Utiliser des clés de chiffrement gérées par le client (CMEK)

Console

Vous ne pouvez pas créer d'agent de service dans la console Google Cloud. Toutefois, si vous créez votre clé dans la console Google Cloud, vous êtes invité à attribuer le rôle Chiffreur/Déchiffreur Cloud KMS, et s'il n'existe pas encore, l'agent de service est créé à cette étape.

gcloud

1. Exécutez la commande gcloud services identity create pour afficher l'agent de service utilisé par Bigtable pour accéder à la clé CMEK en votre nom. Cette commande crée le compte de service s'il n'existe pas déjà, puis l'affiche.

   gcloud beta services identity create \
       --service=bigtableadmin.googleapis.com \
       --project CBT_PROJECT
   

   Remplacez CBT_PROJECT par le projet contenant vos ressources Bigtable.

   La commande affiche l'ID de l'agent de service, qui est formaté comme une adresse e-mail. Enregistrez la chaîne de l'e-mail de sortie, car vous en aurez besoin à une étape ultérieure.

   Service identity created:
   service-xxx@gcp-sa-bigtable.iam.gserviceaccount.com
   

Console

Pour attribuer un rôle Cloud KMS à votre agent de service, procédez comme suit : Vous pouvez également accorder une autorisation au niveau de la clé ou du trousseau si vous souhaitez bénéficier d'un niveau de précision inférieur.

1. Dans la console Google Cloud, accédez à la page IAM.

   Accédez à la page IAM.

2. Cliquez sur Ajouter.

3. Saisissez l'ID au format adresse e-mail de votre agent de service Bigtable.

4. Sélectionnez le rôle Chiffreur/Déchiffreur de clés cryptographiques Cloud KMS.

5. Cliquez sur Enregistrer.

gcloud

1. Attribuez le rôle cloudkms.cryptoKeyEncrypterDecrypter à votre agent de service :

   gcloud kms keys add-iam-policy-binding KMS_KEY \
       --keyring KMS_KEYRING\
       --location KMS_LOCATION \
       --member serviceAccount:SERVICE_ACCOUNT_EMAIL \
       --role roles/cloudkms.cryptoKeyEncrypterDecrypter \
       --project KMS_PROJECT
   

   Indiquez les éléments suivants :

   • KMS_KEY : nom attribué à la clé.
   • KMS_KEYRING : trousseau de clés KMS contenant la clé.
   • KMS_LOCATION : région contenant le trousseau de clés.
   • SERVICE_ACCOUNT_EMAIL : identifiant au format adresse e-mail de l'agent de service auquel vous accordez l'accès.
   • KMS_PROJECT : projet contenant la clé.

Console

1. Accédez à la page "Instances Bigtable" de la console Google Cloud.

   Ouvrir la liste des instances

2. Cliquez sur le nom de l'instance contenant la table pour ouvrir la page Détails de l'instance et afficher la liste des clusters de l'instance.

3. À côté d'un ID de cluster, cliquez sur le nom de la clé sous Clé de chiffrement pour afficher la page Versions de la clé du cluster.

gcloud

Pour chaque cluster, vous pouvez confirmer sa configuration CMEK comme suit :

    gcloud bigtable clusters describe CLUSTER_ID \
        --instance INSTANCE_ID --project CBT_PROJECT

Indiquez les éléments suivants :

• CLUSTER_ID : identifiant permanent du cluster.
• INSTANCE_ID : identifiant permanent de l'instance.
• CBT_PROJECT : projet contenant vos ressources Bigtable.

La commande affiche un résultat semblable à celui-ci :

    defaultStorageType: SSD
    encryptionConfig:
      kmsKeyName: projects/cloud-kms-project/locations/us-central1/keyRings/cloud-bigtable-keys/cryptoKeys/my-cmek-key
    location: projects/cloud-bigtable-project/locations/us-central1-a
    name: projects/cloud-bigtable-project/instances/cmek-test-instance/clusters/my-cluster
    serveNodes: 1
    state: READY

Console

Cette méthode est recommandée. L'utilisation de la console Google Cloud vous permet de désactiver toutes les versions d'une clé à la fois.

Suivez ces instructions pour chaque version de clé.

gcloud

Nous vous recommandons d'utiliser la console Google Cloud pour désactiver les clés. Si vous préférez utiliser Google Cloud CLI, exécutez les commandes suivantes.

