이 문서에서는 고객 관리 암호화 키(CMEK)를 사용하여 Cloud Key Management Service를 통해 클라우드 서비스의 저장 데이터를 암호화하고 제어하는 방법을 보여줍니다. CMEK는 Gemini Code Assist의 코드 맞춤설정과 통합됩니다. Gemini Code Assist에서는 Cloud EKM 키를 사용할 수 없습니다.
이 문서에서는 다음 작업을 수행합니다.
- CMEK를 만드는 방법을 알아봅니다.
- Gemini Code Assist 서비스 계정에 권한을 부여합니다.
- CMEK로 코드 저장소 색인을 만듭니다.
- CMEK 저장소에 대한 액세스 권한을 삭제합니다.
기본적으로 Google Cloud를 위한 Gemini는 저장 중인 고객 콘텐츠를 암호화합니다. Gemini는 사용자의 추가 작업 없이 자동으로 암호화를 처리합니다. 이 옵션을 Google 기본 암호화라고 부릅니다.
CMEK로 리소스를 설정한 후 Gemini 리소스에 액세스하는 환경은 Google 기본 암호화 사용과 유사합니다. 암호화 옵션에 대한 자세한 내용은 고객 관리 암호화 키 (CMEK)를 참고하세요.
시작하기 전에
다음 개발 환경 중 하나에서 gcloud CLI를 설정합니다.
Cloud Shell: gcloud CLI가 이미 설정된 온라인 터미널을 사용하려면 Cloud Shell 편집기를 실행하세요.
외부 ID 공급업체 (IdP)를 사용하는 경우 먼저 제휴 ID로 gcloud CLI에 로그인해야 합니다.
gcloud CLI를 설정한 개발 환경에서
gcloud components update명령어를 실행하여 설치된 모든 gcloud 구성요소를 최신 버전으로 업데이트했는지 확인합니다.gcloud components update
CMEK 만들기 및 권한 부여
CMEK를 만들고 Gemini Code Assist 서비스 계정에 키에 대한 권한을 부여하려면 다음 태스크를 수행합니다.
키를 관리할 Google Cloud 프로젝트에서 다음을 실행합니다.
Gemini Code Assist 서비스 계정에 CryptoKey 암호화/복호화 IAM 역할(
roles/cloudkms.cryptoKeyEncrypterDecrypter)을 부여합니다. 생성된 키에 대한 권한을 부여합니다.콘솔
키 관리로 이동합니다.
생성된 키를 선택합니다.
Gemini Code Assist 서비스 계정에 대한 액세스 권한을 부여합니다.
- 주 구성원 추가를 클릭합니다.
- Gemini Code Assist 서비스 계정을 추가합니다. 서비스 계정은
service-PROJECT_NUMBER@gcp-sa-cloudaicompanions.입니다. 여기서 PROJECT_NUMBER는 Gemini Code Assist가 사용 설정된 Google Cloud 프로젝트의 프로젝트 번호입니다. - 역할 선택에서 Cloud KMS > Cloud KMS CryptoKey 암호화/복호화를 선택합니다.
- 저장을 클릭합니다.
CMEK로 코드 저장소 색인을 만들 계정에 대한 액세스 권한을 부여하려면 이전 단계를 반복합니다.
키 관리 페이지로 돌아가서 키를 다시 선택합니다.
정보 패널 표시를 선택합니다. 역할/구성원 열에 역할이 표시됩니다.
gcloud
Gemini Code Assist 서비스 계정에 대한 액세스 권한을 부여하려면 셸 환경에서
kms keys add-iam-policy-binding명령어를 사용합니다.gcloud kms keys add-iam-policy-binding KEY_NAME \ --project=PROJECT_ID \ --location=LOCATION \ --keyring=KEYRING_NAME \ --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-cloudaicompanion." \ --role="roles/cloudkms.cryptoKeyEncrypterDecrypter"다음을 바꿉니다.
