Utiliser les clés de chiffrement gérées par le client

Par défaut, Workflows chiffre vos données stockées au repos. Google Cloud traite et gère ce chiffrement par défaut sans intervention de votre part.

Si vous avez des exigences réglementaires ou de conformité spécifiques liées aux clés qui protègent vos données, vous pouvez utiliser clés de chiffrement gérées par le client (CMEK) pour Workflows Votre workflow et les données au repos associées protégées par une clé de chiffrement à laquelle vous seul avez accès et que vous pouvez et les gérer à l'aide de Cloud Key Management Service (Cloud KMS).

Éléments protégés par CMEK

Lors du déploiement d'un workflow, vous pouvez spécifier une clé Cloud KMS. Cette clé est utilisé pour chiffrer le workflow et ses exécutions:

• Un workflow requiert un fichier source contenant un workflow valide définition. Ce fichier source est chiffré à l'aide de la clé.

• Une exécution de workflow exécute la définition du workflow en cours (un processus spécifique révision du workflow). L'utilisation de la clé associée à la révision du workflow au niveau l'heure du déploiement, le workflow compilé, ainsi que toute exécution stockée les données d'entrée, de sortie et d'exécution sont chiffrées. Cela inclut les arguments d'exécution, les résultats, les erreurs et les exceptions ; livré Événements Eventarc ainsi que les requêtes et réponses HTTP et de rappel.

Avant de commencer

Avant d'utiliser des clés CMEK dans Workflows, procédez comme suit:

1. Activez les API.

   Console

   1. Enable the Cloud KMS and Workflows APIs.

      Enable the APIs

   gcloud

   1. In the Google Cloud console, activate Cloud Shell.

      Activate Cloud Shell

      At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

   2. Mettez à jour les composants gcloud :

      gcloud components update
      

   3. Activez les API Cloud KMS et Workflows pour le projet qui stockera vos clés de chiffrement.

      gcloud services enable cloudkms.googleapis.com workflows.googleapis.com
      

2. Cloud KMS génère des Cloud Audit Logs lorsque les clés sont activées. désactivée ou utilisée par les ressources Workflows pour chiffrer et déchiffrer données. Vérifiez que la journalisation est activée pour l'API Cloud KMS de votre projet et que vous avez décidé les autorisations et les rôles propres à la journalisation qui s'appliquent à votre cas d'utilisation. Pour plus pour en savoir plus, consultez Informations sur les journaux d'audit Cloud KMS

Créer un trousseau et une clé Cloud KMS

Vous pouvez créer un trousseau de clés ou en utiliser un existant. Dans le trousseau de clés, vous pouvez ajouter une clé ou utiliser une clé existante.

1. Créez un trousseau de clés.

2. Créez une clé pour un trousseau de clés spécifié.

Récupérer l'ID de ressource d'une clé Cloud KMS

Veuillez indiquer l'ID de ressource d'une clé Cloud KMS lorsque vous activez CMEK pour un workflow. Dans ce document, consultez la section Activer les CMEK pour un workflow.

Accorder à l'agent de service Workflows l'accès à la clé

Vous devez accorder à l'agent de service Workflows la Chiffreur/Déchiffreur de CryptoKeys Cloud KMS Identity and Access Management (IAM) afin qu'il puisse accéder à Cloud KMS clé:

gcloud kms keys add-iam-policy-binding KEY_NAME \
    --keyring RING_NAME \
    --location LOCATION \
    --member serviceAccount:service-PROJECT_NUMBER@gcp-sa-workflows.iam.gserviceaccount.com \
    --role roles/cloudkms.cryptoKeyEncrypterDecrypter

Tant que l'agent de service dispose du roles/cloudkms.cryptoKeyEncrypterDecrypter un workflow de votre projet peut chiffrer et déchiffrer ses données à l'aide de la clé CMEK . Si vous révoquez ce rôle, ou si vous désactivez ou détruisez la clé CMEK, données inaccessibles. Dans ce document, consultez Désactivez Cloud KMS.

