Atualizar a referência de chave externa

Nesta página, mostramos como atualizar a referência de chave externa de uma chave do Cloud EKM sem fazer a rotação. A nova referência de chave precisa apontar para o mesmo material da chave que a referência de chave atual. Se o material da chave tiver sido girado no sistema do parceiro de gerenciamento de chaves externas, gire a chave.

Use as instruções desta página se o sistema do parceiro de gerenciamento de chaves externas tiver mudado o caminho ou o URI da chave de uma chave existente. Por exemplo, a referência da chave pode mudar como resultado de uma alteração no nome do host do parceiro de gerenciamento de chaves externo ou de uma mudança na estrutura de referência da chave.

Funções exigidas

Para receber a permissão necessária para atualizar uma referência de chave externa, peça ao administrador para conceder a você o Administrador do Cloud KMS (roles/cloudkms.admin) papel do IAM na chave. Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Esse papel predefinido contém a permissão cloudkms.cryptoKeyVersions.update, que é necessária para atualizar uma referência de chave externa.

Também é possível conseguir essa permissão com papéis personalizados ou outros papéis predefinidos.

Atualizar o URI de uma versão de chave sem rotação

Para atualizar a referência de chave de uma chave do Cloud EKM usada pela Internet, siga estas etapas:

gcloud kms keys versions update KEY_VERSION \
  --key KEY_NAME \
  --keyring KEY_RING \
  --location LOCATION \
  --external-key-uri NEW_KEY_URI

Atualizar o caminho da chave de uma versão de chave sem rotação

Para atualizar a referência de chave de uma chave do Cloud EKM usada em uma rede VPC, siga estas etapas:

gcloud kms keys versions update KEY_VERSION \
  --key KEY_NAME \
  --keyring KEY_RING \
  --location LOCATION \
  --ekm-connection-key-path NEW_KEY_PATH