Utilizzo delle chiavi di crittografia gestite dal cliente (CMEK)

Console

Non riesci a creare un agente di servizio nella console Google Cloud. Tuttavia, se crei la chiave nella console Google Cloud, ti viene chiesto di concedere il ruolo Criptatore/decriptatore Cloud KMS e l'agente di servizio viene creato in quel momento se non esiste ancora.

gcloud

1. Esegui il comando gcloud services identity create per visualizzare l'agente di servizio utilizzato da Bigtable per accedere alla chiave CMEK per tuo conto. Questo comando crea l'account di servizio se non esiste già e lo mostra.

   gcloud beta services identity create \
       --service=bigtableadmin.googleapis.com \
       --project CBT_PROJECT
   

   Sostituisci CBT_PROJECT con il progetto che contiene le tue risorse Bigtable.

   Il comando mostra l'ID agente di servizio, che è formato come un indirizzo email. Prendi nota della stringa email di output, poiché la utilizzerai in un passaggio successivo.

   Service identity created:
   service-xxx@gcp-sa-bigtable.iam.gserviceaccount.com
   

Console

Per concedere un ruolo Cloud KMS all'agente di servizio, procedi nel seguente modo. Puoi anche concedere l'autorizzazione a livello di chiave o portachiavi se vuoi una granularità inferiore.

1. Nella console Google Cloud, vai alla pagina IAM.

   Vai alla pagina IAM

2. Fai clic su Aggiungi.

3. Inserisci l'ID in formato email dell'agente di servizio Bigtable.

4. Seleziona il ruolo Cloud KMS CryptoKey Encrypter/Decrypter.

5. Fai clic su Salva.

gcloud

1. Concedi il ruolo cloudkms.cryptoKeyEncrypterDecrypter all'agente di servizio:

   gcloud kms keys add-iam-policy-binding KMS_KEY \
       --keyring KMS_KEYRING\
       --location KMS_LOCATION \
       --member serviceAccount:SERVICE_ACCOUNT_EMAIL \
       --role roles/cloudkms.cryptoKeyEncrypterDecrypter \
       --project KMS_PROJECT
   

   Fornisci quanto segue:

   • KMS_KEY: il nome assegnato alla chiave
   • KMS_KEYRING: la raccolta di chiavi KMS che contiene la chiave
   • KMS_LOCATION : la regione che contiene il portachiavi
   • SERVICE_ACCOUNT_EMAIL: l'identificatore in formato email per l'agente di servizio a cui stai concedendo l'accesso
   • KMS_PROJECT: il progetto che contiene la chiave

Console

1. Vai alla pagina delle istanze Bigtable nella console Google Cloud.

   Apri l'elenco delle istanze

2. Fai clic sul nome dell'istanza contenente la tabella per aprire la pagina Dettagli istanza e visualizzare l'elenco dei cluster nell'istanza.

3. Accanto a un ID cluster, fai clic sul nome della chiave in Chiave di crittografia per visualizzare la pagina Versioni della chiave del cluster.

gcloud

Per ogni cluster, puoi verificare la configurazione CMEK come segue:

    gcloud bigtable clusters describe CLUSTER_ID \
        --instance INSTANCE_ID --project CBT_PROJECT

Fornisci quanto segue:

• CLUSTER_ID: l'identificatore permanente del cluster
• INSTANCE_ID: l'identificatore permanente dell'istanza
• CBT_PROJECT: il progetto che contiene le tue risorse Bigtable

Il comando mostra un output simile al seguente:

    defaultStorageType: SSD
    encryptionConfig:
      kmsKeyName: projects/cloud-kms-project/locations/us-central1/keyRings/cloud-bigtable-keys/cryptoKeys/my-cmek-key
    location: projects/cloud-bigtable-project/locations/us-central1-a
    name: projects/cloud-bigtable-project/instances/cmek-test-instance/clusters/my-cluster
    serveNodes: 1
    state: READY

Console

Questo è il metodo consigliato. La console Google Cloud ti consente di disattivare tutte le versioni di una chiave contemporaneamente.

Segui queste istruzioni per ogni versione della chiave.

gcloud

Ti consigliamo di utilizzare la console Google Cloud per disattivare le chiavi. Se vuoi utilizzare Google Cloud CLI, esegui i seguenti comandi.

