为 Cloud Logging 配置 CMEK

本文档介绍了如何为 Cloud Logging 配置和管理客户管理的加密密钥 (CMEK)，以满足组织的合规性需求。您可以将 CMEK 配置为组织和/或文件夹的默认资源设置。配置后，Cloud Logging 可确保组织或文件夹中的所有新日志存储桶都使用客户管理的密钥进行加密。

您可以为组织和文件夹配置默认设置。当您创建新资源时，这些资源会继承其父级的默认设置。例如，如果您将 CMEK 配置为组织的默认资源设置，那么在该组织的项目、文件夹或结算账号中创建的所有新 _Default 和 _Required 日志存储桶都将使用默认密钥进行加密。此外，如果您在该组织的子级项目中创建自定义日志存储桶，系统会自动使用默认密钥，除非您在创建日志存储桶时提供其他密钥。

本指南中的说明使用 Google Cloud CLI。

概览

默认情况下，Cloud Logging 会对静态客户内容进行加密。Logging 会为您处理加密，您无需执行任何其他操作。此选项称为“Google 默认加密”。

如果您想要控制加密密钥，则可以将 Cloud KMS 中客户管理的加密密钥 (CMEK) 与集成 CMEK 的服务（包括 Logging）搭配使用。使用 Cloud KMS 密钥时，您可以控制其保护级别、位置、轮替时间表、使用和访问权限以及加密边界。此外，您还可使用 Cloud KMS 查看审核日志并控制密钥生命周期。这样您就可以在 Cloud KMS 中控制和管理用于保护数据的对称密钥加密密钥 (KEK)，而不是由 Google 拥有和管理这些密钥。

使用 CMEK 设置资源后，访问 Logging 资源的体验与使用 Google 默认加密功能类似。如需详细了解加密选项，请参阅客户管理的加密密钥 (CMEK)。

将 CMEK 配置为日志记录的默认资源设置后，会发生以下情况：

  • 组织或文件夹中的新日志存储桶会使用已配置的密钥自动加密。不过，您可以更改该密钥或创建日志存储桶并指定其他密钥。如需了解详情，请参阅为日志存储桶配置 CMEK。

准备工作

首先，请完成以下步骤：

  1. 在创建启用 CMEK 的日志存储桶之前，请先查看限制。

  2. 安装 Google Cloud CLI，然后使用联合身份登录 gcloud CLI。 登录后，运行以下命令来初始化 Google Cloud CLI： 

    gcloud init

  3. 配置您计划在其中创建密钥的 Google Cloud 项目：

    1. 如需获得创建密钥所需的权限，请让您的管理员为您授予项目的 Cloud KMS Admin (roles/cloudkms.admin) IAM 角色。如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

      您也可以通过自定义角色或其他预定义角色来获取所需的权限。

    2. 启用 Cloud KMS API。

    3. 创建密钥环和密钥。

      日志存储桶的位置必须与密钥的位置一致。如需了解支持的区域，请参阅 Logging 支持的区域。

      如果您按照本文中的步骤将 CMEK 配置为 Logging 的默认资源设置，那么在组织或文件夹中创建的新日志存储桶会自动配置为使用 CMEK。此外，由于日志存储桶的位置必须与密钥的位置匹配，因此在将 CMEK 配置为默认资源设置后，您无法在 global 区域中创建日志存储桶。

  4. 确保您在要配置默认设置的组织或文件夹中的 IAM 角色包含以下 Cloud Logging 权限：

    • logging.settings.get
    • logging.settings.update

    5. 为组织或文件夹启用 CMEK

    请按照以下说明为您的Google Cloud 文件夹或组织启用 CMEK。

    确定服务账号 ID

    如需确定要为其应用 CMEK 的组织或文件夹关联的服务账号 ID，请运行以下 gcloud logging settings describe 命令：

    文件夹

     gcloud logging settings describe --folder=FOLDER_ID

    在运行上面的命令之前，请先进行以下替换：

    • FOLDER_ID：文件夹的唯一数字标识符。如需了解如何使用文件夹，请参阅创建和管理文件夹。

    单位 

    gcloud logging settings describe --organization=ORGANIZATION_ID

    在运行上面的命令之前，请先进行以下替换：

    • ORGANIZATION_ID：组织的唯一数字标识符。如需了解如何获取此标识符，请参阅获取组织 ID。

    上一个命令会为组织或文件夹生成服务账号（如果尚不存在）。该命令还会返回两个服务账号的 ID，一个在 kmsServiceAccountId 字段中，另一个在 loggingServiceAccountId 字段中。如需将 CMEK 配置为默认设置，请使用 kmsServiceAccountId 字段中的值。

