Configurar justificativas de acesso às chaves com o Cloud KMS e o Cloud HSM

Console

1. No console Google Cloud , acesse a página Gerenciamento de chaves.

   Acessar "Gerenciamento de chaves"

2. Clique no nome do keyring em que você quer criar a chave.

3. Clique em Criar chave.

4. Em Nome da chave, insira um nome para a chave.

5. Em Nível de proteção, selecione Software ou HSM.

6. Continue selecionando as configurações conforme necessário.

7. Em Configurações adicionais, selecione Definir política de justificativa de acesso à chave e Motivos de justificativa permitidos.

8. Em Motivos de justificativa, selecione Acesso iniciado pelo cliente, Operação do sistema iniciada pelo Google e outros códigos de motivo que você quer permitir. O acesso iniciado pelo cliente e a operação do sistema iniciada pelo Google são essenciais para o funcionamento normal.

9. Clique em Criar.

REST

Crie uma chave e uma política usando o método cryptoKeys.create:

POST https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys?crypto_key_id=KEY_NAME

Na solicitação, substitua os seguintes valores de marcador:

• PROJECT_ID: o ID do projeto que contém o keyring em que você quer adicionar uma chave. Por exemplo, 919698201234.
• LOCATION: a localização do keyring, por exemplo, asia-northeast1.
• KEY_RING: o nome do keyring especificado ao criar o projeto de gerenciamento de chaves e o keyring da pasta do Assured Workloads.
• KEY_NAME: o nome da chave do HSM que você quer criar. Por exemplo, my-hsm-key.

Corpo da solicitação:

{
  "purpose": "PURPOSE",
  "versionTemplate": {
    "protectionLevel": "PROTECTION_LEVEL",
    "algorithm": "ALGORITHM"
  },
  "keyAccessJustificationsPolicy": {
    "allowedAccessReasons": [
      ALLOWED_ACCESS_REASONS
    ]
  }
}

No corpo da solicitação, substitua os seguintes valores de marcador:

• PURPOSE: a finalidade da chave. Para conferir uma lista de finalidades de chave, consulte Finalidades de chave, por exemplo, ENCRYPT_DECRYPT.
• PROTECTION_LEVEL: o nível de proteção da chave. Por exemplo, SOFTWARE ou HSM.
• ALGORITHM: o algoritmo criptográfico a ser usado. Para conferir uma lista de algoritmos disponíveis, consulte Algoritmos do Cloud KMS, por exemplo, GOOGLE_SYMMETRIC_ENCRYPTION.
• ALLOWED_ACCESS_REASONS: a política de justificativas de acesso a chaves que define zero ou mais códigos de justificativa permitidos para acessar a chave de criptografia, por exemplo, ["CUSTOMER_INITIATED_ACCESS", "GOOGLE_INITIATED_SYSTEM_OPERATION"].

O exemplo de solicitação e corpo de solicitação a seguir cria uma chave do Cloud HSM que permite justificativas de acesso apenas por alguns motivos:

POST https://cloudkms.googleapis.com/v1/projects/919698201234/locations/asia-northeast1/keyRings/my-key-ring/cryptoKeys?crypto_key_id=my-hsm-key

{
  "purpose": "ENCRYPT_DECRYPT",
  "versionTemplate": {
    "protectionLevel": "HSM",
    "algorithm": "GOOGLE_SYMMETRIC_ENCRYPTION"
  },
  "keyAccessJustificationsPolicy": {
    "allowedAccessReasons": [
      "CUSTOMER_INITIATED_ACCESS",
      "GOOGLE_INITIATED_SYSTEM_OPERATION"
    ]
  }
}

Console

1. No console Google Cloud , acesse a página Gerenciamento de chaves.

   Acessar "Gerenciamento de chaves"

2. Clique no nome do keyring em que você criou a chave.

3. Clique no nome da chave para a qual você quer atualizar a política de justificativas de acesso às chaves.

4. Clique em Editar política de justificativas de acesso às chaves.

5. Escolha uma destas opções:

   • Para desativar a política de justificativas de acesso às chaves, desmarque a caixa de seleção Definir política de justificativa de acesso às chaves.

   • Para mudar os motivos de justificativa permitidos, clique na caixa Motivos de justificativa e selecione ou desmarque os códigos de motivo conforme necessário. O acesso iniciado pelo cliente e a operação do sistema iniciada pelo Google são essenciais para o funcionamento normal.

