Criar recursos protegidos usando o Autokey do Cloud KMS

Console

Para criar um disco, siga estas etapas:

1. No console Google Cloud , acesse a página Discos.

   Acessar "Discos"

2. Clique em Novo disco e insira as propriedades do novo disco.

3. Em Criptografia, selecione Chave do Cloud KMS.

4. Em Tipo de chave, selecione Cloud KMS com Autokey e clique em Solicitar uma nova chave. Uma mensagem indica quando a chave foi criada e está pronta para uso.

5. Para concluir a criação do disco, clique em Criar.

Você pode seguir um processo semelhante para criar recursos de instância de VM protegida, imagem e imagem de máquina.

Terraform

O exemplo do Terraform a seguir cria um identificador de chave e usa a chave retornada para proteger um novo recurso de disco permanente:

resource "google_kms_key_handle" "my_key_handle" {
  provider               = google-beta
  project                = "RESOURCE_PROJECT_ID"
  name                   = "KEY_HANDLE"
  location               = "LOCATION"
  resource_type_selector = "compute.googleapis.com/Disk"
}

resource "google_compute_disk" "persistent_disk" {
  project = "RESOURCE_PROJECT_ID"
  name    = "DISK_NAME"
  type    = "pd-ssd"
  zone    = "ZONE"
  size    = 30
  physical_block_size_bytes = 4096
  disk_encryption_key {
    kms_key_self_link = google_kms_key_handle.my_key_handle.kms_key
  }
}

Substitua:

• RESOURCE_PROJECT_ID: o ID do projeto de recursos na pasta Autokey em que você quer criar um recurso protegido.
• KEY_HANDLE: um ID a ser usado para o identificador da chave.
• LOCATION: o local onde você quer criar o recurso protegido.
• DISK_NAME: o nome do novo disco.
• ZONE: a zona do recurso protegido. Precisa ser uma zona no local em que você está criando o recurso. Por exemplo, se você estiver criando o recurso no local us-central1, a zona poderá ser us-central1-a.

O Cloud KMS não permite excluir recursos KeyHandle. Se você estiver usando um padrão de criação e destruição, tentar recriar um KeyHandle vai gerar um erro ALREADY_EXISTS. Para evitar esse problema, importe um KeyHandle criado anteriormente. Para mais informações, consulte Criar e destruir padrões no Terraform nesta página.

API

1. Solicite uma nova chave do Cloud KMS criando um KeyHandle:

   curl -H "Content-Type: application/json" \
       -H "X-Goog-User-Project: USER_PROJECT" \
       -H "Authorization: Bearer TOKEN" \
       -X POST https://cloudkms.googleapis.com/v1/projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles \
       -d '{"resource_type_selector": "RESOURCE_TYPE"}'
   

   Substitua:

   • USER_PROJECT: o projeto a ser faturado com as cobranças associadas a esta solicitação.
   • RESOURCE_PROJECT_ID: o ID do projeto de recursos na pasta Autokey em que você quer criar um recurso protegido.
   • LOCATION: o local em que você quer criar o recurso protegido.
   • RESOURCE_TYPE: o tipo de recurso que você quer criar, por exemplo, compute.googleapis.com/Disk.

   O resultado será assim:

   {
     "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
     "metadata": {
       "@type": "type.googleapis.com/google.cloud.kms.v1.CreateKeyHandleMetadata"
     }
   }
   

   Anote o OPERATION_ID da saída. Você precisa desse valor para receber o ID do recurso da chave criada.

2. Encontre a chave do Cloud KMS associada ao identificador de chave:

   curl -H "X-Goog-User-Project: USER_PROJECT" \
       -H "Authorization: Bearer TOKEN" \
       -X GET https://cloudkms.googleapis.com/v1/projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID
   

   Substitua:

   • USER_PROJECT: o projeto a ser faturado com as cobranças associadas a esta solicitação.
   • RESOURCE_PROJECT_ID: o ID do projeto de recursos na pasta Autokey em que você quer criar um recurso protegido.
   • LOCATION: o local em que você quer criar o recurso protegido.
   • OPERATION_ID: o identificador da operação de solicitação de identificador de chave da saída da etapa anterior.

