Usar chaves de criptografia gerenciadas pelo cliente (CMEK)

Nesta página, você verá como configurar uma conta de serviço e chaves de criptografia gerenciadas pelo cliente e como criar uma instância que usa esse tipo de chave. Para saber mais sobre como usar chaves de criptografia gerenciadas pelo cliente com o Cloud SQL, consulte Visão geral das chaves de criptografia gerenciadas pelo cliente.

Antes de começar

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Go to project selector

3. Verifique se a cobrança está ativada para o seu projeto do Google Cloud.

4. Install the Google Cloud CLI.

5. To initialize the gcloud CLI, run the following command:

   gcloud init

6. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Go to project selector

7. Verifique se a cobrança está ativada para o seu projeto do Google Cloud.

8. Install the Google Cloud CLI.

9. To initialize the gcloud CLI, run the following command:

   gcloud init

10. Verifique se você tem o papel Administrador do Cloud SQL em sua conta de usuário.

    Acessar a página IAM

11. Enable the Cloud Key Management Service API.

    Enable the API

12. Enable the Cloud SQL Admin API.

    Enable the API

Fluxo de trabalho para criar uma instância do Cloud SQL com CMEK

1. Somente usuários da gcloud e da API: crie uma conta de serviço para cada projeto que exige chaves de criptografia gerenciadas pelo cliente.
2. Crie um keyring e uma chave e defina o local de cada chave. O local é a região do Google Cloud.
3. Somente usuários da gcloud e da API: conceda à conta de serviço o acesso à chave.
4. Anote o ID da chave (KMS_KEY_ID), o local da chave (GCP_REGION) e o ID do keyring (KMS_KEYRING_ID).
5. Acesse um projeto e crie uma instância do Cloud SQL com as seguintes opções:
   1. O mesmo local da chave de criptografia gerenciada pelo cliente
   2. A configuração de chave gerenciada pelo cliente
   3. O ID da chave de criptografia gerenciada pelo cliente

Sua instância do Cloud SQL agora está ativada com CMEK.

Crie uma conta de serviço

Você precisa criar uma conta de serviço para cada projeto que exige chaves de criptografia gerenciadas pelo cliente.

Para permitir que um usuário gerencie contas de serviço, conceda um dos seguintes papéis:

• Usuário da conta de serviço (roles/iam.serviceAccountUser): inclui permissões para listar contas de serviço, acessar detalhes sobre uma conta de serviço e representar uma conta de serviço.
• Administrador da conta de serviço (roles/iam.serviceAccountAdmin): inclui permissões para listar contas de serviço e acessar detalhes sobre uma conta de serviço. Também inclui permissões para criar, atualizar e excluir contas de serviço, e para visualizar ou alterar a política do Cloud SQL para MySQL em uma conta de serviço.

No momento, só é possível usar comandos da CLI gcloud para criar o tipo de conta de serviço necessária para chaves de criptografia gerenciadas pelo cliente. Se você estiver usando o Console, o Cloud SQL criará automaticamente essa conta de serviço para você.

gcloud beta services identity create \
--service=sqladmin.googleapis.com \
--project=PROJECT_ID

resource "google_project_service_identity" "gcp_sa_cloud_sql" {
  provider = google-beta
  service  = "sqladmin.googleapis.com"
}

O comando anterior retorna um nome de conta de serviço. Você usa esse nome de conta de serviço durante o procedimento em Como conceder acesso à chave para a conta de serviço.

Crie uma chave

É possível criar a chave no mesmo projeto do Google Cloud que a instância do Cloud SQL ou em um projeto diferente do usuário. O local do keyring do Cloud KMS precisa corresponder à região em que você quer criar a instância do Cloud SQL. Uma chave de região global ou de várias regiões não funcionará. A solicitação de criação de instância do Cloud SQL falhará se as regiões não corresponderem.

