Membuat kunci eksternal

Halaman ini menunjukkan cara membuat kunci Cloud External Key Manager (Cloud EKM) di key ring yang ada di Cloud Key Management Service (Cloud KMS).

Sebelum memulai

Sebelum menyelesaikan tugas di halaman ini, Anda memerlukan hal berikut:

  • Resource project Google Cloud untuk menyimpan resource Cloud KMS Anda. Sebaiknya gunakan project terpisah untuk resource Cloud KMS Anda yang tidak berisi resource Google Cloud lainnya.

    Catat akun layanan Cloud EKM project Anda. Pada contoh berikut, ganti PROJECT_NUMBER dengan nomor project project Google Cloud Anda. Informasi ini juga terlihat setiap kali Anda menggunakan konsol Google Cloud untuk membuat kunci Cloud EKM.

        service-PROJECT_NUMBER@gcp-sa-ekms.iam.gserviceaccount.com
  • Nama dan lokasi key ring tempat Anda ingin membuat kunci. Pilih ring kunci di lokasi yang dekat dengan resource Anda yang lain dan mendukung Cloud EKM. Untuk melihat lokasi yang tersedia dan tingkat perlindungan yang didukungnya, lihat Lokasi Cloud KMS. Untuk membuat key ring, lihat Membuat key ring.

  • Untuk membuat kunci eksternal yang dikelola secara manual, Anda harus membuat kunci di sistem partner pengelolaan kunci eksternal. Langkah-langkah tepatnya bervariasi menurut partner pengelolaan kunci enkripsi eksternal.

    1. Jika perlu, minta akses dari partner pengelolaan kunci enkripsi eksternal Anda untuk berpartisipasi.

    2. Buat kunci simetris atau asimetris di sistem partner pengelolaan kunci eksternal atau pilih kunci yang ada.

      Buat kunci di region dekat region Google Cloud yang Anda rencanakan untuk digunakan untuk kunci Cloud EKM. Hal ini membantu mengurangi latensi jaringan antara project Google Cloud Anda dan partner pengelolaan kunci enkripsi eksternal. Jika tidak, Anda mungkin mengalami peningkatan jumlah operasi yang gagal. Untuk mengetahui informasi selengkapnya, lihat Cloud EKM dan region.

    3. Catat URI atau jalur kunci kunci eksternal. Anda memerlukan informasi ini untuk membuat kunci Cloud EKM.
  • Di sistem partner pengelolaan kunci eksternal, berikan akses akun layanan Google Cloud untuk menggunakan kunci eksternal Anda. Perlakukan akun layanan sebagai alamat email. Partner EKM mungkin menggunakan terminologi yang berbeda dengan yang digunakan dalam dokumen ini.
  • Untuk membuat kunci EKM melalui VPC, Anda harus membuat koneksi EKM.
  • Opsional: Untuk menggunakan gcloud CLI, siapkan lingkungan Anda.

    In the Google Cloud console, activate Cloud Shell.

    Activate Cloud Shell

Peran yang diperlukan

Untuk mendapatkan izin yang diperlukan untuk membuat kunci, minta administrator untuk memberi Anda peran IAM Cloud KMS Admin (roles/cloudkms.admin) di project atau resource induk. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Peran bawaan ini berisi izin yang diperlukan untuk membuat kunci. Untuk melihat izin yang benar-benar diperlukan, luaskan bagian Izin yang diperlukan:

Izin yang diperlukan

Izin berikut diperlukan untuk membuat kunci:

  • cloudkms.cryptoKeys.create
  • cloudkms.cryptoKeys.get
  • cloudkms.cryptoKeys.list
  • cloudkms.cryptoKeyVersions.create
  • cloudkms.cryptoKeyVersions.get
  • cloudkms.cryptoKeyVersions.list
  • cloudkms.keyRings.get
  • cloudkms.keyRings.list
  • cloudkms.locations.get
  • cloudkms.locations.list
  • resourcemanager.projects.get
  • Untuk mengambil kunci publik: cloudkms.cryptoKeyVersions.viewPublicKey

Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Membuat kunci eksternal terkoordinasi

Konsol

  1. Di konsol Google Cloud, buka halaman Key Management.

    Buka Key Management

  2. Klik nama key ring yang akan Anda buat kunci.

  3. Klik Create key.

  4. Untuk Key name, masukkan nama untuk kunci Anda.

  5. Untuk Tingkat perlindungan, pilih Eksternal.

  6. Untuk Jenis koneksi pengelola kunci enkripsi eksternal (EKM), pilih melalui VPC.

  7. Untuk EKM melalui koneksi VPC, pilih koneksi.

    Jika tidak memiliki izin EkmConnection.list, Anda harus memasukkan nama resource koneksi secara manual.

  8. Klik Lanjutkan.

  9. Di bagian Materi kunci, Anda akan melihat pesan tentang materi kunci baru yang diminta oleh Cloud KMS dan dibuat di EKM Anda. Jika Anda melihat kolom Key path, koneksi EKM melalui VPC yang Anda pilih tidak dikonfigurasi untuk kunci eksternal terkoordinasi.