- KEY_NAME: 키 이름입니다.
- PROJECT_ID: 키가 포함된 프로젝트의 ID입니다.
- LOCATION: 키 위치입니다.
- KEYRING_NAME: 키링 이름입니다.
- PROJECT_NUMBER: Gemini Code Assist가 사용 설정된 Google Cloud 프로젝트의 프로젝트 번호입니다.
CMEK로 코드 저장소 색인을 만들 계정에 대한 액세스 권한을 부여하려면 이전 단계를 반복합니다.
이 명령어에 대한 자세한 내용은
gcloud kms keys add-iam-policy-binding문서를 참조하세요.
이제 API를 사용하여 CMEK로 코드 저장소 색인을 만들고 암호화에 사용할 키를 지정할 수 있습니다.
CMEK로 코드 저장소 색인 만들기
CMEK 보호 기능이 있는 새 저장소를 만들려면 다음 중 하나를 수행합니다.
gcloud
gemini code-repository-indexes create 명령어를 사용합니다.
gcloud gemini code-repository-indexes create CODE_REPOSITORY_INDEX_NAME \
--location=LOCATION \
--kms-key="projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME"
다음을 바꿉니다.
- CODE_REPOSITORY_INDEX_NAME을 만들려는 새 코드 저장소 색인 이름으로 바꿉니다.
- LOCATION: 키 위치입니다.
- KEY_PROJECT_ID: 키 프로젝트 ID입니다.
- KEYRING_NAME: 키링 이름입니다.
- KEY_NAME: 키 이름입니다.
API
다음 정보를 포함하는 JSON 파일을 만듭니다.
{ "kmsKey": "projects/KEY_PROJECT_ID/locations/KEY_LOCATION/keyRings/KEYRING_NAME/cryptoKeys/KEY_NAME" }다음을 바꿉니다.
KEY_PROJECT_ID를 키 프로젝트 ID로 바꿉니다.KEY_LOCATION을 키 위치로 바꿉니다.KEYRING_NAME: 키링 이름KEY_NAME: 키 이름입니다.
cURL명령어를 사용하여projects.locations.codeRepositoryIndexes.create메서드를 호출합니다.curl -X POST --data-binary @JSON_FILE_NAME \ -H "Authorization: Bearer $(gcloud auth print-access-token)" \ -H "Content-Type: application/json" \ "https://cloudaicompanion.googleapis.com/v1/projects/PROJECT_ID/locations/KEY_LOCATION/codeRepositoryIndexes?codeRepositoryIndexId=CODE_REPOSITORY_INDEX_NAME"다음을 바꿉니다.
JSON_FILE_NAME을 이전 단계에서 만든 JSON 파일의 경로로 바꿉니다.PROJECT_ID를 저장소를 만들 프로젝트의 ID로 바꿉니다.KEY_LOCATION을 저장소를 만들 위치로 바꿉니다. CMEK가 있는 위치와 일치해야 합니다.CODE_REPOSITORY_INDEX_NAME을 만들려는 새 코드 저장소 색인 이름으로 바꿉니다. 예를 들면zg-btf-0001입니다.
응답에서 로그 항목 집합을 반환합니다.
CMEK 저장소에 대한 액세스 권한 삭제
CMEK로 암호화된 저장소에 대한 액세스 권한을 삭제하는 방법에는 여러 가지가 있습니다.
- API 콘솔 또는 gcloud를 사용하여 Gemini Code Assist 서비스 계정에서 Cloud KMS CryptoKey 암호화/복호화 역할을 취소합니다.
- CMEK를 일시적으로 사용 중지합니다.
- CMEK를 영구 삭제합니다.
키를 사용 중지하거나 삭제하기 전에 Gemini Code Assist 서비스 계정에서 권한을 취소하는 것이 좋습니다. 권한 변경사항은 몇 초 안에 적용되므로 키 사용 중지 또는 삭제가 미치는 영향을 관찰할 수 있습니다.