Utilizzo delle chiavi di crittografia gestite dal cliente

Per impostazione predefinita, Workflows cripta i contenuti inattivi dei clienti. Workflows gestiscono la crittografia per conto tuo senza che tu debba fare altro. Questa opzione è denominata Crittografia predefinita di Google.

Se vuoi controllare le tue chiavi di crittografia, puoi utilizzare le chiavi di crittografia gestite dal cliente (CMEK) in Cloud KMS con i servizi integrati con CMEK, tra cui Workflows. L'utilizzo delle chiavi Cloud KMS ti consente di controllare il loro livello di protezione, la posizione, la pianificazione della rotazione, le autorizzazioni di utilizzo e accesso e i confini di crittografia. L'utilizzo di Cloud KMS ti consente inoltre di monitorare l'utilizzo delle chiavi, visualizzare i log di controllo e controllare i cicli di vita delle chiavi. Invece che essere di proprietà e gestite da Google, le chiavi di crittografia della chiave (KEK) simmetriche che proteggono i tuoi dati sono sotto il tuo controllo e vengono gestite in Cloud KMS.

Dopo aver configurato le risorse con i CMEK, l'esperienza di accesso alle risorse di Workflows è simile all'utilizzo della crittografia predefinita di Google. Per saperne di più sulle opzioni di crittografia, consulta Chiavi di crittografia gestite dal cliente (CMEK).

Puoi proteggere il tuo flusso di lavoro e i dati at-rest associati utilizzando una chiave di crittografia a cui solo tu puoi accedere e che puoi controllare e gestire utilizzando Cloud KMS.

Che cosa viene protetto con CMEK

Quando esegui il deployment di un flusso di lavoro, puoi specificare una chiave Cloud KMS. Questa chiave viene utilizzata per criptare il flusso di lavoro e le relative esecuzioni:

• Un flusso di lavoro richiede un file di origine che contenga una definizione di flusso di lavoro valida. Questo file di origine viene criptato utilizzando la chiave.

• Un'esecuzione del flusso di lavoro esegue la definizione attuale del flusso di lavoro (una revisione del flusso di lavoro specifica). Utilizzando la chiave associata alla revisione del flusso di lavoro al momento del suo deployment, il flusso di lavoro compilato, nonché eventuali dati di input, output ed esecuzione archiviati, vengono criptati. Sono inclusi gli argomenti di esecuzione, risultati, errori ed eccezioni; eventi Eventarc inviati; callback e richieste e risposte HTTP.

Prima di iniziare

Prima di utilizzare CMEK in Workflows, completa i seguenti passaggi:

1. Abilita le API.

   Console

   1. Enable the Cloud KMS and Workflows APIs.

      Enable the APIs

   gcloud

   1. In the Google Cloud console, activate Cloud Shell.

      Activate Cloud Shell

      At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

   2. Aggiorna i componenti gcloud.

      gcloud components update

   3. Abilita le API Cloud KMS e Workflows per il progetto che memorizzerà le chiavi di crittografia.

      gcloud services enable cloudkms.googleapis.com workflows.googleapis.com

2. Cloud KMS genera Cloud Audit Logs quando le chiavi vengono attivate, disattivate o utilizzate dalle risorse Workflows per criptare e decriptare i dati. Assicurati che il logging sia abilitato per l'API Cloud KMS nel tuo progetto e che tu abbia deciso quali autorizzazioni e ruoli specifici per il logging si applicano al tuo caso d'uso. Per ulteriori informazioni, consulta le informazioni sui log di controllo di Cloud KMS.

Crea un keyring e una chiave Cloud KMS

Puoi creare un nuovo portachiavi o utilizzarne uno esistente. All'interno del keyring, puoi aggiungere una nuova chiave o utilizzare una chiave esistente.

1. Crea un keyring.

2. Crea una chiave per un keyring specificato.

Recuperare l'ID risorsa di una chiave Cloud KMS

L'ID risorsa di una chiave Cloud KMS è obbligatorio quando attivi la chiave CMEK per un flusso di lavoro. In questo documento, consulta Abilitare CMEK per un flusso di lavoro.

Concedi all'agente di servizio Workflows l'accesso alla chiave

Devi concedere all'agente di servizio Workflows il ruolo IAM Autore crittografia/decrittografia CryptoKey Cloud KMS in modo che possa accedere alla chiave Cloud KMS:

gcloud kms keys add-iam-policy-binding KEY_NAME \
    --keyring RING_NAME \
    --location LOCATION \
    --member serviceAccount:service-PROJECT_NUMBER@gcp-sa-workflows.iam.gserviceaccount.com \
    --role roles/cloudkms.cryptoKeyEncrypterDecrypter

Se l'agente di servizio dispone del ruolo roles/cloudkms.cryptoKeyEncrypterDecrypter, un workflow nel tuo progetto può criptare e decriptare i suoi dati utilizzando la chiave CMEK. Se revochi questo ruolo o se disattivi o distruggi la chiave CMEK, non potrai accedere ai dati. In questo documento, consulta la sezione Disattivare Cloud KMS.

