Ressourcen mit Cloud KMS-Schlüsseln schützen

Console

1. Rufen Sie in der Cloud de Confiance Console die Seite Laufwerke auf.

   Zur Seite „Laufwerke“

2. Klicken Sie auf Laufwerk erstellen und geben Sie die Attribute für das neue Laufwerk ein.
3. Wählen Sie unter Verschlüsselung die Option Vom Kunden verwalteter Schlüssel aus.
4. Wählen Sie im Drop-down-Menü den Cloud KMS-Schlüssel aus, mit dem Sie dieses Laufwerk verschlüsseln möchten.
5. Klicken Sie auf Erstellen, um das Laufwerk anzulegen.

gcloud

Erstellen Sie mit dem Befehl gcloud compute disks create ein verschlüsseltes Laufwerk und geben Sie den Schlüssel mit dem Flag --kms-key an.

gcloud compute disks create DISK_NAME \
  --kms-key projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY

Ersetzen Sie Folgendes:

• DISK_NAME: Name des neuen Laufwerks
• KMS_PROJECT_ID: das Projekt, dem der Cloud KMS-Schlüssel gehört
• REGION: die Region, in der sich der Schlüssel befindet
• KEY_RING: der Name des Schlüsselbunds, der den Schlüssel enthält
• KEY: der Name des Schlüssels, mit dem das Laufwerk verschlüsselt wird

REST

Senden Sie eine POST-Anfrage an die Methode instances.insert. Verwenden Sie zum Verschlüsseln eines Laufwerks das Attribut diskEncryptionKey mit dem Attribut kmsKeyName. Sie können beispielsweise während der VM-Erstellung ein neues Laufwerk mit Ihrem Cloud KMS-Schlüssel verschlüsseln. Geben Sie dazu Folgendes an:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
"machineType": "zones/ZONE/machineTypes/MACHINE_TYPE",
"disks": [
 {
  "type": "PERSISTENT",
  "diskEncryptionKey": {
    "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
  },
  "initializeParams": {
   "sourceImage": "SOURCE_IMAGE"
  },
  "boot": true
 }
],
...
}

Ersetzen Sie Folgendes:

• PROJECT_ID: die ID desCloud de Confiance -Projekts, in dem Compute Engine ausgeführt wird
• ZONE ist die Zone, in der die VM erstellt werden soll.
• MACHINE_TYPE: der Maschinentyp, z. B. c3-standard-4
• KMS_PROJECT_ID: das Projekt, dem der Cloud KMS-Schlüssel gehört
• REGION: die Region, in der sich das Laufwerk befindet
• KEY_RING: der Name des Schlüsselbunds, der den Schlüssel enthält
• KEY: der Name des Schlüssels, mit dem das Laufwerk verschlüsselt wird
• SOURCE_IMAGE: das Image, das beim Erstellen der VM verwendet werden soll, z. B. projects/debian-cloud/global/images/debian-11-bullseye-v20231115

In ähnlicher Weise können Sie die Methode disks.insert verwenden, um eine neue eigenständige Persistent Disk zu erstellen und mit Ihrem Cloud KMS-Schlüssel zu verschlüsseln:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/disks?sourceImage=SOURCE_IMAGE
{
 "name": "DISK_NAME",
 "diskEncryptionKey": {
   "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
  },
 "type": "projects/PROJECT_ID/zones/ZONE/diskTypes/DISK_TYPE"
}

Ersetzen Sie Folgendes:

• PROJECT_ID: die ID desCloud de Confiance -Projekts, in dem Compute Engine ausgeführt wird
• ZONE: Zone, in der die VM erstellt werden soll
• SOURCE_IMAGE: das Image, das beim Erstellen des Laufwerks verwendet werden soll, z. B. projects/debian-cloud/global/images/debian-11-bullseye-v20231115
• DISK_NAME: ein Name für das neue Laufwerk
• KMS_PROJECT_ID: das Projekt, dem der Cloud KMS-Schlüssel gehört
• REGION: die Region, in der sich das Laufwerk befindet
• KEY_RING: der Name des Schlüsselbunds, der den Schlüssel enthält
• KEY: der Name des Schlüssels, mit dem das Laufwerk verschlüsselt wird
• DISK_TYPE: der zu erstellende Laufwerkstyp

Console

1. Rufen Sie in der Cloud de Confiance Console die Seite Laufwerke auf.

   Zur Seite „Laufwerke“

2. Klicken Sie auf Laufwerk erstellen und geben Sie die Attribute für das neue Laufwerk ein.
3. Wählen Sie im Abschnitt Laufwerkeinstellungen als Laufwerkstyp Hyperdisk Balanced aus.
4. Optional. Ändern Sie die Standardeinstellungen für Größe, Bereitgestellte IOPS und Bereitgestellter Durchsatz des Laufwerks.
5. Wählen Sie im Abschnitt Verschlüsselung die Option Cloud KMS-Schlüssel aus.
6. Wählen Sie in der Liste der Schlüssel den Cloud HSM-Schlüssel aus, mit dem Sie dieses Laufwerk verschlüsseln möchten.
7. Wählen Sie im Abschnitt Confidential Computing die Option Confidential Computing-Dienste aktivieren aus.
8. Klicken Sie auf Erstellen, um das Laufwerk anzulegen.

