Contrôle des accès avec IAM

Cet article explique comment gérer l'accès aux ressources Cloud KMS.

Présentation

Pour gérer l'accès aux ressources Cloud KMS, telles que les clés et les trousseaux de clés, vous attribuez des rôles Identity and Access Management (IAM). Vous pouvez accorder ou limiter la possibilité d'effectuer des opérations de chiffrement spécifiques, telles que la rotation d'une clé ou le chiffrement de données. Vous pouvez attribuer des rôles IAM sur les éléments suivants :

• Directement sur une clé
• Un trousseau de clés, hérité par toutes les clés de ce trousseau
• Un projet Google Cloud , hérité par toutes les clés du projet
• Un dossier Google Cloud , hérité par toutes les clés de tous les projets du dossier
• Une organisation Google Cloud , héritée par toutes les clés des dossiers de l'organisation

Pour obtenir la liste complète des actions Cloud KMS, ainsi que des rôles et des autorisations IAM, consultez la page Autorisations et rôles. Pour obtenir la liste complète des ressources Cloud KMS et de leurs relations, consultez la page Ressources Cloud KMS.

Avant de commencer

Pour effectuer ces tâches, vous devez disposer d'une autorisation d'administrer les ressources Cloud KMS dans le projet Google Cloud . Le rôle Administrateur Cloud KMS (roles/cloudkms.admin) inclut les autorisations requises.

Connectez-vous à votre compte Google Cloud . Si vous débutez sur Google Cloud, créez un compte pour évaluer les performances de nos produits en conditions réelles. Les nouveaux clients bénéficient également de 300 $de crédits sans frais pour exécuter, tester et déployer des charges de travail.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the required API.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

Installez la Google Cloud CLI.

Si vous utilisez un fournisseur d'identité (IdP) externe, vous devez d'abord vous connecter à la gcloud CLI avec votre identité fédérée.

Pour initialiser la gcloud CLI, exécutez la commande suivante :

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the required API.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

Installez la Google Cloud CLI.

Si vous utilisez un fournisseur d'identité (IdP) externe, vous devez d'abord vous connecter à la gcloud CLI avec votre identité fédérée.

Pour initialiser la gcloud CLI, exécutez la commande suivante :

gcloud init

1. Créez une ressource, comme un trousseau de clés.
2. Obtenez les ID de ressources pour les ressources créées, telles qu'un trousseau de clés, une clé et une version de clé.

Seuls les comptes principaux IAM dotés du rôle de propriétaire (roles/owner) ou d'administrateur Cloud KMS (roles/cloudkms.admin) peuvent accorder ou révoquer l'accès aux ressources Cloud KMS.

Attribuer des rôles sur une ressource

L'exemple suivant accorde un rôle permettant d'accéder à une clé Cloud KMS :

gcloud kms keys add-iam-policy-binding key \
    --keyring key-ring \
    --location location \
    --member principal-type:principal-email \
    --role roles/role