gcloud kms keyrings create [KEYRING_NAME] --location [LOCATION]

ref: https://cloud.google.com/sdk/gcloud/reference/kms/keyrings/create

$ gcloud kms keyrings list --location asia-northeast1
NAME
projects/artis-*****/locations/asia-northeast1/keyRings/*****

gcloud kms keys create [KEY_NAME] --location [LOCATION] \
  --keyring [KEYRING_NAME] --purpose encryption

ref: https://cloud.google.com/sdk/gcloud/reference/kms/keys/create

$ gcloud kms keys list --keyring projects/artis-*****/locations/asia-northeast1/keyRings/***** --location asia-northeast1
NAME                                                                              PURPOSE          ALGORITHM                    PROTECTION_LEVEL  LABELS  PRIMARY_ID  PRIMARY_STATE
projects/artis-*****/locations/asia-northeast1/keyRings/*****/cryptoKeys/****     ENCRYPT_DECRYPT  GOOGLE_SYMMETRIC_ENCRYPTION  SOFTWARE                  1           ENABLED

キーリング内に、対称鍵が作成されたことを確認できます。

ファイルを暗号化、復号化する

ここまでで、暗号化するための準備が完了したので、実際にファイルを暗号化してみます。

gcloud kms encrypt \
--location asia-northeast1 \
--keyring ***** \
--key ***** \
--plaintext-file secret.yaml \
--ciphertext-file secret.yaml.enc

ref: https://cloud.google.com/sdk/gcloud/reference/kms/encrypt

今回はsecret.yamlを暗号化して、secret.yaml.encに書き出します。 暗号化されたファイルの内容を確認すると、暗号化されている事が確認できます。

次は、暗号化したファイルを復号化してみます。

gcloud kms decrypt \
--location asia-northeast1 \
--keyring ***** \
--key ***** \
--ciphertext-file secret.yaml.enc \
--plaintext-file secret.yaml

ref: https://cloud.google.com/sdk/gcloud/reference/kms/decrypt

復号化されたファイルの内容を確認すると、暗号化前の内容に戻っていることが確認できます。

まとめ

Cloud KMSで対称鍵を作って、ファイルを暗号化、復号化することができました。
これで、Gitに機密ファイルをコミットすることができるので、GitOpsにて自動的にSecretを作成することができます。

GCPには、さまざまなサービスが用意されているので、それぞれのサービスを使うために多少の学習が必要になります。
Cloud KMSのように非常に便利で、生産性が上がり、リスクが下がるサービスが多いので、学習にコストをかける十分な理由があります。

補遺

• なぜ、Kubesecを使わなかったの？

アーティスでは、CI/CDにCloud Buildを利用していて、Kubesecのカスタムドライバを見つけることができなかったので、直接KMSを利用しています。