1. Répertoriez toutes les versions de la clé CMEK :

   gcloud kms keys versions list --key KMS_KEY \
       --keyring KMS_KEYRING --location KMS_LOCATION \
       --project KMS_PROJECT
   

   Indiquez les éléments suivants :

   • KMS_KEY : nom de la clé CMEK.
   • KMS_KEYRING : trousseau de clés KMS contenant la clé.
   • KMS_LOCATION : région contenant le trousseau de clés.
   • KMS_PROJECT : projet contenant la clé.

   Le résultat ressemble à ce qui suit :

   NAME                                  STATE
   KMS_KEY_NAME/cryptoKeyVersions/1      ENABLED
   KMS_KEY_NAME/cryptoKeyVersions/2      ENABLED
   KMS_KEY_NAME/cryptoKeyVersions/3      ENABLED
   KMS_KEY_NAME/cryptoKeyVersions/4      ENABLED
   

2. Pour désactiver toutes les versions :

   for $KV in 1 2 3 4;
   do
   gcloud kms keys versions disable KV --key KMS_KEY \
       --keyring KMS_KEYRING --location KMS_LOCATION \
       --project KMS_PROJECT;
   done
   

   Indiquez les éléments suivants :

   • 1 2 3 4 : versions à désactiver.
   • KMS_KEY : nom de la clé CMEK.
   • KMS_KEYRING : trousseau de clés KMS contenant la clé.
   • KMS_LOCATION : région contenant le trousseau de clés.
   • KMS_PROJECT : projet contenant la clé.

   Si vous répertoriez à nouveau toutes les versions de clé, l'état est renvoyé à DISABLED, mais il peut s'écouler jusqu'à quatre heures avant que Bigtable prenne en compte ce changement d'état.

3. [Facultatif] Pour confirmer l'état d'une clé CMEK désactivée au bout de quatre heures, exécutez la commande suivante :

    gcloud bigtable instances tables describe TABLE_ID \
        --instance INSTANCE_ID --view ENCRYPTION \
        --project CBT_PROJECT
   

   Indiquez les éléments suivants :

   • TABLE_ID : identifiant permanent de la table.
   • INSTANCE_ID : identifiant permanent de l'instance.
   • CBT_PROJECT : projet contenant vos ressources Bigtable.

   La commande affiche un résultat semblable à celui-ci :

   clusterStates:
     CLUSTER:
       encryptionInfo:
       - encryptionStatus:
           code: 9
           details:
           - '@type': type.googleapis.com/google.rpc.PreconditionFailure
             violations:
             - subject: KMS_KEY_NAME/cryptoKeyVersions/<int>
               type: KEY_DISABLED
           message: KMS_KEY_NAME is not enabled, current state is: DISABLED.
         encryptionType: CUSTOMER_MANAGED_ENCRYPTION
         kmsKeyVersion: KMS_KEY_NAME/cryptoKeyVersions/<int>
   name: projects/CBT_PROJECT/instances/INSTANCE/tables/TABLE
   

4. [Facultatif] Pour vérifier que les clusters de l'instance sont désactivés, exécutez la commande suivante :

   gcloud bigtable clusters list --instances INSTANCE_ID
       --project CBT_PROJECT
   

   Indiquez les éléments suivants :

   • INSTANCE_ID : identifiant permanent de l'instance.
   • CBT_PROJECT : projet contenant vos ressources Bigtable.

   La commande affiche un résultat semblable à celui-ci :

   NAME              ZONE           NODES  STORAGE    STATE
   my-cluster        us-central1-a  1      SSD        DISABLED
   my-other-cluster  us-central1-b  1      SSD        DISABLED
   

Console

Cette méthode est recommandée. Utiliser la console Google Cloud vous permet d'activer toutes les versions d'une clé à la fois.

Suivez ces instructions pour chaque version de clé.

gcloud

Nous vous recommandons d'activer des clés à l'aide de la console Google Cloud. Si vous préférez utiliser Google Cloud CLI, exécutez les commandes suivantes.

1. Pour afficher la liste des versions en vue de l'identification de toutes les versions de la clé :

   gcloud kms keys versions list --key KMS_KEY \
       --keyring KMS_KEYRING --location KMS_LOCATION \
       --project KMS_PROJECT
   

   Indiquez les éléments suivants :

   • KMS_KEY : nom de la clé CMEK.
   • KMS_KEYRING : trousseau de clés KMS contenant la clé.
   • KMS_LOCATION : région contenant le trousseau de clés.
   • KMS_PROJECT : projet contenant la clé.

