使用客户管理的加密密钥 (CMEK)

本页面介绍了如何为客户管理的加密密钥设置服务账号和密钥，以及如何创建使用手动创建的客户管理的加密密钥的实例。如需详细了解如何在 Cloud SQL 中使用客户管理的加密密钥，请参阅客户管理的加密密钥概览。

准备工作

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Go to project selector

3. Make sure that billing is enabled for your Google Cloud project.

4. Install the Google Cloud CLI.

5. To initialize the gcloud CLI, run the following command:

   gcloud init

6. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Go to project selector

7. Make sure that billing is enabled for your Google Cloud project.

8. Install the Google Cloud CLI.

9. To initialize the gcloud CLI, run the following command:

   gcloud init

10. 确保您的用户账号具有 Cloud SQL Admin 角色。

    转到 IAM 页面

11. Enable the Cloud Key Management Service API.

    Enable the API

12. Enable the Cloud SQL Admin API.

    Enable the API

创建具有 CMEK 的 Cloud SQL 实例的工作流

1. 仅限 gcloud 和 API 用户：为每个需要 CMEK 的项目创建服务账号。
2. 创建密钥环和密钥并为每个密钥设置位置。该位置指的是 Google Cloud 区域。
3. 仅限 gcloud 和 API 用户：向服务账号授予对密钥的访问权限。
4. 记下密钥 ID (KMS_KEY_ID)、密钥位置 (GCP_REGION) 和密钥环 ID (KMS_KEYRING_ID)。
5. 转到项目并使用以下选项创建 Cloud SQL 实例：
   1. CMEK 所在的位置
   2. 客户管理的密钥配置
   3. CMEK ID

您的 Cloud SQL 实例现已启用 CMEK。

创建服务账号

您需要为每个需要 CMEK 的项目创建一个服务账号。

要允许用户管理服务账号，请授予以下角色之一：

• Service Account User (roles/iam.serviceAccountUser)：包括列出服务账号、获取服务账号的详细信息以及模拟服务账号的权限。
• Service Account Admin (roles/iam.serviceAccountAdmin)：包括列出服务账号和获取服务账号的详细信息的权限。此外，还包括创建、更新和删除服务账号的权限，以及查看或更改服务账号的 Cloud SQL for SQL Server 政策的权限。

目前，您只能使用 gcloud CLI 命令创建 CMEK 所需的服务账号类型。如果您使用的是控制台，则 Cloud SQL 会自动为您创建此服务账号。

gcloud beta services identity create \
--service=sqladmin.googleapis.com \
--project=PROJECT_ID

resource "google_project_service_identity" "gcp_sa_cloud_sql" {
  provider = google-beta
  service  = "sqladmin.googleapis.com"
}

上述命令会返回服务账号名称。在向服务账号授予对密钥的访问权限的过程中，您将使用此服务账号名称。

创建密钥

您可以在 Cloud SQL 实例所属的 Google Cloud 项目中创建密钥，也可以在单独的用户项目中创建密钥。Cloud KMS 密钥环的位置必须与您要在其中创建 Cloud SQL 实例的区域相匹配。多区域密钥或全球区域密钥将不会起作用。如果区域不匹配，Cloud SQL 实例创建请求会失败。

如需创建 Cloud KMS 密钥，请执行以下操作：

resource "google_kms_key_ring" "keyring" {
  provider = google-beta
  name     = "keyring-name"
  location = "us-central1"
}

resource "google_kms_crypto_key" "key" {
  provider = google-beta
  name     = "crypto-key-name"
  key_ring = google_kms_key_ring.keyring.id
  purpose  = "ENCRYPT_DECRYPT"
}

terraform apply

向服务账号授予密钥的访问权限

创建具有 CMEK 的 Cloud SQL 实例时，您只需在使用 gcloud 或 API 时执行此过程。如果您在创建实例后遇到权限问题，可以执行此过程。

如需向服务账号授予访问权限，请执行以下操作：

gcloud kms keys add-iam-policy-binding KMS_KEY_ID \
--location=GCP_REGION \
--keyring=KMS_KEYRING_ID \
--member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-cloud-sql.iam.gserviceaccount.com \
--role=roles/cloudkms.cryptoKeyEncrypterDecrypter

