Google Cloud Secret Manager

本教學說明如何設定一個使用 GCP Secret Manager 作為持久金鑰儲存的 KES 伺服器。

Google Cloud Secret Manager

Google Cloud Secret Manager 是一個用於密碼、存取權杖和加密金鑰等機密的鍵值儲存。

登入 GCP 主控台
建立一個新專案或選擇現有專案
如果您的專案尚未啟用，請啟用 Secret Manager 服務
前往 GCP IAM 服務帳戶，並為 KES 建立新的服務帳戶。KES 使用此服務帳戶向 GCP 進行身份驗證，並存取 Secret Manager。
將一個或多個角色指派給新帳戶

如果您想快速開始，請指派 Secret Manager 管理員角色。然而，這會授予 KES 不需要的更多權限。

或者，為 KES 建立一個新的角色，並具有所需的最小權限
```
 secretmanager.secrets.create
 secretmanager.secrets.delete
 secretmanager.secrets.get
```

透過 動作 - 建立金鑰，為服務帳戶建立金鑰。

使用 JSON 金鑰格式。

GCP 讓您下載一個具有以下結構的 JSON 檔案

{
  "type":           "service_account",
  "project_id":     "<your-project-id>",
  "private_key_id": "<your-private-key-id>",
  "private_key":    "-----BEGIN PRIVATE KEY-----\n ... -----END PRIVATE KEY-----\n",
  "client_email":   "<your-service-account>@<your-project-id>.iam.gserviceaccount.com",
  "client_id":      "<your-client-id>"
}

使用此憑證檔案來設定 KES 以向 GCP 進行身份驗證，並存取 SecretManager。

KES 伺服器設定

KES 伺服器需要 TLS 私密金鑰和憑證。

KES 伺服器是預設安全的，且只能在 TLS 的情況下執行。本教學為簡化起見，使用自我簽署憑證。

對於生產環境設定，我們強烈建議使用由信任的憑證授權機構簽署的憑證。這可以是您的內部 CA 或像是 Let’s Encrypt 的公用 CA。

為 KES 伺服器產生 TLS 私密金鑰和憑證

以下命令會產生一個新的 TLS 私密金鑰 server.key 和一個自我簽署的 X.509 憑證 server.cert，該憑證是為 IP 127.0.0.1 和 DNS 名稱 localhost（作為 SAN）頒發的。請自訂命令以符合您的設定。
```
kes tool identity new --server --key server.key --cert server.cert --ip "127.0.0.1" --dns localhost
```
任何其他用於產生 X.509 憑證的工具也可以使用。例如，您可以使用 openssl
```
$ openssl ecparam -genkey -name prime256v1 | openssl ec -out server.key

$ openssl req -new -x509 -days 30 -key server.key -out server.cert \
    -subj "/C=/ST=/L=/O=/CN=localhost" -addext "subjectAltName = IP:127.0.0.1"
```

為應用程式建立私密金鑰和憑證

kes tool identity new --key=app.key --cert=app.cert app

您可以隨時計算 app 身分。

kes tool identity of app.cert

建立組態檔 server-config.yml

address: 0.0.0.0:7373
root:    disabled  # We disable the root identity since we don't need it in this guide 

tls:
  key : server.key
  cert: server.cert

policy:
  my-app:
    allow:
    - /v1/key/create/my-app*
    - /v1/key/generate/my-app*
    - /v1/key/decrypt/my-app*
    identities:
    - ${APP_IDENTITY}

keystore:
  gcp:
    secretmanager:
      project_id: "<your-project-id>"                  # Use your GCP project ID
      credentials:
        client_email: "<your-client-email>"            # Use the client email from your GCP credentials file
        client_id: "<your-client-id>"                  # Use the client ID from your GCP credentials file
        private_key_id: "<your-private-key-id"         # Use the private key ID from your GCP credentials file
        private_key: "-----BEGIN PRIVATE KEY----- ..." # Use the private key from your GCP credentials file

