Menggunakan kunci enkripsi yang dikelola pelanggan

Secara default, Alur Kerja mengenkripsi konten pelanggan dalam penyimpanan. Alur kerja menangani enkripsi untuk Anda tanpa tindakan tambahan dari Anda. Opsi ini disebut enkripsi default Google.

Jika ingin mengontrol kunci enkripsi, Anda dapat menggunakan kunci enkripsi yang dikelola pelanggan (CMEK) di Cloud KMS dengan layanan terintegrasi CMEK, termasuk Alur Kerja. Dengan menggunakan kunci Cloud KMS, Anda dapat mengontrol tingkat perlindungan, lokasi, jadwal rotasi, izin penggunaan dan akses, serta batas kriptografisnya. Dengan Cloud KMS, Anda juga dapat melacak penggunaan kunci, melihat log audit, dan mengontrol siklus proses kunci. Alih-alih Google yang memiliki dan mengelola kunci enkripsi kunci (KEK) simetris yang melindungi data Anda, Andalah yang mengontrol dan mengelola kunci ini di Cloud KMS.

Setelah Anda menyiapkan resource dengan CMEK, pengalaman mengakses resource Alur Kerja Anda mirip dengan menggunakan enkripsi default Google. Untuk mengetahui informasi selengkapnya tentang opsi enkripsi Anda, lihat Kunci enkripsi yang dikelola pelanggan (CMEK).

Anda dapat melindungi alur kerja dan data terkait dalam penyimpanan menggunakan kunci enkripsi yang hanya dapat Anda akses, dan yang dapat Anda kontrol dan kelola menggunakan Cloud KMS.

Yang dilindungi dengan CMEK

Saat men-deploy alur kerja, Anda dapat menentukan kunci Cloud KMS. Kunci ini digunakan untuk mengenkripsi alur kerja dan eksekusi:

• Alur kerja memerlukan file sumber yang berisi definisi alur kerja yang valid. File sumber ini dienkripsi menggunakan kunci.

• Eksekusi alur kerja menjalankan definisi alur kerja saat ini (revisi alur kerja tertentu). Dengan menggunakan kunci yang terkait dengan revisi alur kerja pada saat deployment, alur kerja yang dikompilasi, serta data input, output, dan runtime eksekusi yang disimpan akan dienkripsi. Hal ini mencakup argumen eksekusi, hasil, error, dan pengecualian; peristiwa Eventarc yang dikirim; serta permintaan dan respons callback serta HTTP.

Sebelum memulai

Sebelum menggunakan CMEK di Alur Kerja, selesaikan langkah-langkah berikut:

1. Aktifkan API.

   Konsol

   1. Enable the Cloud KMS and Workflows APIs.

      Enable the APIs

   gcloud

   1. In the Google Cloud console, activate Cloud Shell.

      Activate Cloud Shell

      At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

   2. Perbarui komponen gcloud.

      gcloud components update

   3. Aktifkan Cloud KMS dan Workflows API untuk project yang akan menyimpan kunci enkripsi Anda.

      gcloud services enable cloudkms.googleapis.com workflows.googleapis.com

2. Cloud KMS menghasilkan Cloud Audit Logs saat kunci diaktifkan, dinonaktifkan, atau digunakan oleh resource Alur Kerja untuk mengenkripsi dan mendekripsi data. Pastikan bahwa logging diaktifkan untuk Cloud KMS API di project Anda, dan Anda telah memutuskan izin dan peran khusus logging mana yang berlaku untuk kasus penggunaan Anda. Untuk informasi selengkapnya, lihat Informasi logging audit Cloud KMS.

Membuat key ring dan kunci Cloud KMS

Anda dapat membuat key ring baru atau menggunakan key ring yang sudah ada. Dalam key ring, Anda dapat menambahkan kunci baru atau menggunakan kunci yang ada.

1. Buat key ring.

2. Membuat kunci untuk key ring yang ditentukan.

Mengambil ID resource untuk kunci Cloud KMS

ID resource untuk kunci Cloud KMS diperlukan saat Anda mengaktifkan CMEK untuk alur kerja. Dalam dokumen ini, lihat Mengaktifkan CMEK untuk alur kerja.

Memberi agen layanan Workflows akses ke kunci

Anda harus memberikan peran Identity and Access Management (IAM) Pengenkripsi/Pendekripsi CryptoKey Cloud KMS kepada agen layanan Alur Kerja agar dapat mengakses kunci Cloud KMS:

gcloud kms keys add-iam-policy-binding KEY_NAME \
    --keyring RING_NAME \
    --location LOCATION \
    --member serviceAccount:service-PROJECT_NUMBER@gcp-sa-workflows.iam.gserviceaccount.com \
    --role roles/cloudkms.cryptoKeyEncrypterDecrypter

Selama agen layanan memiliki peran roles/cloudkms.cryptoKeyEncrypterDecrypter, alur kerja dalam project Anda dapat mengenkripsi dan mendekripsi datanya menggunakan kunci CMEK. Jika Anda mencabut peran ini, atau jika Anda menonaktifkan atau menghancurkan kunci CMEK, data tersebut tidak dapat diakses. Dalam dokumen ini, lihat Menonaktifkan Cloud KMS.