Para criar uma chave do Cloud KMS:

resource "google_kms_key_ring" "keyring" {
  provider = google-beta
  name     = "keyring-name"
  location = "us-central1"
}

resource "google_kms_crypto_key" "key" {
  provider = google-beta
  name     = "crypto-key-name"
  key_ring = google_kms_key_ring.keyring.id
  purpose  = "ENCRYPT_DECRYPT"
}

terraform apply

Conceda à conta de serviço acesso a chave

Ao criar a instância do Cloud SQL com a CMEK, você só precisará executar este procedimento se estiver usando a gcloud ou a API. Siga este procedimento se tiver problemas de permissão após a criação da instância.

Para conceder acesso à conta de serviço:

gcloud kms keys add-iam-policy-binding KMS_KEY_ID \
--location=GCP_REGION \
--keyring=KMS_KEYRING_ID \
--member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-cloud-sql.iam.gserviceaccount.com \
--role=roles/cloudkms.cryptoKeyEncrypterDecrypter

resource "google_kms_crypto_key_iam_binding" "crypto_key" {
  provider      = google-beta
  crypto_key_id = google_kms_crypto_key.key.id
  role          = "roles/cloudkms.cryptoKeyEncrypterDecrypter"

  members = [
    "serviceAccount:${google_project_service_identity.gcp_sa_cloud_sql.email}",
  ]
}

terraform apply

Criar uma instância do Cloud SQL com CMEK

Para criar uma instância com chaves de criptografia gerenciadas pelo cliente:

gcloud sql instances create INSTANCE_NAME \
--project=PROJECT_ID \
--disk-encryption-key=KMS_KEY_ID \
--database-version=VERSION \
--tier=MACHINE_TYPE \
--region=REGION \
--root-password=INSERT-PASSWORD-HERE

resource "google_sql_database_instance" "mysql_instance_with_cmek" {
  name                = "mysql-instance-cmek"
  provider            = google-beta
  region              = "us-central1"
  database_version    = "MYSQL_8_0"
  encryption_key_name = google_kms_crypto_key.key.id
  settings {
    tier = "db-n1-standard-2"
  }
  # set `deletion_protection` to true, will ensure that one cannot accidentally delete this instance by
  # use of Terraform whereas `deletion_protection_enabled` flag protects this instance at the GCP level.
  deletion_protection = false
}

POST https://sqladmin.googleapis.com/v1/projects/project-id/instances

{
  "name":"instance-id",
  "region":"region",
  "databaseVersion": "database-version",
  "diskEncryptionConfiguration" :
  {
      "kmsKeyName" : "kms-resource-id"
  },
  "settings":
  {
     "backupConfiguration":
      {
         "binaryLogEnabled": true,
         "enabled":true
      }
   }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/project-id/instances"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/project-id/instances" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-16T02:32:12.281Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

POST https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances

{
  "name":"instance-id",
  "region":"region",
  "databaseVersion": "database-version",
  "diskEncryptionConfiguration" :
  {
      "kmsKeyName" : "kms-resource-id"
  },
  "settings":
  {
     "backupConfiguration":
      {
         "binaryLogEnabled": true,
         "enabled":true
      }
   }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2020-01-16T02:32:12.281Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

Criar um backup para uma instância ativada para CMEK

Quando você cria um backup de uma instância do Cloud SQL, o backup é criptografado com a mesma versão de chave primária que a chave gerenciada pelo cliente da instância principal.

Consulte Como criar e gerenciar backups automáticos e sob demanda.

Você verá uma mensagem no formulário Criar um backup que diz: "Seu backup será criptografado com a versão principal da chave de criptografia gerenciada pelo cliente desta instância. Se esta versão da chave for destruída ou desativada, todos os dados de backup criptografados com ela serão perdidos permanentemente. É possível verificar a versão principal da chave no Cloud KMS."

