使用 CMEK 加密工作站资源

控制台

向您的 Compute Engine 服务账号和 Compute Engine 服务代理授予 Cloud KMS CryptoKey Encrypter/Decrypter 角色和 Cloud KMS 查看器角色：

1. 在 Google Cloud 控制台中，进入密钥管理页面。

   前往密钥管理

2. 点击包含密钥的密钥环的名称。

3. 选中要使用的密钥对应的复选框。

   权限标签页会显示为一个窗格。

4. 在添加成员对话框中，指定 您授予访问权限的 Compute Engine 服务账号和 Compute Engine 服务代理。

5. 在选择角色下拉菜单中，选择 Cloud KMS CryptoKey Encrypter/Decrypter。

6. 点击添加其他角色。

7. 在选择角色下拉列表中，选择 Cloud KMS Viewer。

8. 点击保存。

如需通过 Google Cloud 控制台启用 CMEK，请执行以下操作：

1. 按照相关步骤操作 创建工作站配置。

2. 在指定机器时 配置， 找到高级选项部分。

3. 点击 expand_more 展开，然后选择使用客户管理的加密密钥 (CMEK)。

   1. 在 Select a customer-managed key（选择客户管理的密钥）字段中，选择您在密钥项目中创建的客户管理的加密密钥。

      如果您创建的密钥未列出，请点击手动输入密钥，按资源 ID 选择密钥，然后输入您之前记下的资源 ID。

   2. 在服务账号字段中，选择密钥使用的服务账号。

4. 完成其他步骤以创建工作站配置。

5. 创建、启动和启动工作站配置，以加密 项目中具有指定 Cloud KMS 密钥的永久性磁盘。

gcloud

以下示例会授予提供访问权限的 IAM 角色 添加到 Cloud KMS 密钥，然后通过在 Google Cloud 控制台中指定该密钥来启用 CMEK 工作站配置：

1. 为工作站项目的 KMS 服务账号和 Compute Engine 服务代理授予 Cloud KMS CryptoKey Encrypter/Decrypter 角色 (roles/cloudkms.cryptoKeyEncrypterDecrypter) 对 CMEK 密钥的访问权限。这样，Compute Engine 服务 使用指定的 CMEK 密钥加密您项目中的资源。

     gcloud kms keys add-iam-policy-binding KEY_NAME \
       --location LOCATION \
       --keyring KEY_RING \
       --member serviceAccount:WORKSTATIONS_PROJECT_NUMBER[email protected] \
       --role roles/cloudkms.cryptoKeyEncrypterDecrypter \
       --project KMS_PROJECT_ID
   
     gcloud kms keys add-iam-policy-binding KEY_NAME \
       --location LOCATION \
       --keyring KEY_RING \
       --member serviceAccount:service-WORKSTATIONS_PROJECT_NUMBER@compute-system.iam.gserviceaccount.com \
       --role roles/cloudkms.cryptoKeyEncrypterDecrypter \
       --project KMS_PROJECT_ID
   

   替换以下内容：

   • KEY_NAME：密钥的名称。
   • LOCATION：您创建密钥环的区域名称。
   • KEY_RING：密钥环的名称。
   • WORKSTATIONS_PROJECT_NUMBER：自动 生成的唯一数字标识符，作为第一部分包含在内 你当前使用的 Compute Engine 默认服务账号 工作站项目。
   • KMS_PROJECT_ID：项目 ID，一个唯一的字符串，用于区分您的 Cloud KMS 项目与 Google Cloud 中的所有其他项目。

   如需了解所有标志和可能值，请使用 --help 标志运行命令。

2. 检索工作站的工作站管理服务账号 请使用以下命令：

   gcloud beta services identity create --service=workstations.googleapis.com \
       --project=WORKSTATIONS_PROJECT_ID
   

   将 WORKSTATIONS_PROJECT_ID 替换为您的工作站项目 ID。

3. 为您的项目的工作站管理服务账号授予 Cloud KMS Viewer 角色 (roles/cloudkms.viewer) 对 CMEK 密钥的访问权限。这样，工作站服务就能检测密钥轮替 并根据需要在项目中重新加密资源。

   gcloud kms keys add-iam-policy-binding KEY_NAME \
       --location LOCATION \
       --keyring KEY_RING \
       --member WORKSTATIONS_MANAGEMENT_SERVICE_ACCOUNT \
       --role roles/cloudkms.viewer \
       --project KMS_PROJECT_ID
   

   替换以下内容：

   • KEY_NAME：密钥的名称。
   • LOCATION：您创建密钥环的区域名称。
   • KEY_RING：密钥环的名称。
   • WORKSTATIONS_MANAGEMENT_SERVICE_ACCOUNT： 从上述步骤获得的工作站管理服务账号。
   • KMS_PROJECT_ID：项目 ID，一个唯一的字符串，用于区分您的 Cloud KMS 密钥项目与 Google Cloud 中的所有其他项目。

   如需了解所有标志和可能值，请使用 --help 标志运行命令。

4. 可选：如果您尚未创建工作站集群，请使用 集群创建 gcloud CLI 命令。

   gcloud workstations clusters create \
       WORKSTATIONS_CLUSTER_NAME --region=LOCATION \
       --project=WORKSTATIONS_PROJECT_NUMBER
   

   替换以下内容：

   • WORKSTATIONS_CLUSTER_NAME：工作站集群的名称。
   • LOCATION：工作站集群的区域名称。
   • WORKSTATIONS_PROJECT_NUMBER：自动生成的唯一数字标识符，作为工作站项目的 Compute Engine 默认服务账号的第一个部分包含在内

5. 假设您已创建集群，请使用 encryption_key 设置创建工作站配置。

   如需创建机器类型为 e2-standard-2、空闲超时为 3600s 且使用 CMEK 加密工作站资源的工作站配置，请运行以下 gcloud CLI 命令：

   gcloud workstations configs create WORKSTATIONS_CONFIG_NAME \
     --cluster=WORKSTATIONS_CLUSTER_NAME \
     --region=LOCATION \
     --machine-type="e2-standard-2" \
     --idle-timeout=3600 \
     --kms-key="projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME" \
     --kms-key-service-account="WORKSTATIONS_PROJECT_NUMBER[email protected]" \
     --project=WORKSTATIONS_PROJECT_NUMBER
   

   替换以下内容：

   • WORKSTATIONS_CONFIG_NAME： 工作站配置。
   • WORKSTATIONS_CLUSTER_NAME：您的工作站集群的名称。
   • LOCATION：集群所在的区域名称。
   • KMS_PROJECT_ID：项目 ID，一个唯一的字符串，用于区分您的项目与 Google Cloud 中的所有其他项目。
   • KEY_RING：密钥环的名称。
   • KEY_NAME：密钥的名称。
   • WORKSTATIONS_PROJECT_NUMBER：自动 生成的唯一数字标识符，作为第一部分包含在内 你当前使用的 Compute Engine 默认服务账号 工作站项目

   创建工作站配置后，Cloud KMS 会使用指定的 Cloud KMS 密钥加密项目中的永久性磁盘。