python - 如何生成 Google Cloud KMS 密钥并附加云存储桶

我们在 Google Cloud 中试用了客户管理的加密密钥 (CMEK) 服务。但是如何使用 python 生成客户管理密钥并附加到 Cloud Storage 存储桶？有谁知道程序吗？

标签： pythongoogle-cloud-platform

您可以使用自己的加密密钥。这称为“客户提供的加密密钥”。但是，您不能将客户密钥附加到存储桶。相反，您必须为每个存储操作提供密钥。这意味着每次上传、下载等操作都需要加密密钥。

这也意味着您必须自己管理加密密钥的安全性并管理密钥轮换。另请注意，并非所有 Google Cloud 服务都支持客户加密密钥。Google Storage 支持，但 Cloud Dataflow、Dataproc、Google Storage Transfer 服务不支持。

管理您的加密密钥的管理基础设施，如果正确完成，是非常复杂的。想想万能密钥、数据加密密钥、密钥轮换、策略、程序、恢复，最后是审计和合规性。还存在密钥丢失或泄露的风险。

考虑一个托管密钥服务，这将减少管理和费用问题。

本文详细讨论了如何将客户加密密钥与 Python 和其他语言中的示例代码一起使用。