MACsec を設定する

コンソール

1. Google Cloud コンソールで、Cloud Interconnect の [物理接続] タブに移動します。

   [物理接続] に移動

2. 検査する接続の名前をクリックします。

3. [MACsec] タブをクリックします。

   MACsec の情報が表示されます。Cloud Interconnect 接続が MACsec をサポートしていて、まだ構成されていない場合は、[MACsec の構成] で「無効」と表示されます。接続が MACsec をサポートしていない場合、[有効にする] ボタンは操作できません。このボタンにカーソルを合わせると、「利用中の Interconnect は MACsec に対応していません。MACsec 対応ポートが必要です」と表示されます。

gcloud

次のコマンドを実行します。

gcloud compute interconnects describe INTERCONNECT_CONNECTION_NAME

INTERCONNECT_CONNECTION_NAME は、Cloud Interconnect 接続の名前に置き換えます。

出力は次のようになります。MACsec 対応の接続では、次のように表示されます。

• 10 GB のリンクの場合: linkType: LINK_TYPE_ETHERNET_10G_LR と availableFeatures: IF_MACSEC
• 100 GB のリンクの場合: linkType: LINK_TYPE_ETHERNET_100G_LR、100 GB リンクはすべて MACsec 対応

adminEnabled: true
availableFeatures:
- IF_MACSEC
circuitInfos:
- customerDemarcId: fake-peer-demarc-0
  googleCircuitId: LOOP-0
  googleDemarcId: fake-local-demarc-0
creationTimestamp: '2021-10-05T03:39:33.888-07:00'
customerName: Fake Company
description: something important
googleReferenceId: '123456789'
id: '12345678987654321'
interconnectAttachments:
- https://www.googleapis.com/compute/v1/projects/my-project1/regions/us-central1/interconnectAttachments/interconnect-123456-987654321-0
interconnectType: IT_PRIVATE
kind: compute#interconnect
labelFingerprint: 12H17262736_
linkType: LINK_TYPE_ETHERNET_10G_LR
location: https://www.googleapis.com/compute/v1/projects/my-project1/global/interconnectLocations/cbf-zone2-65012
macsecEnabled: false
macsecPort: REQUESTED
name: INTERCONNECT_CONNECTION_NAME
operationalStatus: OS_ACTIVE
provisionedLinkCount: 1
requestedLinkCount: 1
selfLink: https://www.googleapis.com/compute/v1/projects/my-project1/global/interconnects/INTERCONNECT_CONNECTION_NAME
selfLinkWithId: https://www.googleapis.com/compute/v1/projects/my-project1/global/interconnects/12345678987654321
state: ACTIVE

次の項目に、Cloud Interconnect 接続の MACsec 構成を指定します。

• availableFeatures: Cloud Interconnect 接続の MACsec 機能。100 GB の Cloud Interconnect 接続はデフォルトで MACsec に対応しているため、このパラメータは 10 GB の Cloud Interconnect 接続の場合のみ表示されます。

• macsecEnabled: このリンクの Cloud Interconnect の MACsec ステータス。相互接続で MACsec を有効にするまで、値は false です。

コンソール

1. Google Cloud コンソールで、Cloud Interconnect の [物理接続] タブに移動します。

   [物理接続] に移動

2. [物理接続を設定] をクリックします。

3. [Dedicated Interconnect] を選択し、[続行] をクリックします。

4. [新しい Dedicated Interconnect 接続を注文] を選択し、[続行] をクリックします

5. 接続の詳細を指定します。

   • 名前: 接続の名前。この名前は Google Cloud コンソールに表示されます。また、Google Cloud CLI で接続を参照するために使用されます（例: my-interconnect）。

   • Google Cloud のロケーション: 接続が作成されている物理的なロケーション。オンプレミス ネットワークは、この場所にある Google Cloud のネットワークに適合している必要があります。[地域] プルダウンを使用すると、利用可能なロケーションのリストを地域別に絞り込むことができます。

   • [現在のプロジェクトに対する MACsec サポート] 列には、Cloud Interconnect の MACsec に使用できる回線サイズが表示されます。

   • 容量: 接続の合計容量。ご注文いただいた回線の数とサイズによって決定されます。

     表示されたオプションの 1 つを選択します。

   • MACsec 対応ポートをオーダーする: 10‐Gbps の物理リンクを注文する場合は、MACsec 対応接続用の Cloud Interconnect 接続を注文する際に、このオプションを選択する必要があります。100 Gbps の物理リンクを注文した場合、MACsec 対応ポートが自動的に選択されます。選択を解除することはできません。

     [説明] フィールドに接続の説明を入力できます（省略可）。これは、ユーザー向けの説明です。

6. [次へ] をクリックします。

7. 冗長性が必要な場合は、重複した接続の詳細を指定し、[次へ] をクリックします。

8. 連絡先情報を指定します。

   • 会社名: 接続を要求する権限を持つ当事者として LOA に追加する組織の名前。

   • 技術面に関する連絡先: この接続に関する通知が送信されるメールアドレス。ご自身のアドレスを入力する必要はありません。お客様はすべての通知の対象となっています。アドレスは 1 つだけ指定できます。

     Workforce Identity 連携を介して接続を作成する場合は、技術担当者を指定する必要があります。Workload Identity 連携はプレビュー版です。

9. 注文を確認します。Dedicated Interconnect 接続の詳細と連絡先情報が正しいことを確認します。すべて正しい場合は、[注文] をクリックします。正しくない場合は、前に戻って接続の詳細を編集してください。

10. 注文確認ページで次の手順を確認して、[完了] をクリックします。

gcloud

次のコマンドは、10 GB リンクで MACsec 対応の Cloud Interconnect 接続をリクエストする方法を示しています。10 GB 接続の MACsec はサポートされていますが、Google Cloud プロジェクトで 10 GB のリンクに MACsec 対応の接続を作成できるようにするには、Google Cloud アカウント チームにお問い合わせください。

gcloud compute interconnects create INTERCONNECT_CONNECTION_NAME \
    --customer-name=CUSTOMER_NAME \
    --interconnect-type=DEDICATED \
    --link-type=LINK_TYPE_ETHERNET_10G_LR \
    --location="INTERCONNECT_CONNECTION_LOCATION" \
    --requested-link-count=LINK_COUNT \
    --requested-features=IF_MACSEC

以下を置き換えます。

• INTERCONNECT_CONNECTION_NAME: Cloud Interconnect 接続の名前

• CUSTOMER_NAME: この接続に対して発行する承認書（LOA）の顧客名

• INTERCONNECT_CONNECTION_LOCATION: ロケーション テーブルにリストされている Cloud Interconnect 接続のロケーション

• LINK_COUNT: 必要な Cloud Interconnect 接続の数

コンソール

1. Google Cloud コンソールで、Cloud Interconnect の [物理接続] タブに移動します。

   [物理接続] に移動

2. 変更する接続を選択します。

3. [MACsec] タブで [事前共有キー] セクションに移動し、[事前共有キーを管理] をクリックします。

4. 事前共有キーの詳細を指定します。

   • キー名 1: キーの名前。この名前は Google Cloud コンソールに表示され、gcloud CLI で psk-1 などのキーを参照するために使用されます。

   • 開始時刻 1: キーが有効になる時刻。

5. 事前共有キーをさらに追加するには、[キーを追加] をクリックします。連続する事前共有キーの開始時間は 6 時間以上あける必要があります。

6. [送信] をクリックします。

gcloud

gcloud compute interconnects macsec add-key INTERCONNECT_CONNECTION_NAME \
     --key-name=KEY_NAME --start-time="START_TIME"

次のように置き換えます。

• KEY_NAME: 鍵の名前
• START_TIME: この鍵が有効な時刻。ISO 8601 形式で指定します（例: 2023-07-01T21:00:01.000Z）。

コンソール

1. Google Cloud コンソールで、Cloud Interconnect の [物理接続] タブに移動します。

   [物理接続] に移動

2. 表示する接続を選択します。

3. [MACsec] タブで [事前共有キー] セクションに移動し、事前共有キーの名前を探して [表示] をクリックします。Connectivity Association Key（CAK）と Connectivity Association Key Name（CKN）がウィンドウに表示されます。いずれかの値の横にある [コピー] をクリックして、値をクリップボードにコピーします。

4. [閉じる] をクリックします。

gcloud

次のコマンドを実行します。

gcloud compute interconnects macsec get-config INTERCONNECT_CONNECTION_NAME

出力は次のようになります。

preSharedKeys:
- cak: 0123456789abcdef...0123456789abcdef
  ckn: 0101016789abcdef...0123456789abcdef
  name: key1
  startTime: 2023-07-01T21:00:01.000Z

ルーターの構成の Connectivity Association Key（CAK）と Connectivity Association Key Name（CKN）をメモします。

権限拒否エラーが表示された場合は、適切な権限があることを確認します。詳細については、始める前にをご覧ください。