Usar claves de encriptación administradas por el cliente (CMEK)

Console

No puedes crear un agente de servicio en la consola de Google Cloud. Sin embargo, si creas tu clave en la consola de Google Cloud, se te solicitará que otorgues el rol Cloud KMS Encrypter/Decrypter, y el agente de servicio se creará en ese momento si aún no existe.

gcloud

1. Ejecuta el comando de creación de identidades de servicios de gcloud a fin de ver el agente de servicio que Bigtable usa para acceder a la clave CMEK en tu nombre. Este comando crea la cuenta de servicio si aún no existe y, luego, la muestra.

   gcloud beta services identity create \
       --service=bigtableadmin.googleapis.com \
       --project CBT_PROJECT
   

   Reemplaza CBT_PROJECT por el proyecto que contiene tus recursos de Bigtable.

   El comando muestra el ID del agente de servicio, que tiene el formato de una dirección de correo electrónico. Registra la string de correo electrónico de salida, ya que la usarás en un paso posterior.

   Service identity created:
   service-xxx@gcp-sa-bigtable.iam.gserviceaccount.com
   

Console

Para otorgar una función de Cloud KMS a tu agente de servicio, haz lo siguiente. También puedes otorgar permiso a nivel de la clave o del llavero de claves si deseas reducir el nivel de detalle.

1. En la consola de Google Cloud, ve a la página IAM.

   Ir a la página IAM

2. Haga clic en Add.

3. Ingresa el ID con formato de correo electrónico para tu agente de servicio de Bigtable.

4. Selecciona la función Encriptador/Desencriptador de CryptoKey de Cloud KMS.

5. Haz clic en Guardar.

gcloud

1. Otorga la función cloudkms.cryptoKeyEncrypterDecrypter al agente de servicio:

   gcloud kms keys add-iam-policy-binding KMS_KEY \
       --keyring KMS_KEYRING\
       --location KMS_LOCATION \
       --member serviceAccount:SERVICE_ACCOUNT_EMAIL \
       --role roles/cloudkms.cryptoKeyEncrypterDecrypter \
       --project KMS_PROJECT
   

   Proporcione lo siguiente:

   • KMS_KEY: es el nombre que le asignaste a la clave
   • KMS_KEYRING: es el llavero de claves de KMS que contiene la clave
   • KMS_LOCATION: la región que contiene el llavero de claves
   • SERVICE_ACCOUNT_EMAIL: es el identificador con formato de correo electrónico para el agente de servicio al que le otorgas acceso
   • KMS_PROJECT: el proyecto que contiene la clave

Console

1. Ve a la página Instancias de Bigtable en la consola de Google Cloud.

   Abrir la lista de instancias

2. Haz clic en el nombre de la instancia que contiene la tabla para abrir la página Detalles de la instancia y ver la lista de clústeres en la instancia.

3. Junto al ID de clúster, haz clic en nombre de la clave en Clave de encriptación para ver la página Versiones de la clave del clúster.

gcloud

Para cada clúster, puedes confirmar su configuración de CMEK de la siguiente manera:

    gcloud bigtable clusters describe CLUSTER_ID \
        --instance INSTANCE_ID --project CBT_PROJECT

Proporcione lo siguiente:

• CLUSTER_ID: el identificador permanente del clúster
• INSTANCE_ID: el identificador permanente de la instancia.
• CBT_PROJECT: el proyecto que contiene tus recursos de Bigtable

El comando muestra un resultado similar al siguiente:

    defaultStorageType: SSD
    encryptionConfig:
      kmsKeyName: projects/cloud-kms-project/locations/us-central1/keyRings/cloud-bigtable-keys/cryptoKeys/my-cmek-key
    location: projects/cloud-bigtable-project/locations/us-central1-a
    name: projects/cloud-bigtable-project/instances/cmek-test-instance/clusters/my-cluster
    serveNodes: 1
    state: READY

Console

Este es el método recomendado. Usar la consola de Google Cloud te permite inhabilitar todas las versiones de una clave a la vez.

Sigue estas instrucciones para cada versión de clave.

gcloud

Te recomendamos que uses la consola de Google Cloud para inhabilitar las claves. Si deseas usar Google Cloud CLI en su lugar, ejecuta los siguientes comandos.

