在 Google Cloud 中使用 Cloud KMS 金鑰

本頁面說明如何在其他 Google Cloud 服務中使用 Cloud KMS 客戶自行管理的加密金鑰，以保護您的資源。如需更多資訊，請參閱「客戶管理的加密金鑰 (CMEK)」。

如果服務支援 CMEK，就表示該服務具有 CMEK 整合功能。部分服務 (例如 GKE) 提供多個 CMK 整合功能，可保護與服務相關的不同類型資料。如需 CMEK 整合服務的清單，請參閱本頁的「為支援的服務啟用 CMEK」。

事前準備

您必須先建立專案資源，才能在其他 Google Cloud 服務中使用 Cloud KMS 金鑰。建議您為 Cloud KMS 資源使用不含任何其他 Google Cloud 資源的專案。

CMEK 整合

準備啟用 CMEK 整合

如要瞭解啟用 CMEK 的具體步驟，請參閱相關Google Cloud 服務的說明文件。您可以在本頁的「為支援的服務啟用 CMEK」中，找到各項服務的 CMEK 說明文件連結。針對每項服務，您可以按照下列步驟操作：

1. 建立金鑰環或選取現有金鑰環。鑰匙圈應盡可能位於要保護的資源附近。

2. 在所選金鑰環中建立金鑰，或選取現有的金鑰。請確認金鑰的防護等級、用途和演算法，是否適合您要保護的資源。這個金鑰就是 CMEK 金鑰。

3. 取得 CMEK 金鑰的資源 ID。您稍後會需要這個資源 ID。

4. 將 CMEK 金鑰的 CryptoKey Encrypter/Decrypter IAM 角色 (roles/cloudkms.cryptoKeyEncrypterDecrypter) 授予服務的服務帳戶。

建立金鑰並指派必要權限後，您就可以建立或設定服務，以便使用 CMEK 金鑰。

搭配 CMEK 整合服務使用 Cloud KMS 金鑰

以下步驟以 Secret Manager 為例。如要瞭解在特定服務中使用 Cloud KMS CMEK 金鑰的確切步驟，請在CMEK 整合服務清單中找出該服務。

在 Secret Manager 中，您可以使用 CMEK 保護靜態資料。

1. 前往 Google Cloud 控制台的「Secret Manager」頁面。

   前往 Secret Manager

2. 如要建立密鑰，請按一下「Create Secret」(建立密鑰)。

3. 在「Encryption」區段中，選取「Use a customer-managed encryption key (CMEK)」(使用客戶管理的加密金鑰 (CMEK))。

4. 在「Encryption key」方塊中，執行以下操作：

   1. 選用：如要在其他專案中使用金鑰，請執行下列操作：

      1. 按一下「切換專案」。
      2. 在搜尋列中輸入完整或部分專案名稱，然後選取專案。
      3. 如要查看所選專案的可用鍵，請按一下「選取」。

   2. 選用：如要依位置、金鑰環、名稱或防護等級篩選可用金鑰，請在 filter_alt 篩選列中輸入搜尋字詞。

   3. 從所選專案的可用金鑰清單中選取金鑰。您可以參考顯示的位置、金鑰環和防護等級詳細資料，確保選擇正確的金鑰。

   4. 如果清單中沒有您要使用的金鑰，請按一下「手動輸入金鑰」，然後輸入金鑰的資源 ID

5. 完成密鑰設定，然後按一下「建立密鑰」。Secret Manager 會建立機密金鑰，並使用指定的 CMEK 金鑰加密。

為支援的服務啟用 CMEK

如要啟用 CMEK，請先在下表中找出所需服務。您可以在欄位中輸入搜尋字詞，以便篩選表格。 這份清單中的所有服務都支援軟體和硬體 (HSM) 金鑰。 使用外部 Cloud EKM 金鑰時，與 Cloud KMS 整合的產品會在「支援 EKM」欄中標示。

請按照各服務的操作說明啟用 CMEK 金鑰。