
Before you begin
- Labs create a Google Cloud project and resources for a fixed time
- Labs have a time limit and no pause feature. If you end the lab, you'll have to restart from the beginning.
- On the top left of your screen, click Start lab to begin
Create a Cloud Storage bucket.
/ 25
Create a Keyring and Crypto key.
/ 25
Encrypt Your Data with the Cloud KMS key and upload it on the storage bucket.
/ 25
Encrypt multiple files using KMS API and upload to cloud storage.
/ 25
En este lab, aprenderás a usar algunas funciones avanzadas de las APIs de seguridad y privacidad de Google Cloud, como las siguientes:
Uso de datos resumidos de Enron Corpus para encriptar y cargar en Cloud Storage
Lee estas instrucciones. Los labs son cronometrados y no se pueden pausar. El cronómetro, que comienza a funcionar cuando haces clic en Comenzar lab, indica por cuánto tiempo tendrás a tu disposición los recursos de Google Cloud.
Este lab práctico te permitirá realizar las actividades correspondientes en un entorno de nube real, no en uno de simulación o demostración. Para ello, se te proporcionan credenciales temporales nuevas que utilizarás para acceder a Google Cloud durante todo el lab.
Para completar este lab, necesitarás lo siguiente:
Haga clic en el botón Comenzar lab. Si debe pagar por el lab, se abrirá una ventana emergente para que seleccione su forma de pago. A la izquierda, se encuentra el panel Detalles del lab, que tiene estos elementos:
Haz clic en Abrir la consola de Google Cloud (o haz clic con el botón derecho y selecciona Abrir el vínculo en una ventana de incógnito si ejecutas el navegador Chrome).
El lab inicia recursos y abre otra pestaña en la que se muestra la página de acceso.
Sugerencia: Ordene las pestañas en ventanas separadas, una junto a la otra.
De ser necesario, copia el nombre de usuario a continuación y pégalo en el diálogo Acceder.
También puedes encontrar el nombre de usuario en el panel Detalles del lab.
Haz clic en Siguiente.
Copia la contraseña que aparece a continuación y pégala en el diálogo Te damos la bienvenida.
También puedes encontrar la contraseña en el panel Detalles del lab.
Haz clic en Siguiente.
Haga clic para avanzar por las páginas siguientes:
Después de un momento, se abrirá la consola de Google Cloud en esta pestaña.
Cloud Shell es una máquina virtual que cuenta con herramientas para desarrolladores. Ofrece un directorio principal persistente de 5 GB y se ejecuta en Google Cloud. Cloud Shell proporciona acceso de línea de comandos a tus recursos de Google Cloud.
Cuando te conectes, habrás completado la autenticación, y el proyecto estará configurado con tu PROJECT_ID. El resultado contiene una línea que declara el PROJECT_ID para esta sesión:
gcloud
es la herramienta de línea de comandos de Google Cloud. Viene preinstalada en Cloud Shell y es compatible con la función de autocompletado con tabulador.
Haz clic en Autorizar.
Ahora, el resultado debería verse de la siguiente manera:
Resultado:
Resultado:
Resultado de ejemplo:
gcloud
, consulta la guía con la descripción general de gcloud CLI en Google Cloud.
Para almacenar los datos de este lab, deberás crear tu propio bucket en Cloud Storage.
La ejecución de este comando también sirve para verificar si configuraste de forma correcta el cliente de línea de comandos gsutil
, si la autenticación está funcionando y si tienes acceso de escritura al proyecto de la nube que estás usando.
Haz clic en Revisar mi progreso para verificar el objetivo.
Enron Corpus es una gran base de datos que cuenta con más de 600,000 correos electrónicos generados por 158 empleados de Enron Corporation. Estos datos se copiaron en el bucket de Cloud Storage gs://enron_emails/
.
tail
en el archivo descargado para verificar que el texto del correo electrónico esté allí:Deberías recibir el resultado siguiente:
Este comando debería mostrar el contenido de un archivo de correo en texto simple. Existen dos tipos de archivos que deberás buscar: archivos de correo de texto simple y archivos de imagen. Si te interesa saber qué contienen los demás archivos, usa este mismo mecanismo.
Cloud KMS es un servicio de administración de claves criptográficas de Google Cloud. Antes de usarlo, debes habilitarlo en tu proyecto. En este lab, te aprovisionarán KMS si ya lo habilitaste. Para asegurarte de ello, usa uno de los comandos de la CLI de gcloud
.
No deberías haber recibido ningún resultado. Cloud KMS ya está habilitado en tu proyecto.
Para encriptar los datos, debes crear un llavero de claves y un CryptoKey. Los llaveros de claves son útiles para agrupar claves. Esto se puede hacer por entorno (como test, staging y prod) o cualquier otro concepto de agrupación. En este lab, tu llavero de claves se llamará test
y tu CryptoKey, qwiklab
.
gcloud
para crear el llavero de claves. En este lab, usarás una ubicación global, pero también se podría configurar para una región específica.qwiklab
:No debería aparecer ningún resultado. Así de fácil, ya creaste un llavero de claves y un CryptoKey.
