
Before you begin
- Labs create a Google Cloud project and resources for a fixed time
- Labs have a time limit and no pause feature. If you end the lab, you'll have to restart from the beginning.
- On the top left of your screen, click Start lab to begin
Create a Cloud Storage bucket.
/ 25
Create a Keyring and Crypto key.
/ 25
Encrypt Your Data with the Cloud KMS key and upload it on the storage bucket.
/ 25
Encrypt multiple files using KMS API and upload to cloud storage.
/ 25
Neste laboratório, você vai aprender a usar alguns recursos avançados das APIs de segurança e privacidade do Google Cloud, como:
Você vai criptografar dados do Enron Corpus e carregá-los no Cloud Storage.
Leia estas instruções. Os laboratórios são cronometrados e não podem ser pausados. O timer é iniciado quando você clica em Começar o laboratório e mostra por quanto tempo os recursos do Google Cloud vão ficar disponíveis.
Este laboratório prático permite que você realize as atividades em um ambiente real de nuvem, não em uma simulação ou demonstração. Você vai receber novas credenciais temporárias para fazer login e acessar o Google Cloud durante o laboratório.
Confira os requisitos para concluir o laboratório:
Clique no botão Começar o laboratório. Se for preciso pagar, você verá um pop-up para selecionar a forma de pagamento. No painel Detalhes do laboratório à esquerda, você vai encontrar o seguinte:
Se você estiver usando o navegador Chrome, clique em Abrir console do Google Cloud ou clique com o botão direito do mouse e selecione Abrir link em uma janela anônima.
O laboratório ativa os recursos e depois abre a página Fazer login em outra guia.
Dica: coloque as guias em janelas separadas lado a lado.
Se necessário, copie o Nome de usuário abaixo e cole na caixa de diálogo Fazer login.
Você também encontra o Nome de usuário no painel Detalhes do laboratório.
Clique em Seguinte.
Copie a Senha abaixo e cole na caixa de diálogo de boas-vindas.
Você também encontra a Senha no painel Detalhes do laboratório.
Clique em Seguinte.
Acesse as próximas páginas:
Depois de alguns instantes, o console do Google Cloud será aberto nesta guia.
O Cloud Shell é uma máquina virtual com várias ferramentas de desenvolvimento. Ele tem um diretório principal permanente de 5 GB e é executado no Google Cloud. O Cloud Shell oferece acesso de linha de comando aos recursos do Google Cloud.
Depois de se conectar, vai notar que sua conta já está autenticada, e que o projeto está configurado com seu PROJECT_ID. A saída contém uma linha que declara o projeto PROJECT_ID para esta sessão:
gcloud
é a ferramenta de linha de comando do Google Cloud. Ela vem pré-instalada no Cloud Shell e aceita preenchimento com tabulação.
Clique em Autorizar.
A saída será parecida com esta:
Saída:
Saída:
Exemplo de saída:
gcloud
, acesse o guia com informações gerais sobre a gcloud CLI no Google Cloud.
Para armazenar os dados deste laboratório, você precisa criar seu próprio bucket do Cloud Storage.
A execução desse comando também ajuda a verificar se você configurou corretamente o cliente da linha de comando gsutil
, se a autenticação está funcionando e se você tem acesso de gravação ao projeto de nuvem em que está operando.
Clique em Verificar meu progresso para conferir o objetivo.
O Enron Corpus é um grande banco de dados com mais de 600 mil e-mails gerados por 158 funcionários da Enron Corporation. Esses dados foram copiados para o bucket do Cloud Storage gs://enron_emails/
.
tail
no arquivo salvo para verificar se o texto do e-mail está lá:Você vai receber esta saída:
Isso deverá mostrar o conteúdo de um arquivo de e-mail de texto sem formatação. Há dois tipos de arquivos interessantes para você: de imagem e de mensagem de texto simples. Caso tenha interesse, use o mesmo mecanismo para verificar o que há nesses outros arquivos.
O Cloud KMS é um serviço de gerenciamento de chaves criptográficas no Google Cloud. Antes de usar o KMS, você precisa ativá-lo no seu projeto. O KMS já está ativado neste laboratório provisionado para você. Verifique isso usando um dos comandos da CLI gcloud
.
Você não deve ter recebido nenhuma resposta. Agora o Cloud KMS está ativado no seu projeto.
Para criptografar os dados, é preciso criar um keyring e uma cryptokey. Keyrings são úteis para agrupar chaves. As chaves podem ser agrupadas por ambiente (como teste, preparo e produção) ou por algum outro agrupamento conceitual. Neste laboratório, o keyring será chamado de test
e a CryptoKey será chamada de qwiklab
.
gcloud
para criar o keyring. Neste laboratório, você vai usar uma localização global, mas também é possível definir uma região específica:qwiklab
:Nenhuma resposta deve aparecer. Pronto! Você criou um keyring e uma CryptoKey.