1. Elenca tutte le versioni della chiave CMEK:

   gcloud kms keys versions list --key KMS_KEY \
       --keyring KMS_KEYRING --location KMS_LOCATION \
       --project KMS_PROJECT
   

   Fornisci quanto segue:

   • KMS_KEY: il nome della chiave CMEK
   • KMS_KEYRING: la raccolta di chiavi KMS che contiene la chiave
   • KMS_LOCATION: la regione che contiene il portachiavi
   • KMS_PROJECT: il progetto che contiene la chiave

   L'output è simile al seguente:

   NAME                                  STATE
   KMS_KEY_NAME/cryptoKeyVersions/1      ENABLED
   KMS_KEY_NAME/cryptoKeyVersions/2      ENABLED
   KMS_KEY_NAME/cryptoKeyVersions/3      ENABLED
   KMS_KEY_NAME/cryptoKeyVersions/4      ENABLED
   

2. Disattiva tutte le versioni:

   for $KV in 1 2 3 4;
   do
   gcloud kms keys versions disable KV --key KMS_KEY \
       --keyring KMS_KEYRING --location KMS_LOCATION \
       --project KMS_PROJECT;
   done
   

   Fornisci quanto segue:

   • 1 2 3 4: le versioni da disattivare
   • KMS_KEY: il nome della chiave CMEK
   • KMS_KEYRING: la raccolta di chiavi KMS che contiene la chiave
   • KMS_LOCATION: la regione che contiene il portachiavi
   • KMS_PROJECT: il progetto che contiene la chiave

   Se elenchi di nuovo tutte le versioni della chiave, lo stato verrà impostato su DISABLED, anche se potrebbero essere necessarie fino a 4 ore prima che Bigtable reagisca a questa variazione di stato.

3. [Facoltativo] Per confermare lo stato di un CMEK disattivato dopo aver atteso 4 ore, esegui il seguente comando:

    gcloud bigtable instances tables describe TABLE_ID \
        --instance INSTANCE_ID --view ENCRYPTION \
        --project CBT_PROJECT
   

   Fornisci quanto segue:

   • TABLE_ID: l'identificatore permanente della tabella
   • INSTANCE_ID: l'identificatore permanente dell'istanza
   • CBT_PROJECT: il progetto che contiene le tue risorse Bigtable

   Il comando mostra un output simile al seguente:

   clusterStates:
     CLUSTER:
       encryptionInfo:
       - encryptionStatus:
           code: 9
           details:
           - '@type': type.googleapis.com/google.rpc.PreconditionFailure
             violations:
             - subject: KMS_KEY_NAME/cryptoKeyVersions/<int>
               type: KEY_DISABLED
           message: KMS_KEY_NAME is not enabled, current state is: DISABLED.
         encryptionType: CUSTOMER_MANAGED_ENCRYPTION
         kmsKeyVersion: KMS_KEY_NAME/cryptoKeyVersions/<int>
   name: projects/CBT_PROJECT/instances/INSTANCE/tables/TABLE
   

4. [Facoltativo] Per verificare che i cluster nell'istanza siano disattivati, esegui il seguente comando:

   gcloud bigtable clusters list --instances INSTANCE_ID
       --project CBT_PROJECT
   

   Fornisci quanto segue:

   • INSTANCE_ID: l'identificatore permanente dell'istanza
   • CBT_PROJECT: il progetto che contiene le tue risorse Bigtable

   Il comando mostra un output simile al seguente:

   NAME              ZONE           NODES  STORAGE    STATE
   my-cluster        us-central1-a  1      SSD        DISABLED
   my-other-cluster  us-central1-b  1      SSD        DISABLED
   

Console

Questo è il metodo consigliato. La console Google Cloud ti consente di attivare tutte le versioni di una chiave contemporaneamente.

Segui queste istruzioni per ogni versione della chiave.

gcloud

Ti consigliamo di utilizzare la console Google Cloud per attivare le chiavi. Se preferisci utilizzare Google Cloud CLI, esegui i seguenti comandi.