La IU web de la administración de claves permite visualizar y administrar los llaveros de claves y los CryptoKeys. Utilizarás la IU más adelante, cuando administres los permisos.
Haz clic en Revisar mi progreso para verificar el objetivo.
A continuación, intenta encriptar algunos datos.
base64
con el comando siguiente:Con el extremo de la encriptación, puedes enviar el texto codificado en base64 que desees encriptar a la clave especificada.
encrypt
mostrará un resultado distinto cada vez, incluso cuando uses el mismo texto y la misma clave.
La respuesta será una carga útil de JSON que contendrá el texto encriptado en el atributo ciphertext
.
ciphertext
en el archivo 1.encrypted
. Ejecuta lo siguiente:decrypt
y comprueba que el texto desencriptado coincida con el correo electrónico original. Los datos encriptados tienen información sobre la versión del CryptoKey que se usó para encriptarlos, por lo que la versión específica nunca se proporciona al extremo desencriptado. Ejecuta lo siguiente:Haz clic en Revisar mi progreso para verificar el objetivo.
En KMS, existen dos permisos principales en los que debes enfocarte. Uno le permite a un usuario o a una cuenta de servicio administrar los recursos de KMS, mientras que el otro les permite usar claves para encriptar o desencriptar datos.
El permiso para administrar las claves es cloudkms.admin
y permite que cualquier persona que lo tenga cree un llavero de claves y, además, cree, modifique, inhabilite o destruya CryptoKeys. El permiso para encriptar y desencriptar es cloudkms.cryptoKeyEncrypterDecrypter
y se utiliza para llamar a los extremos de la API de encriptación y desencriptación.
En este ejercicio, utilizarás el usuario actual autorizado para asignar permisos de IAM.
gcloud
con el objetivo de asignar el permiso de IAM para administrar el llavero de claves que acabas de crear:Debido a que los CryptoKeys pertenecen a los llaveros de claves, y los llaveros de claves pertenecen a los proyectos, un usuario con un rol o permiso específico en un nivel superior de la jerarquía recibe los mismos permisos en los recursos secundarios. Por ejemplo, un usuario que tiene la función de propietario del proyecto también es propietario de todos los llaveros de claves y los CryptoKeys del proyecto. De manera similar, si un usuario recibe la función de cloudkms.admin
en un llavero de claves, tiene los permisos asociados para los CryptoKeys del llavero de claves.
Sin el permiso cloudkms.cryptoKeyEncrypterDecrypter
, el usuario autorizado no podrá utilizar las claves para encriptar o desencriptar datos.
gcloud
con el objetivo de asignar el permiso de IAM y encriptar o desencriptar datos de cualquier CryptoKey en el llavero de claves que creaste:Ahora puedes ver los permisos asignados en la sección Claves criptográficas de la Administración de claves.
test
) y, luego, haz clic en Principales en el panel de información de la derecha.De esta forma, se abrirá un menú en el que podrás ver las cuentas y los permisos del llavero de claves que acabas de agregar.
Ahora que ya sabes cómo encriptar un solo archivo y tienes los permisos para hacerlo, puedes ejecutar una secuencia de comandos con el objetivo de crear una copia de seguridad de todos los archivos de un directorio. En este caso, copia todos los correos electrónicos para allen-p, encríptalos y súbelos a un bucket de Cloud Storage.
Esta secuencia de comandos aplica un bucle a todos los archivos de un directorio específico, los encripta con la API de KMS y los sube a Cloud Storage.
Haz clic en Revisar mi progreso para verificar el objetivo.
Luego de que se complete la secuencia de comandos, podrás ver los archivos encriptados si haces clic en Almacenamiento, en el menú de la izquierda de la consola.
Google Cloud Audit Logging consiste en dos transmisiones de registros, Admin Activity y Data Access, que se generan a través de los servicios de Google Cloud para ayudarte a responder la pregunta “¿Quién hizo qué, dónde y cuándo?” en tus proyectos de Google Cloud.
Tipo de recurso
y deberías ver la creación del llavero de claves y todas sus modificaciones.Encriptaste y subiste datos con KMS y Cloud Storage.
Completa este cuestionario para poner a prueba tus conocimientos sobre Cloud KMS.
Aprendiste a encriptar datos y administrar claves de encriptación con Cloud Key Management Service (KMS).
Última actualización del manual: 15 de abril de 2024
Prueba más reciente del lab: 31 de agosto de 2023
Copyright 2025 Google LLC. All rights reserved. Google y el logotipo de Google son marcas de Google LLC. Los demás nombres de productos y empresas pueden ser marcas de las respectivas empresas a las que estén asociados.
Este contenido no está disponible en este momento
Te enviaremos una notificación por correo electrónico cuando esté disponible
¡Genial!
Nos comunicaremos contigo por correo electrónico si está disponible
One lab at a time
Confirm to end all existing labs and start this one