Verificar acesso à chave

Nesta página, mostramos como verificar o acesso à chave depois de criar uma política de chave de criptografia gerenciada pelo cliente (CMEK).

Principais casos de uso de verificação de acesso

A qualquer momento, você pode executar novamente a verificação de acesso à chave para identificar problemas com ela:

  • Desativação da chave: se uma chave for desativada, o acesso aos dados nos volumes será interrompido.

  • Destruição de chaves: se uma chave for destruída, o acesso aos dados não poderá ser restaurado. É possível excluir volumes para liberar capacidade. Para mais informações, consulte Excluir um volume.

  • Permissões ausentes: se as permissões forem removidas, as instruções para concedê-las vão aparecer. Consulte Conceder permissão ao serviço para ler uma chave.

Conceder permissão ao serviço para ler uma chave

Para usar uma chave CMEK, primeiro conceda ao serviço permissão para ler a chave especificada. O NetApp Volumes fornece os comandos corretos da Google Cloud CLI. Para conceder ao serviço as permissões necessárias da chave do Cloud KMS, crie um papel personalizado em todo o projeto com as permissões adequadas e uma vinculação de papel de chave que vincule o papel personalizado à conta de serviço apropriada. Você precisa das permissões de administrador de papéis (roles/iam.RoleAdmin) no projeto da sua Conta do Google para criar o papel personalizado e as permissões de administrador do Cloud KMS (roles/cloudkms.admin) para conceder acesso do NetApp Volumes à chave.

Console

Use as instruções a seguir para conceder ao serviço permissão para ler uma chave usando o console Google Cloud .

  1. Acesse a página do NetApp Volumes no console do Google Cloud .

    Acessar o NetApp Volumes

  2. Selecione Políticas de CMEK.

  3. Encontre a política de CMEK que você quer editar e clique no menu Mostrar mais.

  4. Selecione Verificar acesso à chave.

  5. Se você ainda não tiver configurado o acesso à chave, a verificação vai falhar, e a UI vai mostrar instruções sobre como conceder acesso à chave. Depois de executar os comandos necessários da Google Cloud CLI, clique em Tentar de novo para executar a verificação de chave novamente.

    Se a verificação for bem-sucedida, uma caixa de diálogo vai aparecer indicando isso. Se a verificação não for bem-sucedida, clique em Tentar de novo para executar a verificação de chave novamente.

gcloud

Use as instruções a seguir para conceder ao serviço permissão para ler uma chave usando a Google Cloud CLI.

Execute o seguinte comando kms-configs verify:

 gcloud netapp kms-configs verify CONFIG_NAME \
   --project=PROJECT_ID \
   --location=LOCATION

Substitua as seguintes informações:

  • CONFIG_NAME: o nome da configuração.

  • PROJECT_ID: o ID exclusivo do projeto ao qual você quer conceder acesso.

  • LOCATION: a região da configuração.

Se a verificação de chave for bem-sucedida, o comando vai gerar a seguinte mensagem:

healthy: true

Se a verificação da chave falhar, conceda permissões de acesso a ela. Execute o comando a seguir para identificar os comandos da Google Cloud CLI que concedem acesso à chave de serviço. Você precisa da função cloudkms.admin para executar o seguinte comando.

  gcloud netapp kms-configs describe CONFIG_NAME \
   --project=PROJECT_ID \
   --location=LOCATION \
   --format="value(instructions)"

Para mais opções, consulte a documentação do SDK Google Cloud para o Cloud Key Management Service.

Para mais informações, consulte a documentação do usuário do Cloud Key Management Service.

A seguir

Gerenciar políticas de CMEK.