A interface da Web do Gerenciamento de chaves permite conferir e gerenciar as CryptoKeys e os keyrings. Você usará essa interface mais tarde, quando gerenciar permissões.
Clique em Verificar meu progresso para conferir o objetivo.
Em seguida, tente criptografar alguns dados.
base64
com o seguinte comando:Ao usar o endpoint de criptografia, você pode enviar o texto codificado em base64 que quer criptografar para a chave especificada.
encrypt
sempre vai retornar um resultado diferente, mesmo que você use textos e chaves iguais.
A resposta será um payload JSON que contém o texto criptografado no atributo ciphertext
.
ciphertext
do arquivo 1.encrypted
. Execute o comando a seguir:decrypt
e confira se o texto descriptografado corresponde ao do e-mail original. Os dados criptografados têm informações sobre qual versão da cryptokey foi usada para criptografá-los. Portanto, a versão específica nunca é fornecida ao endpoint de descriptografia. Execute o comando a seguir:Clique em Verificar meu progresso para conferir o objetivo.
No KMS, há duas permissões principais que são as mais importantes. Uma permite que um usuário ou conta de serviço gerencie recursos do KMS, outra permite que um usuário ou conta de serviço use chaves para criptografar e descriptografar dados.
A permissão para gerenciar chaves é a cloudkms.admin
. Com ela, qualquer pessoa pode criar keyrings, além de criar, modificar, desativar e destruir cryptokeys. A permissão para criptografar e descriptografar é a cloudkms.cryptoKeyEncrypterDecrypter
, que é usada para chamar os endpoints da API de criptografia e descriptografia.
Neste exercício, você atribuirá permissões de IAM por meio do usuário autorizado atual.
gcloud
:As CryptoKeys pertencem aos keyrings, que, por sua vez, pertencem aos projetos. Portanto, um usuário com um papel ou uma permissão específica em um nível mais alto nessa hierarquia herda as mesmas permissões nos recursos filhos. Ou seja, um usuário com o papel de proprietário em um projeto também é proprietário em todos os keyrings e cryptokeys dentro do projeto. Da mesma maneira, um usuário com o papel cloudkms.admin
em um keyring tem as mesmas permissões associadas nas cryptokeys desse keyring.
Sem a permissão cloudkms.cryptoKeyEncrypterDecrypter
, o usuário autorizado não poderá usar as chaves para criptografar ou descriptografar dados.
gcloud
para atribuir a permissão do IAM para criptografar e descriptografar dados de qualquer CryptoKey no keyring criado:Agora é possível conferir as permissões atribuídas na seção "Chaves criptográficas" do Gerenciamento de chaves.
test
) e clique em Principais no painel de informações à direita.Você vai conferir um menu com as contas e permissões do keyring que acabou de adicionar.
Agora que você sabe como criptografar um único arquivo e tem permissão para fazer isso, é possível executar um script para fazer backup de todos os arquivos em um diretório. Neste exemplo, copie todos os e-mails de allen-p, criptografe-os e faça o upload deles para um bucket do Cloud Storage.
Esse script passa por todos os arquivos em um determinado diretório, os criptografa com a API KMS e os envia ao Cloud Storage.
Clique em Verificar meu progresso para conferir o objetivo.
Depois que o script for concluído, será possível conferir os arquivos criptografados ao clicar em "Storage" no menu à esquerda do console.
Os Registros de auditoria do Cloud têm dois fluxos de registro: "Atividade do administrador" e "Acesso aos dados". Eles são gerados pelos serviços do Google Cloud para ajudar você a saber quem fez o quê, onde e quando nos seus projetos do Google Cloud.
Tipo de recurso
. Você vai conferir a criação do keyring e todas as alterações feitas nele.Você criptografou dados e fez upload deles com o KMS e o Cloud Storage.
Faça nosso teste para avaliar seus conhecimentos sobre o Cloud KMS.
Você aprendeu a criptografar dados e gerenciar chaves de criptografia usando o Cloud Key Management Service (KMS).
Manual atualizado em 15 de abril de 2024
Laboratório testado em 31 de agosto de 2023
Copyright 2025 Google LLC. Todos os direitos reservados. Google e o logotipo do Google são marcas registradas da Google LLC. Todos os outros nomes de produtos e empresas podem ser marcas registradas das respectivas empresas a que estão associados.
Este conteúdo não está disponível no momento
Você vai receber uma notificação por e-mail quando ele estiver disponível
Ótimo!
Vamos entrar em contato por e-mail se ele ficar disponível
One lab at a time
Confirm to end all existing labs and start this one