gcloud

Verschlüsseln Sie ein neues Laufwerk mit dem Modus „Vertraulich“ für Hyperdisk Balanced mit dem Befehl gcloud compute disks create. Aktivieren Sie den Modus „Vertraulich“ mit dem Flag --confidential-compute und geben Sie den Schlüssel mit dem Flag --kms-key an.

gcloud compute disks create DISK_NAME \
  --type=hyperdisk-balanced \
  --kms-key projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY \
  --confidential-compute

Ersetzen Sie Folgendes:

• DISK_NAME: Name des neuen Laufwerks
• KMS_PROJECT_ID: das Projekt, dem der Cloud HSM-Schlüssel gehört
• REGION: die Region, in der sich der Schlüssel befindet
• KEY_RING: der Name des Schlüsselbunds, der den Schlüssel enthält
• KEY: der Name des Schlüssels, mit dem das Laufwerk verschlüsselt wird

REST

Senden Sie eine POST-Anfrage an die Methode instances.insert. Wenn Sie ein Laufwerk mit dem Modus „Vertraulich“ für Hyperdisk Balanced verschlüsseln möchten, verwenden Sie das Attribut diskEncryptionKey mit dem Attribut kmsKeyName und legen Sie das Flag enableConfidentialCompute fest. Sie können beispielsweise während der VM-Erstellung ein neues Laufwerk mit Ihrem Cloud HSM-Schlüssel verschlüsseln. Geben Sie dazu Folgendes an:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
"machineType": "zones/ZONE/machineTypes/MACHINE_TYPE",
"disks": [
 {
  "type": "DISK_TYPE",
  "diskEncryptionKey": {
    "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
  },
  "initializeParams": {
   "sourceImage": "SOURCE_IMAGE",
   "enableConfidentialCompute": true
  },
  "boot": true
 }
],
"networkInterfaces": [
  {
   "network": "global/networks/default"
  }
]
}

Ersetzen Sie Folgendes:

• DISK_TYPE: der zu erstellende Laufwerkstyp, z. B. hyperdisk-balanced
• PROJECT_ID: die ID des Cloud de Confiance -Projekts, in dem Compute Engine ausgeführt wird
• ZONE ist die Zone, in der die VM erstellt werden soll.
• MACHINE_TYPE: der Maschinentyp, z. B. n2d-standard-4
• KMS_PROJECT_ID: das Projekt, dem der Cloud HSM-Schlüssel gehört
• REGION: die Region, in der sich das Laufwerk befindet
• KEY_RING: der Name des Schlüsselbunds, der den Schlüssel enthält
• KEY: der Name des Schlüssels, mit dem das Laufwerk verschlüsselt wird
• SOURCE_IMAGE: das Image, das Confidential VM unterstützt und beim Erstellen der VM verwendet werden soll, z. B. projects/debian-cloud/global/images/debian-11-bullseye-v20231115

In ähnlicher Weise können Sie die Methode disks.insert verwenden, um ein neues Hyperdisk Balanced-Volume im Modus „Vertraulich“ zu erstellen:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/disks?sourceImage=SOURCE_IMAGE
{
 "name": "DISK_NAME",
 "diskEncryptionKey": {
   "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
  },
 "type": "projects/PROJECT_ID/zones/ZONE/diskTypes/DISK_TYPE",
 "enableConfidentialCompute": true
}

Ersetzen Sie Folgendes:

• PROJECT_ID: die ID desCloud de Confiance -Projekts, in dem Compute Engine ausgeführt wird
• ZONE: Zone, in der die VM erstellt werden soll
• SOURCE_IMAGE: das Image, das vertrauliche VMs beim Erstellen des Laufwerks unterstützt, z. B. projects/debian-cloud/global/images/debian-11-bullseye-v20231115
• DISK_NAME: ein Name für das neue Laufwerk
• KMS_PROJECT_ID: das Projekt, dem der Cloud HSM-Schlüssel gehört
• REGION: die Region, in der sich das Laufwerk befindet
• KEY_RING: der Name des Schlüsselbunds, der den Schlüssel enthält
• KEY: der Name des Schlüssels, mit dem das Laufwerk verschlüsselt wird
• DISK_TYPE: der zu erstellende Laufwerkstyp, z. B. hyperdisk-balanced

Console

1. Rufen Sie in der Cloud de Confiance Console die Seite Snapshots auf.

   Zu "Snapshots"

2. Klicken Sie auf Snapshot erstellen.
3. Wählen Sie unter Quelllaufwerk das Quelllaufwerk für den Snapshot aus. Der Snapshot wird automatisch mit demselben Schlüssel verschlüsselt wie das Quelllaufwerk.

gcloud

Bei der vom Kunden verwalteten Verschlüsselung wird der Cloud KMS-Schlüssel, der zum Verschlüsseln des Laufwerks verwendet wurde, auch zum Verschlüsseln des Snapshots verwendet.

