با کلید خودکار Cloud KMS به راحتی منابع را رمزگذاری کنید

1. مقدمه

Cloud KMS Autokey ایجاد و استفاده از کلیدهای رمزگذاری مدیریت شده توسط مشتری (CMEK) را با خودکارسازی تهیه و تخصیص ساده می کند. با Autokey، حلقه‌های کلید، کلیدها و حساب‌های خدمات شما نیازی به برنامه‌ریزی و تهیه قبل از نیاز ندارند. درعوض، Autokey کلیدهای شما را بر حسب تقاضا تولید می‌کند، همانطور که منابع شما ایجاد می‌شوند، با تکیه بر مجوزهای واگذار شده به جای مدیران Cloud KMS.

استفاده از کلیدهای تولید شده توسط Autokey می تواند به شما کمک کند تا به طور مداوم با استانداردهای صنعت و روش های توصیه شده برای امنیت داده ها، از جمله سطح حفاظت HSM، جداسازی وظایف، چرخش کلید، مکان و ویژگی کلید هماهنگ شوید. کلید خودکار کلیدهایی را ایجاد می کند که از دستورالعمل های کلی و دستورالعمل های خاص مربوط به نوع منبع برای سرویس های Google Cloud که با کلید خودکار Cloud KMS یکپارچه می شوند، پیروی می کند. پس از ایجاد آنها، کلیدها با استفاده از عملکرد کلید خودکار مشابه سایر کلیدهای Cloud HSM با همان تنظیمات درخواست می شوند.

چیزی که خواهی ساخت

در این نرم افزار کد، شما می خواهید منابع محافظت شده را با استفاده از کلید خودکار Cloud KMS با ایجاد:

  • یک منبع پوشه
  • پروژه ای که حاوی کلیدهای شما خواهد بود
  • یک نماینده خدمات به عنوان دستیار مدیریت کلید شما
  • پروژه ای که میزبان منابع محافظت شده شما خواهد بود
  • مجموعه داده های BigQuery، دیسک های پایدار و سطل های ذخیره سازی ابری رمزگذاری شده با کلید خودکار Cloud KMS

آنچه شما نیاز دارید

  • Google Cloud Organization
  • برای تکمیل این آزمایشگاه، مدیر Google Cloud شما باید نقش‌های زیر را در سطح سازمان داشته باشد:
  • مدیر کلید خودکار Cloud KMS (roles/cloudkms.autokeyAdmin)
  • پوشه IAM Admin (roles/resourcemanager.folderIamAdmin)
  • کاربر حساب صورت‌حساب (roles/billing.user)
  • پروژه‌های Google Cloud با فعال کردن صورت‌حساب
  • تجربه پایه لینوکس

2. یک پوشه ایجاد کنید

پوشه ها گره هایی در سلسله مراتب منابع پلتفرم ابری هستند. یک پوشه می تواند شامل پروژه ها، پوشه های دیگر یا ترکیبی از هر دو باشد. منابع سازمان می توانند از پوشه ها برای گروه بندی پروژه ها در زیر گره منبع سازمان در یک سلسله مراتب استفاده کنند. برای ایجاد یک پوشه:

  1. به صفحه مدیریت منابع در کنسول Google Cloud بروید
  2. مطمئن شوید که نام منبع سازمان شما در لیست کشویی سازمان در بالای صفحه انتخاب شده باشد.
  3. روی ایجاد پوشه کلیک کنید

9328ef3bd4840817.png

  1. پوشه استاندارد را انتخاب کنید

20a094fe0c7a0924.png

  1. در کادر نام پوشه، نام پوشه جدید خود را وارد کنید. برای این آزمایشگاه، "Autokey-Folder" را در نظر بگیرید
  2. در قسمت مقصد، روی Browse کلیک کنید، سپس منبع سازمان یا پوشه ای را که می خواهید پوشه جدید خود را در آن ایجاد کنید، انتخاب کنید.
  3. روی ایجاد کلیک کنید.