resource "google_kms_crypto_key_iam_binding" "crypto_key" {
  provider      = google-beta
  crypto_key_id = google_kms_crypto_key.key.id
  role          = "roles/cloudkms.cryptoKeyEncrypterDecrypter"

  members = [
    "serviceAccount:${google_project_service_identity.gcp_sa_cloud_sql.email}",
  ]
}

terraform apply

创建具有 CMEK 的 Cloud SQL 实例

如需创建具有 CMEK 的实例，请按如下所述操作：

gcloud sql instances create INSTANCE_NAME \
--project=PROJECT_ID \
--disk-encryption-key=KMS_KEY_ID \
--database-version=VERSION \
--cpu=NUMBER_CPUS \
--memory=MEMORY_SIZE \
--region=REGION \
--root-password=INSERT-PASSWORD-HERE

resource "google_sql_database_instance" "default" {
  name                = "sqlserver-instance-cmek"
  provider            = google-beta
  region              = "us-central1"
  database_version    = "SQLSERVER_2019_STANDARD"
  root_password       = "INSERT-PASSWORD-HERE "
  encryption_key_name = google_kms_crypto_key.key.id
  settings {
    tier = "db-custom-2-7680"
  }
  # set `deletion_protection` to true, will ensure that one cannot accidentally delete this instance by
  # use of Terraform whereas `deletion_protection_enabled` flag protects this instance at the GCP level.
  deletion_protection = false
}

POST https://sqladmin.googleapis.com/v1/projects/project-id/instances

{
  "name":"instance-id",
  "region":"region",
  "databaseVersion": "database-version",
  "diskEncryptionConfiguration" :
  {
      "kmsKeyName" : "kms-resource-id"
  },
  "settings":
  {
     "backupConfiguration":
      {
         
         "enabled":true
      }
   }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/project-id/instances"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/project-id/instances" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-16T02:32:12.281Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

POST https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances

{
  "name":"instance-id",
  "region":"region",
  "databaseVersion": "database-version",
  "diskEncryptionConfiguration" :
  {
      "kmsKeyName" : "kms-resource-id"
  },
  "settings":
  {
     "backupConfiguration":
      {
         
         "enabled":true
      }
   }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-16T02:32:12.281Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

为启用了 CMEK 的实例创建备份

创建 Cloud SQL 实例的备份时，请使用与主实例的客户管理的密钥相同的主密钥版本来加密备份。如果您的实例使用 Cloud KMS Autokey 创建的 CMEK，则备份仍会使用与主实例相同的密钥；Autokey 不会为备份创建密钥。

请参阅创建和管理按需备份与自动备份。

您会在创建备份表单中看到一条消息：“您的备份将使用此实例的 CMEK 的主要版本进行加密。如果任何人销毁或停用此密钥版本，则使用此密钥版本加密的所有备份数据都将永久丢失。您可以在 Cloud KMS 中检查密钥的主要版本。”

在备份页面上，使用 CMEK 启用的备份列表有两个额外的列。一列显示备份用于启用 CMEK 的实例，一列显示用于加密备份的密钥版本。

查看启用了 CMEK 的实例的密钥信息

成功创建 Cloud SQL 实例后，您可以查看实例列表或实例概览页面，了解该实例是使用 CMEK 创建的。详细信息还显示用于创建实例的密钥。

1. 在 Google Cloud 控制台中，转到 Cloud SQL 实例页面。

   转到“Cloud SQL 实例”

2. 在实例列表中，滚动到右侧，直到看到加密列。在此列中，您会看到由 Google 管理和由客户管理。
3. 点击一个实例名称，打开其概览页面。配置窗格中会列出 CMEK。