Sie können den Snapshot in der Richtlinie für den Speicherort erstellen, die in Ihren Snapshot-Einstellungen festgelegt ist, oder indem Sie einen alternativen Speicherort Ihrer Wahl verwenden. Weitere Informationen finden Sie unter Snapshot-Speicherort für Snapshots auswählen.

• Verwenden Sie den Befehl gcloud compute snapshots create, um einen Snapshot am vordefinierten oder benutzerdefinierten Standardspeicherort zu erstellen, der in Ihren Snapshot-Einstellungen konfiguriert ist.

  gcloud compute snapshots create SNAPSHOT_NAME \
      --source-disk-zone=SOURCE_ZONE \
      --source-disk=SOURCE_DISK_NAME \
      --snapshot-type=SNAPSHOT_TYPE
  

• Alternativ können Sie die Snapshot-Einstellungen überschreiben und einen Snapshot an einem benutzerdefinierten Speicherort erstellen. Geben Sie dazu das Flag --storage-location an, um festzulegen, wo der Snapshot gespeichert werden soll:

  gcloud compute snapshots create SNAPSHOT_NAME \
      --source-disk-zone=SOURCE_ZONE \
      --source-disk=SOURCE_DISK_NAME \
      --snapshot-type=SNAPSHOT_TYPE \
      --storage-location=STORAGE_LOCATION
  

• Preview: Wenn Sie einen Snapshot mit regionalem Umfang in einer zulässigen Region erstellen möchten, geben Sie das Flag --region an, um festzulegen, wo der Snapshot erstellt werden soll.

    gcloud beta compute snapshots create SNAPSHOT_NAME \
        --region=SNAPSHOT_SCOPE_REGION
        --source-disk=SOURCE_DISK_NAME \
        --source-disk-zone=SOURCE_ZONE \
        --snapshot-type=SNAPSHOT_TYPE \
        --kms-key=projects/KMS_PROJECT_ID/locations/KEY_REGION/keyRings/KEY_RING/cryptoKeys/SNAPSHOT_KEY
  

Ersetzen Sie Folgendes:

• SNAPSHOT_NAME: Ein Name für den Snapshot.
• SOURCE_ZONE: Die Zone des Quelllaufwerks.
• SOURCE_DISK_NAME: der Name des Laufwerks, von dem Sie einen Snapshot erstellen möchten
• KMS_PROJECT_ID: das Projekt, das den im Cloud Key Management Service gespeicherten Verschlüsselungsschlüssel enthält
• KEY_REGION: die Region, in der sich der Cloud KMS-Schlüssel befindet
• KEY_RING: der Name des Schlüsselbunds, der den Cloud KMS-Schlüssel enthält
• SNAPSHOT_KEY: der Name des Cloud KMS-Schlüssels, den Sie zum Verschlüsseln des Quelllaufwerks verwendet haben
• SNAPSHOT_TYPE: der Snapshot-Typ, entweder STANDARD oder ARCHIVE Wenn kein Snapshot-Typ angegeben ist, wird ein STANDARD-Snapshot erstellt.

• STORAGE_LOCATION: Optional: Für global ausgerichtete Snapshots ist dies der multiregionale Cloud Storage-Speicherort oder die Cloud Storage-Region, in der Sie den Snapshot speichern möchten. Sie können nur einen Speicherort angeben.

  Verwenden Sie den Parameter --storage-location nur, wenn Sie den vordefinierten oder benutzerdefinierten Standardspeicherort überschreiben möchten, der in Ihren Snapshot-Einstellungen konfiguriert ist.

• SNAPSHOT_SCOPE_REGION: Optional: Bei regionalen Snapshots die Region, auf die der Snapshot beschränkt ist. Wenn Sie diesen Parameter angeben, können Sie den Parameter --storage-location nicht verwenden. STORAGE_LOCATION wird automatisch auf SNAPSHOT_SCOPE_REGION festgelegt.

REST

Sie können den Snapshot in der Richtlinie für den Speicherort erstellen, die in Ihren Snapshot-Einstellungen festgelegt ist, oder indem Sie einen alternativen Speicherort Ihrer Wahl verwenden. Weitere Informationen finden Sie unter Snapshot-Speicherort für Snapshots auswählen.