3. یک پروژه منبع ایجاد کنید

ایجاد یک پروژه منبع برای حاوی منابع - مانند مجموعه داده های BigQuery، دیسک های پایدار و سطل های ذخیره سازی ابری - که می خواهید با کلید خودکار Cloud KMS رمزگذاری کنید، مهم است. اگر بخواهید منابع محافظت شده توسط Autokey را در پروژه کلید ایجاد کنید، Autokey درخواست یک کلید جدید را رد می کند. برای ایجاد پروژه منبع:

  1. به صفحه مدیریت منابع در کنسول Google Cloud بروید
  2. روی ایجاد پروژه کلیک کنید.

93e4e224322c68a7.png

  1. در لیست کشویی Select Organization در بالای صفحه، پوشه "Autokey-Folder" را انتخاب کنید.
  2. در پنجره پروژه جدید که ظاهر می شود، نام پروژه را وارد کنید و حساب صورتحساب را انتخاب کنید. برای این آزمایشگاه، "منابع رمزگذاری شده با کلید خودکار" را در نظر بگیرید
  3. در کادر Location، پوشه "Autokey-Folder" را انتخاب کنید. آن منبع، والد سلسله مراتبی پروژه جدید خواهد بود. تنظیمات شما باید شبیه به این باشد:

187ece37daf50835.png

  1. شناسه پروژه - در مثال بالا شناسه پروژه "causal-hour-43319-m4" است اما شناسه شما متفاوت خواهد بود - در ویرایشگر متن انتخابی خود کپی کنید.
  2. روی Create کلیک کنید
  3. نماد Cloud Shell را در گوشه سمت راست بالای صفحه خود انتخاب کنید

16c8476c4991f448.png

  1. پس از فعال شدن Cloud Shell، با اجرای دستور زیر، شناسه پروژه Autokey خود را به عنوان یک متغیر ذخیره کنید:
export RESOURCE_PROJECT=<paste your Resource Project ID>

از آنجا که شناسه پروژه من "key-management-433319" است، دستور من به این شکل است:

export AUTOKEY_PROJECT=causal-hour-43319-m4
  1. دستور زیر را برای اجرای دستورات از پروژه کلید خود اجرا کنید:
gcloud config set project $RESOURCE_PROJECT

هنگامی که از شما خواسته شد، Cloud Shell را با کلیک کردن روی "Authorize" مجاز کنید

a6c755d4921bc728.png

  1. از آنجایی که این پروژه حاوی منابعی است، باید APIها را برای خدماتی که Autokey محافظت می کند فعال کنیم. دستور زیر را اجرا کنید: 
gcloud services enable storage.googleapis.com bigquery.googleapis.com compute.googleapis.com

4. یک پروژه کلیدی ایجاد کنید

توصیه می کنیم پروژه ای ایجاد کنید که حاوی منابع Cloud KMS ایجاد شده توسط Autokey باشد. این به عنوان "پروژه کلیدی" در آینده نامیده می شود. پروژه کلید را می توان در همان پوشه ای ایجاد کرد که قصد دارید کلید خودکار را فعال کنید. شما نباید منابع دیگری را در داخل پروژه کلید ایجاد کنید. اگر بخواهید منابع محافظت شده توسط Autokey را در پروژه کلید ایجاد کنید، Autokey درخواست یک کلید جدید را رد می کند. برای ایجاد پروژه کلیدی:

  1. به صفحه مدیریت منابع در کنسول Google Cloud بروید
  2. روی ایجاد پروژه کلیک کنید.

93e4e224322c68a7.png

  1. در لیست کشویی Select Organization در بالای صفحه، پوشه "Autokey-Folder" را انتخاب کنید.
  2. در پنجره پروژه جدید که ظاهر می شود، نام پروژه را وارد کنید و حساب صورتحساب را انتخاب کنید. برای این آزمایشگاه، "مدیریت کلید" را در نظر بگیرید
  3. در کادر Location، پوشه "Autokey-Folder" را انتخاب کنید. آن منبع، والد سلسله مراتبی پروژه جدید خواهد بود. تنظیمات شما باید شبیه به این باشد:

157894b5c9048c06.png

  1. شناسه پروژه - در مثال بالا، شناسه پروژه "key-management-433319" است اما شناسه شما متفاوت خواهد بود - در ویرایشگر متن انتخابی خود کپی کنید.
  2. روی ایجاد کلیک کنید.

