Verschlüsselungsschlüssel für einen Server einrichten

Sie können Verschlüsselungsschlüssel einrichten, um Ihre Serverpasswörter zu verschlüsseln. Diese Schlüssel sind vom Kunden verwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK), die Sie mit Cloud Key Management Service (Cloud KMS) verwalten können. Sie können sie beim Bereitstellen eines neuen Servers oder beim Neuaufsetzen eines vorhandenen Servers festlegen. Sie können einen Verschlüsselungsschlüssel mit mehreren Servern verwenden.

Die Verwendung eines Verschlüsselungsschlüssels ist optional. Wenn Sie jedoch einen Verschlüsselungsschlüssel eingerichtet haben, müssen Sie ihn verwenden. Diese Einstellung kann nicht geändert werden. Sie können den Schlüssel oder seine Version jedoch ändern.

Diese Funktion ist nur für die von der Bare-Metal-Lösung unterstützten Linux-Betriebssysteme verfügbar.

Hinweise

  1. Erstellen Sie mit Cloud KMS einen Verschlüsselungsschlüssel.

    So erstellen Sie einen Verschlüsselungsschlüssel:

    1. Aktivieren Sie die Cloud KMS API in dem Projekt, in dem Sie den Schlüssel erstellen möchten.

      Dies ist nur einmal pro Projekt erforderlich.

    2. Weisen Sie Ihrem Bare-Metal-Lösung-Dienstkonto die folgenden Rollen zu. Dies ist nur einmal pro Projekt erforderlich.

      • roles/cloudkms.viewer: Prüfen Sie, ob die CryptoKeyVersion verwendet werden kann.
      • roles/cloudkms.publicKeyViewer: Einen öffentlichen Schlüssel abrufen.

      Informationen zum Zuweisen von Rollen finden Sie unter Rollen für eine Ressource zuweisen.

      Verwenden Sie den Befehl gcloud projects add-iam-policy-binding, um diese Rollen zuzuweisen.

      gcloud projects add-iam-policy-binding KMS_PROJECT_ID \
--member serviceAccount:service-PROJECT_NUMBER@gcp-sa-bms.iam.gserviceaccount.com \
--role roles/cloudkms.publicKeyViewer

      gcloud projects add-iam-policy-binding KMS_PROJECT_ID \
--member serviceAccount:service-PROJECT_NUMBER@gcp-sa-bms.iam.gserviceaccount.com \
--role roles/cloudkms.viewer

      Ersetzen Sie Folgendes:

      • KMS_PROJECT_ID: das Projekt, das Ihren Cloud KMS-Schlüssel enthält
      • PROJECT_NUMBER: Das Projekt, das Ihren Bare-Metal-Lösungsserver enthält

    3. Asymmetrischen Entschlüsselungsschlüssel erstellen

      Sie können beliebig viele Schlüssel und Versionen erstellen.

Verschlüsselungsschlüssel beim Bereitstellen eines Servers einrichten

Sie können einen Verschlüsselungsschlüssel für einen neuen Bare-Metal-Lösungsserver einrichten, während Sie ihn über das Google Cloud -Konsolen-Aufnahmeformular bereitstellen.

Informationen zum Einrichten eines Verschlüsselungsschlüssels beim Bereitstellen eines Servers finden Sie unter Aufnahmeformular der Google Cloud Console verwenden, um Ihre Auswahl einzugeben.

Verschlüsselungsschlüssel beim Reimaging eines Servers einrichten

Informationen zum Einrichten von Verschlüsselungsschlüsseln beim Reimaging eines Servers finden Sie unter Betriebssystem eines Servers ändern.

Verschlüsselungsschlüssel und Passwörter eines Servers ansehen

So rufen Sie Verschlüsselungsschlüssel und Passwörter eines Servers auf:

Console

  1. Rufen Sie die Seite Server auf.

    Zu „Server“

  2. Klicken Sie auf den Servernamen.

    Sehen Sie sich auf der Seite Serverdetails den Verschlüsselungsschlüssel im Feld Verschlüsselungsschlüssel für Passwörter an.

  3. Wenn Sie Nutzerkonten und die entsprechenden verschlüsselten Passwörter aufrufen möchten, gehen Sie zum Bereich Nutzerkonten.

gcloud

Führen Sie den Befehl gcloud alpha bms instances auth-info aus:

gcloud alpha bms instances auth-info SERVER_NAME --project=PROJECT_ID --region=REGION

Ersetzen Sie Folgendes:

  • SERVER_NAME: Der Name des Bare-Metal-Lösungsservers
  • PROJECT_ID: die ID des Projekts.
  • REGION: die Region des Bare-Metal-Lösungsservers

Passwort entschlüsseln

So rufen Sie das Rohpasswort ab:

  1. Rufen Sie den Geheimtext ab. Führen Sie den Befehl gcloud alpha bms instances auth-info aus.

    gcloud alpha bms instances auth-info SERVER_NAME \
--project=PROJECT_ID \
--region=REGION \
--format='value(userAccounts.USERNAME.ENCRYPTED_PASSWORD_FILE)' | tr -d ' \n' | base64 -d > CIPHERTEXT_FILE

    Ersetzen Sie Folgendes:

    • SERVER_NAME: der Name Ihres Bare-Metal-Lösungsservers
    • PROJECT_ID: die ID Ihres Bare-Metal-Lösungsprojekts
    • REGION: der Standort Ihres Bare-Metal-Lösungsservers
    • USERNAME: Der Nutzername des Kontos, das mit dem Passwort verknüpft ist, das Sie entschlüsseln möchten. Der Wert ist entweder root oder customeradmin.
    • ENCRYPTED_PASSWORD_FILE: die Datei, in der Sie das verschlüsselte Passwort gespeichert haben. Um Probleme mit dem Format des Passworts nach dem Kopieren zu vermeiden, entfernen Sie die Leerzeichen und Zeilenumbrüche ('\n').
    • CIPHERTEXT_FILE: der Name der Chiffretextdatei

    Beispiel:

    gcloud alpha bms instances auth-info my-instance \
--region=europe-west3 \
--project=project-testing \
--format='value(userAccounts.customeradmin.encryptedPassword)' | tr -d ' \n' | base64 -d > ciphertext

    Verwenden Sie den folgenden Befehl, um den Chiffretext aus dem Passwort abzurufen, das aus der Google Cloud Konsole kopiert wurde:

    cat ENCRYPTED_PASSWORD_FILE | tr -d ' \n' | base64 -d > CIPHERTEXT_FILE

    Ersetzen Sie Folgendes:

    • ENCRYPTED_PASSWORD_FILE: die Datei, in der Sie das verschlüsselte Passwort gespeichert haben. Entfernen Sie die Leerzeichen und Zeilenumbrüche ('\n'), um Probleme mit dem Format des Passworts nach dem Kopieren zu vermeiden.
    • CIPHERTEXT_FILE: der Name der Chiffretextdatei

    Beispiel:

    cat encrypted_password | tr -d ' \n' | base64 -d > ciphertext

  2. Entschlüsseln Sie das Passwort. Folgen Sie der Anleitung unter Daten entschlüsseln.

Nächste Schritte