Google Cloud KMS магазин пользовательских ключей

Question

Можно ли сохранить мои ключи AES-256, сгенерированные вручную, в облаке Google KMS. Мне удалось создать ключи, полностью управляемые и созданные Google, но как справиться с ключами, сгенерированными до перехода на Google Cloud?

Answer 1

В настоящее время мы не поддерживаем импорт ключей, но даже если бы мы это сделали, мы в настоящее время не документируем формат зашифрованных данных, поэтому мы не можем поддерживать совместимость с данными, которые вы зашифровали сами.

Решение этого варианта использования обычно заключается в использовании мастер-ключа в KMS, который вы используете для упаковки ключей AES, а затем сохраните упакованные ключи в хранилище данных. Затем вы можете загрузиться из учетных записей служб, предоставленных в вашем развернутом коде, используя их для авторизации использования KMS для развертывания ваших ключей AES, а затем использовать развернутые ключи для шифрования / дешифрования ваших данных.

Answer 2

В то время ответ Тима был правильным, но теперь Cloud KMS поддерживает импорт ключей.

Создайте задание на импорт:

$ gcloud kms import-jobs create "my-job" \
  --location "us-central1" \
  --keyring "my-keyring" \
  --import-method "rsa-oaep-4096-sha1-aes-256" \
  --protection-level "hsm"

Импортируйте свой ключ:

$ gcloud kms keys versions import \
  --import-job "my-job" \
  --location "us-central1" \
  --keyring "my-keyring" \
  --key "my-key" \
  --algorithm "<algorithm>" \
  --target-key-file ./path/to/my.key