1. Visualizza l'elenco delle versioni per identificare tutte le versioni della chiave:

   gcloud kms keys versions list --key KMS_KEY \
       --keyring KMS_KEYRING --location KMS_LOCATION \
       --project KMS_PROJECT
   

   Fornisci quanto segue:

   • KMS_KEY: il nome della chiave CMEK
   • KMS_KEYRING: la raccolta di chiavi KMS che contiene la chiave
   • KMS_LOCATION: la regione che contiene il portachiavi
   • KMS_PROJECT: il progetto che contiene la chiave

   Il comando mostra un output simile al seguente:

   NAME                                  STATE
   KMS_KEY_NAME/cryptoKeyVersions/1      DISABLED
   KMS_KEY_NAME/cryptoKeyVersions/2      DISABLED
   KMS_KEY_NAME/cryptoKeyVersions/3      DISABLED
   KMS_KEY_NAME/cryptoKeyVersions/4      DISABLED
   

   Esegui il comando kms keys versions enable, specificando tutte le versioni elencate. Utilizzando l'output di esempio, il comando sarà simile al seguente:

   for $KV in 1 2 3 4;
   do
   gcloud kms keys versions enable KV --key KMS_KEY \
       --keyring KMS_KEYRING --location KMS_LOCATION \
       --project KMS_PROJECT;
   done
   

   Fornisci quanto segue:

   • 1 2 3 4: le versioni da disattivare
   • KMS_KEY: il nome della chiave CMEK
   • KMS_KEYRING: la raccolta di chiavi KMS che contiene la chiave
   • KMS_LOCATION: la regione che contiene il portachiavi
   • KMS_PROJECT: il progetto che contiene la chiave

   Se elenchi di nuovo le versioni della chiave, il loro stato viene impostato su ENABLED.

Console

Non riesci a visualizzare lo stato della crittografia di una tabella nella console Google Cloud.

gcloud

Per visualizzare i dettagli del CMEK in una tabella, imposta view su ENCRYPTION o FULL. La risposta include la versione della chiave in uso e il relativo stato come visto da Bigtable.

    gcloud alpha bigtable instances tables describe TABLE_ID \
        --instance INSTANCE_ID --view ENCRYPTION \
        --project CBT_PROJECT

Fornisci quanto segue:

• TABLE_ID: l'identificatore permanente del cluster
• INSTANCE_ID: l'identificatore permanente dell'istanza che contiene il backup
• CBT_PROJECT: il progetto che contiene le tue risorse Bigtable

Il comando mostra un output simile al seguente:

    clusterStates:
      my-cluster:
        encryptionInfo:
        - encryptionStatus: {}
          encryptionType: CUSTOMER_MANAGED_ENCRYPTION
          kmsKeyVersion: KMS_KEY_NAME/cryptoKeyVersions/4
      my-other-cluster:
        encryptionInfo:
        - encryptionStatus: {}
          encryptionType: CUSTOMER_MANAGED_ENCRYPTION
          kmsKeyVersion: KMS_KEY_NAME/cryptoKeyVersions/4
      name: projects/cloud-bigtable-project/instances/cmek-test-instance/tables/my-table

Console

1. Vai alla pagina delle istanze Bigtable nella console Google Cloud.

   Apri l'elenco delle istanze

2. Fai clic sul nome dell'istanza per aprire la pagina Dettagli istanza.

3. Nel riquadro di navigazione a sinistra, fai clic su Backup.

Il nome e la versione della chiave per ogni backup sono elencati in Chiave gestita dal cliente.

gcloud

Esegui il seguente comando per visualizzare le informazioni sulla crittografia di un backup.

    gcloud alpha bigtable backups describe BACKUP_ID \
        --instance INSTANCE_ID --cluster CLUSTER_ID \
        --project CBT_PROJECT

Fornisci quanto segue:

• BACKUP_ID: l'ID assegnato al backup
• CLUSTER_ID: l'identificatore permanente del cluster
• INSTANCE_ID: l'identificatore permanente dell'istanza che contiene il backup
• CBT_PROJECT: il progetto che contiene le tue risorse Bigtable

Il comando restituisce un output simile al seguente. kmsKeyVersion è la versione della chiave CMEK a cui è bloccato il backup. Lo stato della versione della chiave non viene segnalato.

    encryptionInfo:
      encryptionStatus:
        code: 2
        message: Status of the associated key version is not tracked.
      encryptionType: CUSTOMER_MANAGED_ENCRYPTION
      kmsKeyVersion: KMS_KEY_NAME/cryptoKeyVersions/3
    endTime: '2020-09-01T00:03:26.568600Z'
    expireTime: '2020-09-02T00:03:25.436473Z'
    name: projects/cloud-bigtable-project/instances/cmek-test-instance/clusters/my-cluster/backups/my-backup
    sizeBytes: '3780'