Na página de backups, a lista de backups ativados com chaves de criptografia gerenciadas pelo cliente tem duas colunas extras. Uma coluna mostra que o backup é de uma instância ativada para CMEK. Outra coluna exibe a versão da chave usada para criptografar o backup.

Criar uma réplica para uma instância ativada para CMEK

Quando você cria uma réplica de leitura de uma instância do Cloud SQL na mesma região, ela herda a mesma chave de criptografia gerenciada pelo cliente que a instância pai. Se você criar uma réplica de leitura em uma região diferente, receberá uma nova lista de chaves de criptografia gerenciadas pelo cliente. Cada região usa seu próprio conjunto de chaves.

Consulte Como criar réplicas de leitura.

Na página Criar réplica de leitura, você verá as seguintes informações:

1. A Criptografia mostra gerenciado pelo cliente.
2. A chave de criptografia da réplica é exibida.
3. A mensagem "Sua réplica será criptografada com a chave gerenciada pelo cliente da instância principal" será exibida. Se alguém destruir essa chave, todos os dados criptografados com ela serão permanentemente perdidos."

Para uma réplica entre regiões, você verá a seguinte mensagem:

"Sua réplica entre regiões será criptografada com a chave gerenciada pelo cliente selecionada. Se alguém destruir essa chave, todos os dados criptografados com ela serão perdidos permanentemente."

Criar um clone de uma instância ativada para CMEK

Quando você cria um clone da instância do Cloud SQL, ele herda a mesma chave de criptografia gerenciada pelo cliente que foi usada para criptografar a instância de origem.

Veja Como clonar instâncias.

Na página Criar clone, você verá as seguintes informações:

1. A Criptografia mostra gerenciado pelo cliente.
2. A chave de criptografia do clone é exibida.
3. Há uma mensagem dizendo "Seu clone será criptografado com a chave gerenciada pelo cliente da instância de origem. Se alguém destruir essa chave, todos os dados criptografados com ela serão permanentemente perdidos."

Visualizar informações da chave em uma instância ativada para CMEK

Depois de criar uma instância do Cloud SQL, consulte a lista de instâncias ou a página de visão geral da instância para ver se ela foi criada por meio de uma chave de criptografia gerenciada pelo cliente. Os detalhes também mostram a chave usada para criar a instância.

1. No console do Google Cloud, acesse a página Instâncias do Cloud SQL.

   Acesse Instâncias do Cloud SQL

2. Na lista "Instâncias", role a tela para a direita até ver a coluna Criptografia. Nessa coluna, você verá Gerenciado pelo Google e Gerenciado pelo cliente.
3. Clique no nome de uma instância para abrir a página Visão geral. A chave de criptografia gerenciada pelo cliente está listada no painel Configuração.

Criptografar novamente uma instância ou réplica atual ativada para CMEK

É possível criptografar novamente as instâncias e réplicas atuais do Cloud SQL com a versão mais recente da chave primária. Para mais informações sobre como criptografar novamente sua instância ou réplica atual ativada para CMEK, consulte Sobre chaves.

Adquirir a nova versão da chave primária

• Para criptografar novamente sua instância ou réplica com uma nova versão, você precisa da nova versão da chave primária. Se você precisar de uma nova versão da chave para as instâncias, será necessário fazer a rotação da chave usando o Cloud Key Management Service. Para fazer isso, consulte Girar uma chave.

• Após a conclusão da rotação da chave, aguarde até que a alteração da chave primária seja propagada para criptografar novamente as instâncias. Se a alteração da versão da chave não for consistente, a instância continuará usando a versão antiga da chave após a nova criptografia. Para mais informações, consulte Consistência das versões de chave.