  10. Konfigurasikan setelan kunci lainnya sesuai kebutuhan, lalu klik Create.

Cloud EKM mengirimkan permintaan ke EKM Anda untuk membuat kunci baru. Kunci akan ditampilkan sebagai Pembuatan tertunda hingga jalur kunci ditampilkan oleh EKM Anda dan kunci Cloud EKM tersedia.

gcloud

Untuk menggunakan Cloud KMS di command line, pertama-tama Instal atau upgrade ke Google Cloud CLI versi terbaru.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

Ganti kode berikut:

  • KEY_NAME: nama kunci.
  • KEY_RING: nama key ring yang berisi kunci.
  • LOCATION: lokasi Cloud KMS key ring.
  • PURPOSE: tujuan kunci.
  • ALGORITHM: algoritma yang akan digunakan untuk kunci, misalnya google-symmetric-encryption. Untuk mengetahui daftar algoritma yang didukung, lihat Algoritma.
  • VPC_CONNECTION_RESOURCE_ID: ID resource koneksi EKM.

Untuk mengetahui informasi tentang semua flag dan kemungkinan nilai, jalankan perintah dengan flag --help.

Membuat Cloud EKM yang dikelola secara manual melalui kunci VPC

Konsol

  1. Di konsol Google Cloud, buka halaman Key Management.

    Buka Key Management

  2. Klik nama key ring yang akan Anda buat kunci.

  3. Klik Create key.

  4. Untuk Key name, masukkan nama untuk kunci Anda.

  5. Untuk Tingkat perlindungan, pilih Eksternal.

  6. Untuk Jenis koneksi pengelola kunci enkripsi eksternal (EKM), pilih melalui VPC.

  7. Untuk EKM melalui koneksi VPC, pilih koneksi.

    Perhatikan, jika tidak memiliki izin EkmConnection.list, Anda harus memasukkan nama resource koneksi secara manual.

  8. Klik Lanjutkan.

  9. Di kolom Key path, masukkan jalur ke kunci eksternal Anda.

  10. Konfigurasikan setelan kunci lainnya sesuai kebutuhan, lalu klik Create.

gcloud

Untuk menggunakan Cloud KMS di command line, pertama-tama Instal atau upgrade ke Google Cloud CLI versi terbaru.

gcloud kms keys create KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --purpose PURPOSE \
    --default-algorithm ALGORITHM \
    --protection-level "external-vpc" \
    --skip-initial-version-creation \
    --crypto-key-backend VPC_CONNECTION_RESOURCE_ID

Ganti kode berikut:

  • KEY_NAME: nama kunci.
  • KEY_RING
  • LOCATION: lokasi Cloud KMS key ring.
  • PURPOSE: tujuan kunci.
  • ALGORITHM: algoritma yang akan digunakan untuk kunci, misalnya google-symmetric-encryption. Untuk mengetahui daftar algoritma yang didukung, lihat Algoritma.
  • VPC_CONNECTION_RESOURCE_ID: ID resource koneksi EKM.

Untuk mengetahui informasi tentang semua flag dan kemungkinan nilai, jalankan perintah dengan flag --help.

Membuat Cloud EKM yang dikelola secara manual melalui kunci internet

Konsol

  1. Di konsol Google Cloud, buka halaman Key Management.

    Buka Key Management

  2. Klik nama key ring yang akan Anda buat kunci.

  3. Klik Create key.

  4. Untuk Key name, masukkan nama untuk kunci Anda.

  5. Untuk Tingkat perlindungan, pilih Eksternal.

  6. Untuk Jenis koneksi pengelola kunci enkripsi eksternal (EKM), pilih melalui internet.

  7. Klik Lanjutkan.

  8. Di kolom Key URI, masukkan jalur ke kunci eksternal Anda.

  9. Konfigurasikan setelan kunci lainnya sesuai kebutuhan, lalu klik Create.

gcloud

Untuk menggunakan Cloud KMS di command line, pertama-tama Instal atau upgrade ke Google Cloud CLI versi terbaru.

  1. Buat kunci eksternal kosong:

    gcloud kms keys create KEY_NAME \
  --keyring KEY_RING \
  --location LOCATION \
  --purpose PURPOSE \
  --protection-level external \
  --skip-initial-version-creation \
  --default-algorithm ALGORITHM

    Ganti kode berikut:

    • KEY_NAME: nama kunci.
    • KEY_RING: nama key ring yang berisi kunci.
    • LOCATION: lokasi Cloud KMS key ring.
    • PURPOSE: tujuan kunci.
    • ALGORITHM: algoritma yang akan digunakan untuk kunci, misalnya google-symmetric-encryption. Untuk mengetahui daftar algoritma yang didukung, lihat Algoritma.

    Untuk mengetahui informasi tentang semua flag dan kemungkinan nilai, jalankan perintah dengan flag --help.

  2. Buat versi kunci baru untuk kunci yang baru saja Anda buat:

    gcloud kms keys versions create \
  --key KEY_NAME \
  --keyring KEY_RING \
  --location LOCATION \
  --external-key-uri EXTERNAL_KEY_URI

    Ganti EXTERNAL_KEY_URI dengan URI kunci eksternal.

    Untuk versi kunci simetris, tambahkan tanda --primary untuk menetapkan versi kunci baru sebagai versi utama.

Langkah selanjutnya