Attivare CMEK per un flusso di lavoro

Quando crei un flusso di lavoro o lo aggiorni in un secondo momento, puoi specificare la chiave Cloud KMS che il flusso di lavoro deve utilizzare per la crittografia dei dati.

gcloud workflows deploy WORKFLOW_NAME \
    --source=SOURCE_FILE \
    --kms-key=KEY \
    --location LOCATION \
    --service-account=SERVICE_ACCOUNT

Tieni presente quanto segue:

• Le revisioni e le esecuzioni dei flussi di lavoro vengono criptate con la chiave specificata al momento del deployment. Le risorse criptate in precedenza con una chiave precedente rimangono criptate con quella chiave precedente. Se un flusso di lavoro viene modificato in un secondo momento e viene specificata una nuova chiave, la revisione del flusso di lavoro viene criptata con la nuova chiave e le eventuali esecuzioni successive utilizzeranno la nuova chiave.
• Le revisioni ed esecuzioni dei flussi di lavoro non CMEK precedentemente criptati rimangono non criptate.
• Se disattivi CMEK per una revisione del flusso di lavoro, tutte le esecuzioni successive vengono create senza crittografia CMEK. In questo documento, consulta Disattivare CMEK per un flusso di lavoro. Le revisioni e le esecuzioni dei flussi di lavoro esistenti rimangono criptate con le chiavi con cui sono state criptate in precedenza.

Verifica l'integrazione di Cloud KMS

Puoi verificare l'integrazione di CMEK visualizzando i metadati di un workflow.

gcloud workflows describe WORKFLOW_NAME \
    --location=LOCATION

createTime: '2022-08-10T19:57:58.233177709Z'
cryptoKeyName: projects/PROJECT_NAME/locations/LOCATION/keyRings/RING_NAME/cryptoKeys/KEY_NAME
name: projects/PROJECT_NAME/locations/LOCATION/workflows/WORKFLOW_NAME
revisionCreateTime: '2022-11-18T19:44:04.933633237Z'
revisionId: 000009-8be
serviceAccount: projects/PROJECT_NAME/serviceAccounts/SA_NAME@PROJECT_NAME.iam.gserviceaccount.com
sourceContents:
[...]
state: ACTIVE
updateTime: '2022-11-18T19:44:05.171793128Z'

Disattivare CMEK per un flusso di lavoro

Puoi disattivare CMEK per un flusso di lavoro in modo che non utilizzi più la chiave Cloud KMS associata.

gcloud workflows deploy WORKFLOW_NAME \
    --source=SOURCE_FILE \
    --clear-kms-key \
    --service-account=SERVICE_ACCOUNT

In questo modo, CMEK viene disattivato per la revisione del flusso di lavoro corrente e le eventuali esecuzioni successive vengono create senza crittografia CMEK. Le revisioni e le esecuzioni dei flussi di lavoro esistenti rimangono criptate con le chiavi con cui sono state criptate in precedenza.

Disattivare Cloud KMS

Se vuoi revocare l'accesso ai dati per il tuo flusso di lavoro o le sue esecuzioni, puoi scegliere una delle seguenti opzioni per disattivare Cloud KMS:

• Disattiva o elimina la versione chiave primaria della chiave di crittografia gestita dal cliente. La disattivazione di una versione della chiave CMEK sospende l'accesso a tutti i dati protetti da quella versione della chiave. L'eliminazione di una versione della chiave è la controparte permanente di questa azione. Entrambi influiscono solo sui workflow e sulle esecuzioni dei workflow associati alla chiave specifica. Non puoi creare nuove esecuzioni o visualizzare le risorse associate alla chiave disattivata o eliminata. Eventuali esecuzioni attive non andranno a buon fine con un messaggio di errore corrispondente.

• Rimuovi il ruolo IAM cloudkms.cryptoKeyEncrypterDecrypter dall'agente di servizio Workflows. Ciò influisce su tutti i flussi di lavoro nel progetto Google Cloud che supportano la crittografia utilizzando CMEK. Non puoi creare nuovi flussi di lavoro ed esecuzioni integrati con CMEK o visualizzare risorse criptate con CMEK. Eventuali esecuzioni attive non andranno a buon fine con un messaggio di errore corrispondente.

Sebbene nessuna delle due operazioni garantisca la revoca immediata dell'accesso, le modifiche IAM in genere si propagano più rapidamente. Per ulteriori informazioni, consulta Coerenza delle risorse Cloud KMS e Propagazione della modifica di accesso.

Risoluzione dei problemi

Potresti riscontrare errori quando utilizzi Cloud KMS con Workflows. La tabella seguente descrive i diversi problemi e come risolverli.

Come viene gestito lo stato di una chiave non disponibile

Se per qualche motivo Cloud KMS non è disponibile, Workflows potrebbe non essere in grado di recuperare lo stato della chiave da Cloud KMS.

Se lo stato della chiave non è disponibile, il flusso di lavoro o la relativa esecuzione restituiranno un valore state: UNAVAILABLE e dettagli correlati nel campo stateError.

Se lo stato della chiave non è disponibile durante l'esecuzione di un flusso di lavoro (ad esempio, un'autorizzazione viene revocata durante un callback), si verifica un errore di runtime, che restituisce un valore state: FAILED e dettagli correlati nel campo error.

Prezzi

Questa integrazione non comporta costi aggiuntivi oltre alle operazioni sulle chiavi, che vengono fatturate al tuo progetto Google Cloud. Per informazioni sui prezzi attuali, consulta Prezzi di Cloud KMS.