対称鍵によるデータの暗号化と復号 (original) (raw)

このページでは、Cloud Key Management Service（Cloud KMS）を使用して次の対称鍵操作を行う方法について説明します。

非対称鍵を使用して暗号化を行う場合は、非対称鍵によるデータの暗号化と復号をご覧ください。未加工の対称暗号化については、未加工の対称暗号化をご覧ください。

始める前に

キーリングを作成し、鍵を作成します。
暗号化メソッドと復号メソッドを呼び出すユーザーに、鍵に対する cloudkms.cryptoKeyVersions.useToEncrypt 権限と cloudkms.cryptoKeyVersions.useToDecrypt 権限があることを確認してください。
暗号化または復号をユーザーに許可する方法の 1 つは、ユーザーをその鍵の roles/cloudkms.cryptoKeyEncrypter、roles/cloudkms.cryptoKeyDecrypter、または roles/cloudkms.cryptoKeyEncrypterDecrypter IAM 役割に追加することです。roles/cloudkms.admin ロールでは、これらの 2 つの権限は付与されません。詳細については、権限と役割をご覧ください。

gcloud kms encrypt
--key KEY_NAME
--keyring KEY_RING
--location LOCATION
--plaintext-file FILE_TO_ENCRYPT
--ciphertext-file ENCRYPTED_OUTPUT

以下を置き換えます。

すべてのフラグと有効な値については、--help フラグを指定してコマンドを実行してください。

このコードを実行するには、まず C# 開発環境を設定し、Cloud KMS C# SDK をインストールします。

このコードを実行するには、まず Go 開発環境を設定し、Cloud KMS Go SDK をインストールします。

このコードを実行するには、まず Google Cloudでの PHP の使用について学び、Cloud KMS PHP SDK をインストールします。

これらの例では、HTTP クライアントとして curl を使用して API の使用例を示しています。アクセス制御の詳細については、Cloud KMS API へのアクセスをご覧ください。

JSON と REST API を使用する場合は、Cloud KMS で暗号化する前にコンテンツを base64 でエンコードする必要があります。

データを暗号化するには、POST リクエストを行い、適切なプロジェクトと鍵情報を指定し、リクエスト本文の plaintext フィールドに、暗号化する base64 でエンコードされたテキストを指定します。

curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME:encrypt"
--request "POST"
--header "authorization: Bearer TOKEN"
--header "content-type: application/json"
--data "{"plaintext": "PLAINTEXT_TO_ENCRYPT"}"

以下を置き換えます。

PROJECT_ID: 暗号化に使用するキーリングと鍵を含むプロジェクトの ID。
LOCATION: キーリングを含む Cloud KMS のロケーション。
KEY_RING: 暗号化に使用する鍵を含むキーリング。
KEY_NAME: 暗号化に使用する鍵の名前。
PLAINTEXT_TO_ENCRYPT: 暗号化する平文データ。encrypt メソッドを呼び出す前に、平文を base64 でエンコードする必要があります。

base64 でエンコードされたデータを含むペイロードの例を次に示します。

{ "plaintext": "U3VwZXIgc2VjcmV0IHRleHQgdGhhdCBtdXN0IGJlIGVuY3J5cHRlZAo=", }