    下面说明了指定组织时对上述命令的响应示例：

    kmsServiceAccountId: KMS_SERVICE_ACCT_NAME@gcp-sa-logging.
loggingServiceAccountId: SERVICE_ACCT_NAME@gcp-sa-logging.
name: organizations/ORGANIZATION_ID/settings

    为每个资源运行一次预配过程。多次运行describe命令会为 kmsServiceAccountId 字段返回相同的值。

    如果您无法使用 Google Cloud CLI，请运行 Cloud Logging API 方法 getSettings。

    分配 Encrypter/Decrypter 角色

    如需使用 CMEK，请将 Cloud KMS CryptoKey Encrypter/Decrypter 角色分配给服务账号，以向该服务账号授予使用 Cloud KMS 的权限：

    gcloud

    gcloud kms keys add-iam-policy-binding \
--project=KMS_PROJECT_ID \
--member=serviceAccount:KMS_SERVICE_ACCT_NAME@gcp-sa-logging. \
--role=roles/cloudkms.cryptoKeyEncrypterDecrypter \
--location=KMS_KEY_LOCATION \
--keyring=KMS_KEY_RING \
KMS_KEY_NAME

    在运行上面的命令之前，请先进行以下替换：

    • KMS_PROJECT_ID：运行 Cloud KMS 的 Google Cloud 项目的唯一字母数字标识符，由 Google Cloud 项目名称和随机分配的编号组成。如需了解如何获取此标识符，请参阅标识项目。
    • KMS_SERVICE_ACCT_NAME：在 gcloud logging settings describe 命令的响应 kmsServiceAccountId 字段中显示的服务账号名称。
    • KMS_KEY_LOCATION：Cloud KMS 密钥的区域。
    • KMS_KEY_RING：Cloud KMS 密钥环的名称。
    • KMS_KEY_NAME：Cloud KMS 密钥的名称。其格式如下所示：projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY。

    控制台

    1. 在 Google Cloud 控制台中，前往密钥管理页面。

      前往密钥管理

    2. 选择包含密钥的密钥环的名称。

    3. 选中相应密钥的复选框。

      权限标签变为可用。

    4. 在添加成员对话框中，指定您授予访问权限的 Logging 服务账号的电子邮件地址。

    5. 在选择角色菜单中，选择 Cloud KMS CryptoKey Encrypter/Decrypter。

    6. 点击添加。

    配置组织政策

    Logging支持可以要求 CMEK 保护并且可以限制哪些 Cloud KMS CryptoKey 可用于 CMEK 保护的组织政策：

    • 当 constraints/gcp.restrictNonCmekServices 限制条件的服务 Deny 政策列表中包含 logging.googleapis.com 时，Logging 会拒绝创建未受 CMEK 保护的新用户定义的存储桶。不过，此限制不会阻止 Cloud Logging 创建Google Cloud 项目创建时创建的 _Required 和 _Default 日志存储桶。

    • 强制执行 constraints/gcp.restrictCmekCryptoKeyProjects 后，Logging 会创建受 CMEK 保护的资源，这些资源由允许的项目、文件夹或组织中的 CryptoKey 提供保护。

    如需详细了解 CMEK 和组织政策，请参阅 CMEK 组织政策。

    如果存在指定 CMEK 限制的组织政策，请确保这些限制与组织或文件夹的Logging默认设置一致。此外，如果您计划修改默认设置，请在更新默认设置之前先查看组织政策，并在需要时更新这些政策。

    如需查看或配置组织政策，请执行以下操作：

    1. 在 Google Cloud 控制台中，前往组织政策页面：

      前往组织政策

      如果您使用搜索栏查找此页面，请选择子标题为 IAM 和管理的结果。

    2. 选择您的组织。

    3. 验证 CMEK 专属限制条件，并在必要时更新这些限制条件。

      如需了解如何修改组织政策，请参阅创建和修改政策。

    使用 Cloud KMS 密钥配置 Cloud Logging

    如需将 CMEK 配置为 Logging 的默认资源设置，请运行以下 gcloud logging settings update 命令：

    文件夹

    gcloud logging settings update \
    --folder=FOLDER_ID \
    --kms-location=KMS_KEY_LOCATION \
    --kms-key-name=KMS_KEY_NAME \
    --kms-keyring=KMS_KEY_RING \
    --kms-project=KMS_PROJECT_ID

    在运行上面的命令之前，请先进行以下替换：

    • FOLDER_ID：文件夹的唯一数字标识符。如需了解如何使用文件夹，请参阅创建和管理文件夹。
    • KMS_KEY_LOCATION：Cloud KMS 密钥的区域。
    • KMS_KEY_NAME：Cloud KMS 密钥的名称。其格式如下所示：projects/