在新視窗/分頁中啟動 KES 伺服器

Linux

export APP_IDENTITY=$(kes tool identity of app.cert)

kes server --config=server-config.yml --auth=off

該命令使用 --auth=off，因為我們的 root.cert 和 app.cert 憑證是自我簽署的。

容器

以下說明使用 Podman 來管理容器。您也可以使用 Docker。

根據您的部署需要修改位址和檔案路徑。

sudo podman pod create  \
  -p 9000:9000 -p 9001:9001 -p 7373:7373  \
  -v ~/minio-kes-gcp/certs:/certs  \
  -v ~/minio-kes-gcp/minio:/mnt/minio  \
  -v ~/minio-kes-gcp/config:/etc/default/  \
  -n minio-kes-gcp

sudo podman run -dt  \
  --cap-add IPC_LOCK  \
  --name kes-server  \
  --pod "minio-kes-gcp"  \
  -e KES_SERVER=https://127.0.0.1:7373  \
  -e KES_CLIENT_KEY=/certs/kes-server.key  \
  -e KES_CLIENT_CERT=/certs/kes-server.cert  \
  quay.io/minio/kes:2024-01-11T13-09-29Z server  \
    --auth  \
    --config=/etc/default/kes-config.yaml  \

sudo podman run -dt  \
  --name minio-server  \
  --pod "minio-kes-gcp"  \
  -e "MINIO_CONFIG_ENV_FILE=/etc/default/minio"  \
  quay.io/minio/minio:RELEASE.2024-01-31T20-20-33Z server  \
    --console-address ":9001"

您可以使用以下命令驗證容器的狀態。該命令應顯示三個 Pod，一個用於 Pod、一個用於 KES，另一個用於 MinIO。

sudo podman container list

在其他視窗或分頁中，連線到伺服器
```
export KES_CLIENT_CERT=app.cert
export KES_CLIENT_KEY=app.key
kes key create -k my-app-key
```
```
export APP_IDENTITY=$(kes tool identity of app.cert)

kes server --config=server-config.yml --auth=off
```
該命令使用 --auth=off，因為我們的 root.cert 和 app.cert 憑證是自我簽署的。

現在，如果您前往 GCP Secret Manager，您應該會看到一個名為 my-app-key 的機密金鑰。

從先前建立的 my-app-key 衍生並解密資料金鑰

kes key derive -k my-app-key
{
  plaintext : ...
  ciphertext: ...
}

kes key decrypt -k my-app-key <base64-ciphertext>

搭配 MinIO 伺服器使用 KES

MinIO 伺服器需要 KES 才能啟用伺服器端資料加密。

請參閱 KES for MinIO 指示指南，了解使用您的新 KES 伺服器搭配 MinIO 伺服器所需的其他步驟。

組態參考

以下章節說明金鑰加密服務 (KES) 的組態設定，以使用 Google Cloud Secret Manager 作為根 KMS 來儲存外部金鑰，例如用於 MinIO 伺服器上的伺服器端加密的金鑰。

MinIO 伺服器需要擴充的權限

從 MinIO 伺服器 RELEASE.2023-02-17T17-52-43Z 開始，MinIO 需要擴充的 KES 權限才能正常運作。本節中的範例組態包含所有需要的權限。

YAML 概述

具有 ${<STRING>} 的欄位會使用與 <STRING> 值相符的環境變數。您可以使用此功能來設定憑證，而無需將其寫入組態檔案。

YAML 假設 MinIO 部署存取 KES 的最小權限集。或者，您可以省略 policy.minio-server 區段，而是將 ${MINIO_IDENTITY} 雜湊設定為 ${ROOT_IDENTITY}。

address: 0.0.0.0:7373
root: ${ROOT_IDENTITY}

tls:
  key: kes-server.key
  cert: kes-server.cert

api:
  /v1/ready:
    skip_auth: false
    timeout:   15s

policy:
  minio-server:
    allow:
    - /v1/key/create/*
    - /v1/key/generate/*
    - /v1/key/decrypt/*
    - /v1/key/bulk/decrypt
    - /v1/key/list/*
    - /v1/status
    - /v1/metrics
    - /v1/log/audit
    - /v1/log/error
    deny:
    - /v1/key/generate/my-app-internal*
    - /v1/key/decrypt/my-app-internal*
    identities:
    - ${MINIO_IDENTITY}

    my-app:
    allow:
    - /v1/key/create/my-app*
    - /v1/key/generate/my-app*
    - /v1/key/decrypt/my-app*
    deny:
    - /v1/key/generate/my-app-internal*
    - /v1/key/decrypt/my-app-internal*
    identities:
    - df7281ca3fed4ef7d06297eb7cb9d590a4edc863b4425f4762bb2afaebfd3258
    - c0ecd5962eaf937422268b80a93dde4786dc9783fb2480ddea0f3e5fe471a731

keys:
  - name: "minio-encryption-key-alpha"
  - name: "minio-encryption-key-baker"
  - name: "minio-encryption-key-charlie"

cache:
  expiry:
    any: 5m0s
    unused: 20s
    offline: 0s

log:

  # Log error events to STDERR. Valid values are "on" or "off". 
  # Default is "on".
  error: on

  # Log audit events to STDOUT. Valid values are "on" and "off". 
  # Default is "off".
  audit: off

keystore:
  gcp:
    # https://cloud.google.com/secret-manager
    secretmanager:
      # See: https://cloud.google.com/resource-manager/docs/creating-managing-projects#before_you_begin
      project_id: ""
      endpoint: ""
      # Refer to: https://developers.google.com/identity/protocols/oauth2/scopes
      # If not set, the GCP default scopes are used.
      scopes: 
      - ""
      credentials:
        client_email: 
        client_id:    
        private_key_id: 
        private_key:

參考

如需完整文件，請參閱組態頁面。

金鑰	說明
`address`	KES 伺服器在啟動時接聽的網路位址和連接埠。預設為所有主機網路介面上的連接埠 `7373`。
`root`	KES 超級使用者 (`root`) 身分的身分。使用 TLS 憑證連線的用戶端，其雜湊 (`kes identity of client.cert`) 與此值相符，可以存取所有 KES API 操作。指定 `disabled` 以移除根身分，並僅依賴 `policy` 組態來控制身分和存取管理到 KES。
`tls`	KES 用於建立 TLS 安全通訊的 TLS 私密金鑰和憑證。分別為私密 `.key` 和公用 `.cert` 的 `key` 和 `cert` 欄位指定完整路徑。
`policy`	指定一個或多個原則來控制對 KES 伺服器的存取。MinIO SSE 需要存取以下 KES 加密 API `/v1/key/create/` `/v1/key/generate/` `/v1/key/decrypt/` 指定其他金鑰不會擴充 MinIO SSE 功能，並且可能會違反圍繞為用戶端提供不必要的加密金鑰操作存取的安全性最佳實務。您可以透過在 `.` 前面指定前綴，來限制 MinIO 在執行 SSE 時可以建立的金鑰名稱範圍。例如，`minio-sse-*` 只允許使用 `minio-sse-` 前綴來 `create`（建立）、`generate`（產生）或 `decrypt`（解密）金鑰。 KES 使用 mTLS 來授權連線的客戶端，方法是將 TLS 憑證的雜湊值與每個已設定的政策的 `identities` 進行比較。使用 `kes identity of` 命令來計算 MinIO mTLS 憑證的身份，並將其添加到 `policy.<NAME>.identities` 陣列中，以將 MinIO 與 `<NAME>` 政策關聯起來。
`keys（金鑰）`	指定一個金鑰陣列，這些金鑰必須存在於根 KMS 上，KES 才能成功啟動。如果金鑰不存在，KES 會嘗試建立這些金鑰，如果建立一個或多個金鑰失敗，則會以錯誤訊息退出。在完成所有指定金鑰的驗證之前，KES 不會接受任何客戶端請求。
`cache（快取）`	以 `#d#h#m#s` 格式指定快取金鑰的過期時間。在 KMS 暫時不可用的情況下，可以使用未過期的金鑰。可以為 `any`（任何）金鑰、`unused`（未使用）金鑰或 `offline`（離線）金鑰設定項目。如果未設定，KES 會為所有金鑰使用 `5m`，為未使用金鑰使用 `20s`，為離線金鑰使用 `0s`。
`log（日誌）`	啟用或停用將 `error`（錯誤）和 `audit`（稽核）類型日誌事件輸出到控制台。
`keystore.gcp.secretmanager.project_id`	專案 ID 是一個由使用者指定的唯一 ID，可以由 Google API 使用。專案 ID 必須是 6 到 30 個小寫字母、數字或連字號組成的唯一字串。它必須以字母開頭，並且不能有尾隨連字號。
`keystore.gcp.secretmanager.endpoint`	一個可選的 GCP SecretManager 端點。如果未設定，則預設為：`secretmanager.googleapis.com:443`。
`keystore.gcp.secretmanager.scopes`	一個可選的 GCP OAuth2 範圍清單。如果未設定，則使用 GCP 預設範圍。
`keystore.gcp.secretmanager.credentials.client_email`	服務帳戶電子郵件。例如，`<account>@<project-ID>.iam.gserviceaccount.com`。
`keystore.gcp.secretmanager.credentials.client_id`	服務帳戶客戶端 ID。例如，`113491952745362495489`
`keystore.gcp.secretmanager.credentials.private_key_id`	服務帳戶私密金鑰。例如，`381514ebd3cf45a64ca8adc561f0ce28fca5ec06`。
`keystore.gcp.secretmanager.credentials.private_key`	服務帳戶的原始編碼私密金鑰。例如，`-----BEGIN PRIVATE KEY-----\n ... \n-----END PRIVATE KEY-----\n`。