1. Enumera todas las versiones de la clave de CMEK:

   gcloud kms keys versions list --key KMS_KEY \
       --keyring KMS_KEYRING --location KMS_LOCATION \
       --project KMS_PROJECT
   

   Proporcione lo siguiente:

   • KMS_KEY: es el nombre de la clave CMEK
   • KMS_KEYRING: es el llavero de claves de KMS que contiene la clave
   • KMS_LOCATION: la región que contiene el llavero de claves
   • KMS_PROJECT: el proyecto que contiene la clave

   El resultado es similar al siguiente:

   NAME                                  STATE
   KMS_KEY_NAME/cryptoKeyVersions/1      ENABLED
   KMS_KEY_NAME/cryptoKeyVersions/2      ENABLED
   KMS_KEY_NAME/cryptoKeyVersions/3      ENABLED
   KMS_KEY_NAME/cryptoKeyVersions/4      ENABLED
   

2. Inhabilita todas las versiones:

   for $KV in 1 2 3 4;
   do
   gcloud kms keys versions disable KV --key KMS_KEY \
       --keyring KMS_KEYRING --location KMS_LOCATION \
       --project KMS_PROJECT;
   done
   

   Proporcione lo siguiente:

   • 1 2 3 4: son las versiones que inhabilitas
   • KMS_KEY: es el nombre de la clave CMEK
   • KMS_KEYRING: es el llavero de claves de KMS que contiene la clave
   • KMS_LOCATION: la región que contiene el llavero de claves
   • KMS_PROJECT: el proyecto que contiene la clave

   Si haces una lista de todas las versiones de la clave otra vez, el estado se cambiará a DISABLED, aunque Bigtable puede tardar hasta 4 horas en actuar ante este cambio de estado.

3. (Opcional) Para confirmar el estado de una CMEK inhabilitada después de haber esperado 4 horas, ejecuta el siguiente comando:

    gcloud bigtable instances tables describe TABLE_ID \
        --instance INSTANCE_ID --view ENCRYPTION \
        --project CBT_PROJECT
   

   Proporcione lo siguiente:

   • TABLE_ID: el identificador permanente de la tabla
   • INSTANCE_ID: el identificador permanente de la instancia.
   • CBT_PROJECT: el proyecto que contiene tus recursos de Bigtable

   El comando muestra un resultado similar al siguiente:

   clusterStates:
     CLUSTER:
       encryptionInfo:
       - encryptionStatus:
           code: 9
           details:
           - '@type': type.googleapis.com/google.rpc.PreconditionFailure
             violations:
             - subject: KMS_KEY_NAME/cryptoKeyVersions/<int>
               type: KEY_DISABLED
           message: KMS_KEY_NAME is not enabled, current state is: DISABLED.
         encryptionType: CUSTOMER_MANAGED_ENCRYPTION
         kmsKeyVersion: KMS_KEY_NAME/cryptoKeyVersions/<int>
   name: projects/CBT_PROJECT/instances/INSTANCE/tables/TABLE
   

4. (Opcional) Para verificar que los clústeres en la instancia estén inhabilitados, ejecuta el siguiente comando:

   gcloud bigtable clusters list --instances INSTANCE_ID
       --project CBT_PROJECT
   

   Proporcione lo siguiente:

   • INSTANCE_ID: el identificador permanente de la instancia.
   • CBT_PROJECT: el proyecto que contiene tus recursos de Bigtable

   El comando muestra un resultado similar al siguiente:

   NAME              ZONE           NODES  STORAGE    STATE
   my-cluster        us-central1-a  1      SSD        DISABLED
   my-other-cluster  us-central1-b  1      SSD        DISABLED
   

Console

Este es el método recomendado. La consola de Google Cloud te permite habilitar todas las versiones de una clave a la vez.

Sigue estas instrucciones para cada versión de clave.

gcloud

Te recomendamos usar la consola de Google Cloud para habilitar claves. Si deseas usar Google Cloud CLI en su lugar, ejecuta los siguientes comandos.