• Zum Erstellen eines Snapshots am vordefinierten oder benutzerdefinierten Standardspeicherort, der in Ihren Snapshot-Einstellungen konfiguriert ist, senden Sie eine POST-Anfrage an die Methode snapshots.insert:

  POST https://compute.s3nsapis.fr/compute/v1/projects/DESTINATION_PROJECT_ID/global/snapshots
  {
      "name": "SNAPSHOT_NAME",
      "sourceDisk": "projects/SOURCE_PROJECT_ID/zones/SOURCE_ZONE/disks/SOURCE_DISK_NAME",
      "snapshotEncryptionKey":  {
       "kmsKeyName": "projects/KMS_PROJECT_ID/locations/KEY_REGION/keyRings/KEY_RING/cryptoKeys/SNAPSHOT_KEY"
      },
      "snapshotType": "SNAPSHOT_TYPE"
  }
  

• Wenn Sie alternativ die Snapshot-Einstellungen überschreiben und einen Snapshot an einem benutzerdefinierten Speicherort erstellen möchten, senden Sie eine POST-Anfrage an die snapshots.insertMethode und fügen Sie das Attribut storageLocations in Ihre Anfrage ein:

  POST https://compute.s3nsapis.fr/compute/v1/projects/DESTINATION_PROJECT_ID/global/snapshots
  {
      "name": "SNAPSHOT_NAME",
      "sourceDisk": "projects/SOURCE_PROJECT_ID/zones/SOURCE_ZONE/disks/SOURCE_DISK_NAME",
      "snapshotEncryptionKey":  {
       "kmsKeyName": "projects/KMS_PROJECT_ID/locations/KEY_REGION/keyRings/KEY_RING/cryptoKeys/SNAPSHOT_KEY"
      },
      "snapshotType": "SNAPSHOT_TYPE",
      "storageLocations": [
          "STORAGE_LOCATION"
      ],
  }
  

• Vorabversion: Wenn Sie einen regionalen Snapshot in einer zulässigen Region erstellen möchten, senden Sie eine POST-Anfrage an die Methode snapshots.insert und definieren Sie die Erstellungsregion:

  POST https://compute.s3nsapis.fr/compute/beta/projects/DESTINATION_PROJECT_ID/regions/SNAPSHOT_SCOPE_REGION/snapshots
  {
    "name": "SNAPSHOT_NAME",
    "sourceDisk": "projects/SOURCE_PROJECT_ID/regions/SOURCE_REGION/disks/SOURCE_DISK_NAME",
    "snapshotType": "SNAPSHOT_TYPE",
    "snapshotEncryptionKey": {
      "kmsKeyName":"projects/KMS_PROJECT_ID/locations/KEY_REGION/keyRings/KEY_RING/cryptoKeys/SNAPSHOT_KEY",
    },
  }
  

Ersetzen Sie Folgendes:

• DESTINATION_PROJECT_ID: Die ID des Projekts, in dem Sie den Snapshot erstellen möchten.
• SNAPSHOT_NAME: Ein Name für den Snapshot.
• SOURCE_PROJECT_ID: Die ID des Projekts des Quelllaufwerks.
• SOURCE_ZONE: Die Zone des Quelllaufwerks.
• SOURCE_DISK_NAME: der Name des Laufwerks, von dem Sie einen Snapshot erstellen möchten
• KMS_PROJECT_ID: das Projekt, das den im Cloud Key Management Service gespeicherten Verschlüsselungsschlüssel enthält
• KEY_REGION: die Region, in der sich der Cloud KMS-Schlüssel befindet
• KEY_RING: der Name des Schlüsselbunds, der den Cloud KMS-Schlüssel enthält
• SNAPSHOT_KEY: der Name des Cloud KMS-Schlüssels, den Sie zum Verschlüsseln des Quelllaufwerks verwendet haben
• SNAPSHOT_TYPE: der Snapshot-Typ, entweder STANDARD oder ARCHIVE Wenn kein Snapshot-Typ angegeben ist, wird ein STANDARD-Snapshot erstellt.

• STORAGE_LOCATION: Optional: Für global ausgerichtete Snapshots ist dies der multiregionale Cloud Storage-Speicherort oder die Cloud Storage-Region, in der Sie den Snapshot speichern möchten. Sie können nur einen Speicherort angeben.

  Verwenden Sie den Parameter storageLocations nur, wenn Sie den vordefinierten oder benutzerdefinierten Standardspeicherort überschreiben möchten, der in Ihren Snapshot-Einstellungen konfiguriert ist.

• SNAPSHOT_SCOPE_REGION: Optional: Bei regionalen Snapshots die Region, auf die der Snapshot beschränkt ist. Wenn Sie diesen Parameter angeben, können Sie den Parameter storageLocations nicht verwenden. STORAGE_LOCATION wird automatisch auf SNAPSHOT_SCOPE_REGION festgelegt.