Activer les CMEK pour un workflow

Lorsque vous créez un workflow ou après la mise à jour, vous pouvez spécifier la clé Cloud KMS doit utiliser pour le chiffrement des données.

gcloud workflows deploy WORKFLOW_NAME \
    --source=SOURCE_FILE \
    --kms-key=KEY \
    --location LOCATION \
    --service-account=SERVICE_ACCOUNT

Veuillez noter les points suivants :

• Les révisions et les exécutions de workflow sont chiffrées à l'aide de la clé spécifiée au niveau l'heure du déploiement ; les ressources précédemment chiffrées avec une clé précédente restent chiffré avec cette clé précédente. Si un flux de travail est modifié par la suite et qu'un nouveau est spécifiée, la révision du workflow est chiffrée avec la nouvelle clé, et toute exécution ultérieure utilisera la nouvelle clé.
• Auparavant, les révisions et les exécutions de workflow chiffrées non CMEK ne sont pas conservées chiffrées.
• Si vous désactivez les CMEK pour une révision de workflow, toutes les exécutions ultérieures sont créés sans chiffrement CMEK. Dans ce document, consultez Désactivez les CMEK pour un workflow. Les révisions du workflow existant les exécutions restent chiffrées avec les clés qu'elles chiffrées.

Vérifier l'intégration de Cloud KMS

Vous pouvez vérifier l'intégration de la CMEK en affichant les métadonnées d'un workflow.

gcloud workflows describe WORKFLOW_NAME \
    --location=LOCATION

createTime: '2022-08-10T19:57:58.233177709Z'
cryptoKeyName: projects/PROJECT_NAME/locations/LOCATION/keyRings/RING_NAME/cryptoKeys/KEY_NAME
name: projects/PROJECT_NAME/locations/LOCATION/workflows/WORKFLOW_NAME
revisionCreateTime: '2022-11-18T19:44:04.933633237Z'
revisionId: 000009-8be
serviceAccount: projects/PROJECT_NAME/serviceAccounts/SA_NAME@PROJECT_NAME.iam.gserviceaccount.com
sourceContents:
[...]
state: ACTIVE
updateTime: '2022-11-18T19:44:05.171793128Z'

Désactiver les CMEK pour un workflow

Vous pouvez désactiver les clés CMEK pour un workflow afin qu'il n'utilise plus les clés Cloud KMS.

gcloud workflows deploy WORKFLOW_NAME \
    --source=SOURCE_FILE \
    --clear-kms-key \
    --service-account=SERVICE_ACCOUNT

Cette action désactive les CMEK pour la révision de workflow actuelle et toute sont créées sans chiffrement CMEK. Workflow existant les révisions et les exécutions restent chiffrées à l'aide des clés qu'elles précédemment chiffrées.

Désactiver Cloud KMS

Si vous souhaitez révoquer l'accès aux données de votre workflow ou de ses exécutions, vous devez vous pouvez effectuer l'une des opérations suivantes pour désactiver Cloud KMS:

• Désactiver ou détruire la version de clé primaire de votre de chiffrement gérée par le client. La désactivation d'une version de clé CMEK entraîne l'accès à toutes les données protégées par cette version de clé. La destruction d'une version de clé l'équivalent permanent de cette action. Les deux n’affectent que les flux de travail et de workflow associées à une clé spécifique. Vous ne pouvez pas créer de nouvelles exécutions ou afficher les ressources associées ou détruite. Toute exécution active échouera et affichera une erreur correspondante .

• Révoquez le cloudkms.cryptoKeyEncrypterDecrypterle rôle IAM du Agent de service Workflows. Cela a un impact sur tous les workflows du Projet Google Cloud compatible avec le chiffrement à l'aide de CMEK. Vous ne pouvez pas créer des workflows et des exécutions intégrés à la CMEK, ou afficher les pour les ressources chiffrées par CMEK. Toutes les exécutions actives échouent avec une erreur s'affiche.

Même si aucune de ces opérations ne garantit une révocation immédiate des accès, les modifications de Cloud IAM se propagent généralement plus rapidement. Pour plus d'informations, consultez la page Cohérence des ressources Cloud KMS et Propagation des modifications des accès

Dépannage

Vous pouvez rencontrer des erreurs lorsque vous utilisez Cloud KMS avec Workflows Le tableau suivant décrit différents problèmes et comment les résoudre.

Traitement de l'état d'indisponibilité d'une clé

Si, pour une raison quelconque, Cloud KMS n'est pas disponible, Workflows risque de ne pas pouvoir récupérer l'état de votre clé à partir de Cloud KMS.

Si l'état de la clé n'est pas disponible, le workflow ou son exécution renvoie Une valeur state: UNAVAILABLE et les détails associés dans le champ stateError.

Si l'état de la clé devient indisponible au cours de l'exécution du workflow (par exemple, une autorisation est révoquée lors d'un rappel), une erreur d'exécution se produit, renvoyant une valeur state: FAILED et les détails associés dans le champ error.

Tarifs

Cette intégration n'entraîne pas de coûts supplémentaires au-delà des opérations de clés, qui sont facturés à votre projet Google Cloud. Pour le tarif actuel plus d'informations, consultez la page Tarifs de Cloud KMS.