5. پروژه کلید خودکار را آماده کنید

اکنون که هر پروژه ایجاد می شود، زمان آن است که پروژه کلید را برای استفاده از کلید خودکار Cloud KMS پیکربندی کنید.

  1. نماد Cloud Shell را در گوشه سمت راست بالای صفحه خود انتخاب کنید

16c8476c4991f448.png

  1. پس از فعال شدن Cloud Shell، با اجرای دستور زیر، شناسه پروژه Autokey خود را به عنوان یک متغیر ذخیره کنید:
export AUTOKEY_PROJECT=<paste your Autokey Project ID>

از آنجا که شناسه پروژه من "key-management-433319" است، دستور من به این شکل است:

export AUTOKEY_PROJECT=key-management-433319
  1. دستور زیر را برای اجرای دستورات از پروژه کلید خود اجرا کنید:
gcloud config set project $AUTOKEY_PROJECT

هنگامی که از شما خواسته شد، Cloud Shell را با کلیک کردن روی "Authorize" مجاز کنید

a6c755d4921bc728.png

  1. با اجرای دستور زیر، Cloud KMS API را فعال کنید
gcloud services enable cloudkms.googleapis.com  kmsinventory.googleapis.com
  1. دستور زیر را اجرا کنید تا شماره پروژه خود را به عنوان متغیری با نام AUTOKEY_PROJECT_NUMBER ذخیره کنید.
export AUTOKEY_PROJECT_NUMBER=$(gcloud projects list \
--filter="$(gcloud config get-value project)" \
--format="value(PROJECT_NUMBER)")
  1. با اجرای دستور زیر ایمیل اصلی خود را به عنوان یک متغیر ذخیره کنید:
export KEY_ADMIN_EMAIL=<paste your Principal's email>
  1. اعطای مجوزهای سرپرست Cloud KMS در پروژه کلیدی به کاربران سرپرست Cloud KMS شما 
gcloud projects add-iam-policy-binding $AUTOKEY_PROJECT_NUMBER \
    --role=roles/cloudkms.admin \
    --member=user:$KEY_ADMIN_EMAIL

6. عوامل سرویس Cloud KMS را راه اندازی کنید

عامل سرویس Cloud KMS برای یک پروژه کلیدی کلیدها را ایجاد می کند و از طرف یک مدیر انسانی Cloud KMS در حین ایجاد منبع، الزامات خط مشی IAM را اعمال می کند. برای اینکه بتواند کلیدها را ایجاد و تخصیص دهد، عامل سرویس Cloud KMS به مجوزهای سرپرست Cloud KMS نیاز دارد.

  1. شناسه سازمان را با دستور زیر پیدا کنید:
gcloud organizations list | grep -P -i 'ID:' | grep -i '[0-9]'
  1. شناسه سازمان را کپی کنید - این نتیجه عددی است که با رنگ قرمز مشخص شده است
  2. شناسه سازمان را به عنوان متغیری با نام ORG_ID ذخیره کنید:
export ORG_ID=<paste your Organization ID>
  1. با اجرای دستور زیر، عامل سرویس Cloud KMS را ایجاد کنید:
gcloud beta services identity create --service=cloudkms.googleapis.com \
    --project=$AUTOKEY_PROJECT_NUMBER
  1. اعطای نقش سرپرست Cloud KMS به عامل سرویس:
gcloud projects add-iam-policy-binding $AUTOKEY_PROJECT_NUMBER \
    --role=roles/cloudkms.admin \
    --member=serviceAccount:service-$AUTOKEY_PROJECT_NUMBER@gcp-sa-cloudkms.iam.gserviceaccount.com
  1. یک الزام آور خط مشی IAM اضافه کنید تا بتوانید استفاده از کلید KMS Cloud خود را مشاهده کنید. استفاده از کلید اطلاعاتی را برای هر کلید شامل تعداد منابع محافظت شده، پروژه‌ها و محصولات منحصربه‌فرد Google Cloud که از کلید استفاده می‌کنند، ارائه می‌کند. این سطح از جزئیات برای هر کسی که نقش Cloud KMS Viewer را روی کلید داشته باشد در دسترس است. دستور زیر را اجرا کنید:
gcloud organizations add-iam-policy-binding $ORGANIZATION_ID \
    --member="serviceAccount:service-org-$ORGANIZATION_ID@gcp-sa-cloudkms.iam.gserviceaccount.com" \
    --role='roles/cloudkms.orgServiceAgent'
  1. به حساب سرویس Cloud KMS خود نقش Cloud KMS Organization Service Agent (cloudkms.orgServiceAgent) را در منبع سازمان خود اعطا کنید.
gcloud organizations add-iam-policy-binding $ORG_ID \
    --member="serviceAccount:service-org-$ORG_ID@gcp-sa-cloudkms.iam.gserviceaccount.com" \
    --role='roles/cloudkms.orgServiceAgent'
  1. نقش Cloud KMS Protected Resources Viewer را در منبع سازمان خود به هر کسی که نیاز به مشاهده جزئیات استفاده کلیدی دارد اعطا کنید. 
gcloud organizations add-iam-policy-binding $ORG_ID \
    --member="user:$KEY_ADMIN_EMAIL" \
    --role='roles/cloudkms.protectedResourcesViewer'

