, selecciona Usar una clave de encriptación administrada por el cliente (CMEK).

4. En el cuadro Clave de encriptación, haz lo siguiente:

   1. Opcional: Para usar una clave en otro proyecto, haz lo siguiente:

      1. Haz clic en Cambiar proyecto.
      2. Ingresa todo o parte del nombre del proyecto en la barra de búsqueda y, luego, selecciónalo.
      3. Para ver las claves disponibles para el proyecto seleccionado, haz clic en Seleccionar.

   2. Opcional: Para filtrar las claves disponibles por ubicación, llavero de claves, nombre o nivel de protección, ingresa términos de búsqueda en la barra de filtrosfilter_alt.

   3. Selecciona una clave de la lista de claves disponibles en el proyecto seleccionado. Puedes usar los detalles de ubicación, llavero y nivel de protección que se muestran para asegurarte de elegir la clave correcta.

   4. Si la clave que quieres usar no aparece en la lista, haz clic en Escribir la clave de forma manual y, luego, ingresa el ID de recurso de la clave.

5. Termina de configurar tu secreto y, luego, haz clic en Crear secreto. Secret Manager crea el secreto y lo encripta con la clave CMEK especificada.

Habilita CMEK para los servicios compatibles

Para habilitar la CMEK, primero ubica el servicio deseado en la siguiente tabla. Puedes ingresar términos de búsqueda en el campo para filtrar la tabla. Los productos que se integran con Cloud KMS cuando se usan claves externas de Cloud EKM se indican en la columna Compatible con EKM.

Sigue las instrucciones para cada servicio en el que quieras habilitar las claves de CMEK.