使用 Google Cloud KMS 在 Python 中实现双向 TLS答案

【问题标题】：Mutual TLS in Python using Google Cloud KMS使用 Google Cloud KMS 在 Python 中实现双向 TLS
【发布时间】：2020-09-29 18:25:45
【问题描述】：

有没有办法通过 mTLS 使用存储在 Google Cloud Key Management Service 中的私钥发出 HTTP 请求？

在this blog post 中，我们需要在 Go 中完成。是否有可能在 Python 中实现相同的目标？我希望 Tink 库提供一些现成的解决方案，但找不到。

【问题讨论】：

到目前为止，我在 Google 文档中找到的最接近的内容是：使用双向 TLS 获取短期凭据 cloud.google.com/solutions/… 为 Anthos Service Mesh 准备应用程序 cloud.google.com/service-mesh/docs/prepare-app-for-asm 它会出现，到目前为止，翻译您提供的链接中的代码将是您的最佳选择。

标签： python google-cloud-platform urllib google-cloud-kms tink

【解决方案1】：

在深入研究该主题后，我做出了以下“发现”：

所有 Python HTTP 客户端似乎都依赖于 OpenSSL
OpenSSL 有 engine interface，它允许将加密功能卸载到第 3 方（HSM 或类似 Google Cloud KMS 的东西）
使用pyOpenSSL，为urlopen 创建SSL 上下文相当容易，这将使用自定义OpenSSL 引擎。这是一个例子：https://github.com/pyca/pyopenssl/issues/203#issuecomment-454900850
我找不到支持 Google Cloud KMS 的现成 OpenSSL 引擎

所以这似乎可以解决，但需要一些努力。

同时我发现亚马逊提供了现成的OpenSSL engine for their AWS CloudHSM，所以在Python中用于mTLS应该是相当容易的。但是 CloudHSM 价格相当高（由于定制硬件，这是可以理解的）。我还发现了 AWS KMS 的 OpenSSL 引擎的 this Rust implementation，看起来很棒。也许也可以为 Google Cloud KMS 重新设计它......但我们最终可能会切换到 AWS KMS 或 CloudHSM。

虽然这不是一个非常完整的答案，但我希望它能帮助其他面临该问题的人。

【讨论】：

嘿，你有没有为此找到更可靠的解决方案？我似乎被困在相同的 FIPS3 / HSM 要求上。
@BenCoughlan 我们已经让 MTLS 在 python 中与 CloudHSM 一起使用现成的 OpenSSL 引擎。使用了我提到的 Rust OpenSSL 引擎，但决定不花时间为 Google Cloud KMS 构建自己的 OpenSSL 引擎。
太酷了！感谢您的回复。呃，有没有 GitHub 页面可以更好地描述如何做到这一点？