Console

1. Rufen Sie in der Cloud de Confiance Console die Seite Images auf.

   Zur Seite „Images“

2. Klicken Sie auf Image erstellen.
3. Wählen Sie unter Quelllaufwerk das Laufwerk aus, von dem Sie ein Image erstellen möchten.
4. Wählen Sie unter Verschlüsselung die Option Vom Kunden verwalteter Schlüssel aus.
5. Wählen Sie im Drop-down-Menü den Cloud KMS-Schlüssel aus, mit dem Sie das Image verschlüsseln möchten.
6. Fahren Sie dann mit der Erstellung des Images fort.

gcloud

Mit dem Befehl gcloud compute images create können Sie ein Image importieren und verschlüsseln. Geben Sie für die kundenverwaltete Verschlüsselung den Cloud KMS-Schlüssel für das Image an.

gcloud compute images create IMAGE_NAME \
    --source-disk=SOURCE_DISK  \
    --kms-key projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY

Ersetzen Sie Folgendes:

• IMAGE_NAME: der Name des Images, das Sie erstellen
• SOURCE_DISK: der Name des Laufwerks, von dem ein Snapshot erstellt werden soll
• KMS_PROJECT_ID: das Projekt, das den Cloud KMS-Schlüssel enthält
• REGION: die Region, in der sich der Cloud KMS-Schlüssel befindet
• KEY_RING: der Schlüsselbund, der den Cloud KMS-Schlüssel enthält
• KEY: der Name des Schlüssels, mit dem das neue Laufwerk verschlüsselt wird

REST

Erstellen Sie eine POST-Anfrage an die Methode images.insert, um ein importiertes Image zu verschlüsseln. Geben Sie den URI für die komprimierte Datei an, fügen Sie der Anfrage zum Erstellen des Images das Attribut imageEncryptionKey hinzu und geben Sie im Attribut kmsKeyName den Schlüssel zum Verschlüsseln des Images an.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/images

{
 "rawDisk": {
  "source": "http://storage.googleapis.com/example-image/example-image.tar.gz"
  },
 "name": "IMAGE_NAME",
 "sourceType": "RAW",
 "imageEncryptionKey": {
   "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
   }
}

Ersetzen Sie Folgendes:

• PROJECT_ID: das Projekt, in dem das verschlüsselte Image erstellt werden soll
• IMAGE_NAME: der Name des Images, das Sie erstellen
• KMS_PROJECT_ID: das Projekt, das den Cloud KMS-Schlüssel enthält
• REGION: die Region, in der sich der Cloud KMS-Schlüssel befindet
• KEY_RING: der Schlüsselbund, der den Cloud KMS-Schlüssel enthält
• KEY: der Name des Schlüssels, mit dem Sie das Quelllaufwerk verschlüsselt haben

Console

1. Rufen Sie in der Cloud de Confiance Console die Seite Laufwerke auf.

   Zur Seite „Laufwerke“

2. Klicken Sie auf Laufwerk erstellen und geben Sie die Attribute für das neue Laufwerk ein.
3. Wählen Sie unter Quelltyp den Snapshot oder das Image aus, das Sie verwenden möchten.

4. Optional: Wenn Sie einen neuen Verschlüsselungsschlüssel angeben möchten, geben Sie unter Verschlüsselung den entsprechenden Verschlüsselungsschlüssel an und geben Sie dann die Informationen zum Verschlüsselungsschlüssel an.

   Wenn Sie den vom Kunden verwalteten oder vom Kunden bereitgestellten Verschlüsselungsschlüssel entfernen möchten, verwenden Sie für Verschlüsselung den Standardwert Google Cloud-powered encryption key.

5. Fahren Sie mit der Erstellung des Laufwerks fort.

gcloud

• Verwenden Sie den Befehl gcloud compute disks create, um ein neues Laufwerk aus einem global verschlüsselten Snapshot zu erstellen.

  gcloud compute disks create DISK_NAME \
    --zone=ZONE \
    --source-snapshot=SNAPSHOT_NAME \
    --kms-key=projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY
  

• Vorabversion: Wenn Sie ein neues Laufwerk aus einem regional verschlüsselten Snapshot erstellen möchten, verwenden Sie den gcloud compute disks create-Befehl und geben Sie die Region des Quell-Snapshots an.

  gcloud compute disks create DISK_NAME \
    --zone=ZONE \
    --source-snapshot=SNAPSHOT_NAME \
    --source-snapshot-region=SOURCE_REGION \
    --kms-key=projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY
  

Ersetzen Sie Folgendes:

• DISK_NAME: Name des neuen Laufwerks

• SNAPSHOT_NAME: der Name des verschlüsselten Snapshots

  Wenn Sie statt eines Snapshots ein Image verwenden möchten, ersetzen Sie --source-snapshot SNAPSHOT_NAME durch --image IMAGE_NAME.

• KMS_PROJECT_ID: Optional: das Projekt, das den Cloud KMS-Schlüssel enthält

• REGION: Optional: Region, in der sich der Cloud KMS-Schlüssel befindet

• SOURCE_REGION: Die Region, auf die der Quell-Snapshot beschränkt ist

• ZONE: Die Zone, in der sich das neue Laufwerk befindet

• KEY_RING: Optional: der Schlüsselbund, der den Cloud KMS-Schlüssel enthält

• KEY: Optional: der Name des Cloud KMS-Schlüssels, der zum Verschlüsseln des neuen Laufwerks verwendet werden soll

  Zum Verschlüsseln des neuen Laufwerks haben Sie folgende Möglichkeiten:

  • Verwenden Sie zum Angeben eines neuen vom Kunden verwalteten Verschlüsselungsschlüssels das Flag --kms-key.
  • Wenn Sie die Standardeinstellung Google Cloud-powered encryption keyverwenden möchten, geben Sie nicht das Flag --kms-key an.

REST

• Erstellen Sie eine POST-Anfrage an die Methode compute.disks.insert, um ein neues Laufwerk aus einem global verschlüsselten Snapshot zu erstellen. Verwenden Sie das Attribut sourceSnapshot, um den Snapshot anzugeben.

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/disks
  
  {
    "name": "DISK_NAME",
    "sourceSnapshot": "projects/SNAPSHOT_PROJECT_ID/global/snapshots/SNAPSHOT_NAME",
    "diskEncryptionKey": {
      "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
    }
  }
  

• Vorschau: Wenn Sie ein neues Laufwerk aus einem regional verschlüsselten Snapshot erstellen möchten, senden Sie eine POST-Anfrage an die Methode compute.disks.insert. Verwenden Sie das Attribut sourceSnapshot, um den Snapshot anzugeben.

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/disks
  
  {
    "name": "DISK_NAME",
    "sourceSnapshot": "projects/SNAPSHOT_PROJECT_ID/regions/SOURCE_REGION/snapshots/SNAPSHOT_NAME",
    "type": "projects/PROJECT_ID/zones/ZONE/diskTypes/DISK_TYPE",
    "zone": "projects/PROJECT_ID/zones/ZONE"
    "diskEncryptionKey": {
      "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
    }
  }
  

Ersetzen Sie Folgendes:

• PROJECT_ID: Das Projekt, in dem das neue Laufwerk erstellt werden soll
• ZONE: Die Zone, in der das neue Laufwerk erstellt werden soll
• SOURCE_REGION: Die Region, auf die der Quell-Snapshot beschränkt ist
• DISK_NAME: Der Name des neuen Laufwerks.
• DISK_TYPE: Die vollständige oder partielle URL für den Typ des Laufwerks, z. B. PROJECT_ID/zones/ZONE/diskTypes/pd-ssd.
• SNAPSHOT_PROJECT_ID: Das Projekt, das den Snapshot enthält

• SNAPSHOT_NAME: Der Name des verschlüsselten Snapshots

  Wenn Sie statt eines Snapshots ein Image verwenden möchten, ersetzen Sie sourceSnapshot durch sourceImage.

• KMS_PROJECT_ID: Optional: das Projekt, das den Cloud KMS-Schlüssel enthält

• REGION: Optional: Region, in der sich der Cloud KMS-Schlüssel befindet

• KEY_RING: Optional: der Schlüsselbund, der den Cloud KMS-Schlüssel enthält

• KEY: Optional: der Name des Cloud KMS-Schlüssels, der zum Verschlüsseln des neuen Laufwerks verwendet werden soll

  Wenn Sie diskEncryptionKey angeben, wird das Laufwerk mit dem angegebenen Cloud KMS-Schlüssel verschlüsselt. Wenn Sie diskEncryptionKey nicht angeben, wird das Laufwerk mit einem Google Cloud-powered encryption keyverschlüsselt.

Console

1. Rufen Sie in der Cloud de Confiance Console die Seite Instanz erstellen auf.

   Zur Seite „Instanz erstellen“

2. Geben Sie die VM-Details an und klicken Sie im Abschnitt Bootlaufwerk auf Ändern. Gehen Sie anschließend so vor:

   1. Klicken Sie auf Vorhandene Laufwerke.
   2. Wählen Sie in der Liste Laufwerk ein vorhandenes Laufwerk aus, um es an die VM anzuhängen.
   3. Klicken Sie auf Auswählen.

3. Fahren Sie mit dem VM-Erstellungsprozess fort.

gcloud

Verwenden Sie den Befehl gcloud compute instances create, um beim Erstellen einer neuen VM ein verschlüsseltes Laufwerk anzuhängen. Verwenden Sie das Flag --disk, um das verschlüsselte Bootlaufwerk anzugeben, wie im folgenden Beispiel gezeigt:

gcloud compute instances create VM_NAME \
  ...
  --disk name=DISK_NAME,boot=yes

Ersetzen Sie Folgendes:

• VM_NAME: der Name des Snapshots, den Sie erstellen
• DISK_NAME: der Name des verschlüsselten Laufwerks

REST

Senden Sie eine POST-Anfrage an die Methode compute.instances.insert. Verwenden Sie das Attribut disks, um das verschlüsselte Bootlaufwerk anzugeben, wie im folgenden Beispiel gezeigt:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances
{
  ...
  "disks": [
    {
      "deviceName": "DISK_ALIAS",
      "source": "projects/PROJECT_ID/zones/ZONE/disks/DISK_NAME"
    }
  ]
}

