Configurar claves de cifrado para un servidor

Puedes configurar claves de cifrado para cifrar las contraseñas de tu servidor. Estas claves son claves de encriptado gestionadas por el cliente (CMEK) que puedes gestionar con Cloud Key Management Service (Cloud KMS). Puedes configurarlos al aprovisionar un servidor nuevo o al restaurar la imagen de uno que ya tengas. Puedes usar una clave de cifrado con varios servidores.

El uso de una clave de cifrado es opcional. Sin embargo, una vez que configures una clave de cifrado, tendrás que usarla. No podrás cambiar este ajuste más adelante. Sin embargo, puedes cambiar la clave o su versión.

Esta función solo está disponible para los sistemas operativos Linux compatibles con la solución Bare Metal.

Antes de empezar

1. Crea una clave de encriptado con Cloud KMS.

   Para crear una clave de cifrado, sigue estos pasos:

   1. En el proyecto en el que quieras crear la clave, habilita la API Cloud KMS.

      Solo tienes que hacerlo una vez por proyecto.

   2. Asigna los siguientes roles a tu cuenta de servicio de Bare Metal Solution. Solo tienes que hacerlo una vez por proyecto.

      • roles/cloudkms.viewer: comprueba que el CryptoKeyVersion se puede usar.
      • roles/cloudkms.publicKeyViewer: obtener una clave pública.

      Para saber cómo asignar un rol, consulta Asignar roles a un recurso.

      Para asignar estos roles, usa el comando gcloud projects add-iam-policy-binding.

      gcloud projects add-iam-policy-binding KMS_PROJECT_ID \
      --member serviceAccount:service-PROJECT_NUMBER@gcp-sa-bms.iam.gserviceaccount.com \
      --role roles/cloudkms.publicKeyViewer
      

      gcloud projects add-iam-policy-binding KMS_PROJECT_ID \
      --member serviceAccount:service-PROJECT_NUMBER@gcp-sa-bms.iam.gserviceaccount.com \
      --role roles/cloudkms.viewer
      

      Haz los cambios siguientes:

      • KMS_PROJECT_ID: el proyecto que contiene tu clave de Cloud KMS
      • PROJECT_NUMBER: el proyecto que contiene tu servidor de solución Bare Metal

   3. Crea una clave de descifrado asimétrica.

      Puedes crear tantas claves y versiones como necesites.

Configurar claves de cifrado al aprovisionar un servidor

Puedes configurar una clave de cifrado para un nuevo servidor de Bare Metal Solution mientras lo aprovisionas a través del Google Cloud formulario de solicitud de la consola.

Para configurar una clave de cifrado al aprovisionar un servidor, consulta Usar el formulario de entrada de la consola para introducir tus selecciones Google Cloud .

Configurar claves de cifrado al restaurar la imagen de un servidor

Para configurar las claves de cifrado al restaurar la imagen de un servidor, consulta Cambiar el SO de un servidor.

Ver las claves de cifrado y las contraseñas de un servidor

Para ver las claves de cifrado y las contraseñas de un servidor, sigue estos pasos:

gcloud alpha bms instances auth-info SERVER_NAME --project=PROJECT_ID --region=REGION

Descifrar una contraseña

Para obtener la contraseña sin cifrar, sigue estos pasos:

1. Obtén el texto cifrado. Usa el comando gcloud alpha bms instances auth-info.

   gcloud alpha bms instances auth-info SERVER_NAME \
   --project=PROJECT_ID \
   --region=REGION \
   --format='value(userAccounts.USERNAME.ENCRYPTED_PASSWORD_FILE)' | tr -d ' \n' | base64 -d > CIPHERTEXT_FILE
   

   Haz los cambios siguientes:

   • SERVER_NAME: el nombre de tu servidor de Bare Metal Solution
   • PROJECT_ID: el ID de tu proyecto de Bare Metal Solution
   • REGION: la ubicación de tu servidor de Bare Metal Solution
   • USERNAME: el nombre de usuario de la cuenta asociada a la contraseña que quieras descifrar. El valor es root o customeradmin.
   • ENCRYPTED_PASSWORD_FILE: el archivo en el que has guardado la contraseña cifrada. Para evitar problemas con el formato de la contraseña después de copiarla, elimina los espacios y los caracteres de nueva línea ('\n').
   • CIPHERTEXT_FILE: el nombre del archivo de texto cifrado

   Ejemplo:

   gcloud alpha bms instances auth-info my-instance \
   --region=europe-west3 \
   --project=project-testing \
   --format='value(userAccounts.customeradmin.encryptedPassword)' | tr -d ' \n' | base64 -d > ciphertext
   

   Para obtener el texto cifrado de la contraseña copiada de la consola de Google Cloud , usa el siguiente comando:

   cat ENCRYPTED_PASSWORD_FILE | tr -d ' \n' | base64 -d > CIPHERTEXT_FILE
   

   Haz los cambios siguientes:

   • ENCRYPTED_PASSWORD_FILE: el archivo en el que guardaste la contraseña cifrada. Para evitar problemas con el formato de la contraseña después de copiarla, elimina los espacios y los caracteres de salto de línea ('\n').
   • CIPHERTEXT_FILE: el nombre del archivo de texto cifrado

   Ejemplo:

   cat encrypted_password | tr -d ' \n' | base64 -d > ciphertext
   

2. Descifra la contraseña. Sigue los pasos que se indican en Descifrar datos.

Siguientes pasos

• Operar el servidor de la Solución Bare Metal.
• Comprueba el estado de un servidor.
• Gestionar servidores.