Mengaktifkan CMEK untuk alur kerja

Saat membuat alur kerja atau memperbaruinya, Anda dapat menentukan kunci Cloud KMS yang harus digunakan oleh alur kerja untuk enkripsi data.

gcloud workflows deploy WORKFLOW_NAME \
    --source=SOURCE_FILE \
    --kms-key=KEY \
    --location LOCATION \
    --service-account=SERVICE_ACCOUNT

Perhatikan hal berikut:

• Revisi dan eksekusi alur kerja dienkripsi dengan kunci yang ditentukan pada saat deployment; resource yang sebelumnya dienkripsi dengan kunci sebelumnya tetap dienkripsi dengan kunci sebelumnya tersebut. Jika alur kerja kemudian diedit dan kunci baru ditentukan, revisi alur kerja tersebut akan dienkripsi dengan kunci baru, dan eksekusi berikutnya akan menggunakan kunci baru.
• Revisi dan eksekusi alur kerja yang sebelumnya dienkripsi non-CMEK tetap tidak diekripsi.
• Jika Anda menonaktifkan CMEK untuk revisi alur kerja, eksekusi berikutnya akan dibuat tanpa enkripsi CMEK. Dalam dokumen ini, lihat Menonaktifkan CMEK untuk alur kerja. Revisi dan eksekusi alur kerja yang ada tetap dienkripsi dengan kunci yang sebelumnya digunakan untuk mengenkripsi.

Memverifikasi integrasi Cloud KMS

Anda dapat memverifikasi integrasi CMEK dengan menampilkan metadata untuk alur kerja.

gcloud workflows describe WORKFLOW_NAME \
    --location=LOCATION

createTime: '2022-08-10T19:57:58.233177709Z'
cryptoKeyName: projects/PROJECT_NAME/locations/LOCATION/keyRings/RING_NAME/cryptoKeys/KEY_NAME
name: projects/PROJECT_NAME/locations/LOCATION/workflows/WORKFLOW_NAME
revisionCreateTime: '2022-11-18T19:44:04.933633237Z'
revisionId: 000009-8be
serviceAccount: projects/PROJECT_NAME/serviceAccounts/SA_NAME@PROJECT_NAME.iam.gserviceaccount.com
sourceContents:
[...]
state: ACTIVE
updateTime: '2022-11-18T19:44:05.171793128Z'

Menonaktifkan CMEK untuk alur kerja

Anda dapat menonaktifkan CMEK untuk alur kerja sehingga tidak lagi menggunakan kunci Cloud KMS terkait.

gcloud workflows deploy WORKFLOW_NAME \
    --source=SOURCE_FILE \
    --clear-kms-key \
    --service-account=SERVICE_ACCOUNT

Tindakan ini akan menonaktifkan CMEK untuk revisi alur kerja saat ini dan eksekusi berikutnya akan dibuat tanpa enkripsi CMEK. Revisi dan eksekusi alur kerja yang ada tetap dienkripsi dengan kunci yang sebelumnya mengenkripsinya.

Menonaktifkan Cloud KMS

Jika ingin mencabut akses data ke alur kerja atau eksekusi alur kerja, Anda dapat melakukan salah satu tindakan berikut untuk menonaktifkan Cloud KMS:

• Nonaktifkan atau hancurkan versi kunci utama dari kunci enkripsi yang dikelola pelanggan. Menonaktifkan versi kunci CMEK akan menangguhkan akses ke semua data yang dilindungi oleh versi kunci tersebut. Menghancurkan versi kunci adalah tindakan permanen yang setara dengan tindakan ini. Keduanya hanya memengaruhi alur kerja dan eksekusi alur kerja yang terkait dengan kunci tertentu. Anda tidak dapat membuat eksekusi baru atau melihat resource yang terkait dengan kunci yang dinonaktifkan atau dihancurkan. Setiap eksekusi aktif akan gagal dengan pesan error yang sesuai.

• Cabut peran IAM cloudkms.cryptoKeyEncrypterDecrypter dari agen layanan Alur Kerja. Hal ini memengaruhi semua alur kerja dalam project Google Cloud yang mendukung enkripsi menggunakan CMEK. Anda tidak dapat membuat alur kerja dan eksekusi baru yang terintegrasi dengan CMEK, atau melihat resource yang dienkripsi CMEK. Setiap eksekusi aktif akan gagal dengan pesan error yang sesuai.

Meskipun kedua operasi tersebut tidak menjamin pencabutan akses secara instan, perubahan IAM umumnya diterapkan lebih cepat. Untuk mengetahui informasi selengkapnya, baca Konsistensi resource Cloud KMS dan Penerapan perubahan akses.

Pemecahan masalah

Anda mungkin mengalami error saat menggunakan Cloud KMS dengan Alur Kerja. Tabel berikut menjelaskan berbagai masalah dan cara mengatasinya.

Cara penanganan status kunci yang tidak tersedia

Jika karena alasan tertentu Cloud KMS tidak tersedia, Alur Kerja mungkin tidak dapat mengambil status kunci Anda dari Cloud KMS.

Jika status kunci tidak tersedia, alur kerja atau eksekusinya akan menampilkan nilai state: UNAVAILABLE dan detail terkait di kolom stateError.

Jika status kunci tidak tersedia selama eksekusi alur kerja (misalnya, izin dicabut selama callback), error runtime akan terjadi, yang menampilkan nilai state: FAILED, dan detail terkait di kolom error.

Harga

Integrasi ini tidak menimbulkan biaya tambahan di luar operasi utama, yang ditagih ke project Google Cloud Anda. Untuk mengetahui informasi harga saat ini, lihat harga Cloud KMS.