   • Para negar todos os códigos de motivo, selecione Negar todos os códigos de motivo (não recomendado). Isso impede que a chave seja usada mesmo que ela esteja ativada e o solicitante tenha as permissões necessárias.

6. Clique em Salvar.

REST

Atualize uma chave atual no Cloud KMS usando o método cryptoKeys.patch:

PATCH https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME?update_mask=keyAccessJustificationsPolicy

Na solicitação, substitua os seguintes valores de marcador:

• PROJECT_ID: o ID do projeto que contém o keyring da chave, por exemplo, 919698201234.
• LOCATION: a localização do keyring, por exemplo, asia-northeast1.
• KEY_RING: o nome do keyring especificado ao criar o projeto de gerenciamento de chaves e o keyring da pasta do Assured Workloads.
• KEY_NAME: o nome da chave que você quer atualizar.

Corpo da solicitação:

{
  "purpose": "PURPOSE",
  "versionTemplate": {
    "protectionLevel": "PROTECTION_LEVEL",
    "algorithm": "ALGORITHM"
  },
  "keyAccessJustificationsPolicy": {
    "allowedAccessReasons": [
      ALLOWED_ACCESS_REASONS
    ]
  }
}

No corpo da solicitação, substitua os seguintes valores de marcador:

• PURPOSE: a finalidade da chave. Para conferir uma lista de finalidades de chave, consulte Finalidades de chave, por exemplo, ENCRYPT_DECRYPT.
• PROTECTION_LEVEL: o nível de proteção da chave. Por exemplo, SOFTWARE ou HSM.
• ALGORITHM: o algoritmo criptográfico a ser usado. Para conferir uma lista de algoritmos disponíveis, consulte Algoritmos do Cloud KMS, por exemplo, GOOGLE_SYMMETRIC_ENCRYPTION.
• ALLOWED_ACCESS_REASONS: a política de justificativas de acesso a chaves que define zero ou mais códigos de justificativa permitidos para acessar a chave de criptografia, por exemplo, ["CUSTOMER_INITIATED_ACCESS", "GOOGLE_INITIATED_SYSTEM_OPERATION"].

O exemplo de solicitação e corpo de solicitação a seguir permite justificativas de acesso por alguns motivos:

PATCH https://cloudkms.googleapis.com/v1/projects/919698201234/locations/asia-northeast1/keyRings/my-key-ring/cryptoKeys/my-hsm-key?keyAccessJustificationsPolicy

{
  "purpose": "ENCRYPT_DECRYPT",
  "versionTemplate": {
    "protectionLevel": "HSM",
    "algorithm": "GOOGLE_SYMMETRIC_ENCRYPTION"
  },
  "keyAccessJustificationsPolicy": {
    "allowedAccessReasons": [
      "CUSTOMER_INITIATED_ACCESS",
      "GOOGLE_INITIATED_SYSTEM_OPERATION"
    ]
  }
}

REST

Receba metadados sobre uma chave atual no Cloud KMS usando o método cryptoKeys.get:

GET https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME

Nos parâmetros da solicitação, substitua os seguintes valores de marcador pelos seus:

• PROJECT_ID: o ID do projeto que contém o keyring da chave, por exemplo, 919698201234.
• LOCATION: a localização do keyring, por exemplo, asia-northeast1.
• KEY_RING: o nome do keyring especificado ao criar o projeto de gerenciamento de chaves e o keyring da pasta do Assured Workloads. Por exemplo, my-key-ring.
• KEY_NAME: o nome da chave que você quer receber.

A solicitação de exemplo a seguir recebe metadados sobre uma chave no Cloud KMS:

GET https://cloudkms.googleapis.com/v1/projects/919698201234/locations/asia-northeast1/keyRings/my-key-ring/cryptoKeys/my-hsm-key

O corpo da resposta contém metadados sobre sua chave, incluindo o keyAccessJustificationsPolicy. Exemplo:

{
  "purpose": "ENCRYPT_DECRYPT",
  "versionTemplate": {
    "protectionLevel": "HSM",
    "algorithm": "GOOGLE_SYMMETRIC_ENCRYPTION"
  },
  "keyAccessJustificationsPolicy": {
    "allowedAccessReasons": [
      "CUSTOMER_INITIATED_ACCESS",
      "GOOGLE_INITIATED_SYSTEM_OPERATION"
    ]
  }
}