   O resultado será assim:

   {
     "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
     "done": true,
     "response": {
       "@type": "type.googleapis.com/google.cloud.kms.v1.KeyHandle",
       "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles/KEY_HANDLE",
       "kmsKey": "projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/autokey/cryptoKeys/KEY_NAME",
       "resourceTypeSelector": "RESOURCE_TYPE"
     }
   }
   

   O valor do elemento kmsKey na saída é o ID completo do recurso da chave criada pelo Autokey para esse recurso. Você pode usar esse ID da mesma forma que usaria o ID de qualquer outro recurso do Cloud KMS.

3. Crie um disco criptografado usando o comando gcloud compute disks create com a flag --kms-key:

   gcloud compute disks create DISK_NAME \
     --kms-key projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/autokey/cryptoKeys/KEY_NAME
   

   Substitua:

   • DISK_NAME: o nome do novo disco.
   • KEY_PROJECT_ID: o ID do projeto da chave.
   • LOCATION: o local onde você quer criar o recurso.
   • KEY_NAME: o nome da chave retornada na saída da etapa anterior.

Console

1. No console Google Cloud , acesse a página Criar um bucket.

   Acessar "Criar um bucket"

2. Siga as instruções para Criar um bucket até chegar em Escolher como proteger dados de objetos.

3. Em Escolha como proteger os dados do objeto, expanda a seção Criptografia de dados e selecione Chave do Cloud KMS.

4. Em Tipo de chave, selecione Cloud KMS com Autokey e clique em Solicitar uma nova chave. Uma mensagem indica quando a chave foi criada e está pronta para uso.

5. Para concluir a criação do bucket, clique em Criar.

Terraform

O exemplo do Terraform a seguir cria um identificador de chave e usa a chave retornada para proteger um novo bucket de armazenamento:

resource "google_kms_key_handle" "my_key_handle" {
  provider               = google-beta
  project                = "RESOURCE_PROJECT_ID"
  name                   = "KEY_HANDLE"
  location               = "LOCATION"
  resource_type_selector = "storage.googleapis.com/Bucket"
}

resource "google_storage_bucket" "simple_bucket_name" {
  name                        = "BUCKET_NAME"
  location                    = "LOCATION"
  force_destroy               = true
  project                     = "RESOURCE_PROJECT_ID"
  uniform_bucket_level_access = true
  encryption {
    default_kms_key_name      = google_kms_key_handle.my_key_handle.kms_key
  }
}

Substitua:

• RESOURCE_PROJECT_ID: o ID do projeto de recursos na pasta Autokey em que você quer criar um recurso protegido.
• KEY_HANDLE: um ID a ser usado para o identificador da chave.
• LOCATION: o local onde você quer criar o recurso protegido.
• BUCKET_NAME: o nome do novo bucket.

O Cloud KMS não permite excluir recursos KeyHandle. Se você estiver usando um padrão de criação e destruição, tentar recriar um KeyHandle vai gerar um erro ALREADY_EXISTS. Para evitar esse problema, importe um KeyHandle criado anteriormente. Para mais informações, consulte Criar e destruir padrões no Terraform nesta página.

API

1. Solicite uma nova chave do Cloud KMS criando um KeyHandle:

   curl -H "Content-Type: application/json" \
       -H "X-Goog-User-Project: USER_PROJECT" \
       -H "Authorization: Bearer TOKEN" \
       -X POST https://cloudkms.googleapis.com/v1/projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles \
       -d '{"resource_type_selector": "RESOURCE_TYPE"}'
   

   Substitua:

   • USER_PROJECT: o projeto a ser faturado com as cobranças associadas a esta solicitação.
   • RESOURCE_PROJECT_ID: o ID do projeto de recursos na pasta Autokey em que você quer criar um recurso protegido.
   • LOCATION: o local em que você quer criar o recurso protegido.
   • RESOURCE_TYPE: o tipo de recurso que você quer criar, por exemplo, storage.googleapis.com/Bucket.

   O resultado será assim:

   {
     "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
     "metadata": {
       "@type": "type.googleapis.com/google.cloud.kms.v1.CreateKeyHandleMetadata"
     }
   }
   

   Anote o OPERATION_ID da saída. Você precisa desse valor para receber o ID do recurso da chave criada.

2. Encontre a chave do Cloud KMS associada ao identificador de chave:

   curl -H "X-Goog-User-Project: USER_PROJECT" \
       -H "Authorization: Bearer TOKEN" \
       -X GET https://cloudkms.googleapis.com/v1/projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID
   

   Substitua:

   • USER_PROJECT: o projeto a ser faturado com as cobranças associadas a esta solicitação.
   • RESOURCE_PROJECT_ID: o ID do projeto de recursos na pasta Autokey em que você quer criar um recurso protegido.
   • LOCATION: o local em que você quer criar o recurso protegido.
   • OPERATION_ID: o identificador da operação de solicitação de identificador de chave da saída da etapa anterior.

   O resultado será assim:

   {
     "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
     "done": true,
     "response": {
       "@type": "type.googleapis.com/google.cloud.kms.v1.KeyHandle",
       "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles/KEY_HANDLE",
       "kmsKey": "projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/autokey/cryptoKeys/KEY_NAME",
       "resourceTypeSelector": "RESOURCE_TYPE"
     }
   }
   

   O valor do elemento kmsKey na saída é o ID completo do recurso da chave criada pelo Autokey para esse recurso. Você pode usar esse ID da mesma forma que usaria o ID de qualquer outro recurso do Cloud KMS.

3. Crie um bucket criptografado usando o comando gcloud storage buckets create com a flag --default-encryption-key:

   gcloud storage buckets create gs://BUCKET_NAME \
       --location=LOCATION \
       --default-encryption-key=projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/autokey/cryptoKeys/KEY_NAME
   

   Substitua:

   • BUCKET_NAME: o nome do novo bucket. O nome do bucket precisa seguir os requisitos de nomenclatura de bucket.
   • LOCATION: o local em que você quer criar o bucket.
   • KEY_PROJECT_ID: o ID do projeto da chave.
   • LOCATION: o local onde você quer criar o recurso.
   • KEY_NAME: o nome da chave retornada na saída da etapa anterior.

Console

Antes de tentar criar um conjunto de dados do BigQuery usando o Autokey, verifique se você tem as permissões necessárias. Para mais informações sobre como criar conjuntos de dados, consulte Criar conjuntos de dados.

1. No console Google Cloud , acesse a página BigQuery.

   Acessar o BigQuery

2. Siga as instruções para Criar um conjunto de dados até chegar em Opções avançadas > Criptografia.

3. Em Criptografia, selecione Chave do Cloud KMS.

4. Em Tipo de chave, selecione Cloud KMS com Autokey e clique em Solicitar uma nova chave. Uma mensagem indica quando a chave foi criada e está pronta para uso.

5. Para terminar de criar o conjunto de dados, clique em Criar conjunto de dados.

Terraform

O exemplo do Terraform a seguir cria um identificador de chave e usa a chave retornada para proteger um novo conjunto de dados:

resource "google_kms_key_handle" "my_key_handle" {
  provider               = google-beta
  project                = "RESOURCE_PROJECT_ID"
  name                   = "test-key-handle"
  location               = "LOCATION"
  resource_type_selector = "bigquery.googleapis.com/Dataset"
}

resource "google_bigquery_dataset" "dataset" {
  project                     = "RESOURCE_PROJECT_ID"
  dataset_id                  = "DATASET_ID"
  friendly_name               = "DATASET_NAME"
  description                 = "DATASET_DESCRIPTION"
  location                    = "LOCATION"
  default_table_expiration_ms = 3600000

  default_encryption_configuration {
    kms_key_name = google_kms_key_handle.my_key_handle.kms_key
  }
}

Substitua:

• RESOURCE_PROJECT_ID: o ID do projeto de recursos na pasta Autokey em que você quer criar um recurso protegido.
• LOCATION: o local onde você quer criar o recurso protegido.
• DATASET_ID: o ID a ser usado para o novo conjunto de dados.
• DATASET_NAME: um nome legível para o novo conjunto de dados.
• DATASET_DESCRIPTION: uma descrição para o novo conjunto de dados.