Ersetzen Sie Folgendes:

• PROJECT_ID: die Zone, in der die neue VM erstellt werden soll
• ZONE ist die Zone, in der die neue VM erstellt werden soll.
• DISK_ALIAS: ein eindeutiger Gerätename, der als Laufwerkalias im Verzeichnis /dev/disk/by-id/google-* der VM verwendet werden soll, auf der ein Linux-Betriebssystem ausgeführt wird. Mit diesem Namen kann das Laufwerk z. B. aus der Instanz heraus bereitgestellt oder in der Größe angepasst werden. Wenn Sie keinen Gerätenamen angeben, wählt die VM einen Standardgerätenamen aus, der auf dieses Laufwerk angewendet werden soll. Er hat das Format persistent-disk-x, wobei x eine Nummer ist, die von der Compute Engine zugewiesen werden kann. Dieses Feld gilt nur für Persistent Disk-Volumes.
• DISK_NAME: der Name des verschlüsselten Laufwerks

gcloud

Wenn Sie den Cloud KMS-Schlüssel, der zum Verschlüsseln eines Laufwerks, eines Archivsnapshots oder eines Standardsnapshots verwendet wird, auf eine neue Schlüsselversion rotieren möchten, verwenden Sie den gcloud compute disks update-kms-key-Befehl oder den gcloud compute snapshots update-kms-key-Befehl.

• So rotieren Sie die Schlüsselversion, mit der ein Laufwerk verschlüsselt wird:

  gcloud compute disks update-kms-key DISK_NAME \
  --zone ZONE
  

• So rotieren Sie die Schlüsselversion, mit der ein Standardsnapshot verschlüsselt wird:

  gcloud compute snapshots update-kms-key SNAPSHOT_NAME
  

Ersetzen Sie Folgendes:

• DISK_NAME: der Name des verschlüsselten Laufwerks
• ZONE: die Zone, in der sich das verschlüsselte Laufwerk befindet
• SNAPSHOT_NAME: der Name des verschlüsselten Snapshots

REST

Wenn Sie den Cloud KMS-Schlüssel rotieren möchten, der zum Verschlüsseln eines Laufwerks, archivierten Snapshots oder Standardsnapshots in eine neue Schlüsselversion verwendet wird, erstellen Sie eine PATCH-Anfrage an die Methode compute.disks.updateKmsKey oder die Methode compute.snapshots.updateKmsKey.

• So rotieren Sie die Schlüsselversion, mit der ein zonales Laufwerk verschlüsselt wird:

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/disks/DISK_NAME/updateKmsKey
  

• So rotieren Sie die Schlüsselversion, mit der ein regionales Laufwerk verschlüsselt wird:

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/disks/DISK_NAME/updateKmsKey
  

• So rotieren Sie die Schlüsselversion, mit der ein Standard-Snapshot mit globalem Bereich verschlüsselt wird:

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/snapshots/SNAPSHOT_NAME/updateKmsKey
  

• Vorschau: So rotieren Sie die Schlüsselversion, mit der ein regionaler Standard-Snapshot verschlüsselt wird:

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/snapshots/SNAPSHOT_NAME/updateKmsKey
  

Ersetzen Sie Folgendes:

• PROJECT_ID: das Projekt, in dem sich das verschlüsselte Laufwerk oder der Snapshot befindet
• ZONE: die Zone, in der sich das verschlüsselte Laufwerk befindet
• REGION: die Region, in der sich das regionale Laufwerk oder der regional begrenzte Snapshot befindet
• DISK_NAME: der Name des verschlüsselten Laufwerks
• SNAPSHOT_NAME: der Name des verschlüsselten Snapshots
• REGION: die Region, in der sich das regionale Laufwerk oder der regional begrenzte Snapshot befindet

Die Antwort enthält ein name-Element mit einem Vorgangswert, der die Schlüsselrotation darstellt:

  "name": "operation-YYYYYYYYYYYYY-YYYYYYYYYYYYY-YYYYYYYY-YYYYYYYY"
  

Anschließend können Sie den Status des Vorgangs abfragen, um festzustellen, ob Ihr API-Aufruf erfolgreich war. Senden Sie dazu eine GET-Anfrage:

  GET https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/operations/OPERATION_NAME
  

Ersetzen Sie Folgendes:

• PROJECT_ID: das Projekt, in dem sich das verschlüsselte Laufwerk oder der Snapshot befindet
• ZONE: die Zone, in der sich das verschlüsselte Laufwerk befindet
• OPERATION_NAME: Der Name des CMEK-Rotationsvorgangs im Format operation-YYYYYYYYYYYYY-YYYYYYYYYYYYY-YYYYYYYY-YYYYYYYY.

Die Antwort enthält einen progress-Wert, der den Status der Schlüsselrotation darstellt. Wenn progress den Wert 100 hat, war der Vorgang erfolgreich.

gcloud

Wenn Sie den Cloud KMS-Schlüssel für ein Laufwerk oder einen Standardsnapshot ändern möchten, verwenden Sie das Flag --kms-key mit dem gcloud compute disks update-kms-key-Befehl oder dem gcloud compute snapshots update-kms-key-Befehl.

