Menggunakan kunci enkripsi yang dikelola pelanggan (CMEK)

Konsol

1. Aktifkan Cloud KMS dan Eventarc API.

   Peran yang diperlukan untuk mengaktifkan API

   Untuk mengaktifkan API, Anda memerlukan izin serviceusage.services.enable. Jika Anda membuat project, kemungkinan Anda sudah memiliki izin ini melalui peran Pemilik (roles/owner). Jika tidak, Anda bisa mendapatkan izin ini melalui peran Admin Penggunaan Layanan (roles/serviceusage.serviceUsageAdmin). Pelajari cara memberikan peran.

   Aktifkan API

2. Buat key ring.
3. Buat kunci untuk key ring tertentu.

gcloud

1. Perbarui komponen gcloud.

   gcloud components update

2. Aktifkan Cloud KMS dan Eventarc API untuk project yang akan menyimpan kunci enkripsi Anda.

   gcloud services enable cloudkms.googleapis.com eventarc.googleapis.com

3. Buat key ring.
4. Buat kunci untuk key ring tertentu.

Untuk mengetahui informasi tentang semua flag dan kemungkinan nilai, jalankan perintah dengan flag --help.

Terraform

1. Aktifkan Cloud KMS API dan Eventarc API untuk project yang akan menyimpan kunci enkripsi Anda dengan mengonfigurasi resource google_project_service:

   # Enable Cloud KMS API
   resource "google_project_service" "cloudkms" {
     service            = "cloudkms.googleapis.com"
     disable_on_destroy = false
   }
   
   # Enable Eventarc API
   resource "google_project_service" "eventarc" {
     service            = "eventarc.googleapis.com"
     disable_on_destroy = false
   }

2. Buat key ring dan kunci dengan mengonfigurasi google_kms_key_ring dan google_kms_crypto_key resource:

   resource "random_id" "default" {
     byte_length = 8
   }
   
   # Create a Cloud KMS key ring
   resource "google_kms_key_ring" "default" {
     name     = "${random_id.default.hex}-example-keyring"
     location = "us-central1"
   }
   
   # Create a Cloud KMS key
   resource "google_kms_crypto_key" "default" {
     name            = "example-key"
     key_ring        = google_kms_key_ring.default.id
     rotation_period = "7776000s"
   }

Untuk mengetahui informasi selengkapnya tentang cara menggunakan Terraform, lihat dokumentasi Terraform di Google Cloud.

Konsol

Saat mengaktifkan CMEK untuk saluran Google atau pihak ketiga melalui konsol, Anda akan diminta untuk memberikan peran Cloud KMS CryptoKey Encrypter/Decrypter ke akun layanan. Untuk mengetahui informasi selengkapnya, dalam dokumen ini, lihat Mengaktifkan CMEK untuk jenis peristiwa Google atau Mengaktifkan CMEK untuk saluran peristiwa pihak ketiga.

gcloud

 gcloud kms keys add-iam-policy-binding KEY_NAME \
     --keyring RING_NAME \
     --location LOCATION \
     --member serviceAccount:SERVICE_AGENT_EMAIL \
     --role roles/cloudkms.cryptoKeyEncrypterDecrypter

Ganti kode berikut:

• KEY_NAME: nama kunci. Contoh, my-key.
• RING_NAME: nama key ring. Contoh, my-keyring.
• LOCATION: lokasi kunci. Contoh, us-central1.

• SERVICE_AGENT_EMAIL: alamat email akun layanan dengan peran eventarc.serviceAgent.

  Misalnya, service-PROJECT_NUMBER@gcp-sa-eventarc.iam.gserviceaccount.com. Untuk mengetahui informasi selengkapnya, lihat Agen layanan.

Terraform

1. Buat identitas layanan untuk layanan Eventarc dengan mengonfigurasi resource google_project_service_identity:

   resource "google_project_service_identity" "eventarc_sa" {
     provider = google-beta
     project  = data.google_project.default.project_id
     service  = "eventarc.googleapis.com"
   }

2. Berikan peran Cloud KMS ke akun layanan Eventarc dengan mengonfigurasi resource google_kms_crypto_key_iam_member:

   # Grant service account access to Cloud KMS key
   resource "google_kms_crypto_key_iam_member" "default" {
     crypto_key_id = google_kms_crypto_key.default.id
     role          = "roles/cloudkms.cryptoKeyEncrypterDecrypter"
     member        = "serviceAccount:${google_project_service_identity.eventarc_sa.email}"
   }

Konsol

1. Di konsol Google Cloud , buka halaman Eventarc > Channels.

   Buka Channel

2. Klik saluran dengan Penyedia Google.

3. Di halaman Edit channel, centang kotak Gunakan kunci enkripsi yang dikelola pelanggan (CMEK).

4. Klik Tambahkan kunci enkripsi.

5. Pilih Region, lalu di daftar CMEK encryption key, pilih key ring yang telah Anda buat untuk region tersebut. Perhatikan bahwa Anda hanya dapat menambahkan satu kunci enkripsi per region untuk channel.

6. Opsional: Untuk memasukkan nama resource kunci secara manual, di daftar Kunci enkripsi CMEK, klik Tidak melihat kunci Anda? Masukkan nama resource utama, lalu masukkan nama kunci dalam format yang ditentukan.

7. Jika diminta, berikan peran cloudkms.cryptoKeyEncrypterDecrypter ke akun layanan Eventarc dengan peran eventarc.serviceAgent.

8. Opsional: Klik Tambahkan kunci enkripsi untuk menambahkan key ring lain yang telah Anda buat untuk region yang berbeda.

9. Klik Simpan.

gcloud

 gcloud eventarc google-channels update \
     --location=LOCATION \
     --crypto-key=KEY

Ganti kode berikut:

• LOCATION: region channel Google yang akan dilindungi. Harus cocok dengan lokasi kunci yang digunakan. Perhatikan bahwa Anda hanya dapat menambahkan satu kunci enkripsi per region untuk channel.
• KEY: nama kunci Cloud KMS yang sepenuhnya memenuhi syarat dalam format projects/PROJECT_ID/locations/LOCATION/keyRings/RING_NAME/cryptoKeys/KEY_NAME.

Terraform

Aktifkan CMEK untuk resource GoogleChannelConfig dalam project dan lokasi tertentu dengan mengonfigurasi resource google_eventarc_google_channel_config:

# Specify a CMEK key for the `GoogleChannelConfig` resource
resource "google_eventarc_google_channel_config" "default" {
  location        = "us-central1"
  name            = "googleChannelConfig"
  crypto_key_name = google_kms_crypto_key.default.id
  depends_on      = [google_kms_crypto_key_iam_member.default]
}

REST

Anda dapat memperbarui resource GoogleChannelConfig menggunakan metode projects.locations.updateGoogleChannelConfig dan menentukan kunci CMEK untuk project dan lokasi tertentu.

Sebelum menggunakan salah satu data permintaan, lakukan penggantian berikut: