Gunakan kunci enkripsi yang dikelola pelanggan (CMEK)

Halaman ini menjelaskan cara menyiapkan akun layanan dan kunci untuk kunci enkripsi yang dikelola pelanggan, dan cara membuat instance yang menggunakan kunci enkripsi yang dikelola pelanggan. Untuk mempelajari lebih lanjut cara menggunakan kunci enkripsi yang dikelola pelanggan dengan Cloud SQL, lihat Ringkasan kunci enkripsi yang dikelola pelanggan.

Sebelum memulai

1. Login ke akun Google Cloud Anda. Jika Anda baru menggunakan Google Cloud, buat akun untuk mengevaluasi performa produk kami dalam skenario dunia nyata. Pelanggan baru juga mendapatkan kredit gratis senilai $300 untuk menjalankan, menguji, dan men-deploy workload.

2. Di konsol Google Cloud, pada halaman pemilih project, pilih atau buat project Google Cloud.

   Buka pemilih project

3. Pastikan penagihan telah diaktifkan untuk project Google Cloud Anda.

4. Menginstal Google Cloud CLI.

5. Untuk initialize gcloud CLI, jalankan perintah berikut:

   gcloud init

6. Di konsol Google Cloud, pada halaman pemilih project, pilih atau buat project Google Cloud.

   Buka pemilih project

7. Pastikan penagihan telah diaktifkan untuk project Google Cloud Anda.

8. Menginstal Google Cloud CLI.

9. Untuk initialize gcloud CLI, jalankan perintah berikut:

   gcloud init

10. Pastikan Anda memiliki peran Admin Cloud SQL di akun pengguna.

    Buka halaman IAM

11. Aktifkan Cloud Key Management Service API.

    Mengaktifkan API

12. Aktifkan API Cloud SQL Admin.

    Mengaktifkan API

Alur kerja untuk membuat instance Cloud SQL dengan CMEK

1. Khusus pengguna gcloud dan API: Membuat akun layanan untuk setiap project yang memerlukan kunci enkripsi yang dikelola pelanggan.
2. Buat keyring dan kunci, lalu tetapkan lokasi untuk setiap kunci. Lokasinya adalah region Google Cloud.
3. Khusus pengguna gcloud dan API: Memberi akun layanan akses ke kunci.
4. Salin atau tulis kunci ID (KMS_KEY_ID) dan lokasi untuk kunci tersebut, serta ID (KMS_KEYRING_ID) untuk KeyRing. Anda memerlukan informasi ini saat memberi akun layanan akses ke kunci.
5. Buka project dan buat instance Cloud SQL dengan opsi berikut:
   1. Lokasi yang sama dengan kunci enkripsi yang dikelola pelanggan
   2. Konfigurasi kunci yang dikelola pelanggan
   3. Kunci enkripsi ID yang dikelola pelanggan

Instance Cloud SQL Anda sekarang diaktifkan dengan CMEK.

Membuat akun layanan

Anda perlu membuat akun layanan untuk setiap project yang memerlukan kunci enkripsi yang dikelola pelanggan.

Untuk mengizinkan pengguna mengelola akun layanan, berikan salah satu peran berikut:

• Pengguna Akun Layanan (roles/iam.serviceAccountUser): Mencakup izin untuk mencantumkan akun layanan, mendapatkan detail tentang akun layanan, dan meniru identitas akun layanan.
• Admin Akun Layanan (roles/iam.serviceAccountAdmin): Mencakup izin untuk mencantumkan akun layanan dan mendapatkan detail tentang akun layanan. Juga mencakup izin untuk membuat, memperbarui, dan menghapus akun layanan, serta melihat atau mengubah kebijakan Cloud SQL untuk MySQL pada akun layanan.

Saat ini, Anda hanya dapat menggunakan perintah gcloud CLI untuk membuat jenis akun layanan yang Anda butuhkan untuk kunci enkripsi yang dikelola pelanggan. Jika Anda menggunakan Konsol, Cloud SQL akan otomatis membuat akun layanan ini untuk Anda.

gcloud beta services identity create \
--service=sqladmin.googleapis.com \
--project=PROJECT_ID

resource "google_project_service_identity" "gcp_sa_cloud_sql" {
  provider = google-beta
  service  = "sqladmin.googleapis.com"
}

Perintah sebelumnya menampilkan nama akun layanan. Anda dapat menggunakan nama akun layanan ini selama prosedur di bagian Memberi akun layanan akses ke kunci.

Buat kunci

Anda dapat membuat kunci di project Google Cloud yang sama dengan instance Cloud SQL atau di project pengguna yang terpisah. Lokasi key ring Cloud KMS harus cocok dengan region tempat Anda ingin membuat instance Cloud SQL. Kunci multi-region atau region global tidak akan berfungsi. Permintaan pembuatan instance Cloud SQL akan gagal jika region tidak cocok.

Untuk membuat kunci Cloud KMS:

resource "google_kms_key_ring" "keyring" {
  provider = google-beta
  name     = "keyring-name"
  location = "us-central1"
}

resource "google_kms_crypto_key" "key" {
  provider = google-beta
  name     = "crypto-key-name"
  key_ring = google_kms_key_ring.keyring.id
  purpose  = "ENCRYPT_DECRYPT"
}

terraform apply

Beri akun layanan akses ke kunci

Anda hanya perlu melakukan prosedur ini jika menggunakan gcloud atau API.

Untuk memberikan akses akun layanan:

gcloud kms keys add-iam-policy-binding KMS_KEY_ID \
--location=GCP_REGION \
--keyring=KMS_KEYRING_ID \
--member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-cloud-sql.iam.gserviceaccount.com \
--role=roles/cloudkms.cryptoKeyEncrypterDecrypter

resource "google_kms_crypto_key_iam_binding" "crypto_key" {
  provider      = google-beta
  crypto_key_id = google_kms_crypto_key.key.id
  role          = "roles/cloudkms.cryptoKeyEncrypterDecrypter"

  members = [
    "serviceAccount:${google_project_service_identity.gcp_sa_cloud_sql.email}",
  ]
}

terraform apply

Membuat instance Cloud SQL dengan CMEK

Untuk membuat instance dengan kunci enkripsi yang dikelola pelanggan:

gcloud sql instances create INSTANCE_NAME \
--project=PROJECT_ID \
--disk-encryption-key=KMS_KEY_ID \
--database-version=VERSION \
--tier=MACHINE_TYPE \
--region=REGION \
--root-password=INSERT-PASSWORD-HERE

resource "google_sql_database_instance" "mysql_instance_with_cmek" {
  name                = "mysql-instance-cmek"
  provider            = google-beta
  region              = "us-central1"
  database_version    = "MYSQL_8_0"
  encryption_key_name = google_kms_crypto_key.key.id
  settings {
    tier = "db-n1-standard-2"
  }
  # set `deletion_protection` to true, will ensure that one cannot accidentally delete this instance by
  # use of Terraform whereas `deletion_protection_enabled` flag protects this instance at the GCP level.
  deletion_protection = false
}

POST https://sqladmin.googleapis.com/v1/projects/project-id/instances

{
  "name":"instance-id",
  "region":"region",
  "databaseVersion": "database-version",
  "diskEncryptionConfiguration" :
  {
      "kmsKeyName" : "kms-resource-id"
  },
  "settings":
  {
     "backupConfiguration":
      {
         "binaryLogEnabled": true,
         "enabled":true
      }
   }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/project-id/instances"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/project-id/instances" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-16T02:32:12.281Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

POST https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances

{
  "name":"instance-id",
  "region":"region",
  "databaseVersion": "database-version",
  "diskEncryptionConfiguration" :
  {
      "kmsKeyName" : "kms-resource-id"
  },
  "settings":
  {
     "backupConfiguration":
      {
         "binaryLogEnabled": true,
         "enabled":true
      }
   }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-16T02:32:12.281Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

Membuat cadangan untuk instance yang mendukung CMEK

Saat Anda membuat cadangan instance Cloud SQL, cadangan akan dienkripsi dengan versi kunci utama yang sama dengan kunci yang dikelola pelanggan dari instance utama.

Lihat Membuat dan mengelola pencadangan sesuai permintaan dan pencadangan otomatis.

Anda akan melihat pesan pada formulir Buat cadangan yang bertuliskan: "Cadangan Anda akan dienkripsi dengan versi utama kunci enkripsi yang dikelola pelanggan dari instance ini. Jika versi kunci ini dimusnahkan atau dinonaktifkan, semua data cadangan yang dienkripsi dengan versi kunci tersebut akan dihapus secara permanen. Anda dapat memeriksa versi utama untuk kunci tersebut di Cloud KMS."

Di halaman cadangan, daftar cadangan yang diaktifkan dengan kunci enkripsi yang dikelola pelanggan memiliki dua kolom tambahan. Satu kolom yang menunjukkan bahwa cadangan adalah untuk instance yang mendukung CMEK, dan kolom yang menampilkan versi kunci yang digunakan untuk mengenkripsi cadangan.

Membuat replika untuk instance yang mendukung CMEK

Saat Anda membuat instance replika baca Cloud SQL di region yang sama, replika tersebut akan mewarisi kunci enkripsi yang dikelola pelanggan yang sama dengan instance induk. Jika Anda membuat replika baca di region yang berbeda, Anda akan diberi daftar baru kunci enkripsi yang dikelola pelanggan untuk dipilih. Setiap region menggunakan kumpulan kuncinya sendiri.

Lihat Membuat replika baca.

Di halaman Buat replika baca, Anda melihat informasi berikut:

1. Enkripsi menampilkan dikelola pelanggan.
2. Kunci enkripsi untuk replika ditampilkan.
3. Ada pesan yang menyatakan "Replika Anda akan dienkripsi dengan kunciinstance utama yang dikelola pelanggan. Jika kunci ini dihancurkan, semua data yang dienkripsi dengan kunci tersebut akan dihapus secara permanen."

Untuk replika lintas-region, Anda akan melihat pesan berikut:

"Replika lintas region Anda akan dienkripsi dengan kunci yang dikelola pelanggan yang dipilih. Jika kunci ini dihancurkan, semua data yang dienkripsi dengan kunci tersebut akan dihapus secara permanen."

Membuat clone instance yang mendukung CMEK

Saat Anda membuat clone instance Cloud SQL, clone tersebut akan mewarisi kunci enkripsi yang dikelola pelanggan yang sama dengan yang digunakan untuk mengenkripsi instance sumber.

Lihat Instance meng-clone.

Di halaman Buat clone, Anda akan melihat informasi berikut:

1. Enkripsi menampilkan dikelola pelanggan.
2. Kunci enkripsi untuk clone ditampilkan.
3. Muncul pesan yang menyatakan "clone Anda akan dienkripsi dengan kunci yang dikelola pelanggan pada instance sumber. Jika kunci ini dihancurkan, semua data yang dienkripsi dengan kunci tersebut akan dihapus secara permanen."

Melihat informasi penting untuk instance yang mendukung CMEK

Setelah berhasil membuat instance Cloud SQL, Anda dapat melihat daftar instance atau halaman ringkasan instance untuk melihat bahwa instance tersebut dibuat menggunakan kunci enkripsi yang dikelola pelanggan. Detail tersebut juga menunjukkan kunci yang digunakan untuk membuat instance.

1. Di konsol Google Cloud, buka halaman Instance Cloud SQL.

   Buka Instance Cloud SQL

2. Dalam daftar Instance, scroll ke kanan sampai Anda melihat kolom Enkripsi . Dalam kolom ini, Anda akan melihat Dikelola Google dan Dikelola pelanggan.
3. Klik nama instance untuk membuka halaman Ringkasan. Kunci enkripsi yang dikelola pelanggan tercantum di panel Konfigurasi .

Enkripsi ulang instance atau replika berkemampuan CMEK yang ada

Anda dapat mengenkripsi ulang instance dan replika Cloud SQL yang ada dengan versi kunci utama terbaru. Untuk mengetahui informasi selengkapnya tentang mengenkripsi ulang instance atau replika aktif CMEK yang ada, lihat Tentang kunci.

Memperoleh versi kunci utama yang baru

• Untuk mengenkripsi ulang instance atau replika dengan versi baru, Anda memerlukan versi kunci utama baru. Jika memerlukan versi kunci baru untuk instance, Anda harus merotasi kunci menggunakan Cloud Key Management Service. Untuk merotasi kunci utama, lihat Merotasi kunci.

• Setelah rotasi kunci Anda selesai, tunggu hingga perubahan kunci utama diterapkan sebelum Anda mengenkripsi ulang instance. Jika perubahan versi kunci Anda tidak konsisten, instance Anda akan terus menggunakan versi kunci lama setelah enkripsi ulang. Untuk informasi selengkapnya, lihat Konsistensi versi kunci.