7. نقش های کاربر Autokey را اعطا کنید

قبل از اینکه توسعه دهندگان شما بتوانند از Autokey استفاده کنند، باید نقش مورد نیاز را به آنها بدهید. می توانید نقش را در سطح پوشه یا در سطح پروژه اعطا کنید. این نقش به توسعه دهندگان این امکان را می دهد که کلیدها را از عامل سرویس Cloud KMS هنگام ایجاد منابع در آن پوشه یا پروژه درخواست کنند.

اولین قدم در اعطای نقش، ذخیره شناسه پوشه است.

  1. شناسه پوشه را با دستور زیر پیدا کنید:
gcloud projects describe $AUTOKEY_PROJECT | grep 'id' | grep -P -i '[0-9]+'
  1. شناسه پوشه را کپی کنید - این قسمتی است که با رنگ قرمز مشخص شده است
  2. شناسه پوشه را به عنوان متغیری با نام FOLDER_ID ذخیره کنید
export FOLDER_ID=<paste the folder ID>

برای اهداف این آزمایشگاه، مدیر کلید را به عنوان کاربر Autokey تعریف می کنیم. با این حال، در موارد استفاده از تولید و در سازمان‌هایی که بیش از یک فرد دارند، مدیر کلید باید با توسعه‌دهنده‌ای که از Autokey استفاده می‌کند متفاوت باشد.

  1. نقش roles/cloudkms.autokeyUser را در سطح پوشه اعطا کنید: 
gcloud resource-manager folders add-iam-policy-binding \
    $FOLDER_ID --role=roles/cloudkms.autokeyUser \
    --member=user:$KEY_ADMIN_EMAIL

8. کلید خودکار Cloud KMS را در پوشه منبع فعال کنید

در این مرحله، کلید خودکار Cloud KMS را روی یک پوشه منبع فعال می‌کنید و پروژه Cloud KMS را که حاوی منابع Autokey برای آن پوشه است، شناسایی می‌کنید. فعال کردن کلید خودکار در این پوشه، کلید خودکار را برای تمام پروژه‌های منبع داخل پوشه فعال می‌کند.

  1. در کنسول Google Cloud، به صفحه کنترل‌های KMS بروید.
  2. بر روی Select Folder کلیک کنید

785f338e1860029c.png

  1. از انتخاب‌کننده متن، پوشه‌ای را که می‌خواهید کلید خودکار را در آن فعال کنید، انتخاب کنید. این همان پوشه ای است که قبلا ایجاد کردید و شامل پروژه منبع شما و پروژه مدیریت کلید است. باید به این شکل باشد:

f0ee5141dc6fa40e.png

  1. روی Enable کلیک کنید.
  2. برای انتخاب پروژه کلیدی، روی Browse کلیک کنید
  3. پروژه مدیریت کلید خود را انتخاب کنید و سپس روی ارسال کلیک کنید.

5acd9e68eb972e15.png

یک پیام تأیید می کند که کلید خودکار Cloud KMS در پوشه فعال است. صفحه کنترل های KMS باید به شکل زیر باشد:

8bddb3d688ba842d.png

9. با استفاده از کلید خودکار Cloud KMS منابع محافظت شده ایجاد کنید

دیسک های پایدار موتور را محاسبه کنید

Autokey یک کلید جدید برای هر دیسک، تصویر و تصویر ماشین در همان مکان منبعی که ایجاد می شود ایجاد می کند.