O Cloud KMS não permite excluir recursos KeyHandle. Se você estiver usando um padrão de criação e destruição, tentar recriar um KeyHandle vai gerar um erro ALREADY_EXISTS. Para evitar esse problema, importe um KeyHandle criado anteriormente. Para mais informações, consulte Criar e destruir padrões no Terraform nesta página.

API

1. Solicite uma nova chave do Cloud KMS criando um KeyHandle:

   curl -H "Content-Type: application/json" \
       -H "X-Goog-User-Project: USER_PROJECT" \
       -H "Authorization: Bearer TOKEN" \
       -X POST https://cloudkms.googleapis.com/v1/projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles \
       -d '{"resource_type_selector": "RESOURCE_TYPE"}'
   

   Substitua:

   • USER_PROJECT: o projeto a ser faturado com as cobranças associadas a esta solicitação.
   • RESOURCE_PROJECT_ID: o ID do projeto de recursos na pasta Autokey em que você quer criar um recurso protegido.
   • LOCATION: o local em que você quer criar o recurso protegido.
   • RESOURCE_TYPE: o tipo de recurso que você quer criar, por exemplo, bigquery.googleapis.com/Dataset.

   O resultado será assim:

   {
     "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
     "metadata": {
       "@type": "type.googleapis.com/google.cloud.kms.v1.CreateKeyHandleMetadata"
     }
   }
   

   Anote o OPERATION_ID da saída. Você precisa desse valor para receber o ID do recurso da chave criada.

2. Encontre a chave do Cloud KMS associada ao identificador de chave:

   curl -H "X-Goog-User-Project: USER_PROJECT" \
       -H "Authorization: Bearer TOKEN" \
       -X GET https://cloudkms.googleapis.com/v1/projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID
   

   Substitua:

   • USER_PROJECT: o projeto a ser faturado com as cobranças associadas a esta solicitação.
   • RESOURCE_PROJECT_ID: o ID do projeto de recursos na pasta Autokey em que você quer criar um recurso protegido.
   • LOCATION: o local em que você quer criar o recurso protegido.
   • OPERATION_ID: o identificador da operação de solicitação de identificador de chave da saída da etapa anterior.

   O resultado será assim:

   {
     "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
     "done": true,
     "response": {
       "@type": "type.googleapis.com/google.cloud.kms.v1.KeyHandle",
       "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles/KEY_HANDLE",
       "kmsKey": "projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/autokey/cryptoKeys/KEY_NAME",
       "resourceTypeSelector": "RESOURCE_TYPE"
     }
   }
   

   O valor do elemento kmsKey na saída é o ID completo do recurso da chave criada pelo Autokey para esse recurso. Você pode usar esse ID da mesma forma que usaria o ID de qualquer outro recurso do Cloud KMS.

3. Crie um conjunto de dados criptografado usando o comando bq mk com a flag --destination_kms_key.

   bq --location=LOCATION mk \
       --dataset \
       --default_kms_key=projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/autokey/cryptoKeys/KEY_NAME \
       --default_table_expiration=TABLE_EXPIRATION \
       --description="DATASET_DESCRIPTION" \
       RESOURCE_PROJECT_ID:DATASET_ID
   

   Substitua:

   • LOCATION: o local em que você quer criar o conjunto de dados.
   • KEY_PROJECT_ID: o ID do projeto da chave.
   • KEY_NAME: o nome da chave retornada na saída da etapa anterior.
   • TABLE_EXPIRATION: a vida útil padrão para novas tabelas neste conjunto de dados, em segundos.
   • DATASET_DESCRIPTION: uma descrição para o novo conjunto de dados.
   • RESOURCE_PROJECT_ID: o ID do projeto de recursos na pasta Autokey em que você quer criar um recurso protegido.
   • DATASET_ID: o ID do conjunto de dados que você está criando.