1. Consulta la lista de versiones para identificar todas las versiones de la clave:

   gcloud kms keys versions list --key KMS_KEY \
       --keyring KMS_KEYRING --location KMS_LOCATION \
       --project KMS_PROJECT
   

   Proporcione lo siguiente:

   • KMS_KEY: es el nombre de la clave CMEK
   • KMS_KEYRING: es el llavero de claves de KMS que contiene la clave
   • KMS_LOCATION: la región que contiene el llavero de claves
   • KMS_PROJECT: el proyecto que contiene la clave

   El comando muestra un resultado similar al siguiente:

   NAME                                  STATE
   KMS_KEY_NAME/cryptoKeyVersions/1      DISABLED
   KMS_KEY_NAME/cryptoKeyVersions/2      DISABLED
   KMS_KEY_NAME/cryptoKeyVersions/3      DISABLED
   KMS_KEY_NAME/cryptoKeyVersions/4      DISABLED
   

   Ejecuta el comando kms keys versions enable y proporciona todas las versiones que se enumeran. Con el resultado de ejemplo, el comando es similar al siguiente:

   for $KV in 1 2 3 4;
   do
   gcloud kms keys versions enable KV --key KMS_KEY \
       --keyring KMS_KEYRING --location KMS_LOCATION \
       --project KMS_PROJECT;
   done
   

   Proporcione lo siguiente:

   • 1 2 3 4: son las versiones que inhabilitas
   • KMS_KEY: es el nombre de la clave CMEK
   • KMS_KEYRING: es el llavero de claves de KMS que contiene la clave
   • KMS_LOCATION: la región que contiene el llavero de claves
   • KMS_PROJECT: el proyecto que contiene la clave

   Enumerar las versiones de clave otra vez muestra su estado invertido en ENABLED.

Console

No puedes ver el estado de encriptación de una tabla en la consola de Google Cloud.

gcloud

Para ver los detalles de CMEK en una tabla, configura view como ENCRYPTION o FULL. La respuesta incluye la versión de clave en uso y su estado, tal como lo ve Bigtable.

    gcloud alpha bigtable instances tables describe TABLE_ID \
        --instance INSTANCE_ID --view ENCRYPTION \
        --project CBT_PROJECT

Proporcione lo siguiente:

• TABLE_ID: el identificador permanente del clúster
• INSTANCE_ID: el identificador permanente de la instancia que contiene la copia de seguridad
• CBT_PROJECT: el proyecto que contiene tus recursos de Bigtable

El comando muestra un resultado similar al siguiente:

    clusterStates:
      my-cluster:
        encryptionInfo:
        - encryptionStatus: {}
          encryptionType: CUSTOMER_MANAGED_ENCRYPTION
          kmsKeyVersion: KMS_KEY_NAME/cryptoKeyVersions/4
      my-other-cluster:
        encryptionInfo:
        - encryptionStatus: {}
          encryptionType: CUSTOMER_MANAGED_ENCRYPTION
          kmsKeyVersion: KMS_KEY_NAME/cryptoKeyVersions/4
      name: projects/cloud-bigtable-project/instances/cmek-test-instance/tables/my-table

Console

1. Ve a la página Instancias de Bigtable en la consola de Google Cloud.

   Abrir la lista de instancias

2. Haz clic en el nombre de la instancia para abrir la página Detalles de la instancia.

3. En el panel de navegación izquierdo, haz clic en Copias de seguridad.

El nombre y la versión de clave de cada copia de seguridad se enumeran en Clave administrada por el cliente.

gcloud

Ejecuta el siguiente comando para ver información de encriptación de una copia de seguridad.

    gcloud alpha bigtable backups describe BACKUP_ID \
        --instance INSTANCE_ID --cluster CLUSTER_ID \
        --project CBT_PROJECT

Proporcione lo siguiente:

• BACKUP_ID: el ID asignado a la copia de seguridad
• CLUSTER_ID: el identificador permanente del clúster
• INSTANCE_ID: el identificador permanente de la instancia que contiene la copia de seguridad
• CBT_PROJECT: el proyecto que contiene tus recursos de Bigtable

El comando muestra un resultado similar al siguiente: kmsKeyVersion es la versión de la clave CMEK a la que se fija la copia de seguridad. No se informa el estado de la versión de clave.

    encryptionInfo:
      encryptionStatus:
        code: 2
        message: Status of the associated key version is not tracked.
      encryptionType: CUSTOMER_MANAGED_ENCRYPTION
      kmsKeyVersion: KMS_KEY_NAME/cryptoKeyVersions/3
    endTime: '2020-09-01T00:03:26.568600Z'
    expireTime: '2020-09-02T00:03:25.436473Z'
    name: projects/cloud-bigtable-project/instances/cmek-test-instance/clusters/my-cluster/backups/my-backup
    sizeBytes: '3780'