RAW 对称加密

本主题介绍了如何执行以下原始对称密钥操作：

• 在本地或使用 Cloud KMS 加密文本或二进制明文内容。
• 在本地或使用 Cloud KMS 解密密文。

如果您想执行常规（非原始）对称密钥操作，请参阅使用对称密钥加密和解密数据。

借助原始对称加密，您可以在本地或使用 Cloud KMS 加密和解密数据，并在不同的库和服务提供商之间移动加密数据，而无需先解密。此功能取决于在操作时是否能够访问密钥。如果您想在 Google Cloud 之外使用密文，则必须使用导入的密钥，因为在 Cloud KMS 中生成的密钥无法导出。这些加密算法会生成标准密文，可由任何标准解密服务解密。我们支持以下原始对称加密算法：

• AES-128-GCM
• AES-256-GCM
• AES-128-CBC
• AES-256-CBC
• AES-128-CTR
• AES-256-CTR

请注意以下有关这些原始加密算法的几点：

• AES-GCM 可根据其他经过身份验证的数据 (AAD) 提供身份验证并生成身份验证标记，是建议使用的加密算法。如果没有提供的 AAD，则无法解密使用 AES-GCM 算法加密的数据。

• AES-CBC 要求明文的大小为块大小（16 字节）的倍数。如果明文不是分块大小的倍数，请先对明文进行填充，然后再对其进行加密；否则，操作将失败，并会显示指明问题的错误消息。

• AES-CBC 和 AES-CTR 不是经过身份验证的加密方案，这意味着它们可能会有更大的意外滥用风险。它们是为了支持旧版和互操作性需求而提供的，应谨慎使用。为防止随意滥用，使用这些加密算法需要拥有以下 IAM 权限：

  • cloudkms.cryptoKeyVersions.manageRawAesCbcKeys（有效期：AES-CBC）。
  • cloudkms.cryptoKeyVersions.manageRawAesCtrKeys（有效期：AES-CTR）。

所需的角色

如需获得使用原始加密所需的权限，请让您的管理员为您授予密钥的以下 IAM 角色：

• 如需仅进行加密： Cloud KMS CryptoKey Encrypter (roles/cloudkms.cryptoKeyEncrypter)
• 仅解密： Cloud KMS CryptoKey Decrypter (roles/cloudkms.cryptoKeyDecrypter)
• 如需进行加密和解密，请使用： Cloud KMS CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter)

如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义角色或其他预定义角色来获取所需的权限。

未经身份验证的原始加密算法适用的其他角色

• 如需使用 AES-CBC 密钥，请使用 Cloud KMS Expert Raw AES-CBC Key Manager (roles/cloudkms.expertRawAesCbc)
• 如需使用 AES-CTR 密钥，请使用 Cloud KMS Expert Raw AES-CTR Key Manager (roles/cloudkms.expertRawAesCtr)

准备工作

• 向预期的正文授予上述原始对称加密权限。
• 按照创建密钥环中的说明创建密钥环。
• 按照创建密钥和导入密钥中的说明，创建和导入原始对称加密密钥。

加密

gcloud kms raw-encrypt \
    --location LOCATION \
    --keyring KEY_RING \
    --key KEY_NAME \
    --version KEY_VERSION \
    --plaintext-file INPUT_FILE_PATH \
    --ciphertext-file OUTPUT_FILE_PATH

curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME/cryptoKeyVersions/KEY_VERSION:rawEncrypt" \
  --request "POST" \
  --header "authorization: Bearer TOKEN" \
  --header "content-type: application/json" \
  --data '{"plaintext": "BASE64_ENCODED_INPUT", "additionalAuthenticatedData": "BASE64_ENCODED_AAD"}'

解密

gcloud kms raw-decrypt \
    --location LOCATION \
    --keyring KEY_RING \
    --key KEY_NAME \
    --version KEY_VERSION \
    --ciphertext-file INPUT_FILE_PATH \
    --plaintext-file OUTPUT_FILE_PATH

curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME/cryptoKeyVersions/KEY_VERSION:rawDecrypt" \
  --request "POST" \
  --header "authorization: Bearer TOKEN" \
  --header "content-type: application/json" \
  --data '{"ciphertext": "BASE64_ENCODED_DATA", "additionalAuthenticatedData": "BASE64_ENCODED_AAD", "initializationVector": "BASE64_ENCODED_IV"}'

后续步骤

• 详细了解如何导入密钥版本
• 详细了解信封加密。
• 尝试使用 Cloud KMS Codelab 加密和解密数据。