برای ایجاد یک دیسک، مراحل زیر را انجام دهید:

  1. در کنسول Google Cloud، به صفحه دیسک‌ها بروید.
  2. روی ایجاد دیسک کلیک کنید و خصوصیات دیسک جدید را وارد کنید.
  3. در بخش رمزگذاری، کلید Cloud KMS را انتخاب کنید.

dcc63e9ae03c5fbe.png

  1. برای نوع کلید، Cloud KMS با کلید خودکار را انتخاب کنید و سپس روی درخواست کلید جدید کلیک کنید. زمانی که کلید شما با موفقیت ایجاد شده و آماده استفاده است، یک پیام نشان می دهد.

4b2283a0d52cc98d.png

  1. برای تکمیل ساخت دیسک، روی ایجاد کلیک کنید.

شما می توانید فرآیند مشابهی را برای ایجاد نمونه، تصویر و منابع تصویر ماشین محافظت شده VM دنبال کنید.

Google Cloud Storage Buckets

Autokey یک کلید جدید در همان مکان سطل ایجاد می کند. کلید ایجاد شده توسط Autokey به عنوان کلید پیش فرض سطل اختصاص داده می شود.

کلید خودکار برای اشیا کلید ایجاد نمی کند. به طور پیش فرض، اشیاء ایجاد شده در یک سطل از کلید پیش فرض سطل استفاده می کنند. اگر می‌خواهید یک شی را با استفاده از کلیدی غیر از کلید پیش‌فرض سطل رمزگذاری کنید، می‌توانید به صورت دستی یک CMEK ایجاد کنید و از آن کلید هنگام ایجاد شی استفاده کنید.

  1. در کنسول Google Cloud، به صفحه Create a bucket بروید.
  2. یک نام جهانی منحصر به فرد و دائمی انتخاب کنید.
  3. یک مکان داده را انتخاب کنید.
  4. به بخش "انتخاب نحوه محافظت از داده های شی" بروید

e31bbeff5c7aabdf.png

  1. برای گسترش بخش، روی "انتخاب نحوه محافظت از داده های شی" کلیک کنید

9c68ce19dac932de.png

  1. بخش رمزگذاری داده را باز کنید و کلید Cloud KMS را انتخاب کنید. d8caca08891be9dc.png
  2. برای نوع کلید، Cloud KMS با کلید خودکار را انتخاب کنید و سپس روی درخواست کلید جدید کلیک کنید. زمانی که کلید شما با موفقیت ایجاد شده و آماده استفاده است، یک پیام نشان می دهد.

a10d1ae243c44811.png

  1. برای تکمیل ایجاد سطل، روی ایجاد کلیک کنید. اگر یک کادر محاوره ای از شما خواسته شد که توضیح می دهد "دسترسی عمومی جلوگیری می شود" روی تأیید کلیک کنید.

مجموعه داده BigQuery

برای هر مجموعه داده جدید، Autokey یک کلید جدید در همان مکان خود منبع ایجاد می کند که به کلید پیش فرض مجموعه داده تبدیل می شود. کلید خودکار برای جداول، پرسش‌ها، جداول موقت یا مدل‌ها کلید ایجاد نمی‌کند. به طور پیش فرض، این منابع توسط کلید پیش فرض مجموعه داده محافظت می شوند. اگر می‌خواهید با استفاده از کلیدی غیر از کلید پیش‌فرض مجموعه داده از منبعی در مجموعه داده محافظت کنید، می‌توانید به صورت دستی یک CMEK ایجاد کنید و از آن کلید هنگام ایجاد منبع استفاده کنید.

برای ایجاد یک مجموعه داده BigQuery، ابتدا باید نقش BigQuery User را داشته باشید.