   La commande affiche un résultat semblable à celui-ci :

   NAME                                  STATE
   KMS_KEY_NAME/cryptoKeyVersions/1      DISABLED
   KMS_KEY_NAME/cryptoKeyVersions/2      DISABLED
   KMS_KEY_NAME/cryptoKeyVersions/3      DISABLED
   KMS_KEY_NAME/cryptoKeyVersions/4      DISABLED
   

   Exécutez la commande kms keys versions enable en spécifiant toutes les versions répertoriées. À l'aide de l'exemple de résultat, la commande se présente comme suit :

   for $KV in 1 2 3 4;
   do
   gcloud kms keys versions enable KV --key KMS_KEY \
       --keyring KMS_KEYRING --location KMS_LOCATION \
       --project KMS_PROJECT;
   done
   

   Indiquez les éléments suivants :

   • 1 2 3 4 : versions à désactiver.
   • KMS_KEY : nom de la clé CMEK.
   • KMS_KEYRING : trousseau de clés KMS contenant la clé.
   • KMS_LOCATION : région contenant le trousseau de clés.
   • KMS_PROJECT : projet contenant la clé.

   Si vous répertoriez à nouveau les versions de clé, l'état est renvoyé à ENABLED.

Console

Vous ne pouvez pas afficher l'état de chiffrement d'une table dans la console Google Cloud.

gcloud

Pour afficher les détails CMEK d'une table, définissez view sur ENCRYPTION ou FULL. La réponse inclut la version de clé en cours d'utilisation et son état observé par Bigtable.

    gcloud alpha bigtable instances tables describe TABLE_ID \
        --instance INSTANCE_ID --view ENCRYPTION \
        --project CBT_PROJECT

Indiquez les éléments suivants :

• TABLE_ID : identifiant permanent du cluster.
• INSTANCE_ID : identifiant permanent de l'instance contenant la sauvegarde.
• CBT_PROJECT : projet contenant vos ressources Bigtable.

La commande affiche un résultat semblable à celui-ci :

    clusterStates:
      my-cluster:
        encryptionInfo:
        - encryptionStatus: {}
          encryptionType: CUSTOMER_MANAGED_ENCRYPTION
          kmsKeyVersion: KMS_KEY_NAME/cryptoKeyVersions/4
      my-other-cluster:
        encryptionInfo:
        - encryptionStatus: {}
          encryptionType: CUSTOMER_MANAGED_ENCRYPTION
          kmsKeyVersion: KMS_KEY_NAME/cryptoKeyVersions/4
      name: projects/cloud-bigtable-project/instances/cmek-test-instance/tables/my-table

Console

1. Accédez à la page "Instances Bigtable" de la console Google Cloud.

   Ouvrir la liste des instances

2. Cliquez sur le nom de l'instance pour ouvrir la page Détails de l'instance pour la VM.

3. Dans le volet de navigation de gauche, cliquez sur Sauvegardes.

Le nom de clé et la version de clé de chaque sauvegarde sont répertoriés sous Clé gérée par le client.

gcloud

Exécutez la commande suivante pour afficher les informations de chiffrement d'une sauvegarde.

    gcloud alpha bigtable backups describe BACKUP_ID \
        --instance INSTANCE_ID --cluster CLUSTER_ID \
        --project CBT_PROJECT

Indiquez les éléments suivants :

• BACKUP_ID : ID attribué à la sauvegarde.
• CLUSTER_ID : identifiant permanent du cluster.
• INSTANCE_ID : identifiant permanent de l'instance contenant la sauvegarde.
• CBT_PROJECT : projet contenant vos ressources Bigtable.

La commande renvoie un résultat semblable au suivant : kmsKeyVersion est la version de clé CMEK à laquelle la sauvegarde est épinglée. L'état de la version de clé n'est pas indiqué.

    encryptionInfo:
      encryptionStatus:
        code: 2
        message: Status of the associated key version is not tracked.
      encryptionType: CUSTOMER_MANAGED_ENCRYPTION
      kmsKeyVersion: KMS_KEY_NAME/cryptoKeyVersions/3
    endTime: '2020-09-01T00:03:26.568600Z'
    expireTime: '2020-09-02T00:03:25.436473Z'
    name: projects/cloud-bigtable-project/instances/cmek-test-instance/clusters/my-cluster/backups/my-backup
    sizeBytes: '3780'