   Para mais informações sobre a ferramenta bq, consulte Explorar a ferramenta de linha de comando bq.

Terraform

O exemplo do Terraform a seguir cria um identificador de chave e usa a chave retornada para proteger um novo secret com replicação automática:

resource "google_kms_key_handle" "my_key_handle" {
  provider               = google-beta
  project                = "RESOURCE_PROJECT_ID"
  name                   = "test-key-handle"
  location               = "global"
  resource_type_selector = "secretmanager.googleapis.com/Secret"
}

resource "google_secret_manager_secret" "my_secret" {
  project   = "RESOURCE_PROJECT_ID"
  secret_id = "SECRET_ID"

  replication {
    auto {
      customer_managed_encryption {
        kms_key_name = google_kms_key_handle.my_key_handle.kms_key
      }
    }
  }
}

Substitua:

• RESOURCE_PROJECT_ID: o ID do projeto de recursos na pasta Autokey em que você quer criar um recurso protegido.
• SECRET_ID: o ID a ser usado para o novo secret.

Se você tentar criar um identificador de chave para um secret no mesmo projeto e local em que já existe um identificador de chave, uma mensagem de erro vai retornar os detalhes do identificador de chave atual. Se isso acontecer, verifique se você tem apenas um bloco criando o identificador de chave. É possível reutilizar o identificador da chave usando o ID dela (KEY_HANDLE) para criar outros secrets que devem compartilhar a chave.

O Cloud KMS não permite excluir recursos KeyHandle. Se você estiver usando um padrão de criação e destruição, tentar recriar um KeyHandle vai gerar um erro ALREADY_EXISTS. Para evitar esse problema, importe um KeyHandle criado anteriormente. Para mais informações, consulte Criar e destruir padrões no Terraform nesta página.

API

1. Solicite uma nova chave do Cloud KMS criando um KeyHandle:

   curl -H "Content-Type: application/json" \
       -H "X-Goog-User-Project: USER_PROJECT" \
       -H "Authorization: Bearer TOKEN" \
       -X POST https://cloudkms.googleapis.com/v1/projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles \
       -d '{"resource_type_selector": "RESOURCE_TYPE"}'
   

   Substitua:

   • USER_PROJECT: o projeto a ser faturado com as cobranças associadas a esta solicitação.
   • RESOURCE_PROJECT_ID: o ID do projeto de recursos na pasta Autokey em que você quer criar um recurso protegido.
   • LOCATION: o local em que você quer criar o recurso protegido.
   • RESOURCE_TYPE: o tipo de recurso que você quer criar, por exemplo, secretmanager.googleapis.com/Secret.

   O resultado será assim:

   {
     "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
     "metadata": {
       "@type": "type.googleapis.com/google.cloud.kms.v1.CreateKeyHandleMetadata"
     }
   }
   

   Anote o OPERATION_ID da saída. Você precisa desse valor para receber o ID do recurso da chave criada.

   Se você tentar criar um identificador de chave para um secreto no mesmo projeto e local em que já existe um identificador de chave, uma mensagem de erro vai retornar os detalhes do identificador de chave atual. Nesse caso, pule a próxima etapa e use o ID do recurso da chave no campo existingKmsKey para proteger seu novo segredo.

2. Encontre a chave do Cloud KMS associada ao identificador de chave:

   curl -H "X-Goog-User-Project: USER_PROJECT" \
       -H "Authorization: Bearer TOKEN" \
       -X GET https://cloudkms.googleapis.com/v1/projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID
   

   Substitua:

   • USER_PROJECT: o projeto a ser faturado com as cobranças associadas a esta solicitação.
   • RESOURCE_PROJECT_ID: o ID do projeto de recursos na pasta Autokey em que você quer criar um recurso protegido.
   • LOCATION: o local em que você quer criar o recurso protegido.
   • OPERATION_ID: o identificador da operação de solicitação de identificador de chave da saída da etapa anterior.