  1. به پوسته ابری بازگردید
  2. Cloud Shell خود را برای اجرای دستورات از پروژه منبع تنظیم کنید
gcloud config set project $RESOURCE_PROJECT
  1. دستور زیر را اجرا کنید تا شماره پروژه خود را به عنوان متغیری به نام RESOURCE_PROJECT_NUMBER ذخیره کنید.
export RESOURCE_PROJECT_NUMBER=$(gcloud projects list --filter="$(gcloud config get-value project)" --format="value(PROJECT_NUMBER)")
  1. به خود نقش BigQuery User را بدهید
gcloud projects add-iam-policy-binding $RESOURCE_PROJECT_NUMBER \
    --role=roles/bigquery.user \
    --member=user:$KEY_ADMIN_EMAIL

اکنون که نقش BigQuery User را دارید، می توانید یک مجموعه داده ایجاد کنید و با Autokey از آن محافظت کنید!

  1. در کنسول Google Cloud، به صفحه BigQuery بروید.
  2. دستورالعمل های ایجاد مجموعه داده را دنبال کنید تا به گزینه های پیشرفته > رمزگذاری برسید.
  3. در بخش رمزگذاری، کلید Cloud KMS را انتخاب کنید.
  4. برای نوع کلید، Cloud KMS با کلید خودکار را انتخاب کنید و سپس روی درخواست کلید جدید کلیک کنید. زمانی که کلید شما با موفقیت ایجاد شده و آماده استفاده است، یک پیام نشان می دهد.
  5. برای تکمیل ایجاد مجموعه داده، روی ایجاد مجموعه داده کلیک کنید.

10. کلیدهای خود را کاوش کنید

در این مرحله، کلیدهای Cloud KMS Autokey ایجاد شده از طرف شما را با مراجعه به صفحه Key Inventory بررسی خواهید کرد. صفحه موجودی کلید اطلاعات جامعی در مورد کلیدهای رمزنگاری در پروژه شما ارائه می دهد. توجه داشته باشید که ممکن است داده ها با تأخیر مواجه شوند. به عنوان مثال، اگر یک منبع محافظت شده جدید ایجاد کنید، منبع محافظت شده و نسخه کلید مرتبط بلافاصله به برگه ردیابی استفاده اضافه نمی شوند. محدودیت های بیشتر را اینجا ببینید.

  1. در کنسول Google Cloud، به صفحه موجودی کلید بروید.
  2. اختیاری: برای فیلتر کردن لیست کلیدها، عبارات جستجوی خود را در کادر فیلتر_list وارد کنید و سپس enter را فشار دهید. برای مثال، می‌توانید بر اساس مکان، حلقه کلید، وضعیت یا سایر ویژگی‌های کلیدها را فیلتر کنید.
  3. روی نام کلیدی که می‌خواهید اطلاعات استفاده از آن را مشاهده کنید، کلیک کنید.
  4. روی "نمای کلی" کلیک کنید. توجه داشته باشید که در هر منبع ایجاد شده یک کلید دارید. نام هر کلید شامل نام منبعی است که کلید محافظت می کند (مثلاً "دیسک محاسباتی" یا "سطل ذخیره سازی"). کلید خودکار Cloud KMS تضمین می کند که هر کلید 365 روز پس از ایجاد آن برای چرخش برنامه ریزی شده است و به هر کلید سطح حفاظت "HSM" اختصاص داده می شود.

9acbce68acb653d4.png

  1. روی تب Usage Tracking کلیک کنید. به سطح اطلاعات ارائه شده توجه کنید: هر منبعی که کلید آن را رمزگذاری می کند، در کنار پروژه، مکان و تاریخ ایجاد نشان داده شده است.
  2. اختیاری: برای فیلتر کردن لیست منابع محافظت شده، عبارات جستجوی خود را در کادر فیلتر_list وارد کنید و سپس Enter را فشار دهید.

7def6fe9a023d063.png

11. تبریک می گویم

تبریک می‌گوییم، شما با موفقیت منابع Google Cloud را ایجاد کرده‌اید و به‌طور خودکار آن‌ها را بر حسب تقاضا با کلید خودکار Cloud KMS رمزگذاری کرده‌اید!

اکنون مراحل کلیدی مورد نیاز برای راه اندازی Autokey را می دانید و از آن برای رمزگذاری خودکار منابع خود با کلیدهای Cloud KMS استفاده می کنید.

12. بعد چی؟

داده ها را در منابع رمزگذاری شده با کلید خودکار خود آپلود کنید

اسناد مرجع