Enkripsi ulang instance berkemampuan CMEK

Setelah rotasi kunci selesai, enkripsi ulang instance atau replika yang mendukung CMEK Anda.

gcloud sql instances reencrypt INSTANCE_NAME

    POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d "" \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2023-06-28T21:19:09.503Z",
  "operationType": "REENCRYPT",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

    POST https://sqladmin.googleapis.com/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

POST https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d "" \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2023-06-28T21:22:13.663Z",
  "operationType": "REENCRYPT",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

Cadangan enkripsi ulang otomatis

Saat Anda mengenkripsi ulang instance utama dengan versi kunci utama baru, Cloud SQL secara otomatis membuat cadangan sesuai permintaan yang disebut cadangan enkripsi ulang.

Dalam daftar cadangan untuk instance Cloud SQL, cadangan enkripsi ulang dicantumkan sebagai jenis on-demand dan diberi label dengan backup created automatically for data before CMEK re-encryption.

Seperti cadangan sesuai permintaan lainnya, cadangan enkripsi ulang akan tetap ada hingga Anda menghapusnya atau menghapus instance.

Batasan enkripsi ulang

Saat Anda mengenkripsi ulang instance, perhatikan batasan berikut:

• Anda tidak dapat melakukan operasi admin lain pada instance saat operasi enkripsi ulang sedang berlangsung.
• Operasi enkripsi ulang memicu periode nonaktif yang bergantung pada ukuran replika atau instance.
• Replika instance tidak dienkripsi ulang jika suatu instance terenkripsi. Anda perlu mengenkripsi ulang setiap replika secara terpisah.
• Cadangan tidak secara otomatis dienkripsi ulang dengan versi kunci baru saat Anda mengenkripsi ulang instance. Untuk memulihkan cadangan atau pemulihan point-in-time ke waktu setelah cadangan diambil, Anda harus menyimpan versi kunci Cloud KMS yang digunakan untuk mengenkripsi cadangan.

Untuk pemecahan masalah, lihat tabel pemecahan masalah enkripsi ulang.

Gunakan Cloud External Key Manager (Cloud EKM)

Untuk melindungi data dalam instance Cloud SQL, Anda dapat menggunakan kunci yang Anda kelola dalam partner pengelolaan kunci eksternal yang didukung. Untuk informasi selengkapnya, lihat Cloud External Key Manager, termasuk bagian Pertimbangan .

Jika Anda sudah siap untuk membuat kunci Cloud EKM, lihat Mengelola kunci Cloud EKM. Setelah kunci dibuat, masukkan nama kunci tersebut saat Anda membuat instance Cloud SQL.

Anda dapat menggunakan Key Access Justifications (KAJ) sebagai bagian dari Cloud EKM. KAJ memungkinkan Anda melihat alasan setiap permintaan Cloud EKM. Selain itu, berdasarkan justifikasi yang diberikan, Anda dapat otomatis menyetujui atau menolak permintaan. Untuk mempelajari lebih lanjut, lihat Ringkasan.

Dengan demikian, KAJ memberikan kontrol tambahan atas data Anda dengan memberikan justifikasi untuk setiap upaya untuk mendekripsi data.

Google tidak memiliki kontrol atas ketersediaan kunci dalam sistem partner pengelolaan kunci eksternal.

Menonaktifkan dan mengaktifkan kembali versi kunci

Lihat topik berikut:

• Menonaktifkan versi kunci yang diaktifkan
• Mengaktifkan versi kunci yang dinonaktifkan

Memecahkan masalah

Bagian ini menjelaskan hal-hal yang perlu dicoba saat Anda menerima pesan error saat menyiapkan atau menggunakan instance yang mendukung CMEK.

Operasi administrator Cloud SQL, seperti pembuatan, clone, atau update, mungkin gagal karena error Cloud KMS, dan tidak ada peran atau izin. Penyebab kegagalan umum meliputi hilangnya versi kunci Cloud KMS, versi kunci Cloud KMS dinonaktifkan atau dihancurkan, izin IAM tidak memadai untuk mengakses versi kunci Cloud KMS, atau versi kunci Cloud KMS berada dalam region yang berbeda dengan instance Cloud SQL. Gunakan tabel pemecahan masalah berikut untuk mendiagnosis dan menyelesaikan masalah umum.

Tabel pemecahan masalah kunci enkripsi yang dikelola pelanggan

Tabel pemecahan masalah enkripsi ulang

Langkah selanjutnya

• Konfigurasi akses ke instance.
• Menghubungkan ke instance dengan klien.
• Buat database pada instance.
• Impor data ke instance.
• Buat pengguna pada instance.
• Pelajari lebih lanjut setelan instance.
• Pelajari cara menambahkan justifikasi akses kunci ke kunci Anda.