重新加密现有的启用了 CMEK 的实例或副本

您可以使用最新的主密钥版本重新加密现有的 Cloud SQL 实例和副本。如需详细了解如何重新加密现有的启用了 CMEK 的实例或副本，请参阅密钥简介。

获取新的主密钥版本

• 如需使用新版本重新加密实例或副本，您将需要新的主密钥版本。如果您的实例需要新的密钥版本，您将需要使用 Cloud Key Management Service 轮替密钥。如需轮替主密钥，请参阅轮替密钥。

• 密钥轮替完成后，请等待主密钥更改传播，然后再重新加密实例。如果密钥版本更改不一致，实例将在重新加密后继续使用旧密钥版本。如需了解详情，请参阅密钥版本的一致性。

重新加密启用了 CMEK 的实例

密钥轮替完成后，重新加密现有的启用了 CMEK 的实例或副本。

gcloud sql instances reencrypt INSTANCE_NAME

    POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d "" \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2023-06-28T21:19:09.503Z",
  "operationType": "REENCRYPT",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

    POST https://sqladmin.googleapis.com/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

POST https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d "" \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2023-06-28T21:22:13.663Z",
  "operationType": "REENCRYPT",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

自动重新加密备份

当您使用新的主密钥版本重新加密主实例时，Cloud SQL 会自动创建称为“重新加密备份”的按需备份。

在 Cloud SQL 实例的备份列表中，重新加密备份会列为 on-demand 类型，并带有 backup created automatically for data before CMEK re-encryption 标签。

与其他按需备份一样，重新加密备份会一直保留，直到您删除它们或删除实例。

重新加密限制

重新加密实例时，请注意以下限制：

• 重新加密操作期间，您无法对实例执行任何其他管理操作。
• 重新加密操作会触发停机，具体停机时间取决于实例或副本大小。
• 实例重新加密时，实例的副本不会重新加密。您需要单独重新加密每个副本。
• 重新加密实例时，备份不会自动使用新密钥版本重新加密。如需将备份或时间点恢复恢复到进行备份后的时间，您需要保留加密备份所用的 Cloud KMS 密钥版本。

如需进行问题排查，请参阅重新加密问题排查表。

使用 Cloud External Key Manager (Cloud EKM)

为了保护 Cloud SQL 实例中的数据，您可以使用在受支持的外部密钥管理合作伙伴内管理的密钥。如需了解详情，请参阅 Cloud External Key Manager，包括注意事项部分。

当您准备好创建 Cloud EKM 密钥时，请参阅管理 Cloud EKM 密钥。创建密钥后，请在创建 Cloud SQL 实例时提供该密钥的名称。

您可以在 Cloud EKM 中使用 Key Access Justifications (KAJ)。KAJ 可让您查看每个 Cloud EKM 请求的原因。此外，根据提供的理由，您可以自动批准或拒绝请求。如需了解详情，请参阅概览。

因此，KAJ 通过为每次解密数据的尝试提供理由来提供对数据的额外控制。

Google 无法控制外部密钥管理合作伙伴系统中密钥的可用性。

停用和重新启用密钥版本

请参阅以下主题：

• 停用已启用的密钥版本
• 启用已停用的密钥版本

问题排查

本部分介绍在设置或使用启用了 CMEK 的实例时针对收到的错误消息要尝试的操作。

由于 Cloud KMS 错误以及缺少角色或权限，Cloud SQL 管理员操作（例如创建、克隆或更新）可能会失败。常见的失败原因如下：缺少 Cloud KMS 密钥版本；Cloud KMS 密钥版本已被停用或被销毁；IAM 权限不足，无法访问 Cloud KMS 密钥版本；或者 Cloud KMS 密钥版本与 Cloud SQL 实例位于不同的区域。请使用以下问题排查表来诊断和解决常见问题。

CMEK 问题排查表

重新加密问题排查表

后续步骤

• 配置对实例的访问权限。
• 通过客户端连接到实例。
• 在实例上创建数据库。
• 将数据导入实例。
• 在实例上创建用户。
• 详细了解实例设置。
• 了解如何为密钥添加 Key Access Justifications。