   O resultado será assim:

   {
     "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
     "done": true,
     "response": {
       "@type": "type.googleapis.com/google.cloud.kms.v1.KeyHandle",
       "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles/KEY_HANDLE",
       "kmsKey": "projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/autokey/cryptoKeys/KEY_NAME",
       "resourceTypeSelector": "RESOURCE_TYPE"
     }
   }
   

   O valor do elemento kmsKey na saída é o ID completo do recurso da chave criada pelo Autokey para esse recurso. Você pode usar esse ID da mesma forma que usaria o ID de qualquer outro recurso do Cloud KMS.

3. Crie um secret criptografado com replicação automática usando o comando gcloud secrets create com a flag --kms-key-name.

   gcloud secrets create "SECRET_ID" \
       --replication-policy "automatic" \
       --kms-key-name "projects/KEY_PROJECT_ID/locations/global/keyRings/autokey/cryptoKeys/KEY_NAME" \
       --project "RESOURCE_PROJECT_ID"
   

   Substitua:

   • SECRET_ID: o ID a ser usado para o novo secret.
   • KEY_PROJECT_ID: o ID do projeto da chave.
   • KEY_NAME: o nome da chave retornada na saída da etapa anterior.
   • RESOURCE_PROJECT_ID: o ID do projeto de recursos na pasta Autokey em que você quer criar um recurso protegido.

API

1. Solicite uma nova chave do Cloud KMS criando um KeyHandle:

   curl -H "Content-Type: application/json" \
       -H "X-Goog-User-Project: USER_PROJECT" \
       -H "Authorization: Bearer TOKEN" \
       -X POST https://cloudkms.googleapis.com/v1/projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles \
       -d '{"resource_type_selector": "dataflow.googleapis.com/Job"}'
   

   Substitua:

   • USER_PROJECT: o projeto a ser faturado com as cobranças associadas a esta solicitação.
   • RESOURCE_PROJECT_ID: o ID do projeto de recursos na pasta Autokey em que você quer criar um recurso protegido.
   • LOCATION: o local em que você quer criar o recurso protegido.

   O resultado será assim:

   {
     "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
     "metadata": {
       "@type": "type.googleapis.com/google.cloud.kms.v1.CreateKeyHandleMetadata"
     }
   }
   

   Anote o OPERATION_ID da saída. Você precisa desse valor para receber o ID do recurso da chave criada.

2. Encontre a chave do Cloud KMS associada ao identificador de chave:

   curl -H "X-Goog-User-Project: USER_PROJECT" \
       -H "Authorization: Bearer TOKEN" \
       -X GET https://cloudkms.googleapis.com/v1/projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID
   

   Substitua:

   • USER_PROJECT: o projeto a ser faturado com as cobranças associadas a esta solicitação.
   • RESOURCE_PROJECT_ID: o ID do projeto de recursos na pasta Autokey em que você quer criar um recurso protegido.
   • LOCATION: o local em que você quer criar o recurso protegido.
   • OPERATION_ID: o identificador da operação de solicitação de identificador de chave da saída da etapa anterior.

   O resultado será assim:

   {
     "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/operations/OPERATION_ID",
     "done": true,
     "response": {
       "@type": "type.googleapis.com/google.cloud.kms.v1.KeyHandle",
       "name": "projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles/KEY_HANDLE",
       "kmsKey": "projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/autokey/cryptoKeys/KEY_NAME",
       "resourceTypeSelector": "RESOURCE_TYPE"
     }
   }
   

   O valor do elemento kmsKey na saída é o ID completo do recurso da chave criada pelo Autokey para esse recurso. Você pode usar esse ID da mesma forma que usaria o ID de qualquer outro recurso do Cloud KMS.