Criptografar novamente sua instância ativada para CMEK

Depois que a rotação da chave for concluída, criptografe novamente sua instância ou réplica atual ativada para CMEK.

gcloud sql instances reencrypt INSTANCE_NAME

    POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d "" \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2023-06-28T21:19:09.503Z",
  "operationType": "REENCRYPT",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

    POST https://sqladmin.googleapis.com/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

POST https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d "" \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "user@example.com",
  "insertTime": "2023-06-28T21:22:13.663Z",
  "operationType": "REENCRYPT",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

Backups automáticos de nova criptografia

Quando você criptografa novamente uma instância primária com uma nova versão da chave primária, o Cloud SQL cria automaticamente um backup sob demanda chamado "backup de nova criptografia".

Na lista de backups da instância do Cloud SQL, o backup de nova criptografia está listado como o tipoon-demand e rotulado com backup created automatically for data before CMEK re-encryption.

Assim como outros backups sob demanda, os backups de nova criptografia são mantidos até você excluí-los ou excluir a instância.

Limitações de nova criptografia

Ao criptografar novamente uma instância, observe as seguintes limitações:

• Não é possível executar outras operações de administrador na instância enquanto a operação de nova criptografia está em andamento.
• A operação de nova criptografia aciona uma inatividade que depende do tamanho da instância ou da réplica.
• As réplicas de uma instância não são criptografadas novamente quando ela é criptografada. É necessário criptografar novamente cada réplica separadamente.
• Quando você criptografa novamente sua instância, os backups não são criptografados novamente de maneira automática com a nova versão da chave. Para restaurar o backup ou a recuperação pontual para um horário posterior ao backup, mantenha a versão da chave do Cloud KMS com que o backup foi criptografado.

Para solução de problemas, consulte a Tabela de solução de problemas de nova criptografia.

Usar o gerenciador de chaves externo do Cloud (Cloud EKM)

Para proteger dados em instâncias do Cloud SQL, use chaves que você gerencia em um parceiro de gerenciamento de chaves externo compatível. Para mais informações, consulte Gerenciador de chaves externo do Cloud, incluindo a seção Considerações.

Quando achar que é a hora de criar uma chave do Cloud EKM, consulte Como gerenciar chaves do Cloud EKM. Depois que a chave for criada, informe o nome da chave ao criar uma instância do Cloud SQL.

É possível usar as justificativas de acesso às chaves (KAJ, na sigla em inglês) como parte do Cloud EKM. As KAJ permitem que você veja o motivo de cada solicitação do Cloud EKM. Além disso, com base na justificativa fornecida, é possível aprovar ou negar automaticamente uma solicitação. Para saber mais, consulte a Visão geral.

Portanto, as KAJ fornecem controle extra sobre seus dados fornecendo uma justificativa para cada tentativa de descriptografia dos dados.

O Google não tem controle sobre a disponibilidade de chaves em um sistema parceiro de gerenciamento de chaves externo.

Desativar e reativar versões de chave

Veja os seguintes tópicos:

• Desativar uma versão de chave ativada
• Ativar uma versão de chave desativada

Resolver problemas

Nesta seção, descrevemos as ações possíveis quando você receber uma mensagem de erro ao configurar ou usar instâncias ativadas para CMEK.

As operações de administrador do Cloud SQL (como criação, clonagem ou atualização) podem falhar devido a erros do Cloud KMS e ausência de papéis ou permissões. Motivos comuns de falha incluem uma versão ausente da chave do Cloud KMS, uma versão da chave do Cloud KMS desativada ou destruída, permissões de IAM insuficientes para acessar a versão da chave do Cloud KMS ou a versão da chave do Cloud KMS está em uma região diferente da instância do Cloud SQL. Use a seguinte tabela de solução de problemas para diagnosticar e resolver problemas comuns.

Tabela de solução de problemas de chaves de criptografia gerenciadas pelo cliente

Tabela de solução de problemas de nova criptografia

A seguir

• Configurar o acesso à instância.
• Conecte-se à instância com um cliente.
• Crie um banco de dados na instância.
• Importar dados para a instância.
• Criar usuários na instância.
• Saiba mais sobre configurações de instância.
• Saiba como adicionar as justificações de acesso às chaves.