使用客户管理的加密密钥

gcloud

1. 在 Cloud KMS 中创建 CMEK 密钥（如果尚无密钥）。以下命令展示了如何创建软件密钥：

   gcloud config set project PROJECT_ID
   gcloud kms keyrings create KEY_RING \
     --project KEY_PROJECT \
     --location=LOCATION
   gcloud kms keys create KEY_NAME \
     --project KEY_PROJECT \
     --location=LOCATION \
     --keyring=KEY_RING \
     --purpose=encryption

   同样，您可以创建 HSM 密钥或创建 EKM 密钥。

2. 向 Dataproc Metastore Service Agent 服务账号授予权限：

   gcloud kms keys add-iam-policy-binding KEY_NAME \
     --location LOCATION \
     --keyring KEY_RING \
     --member=serviceAccount:$(gcloud beta services identity create \
     --service=metastore.googleapis.com 2>&1 | awk '{print $4}') \
     --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

3. 向 Cloud Storage 服务账号授予权限：

   gcloud storage service-agent --authorize-cmek projects/KEY_PROJECT/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME

控制台

1. 在 Google Cloud 控制台中，打开 Dataproc Metastore 页面：

   前往 Dataproc Metastore

2. 在 Dataproc Metastore 页面顶部，点击创建。

   此时会打开创建服务页面。

3. 根据需要配置服务。

4. 在加密下，点击使用客户管理的加密密钥 (CMEK)。

5. 选择客户管理的密钥。

6. 点击提交。

验证服务的加密配置：

1. 在 Google Cloud 控制台中，打开 Dataproc Metastore 页面：

   转到 Google Cloud 控制台

2. 在 Dataproc Metastore 页面上，点击您要查看的服务的名称。

   该服务的服务详细信息页面会打开。

3. 在配置标签页下，验证详细信息是否将 CMEK 显示为已启用。

gcloud

1. 运行 gcloud metastore services create 命令创建具有 CMEK 加密的服务：

   gcloud metastore services create SERVICE \
      --encryption-kms-key=KMS_KEY
   

   替换以下内容：

   • SERVICE：新服务的名称。
   • KMS_KEY：引用密钥资源 ID。

2. 验证创建操作是否成功。