• So ändern Sie den Schlüssel für ein zonales Laufwerk:

  gcloud compute disks update-kms-key DISK_NAME \
  --kms-key=projects/KEY_PROJECT_ID/locations/global/keyRings/KEY_RING/cryptoKeys/NEW_KEY_NAME \
  --zone=ZONE
  

• So ändern Sie den Schlüssel für ein regionales Laufwerk:

  gcloud compute disks update-kms-key DISK_NAME \
  --kms-key=projects/KEY_PROJECT_ID/locations/global/keyRings/KEY_RING/cryptoKeys/NEW_KEY_NAME \
  --region=REGION
  

• So ändern Sie den Schlüssel für einen globalen Snapshot:

  gcloud compute snapshots update-kms-key SNAPSHOT_NAME \
  --kms-key=projects/KEY_PROJECT_ID/locations/global/keyRings/KEY_RING/cryptoKeys/NEW_KEY_NAME
  

• So ändern Sie den Schlüssel für einen regionalen Snapshot:

  gcloud beta compute snapshots update-kms-key SNAPSHOT_NAME \
  --kms-key=projects/KEY_PROJECT_ID/locations/global/keyRings/KEY_RING/cryptoKeys/NEW_KEY_NAME \
  --regions=REGION
  

Ersetzen Sie Folgendes:

• DISK_NAME: der Name des verschlüsselten Laufwerks.
• NEW_KMS_KEY: Die vollständige Ressourcen-ID des neuen CMEK.
• ZONE ist die Zone, in der sich das Laufwerk befindet.
• REGION: die Region, in der sich das Laufwerk oder der Snapshot befindet.
• SNAPSHOT_NAME: der Name des verschlüsselten Snapshots.

REST

Wenn Sie den Schlüssel ändern möchten, senden Sie eine POST-Anfrage an die Methode compute.disks.updateKmsKey oder die Methode compute.snapshots.updateKmsKey und fügen Sie kmsKeyName in den Anfragetext ein.

• So ändern Sie den Schlüssel für ein zonales Laufwerk:

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/disks/DISK_NAME/updateKmsKey
  
  {
  "kmsKeyName": "projects/KEY_PROJECT_ID/locations/global/keyRings/KEY_RING/cryptoKeys/NEW_KEY_NAME"
  }
  

• So ändern Sie den Schlüssel für ein regionales Laufwerk:

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/disks/DISK_NAME/updateKmsKey
  
  {
  "kmsKeyName": "projects/KEY_PROJECT_ID/locations/global/keyRings/KEY_RING/cryptoKeys/NEW_KEY_NAME"
  }
  

• So ändern Sie den Schlüssel für einen globalen Snapshot:

  POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/snapshots/SNAPSHOT_NAME/updateKmsKey
  
  {
  "kmsKeyName": "projects/KEY_PROJECT_ID/locations/global/keyRings/KEY_RING/cryptoKeys/NEW_KEY_NAME"
  }
  

• So ändern Sie den Schlüssel für einen regionalen Snapshot:

  POST https://compute.googleapis.com/compute/beta/projects/PROJECT_ID/regions/REGION/snapshots/SNAPSHOT_NAME/updateKmsKey
  
  {
  "kmsKeyName": "projects/KEY_PROJECT_ID/locations/global/keyRings/KEY_RING/cryptoKeys/NEW_KEY_NAME"
  }
  

Ersetzen Sie Folgendes:

• PROJECT_ID: das Projekt, das das Laufwerk oder den Snapshot enthält.
• ZONE ist die Zone, in der sich das Laufwerk befindet.
• REGION: die Region, in der sich das Laufwerk oder der Snapshot befindet.
• DISK_NAME: der Name des Laufwerks
• NEW_KEY_NAME: Der Name des neuen CMEK.
• SNAPSHOT_NAME: der Name des verschlüsselten Snapshots.

Console

So konfigurieren Sie eine VM zum Herunterfahren, wenn ein Cloud KMS-Schlüssel widerrufen wird:

1. Beginnen Sie mit dem Erstellen einer VM, die ein Laufwerk enthält, das durch einen Cloud KMS-Schlüssel geschützt ist.
2. Öffnen Sie das Menü Netzwerk, Laufwerke, Sicherheit, Verwaltung, einzelne Mandanten.
3. Maximieren Sie den Bereich Verwaltung.
4. Wählen Sie unter Widerrufsrichtlinie für vom Kunden verwalteten Verschlüsselungsschlüssel (CMEK) die Option Herunterfahren aus.

gcloud

Verwenden Sie den Befehl gcloud compute instances create, um eine VM zu erstellen, und fügen Sie --key-revocation-action-type=stop ein.

gcloud compute instances create VM_NAME \
  --image IMAGE \
  --key-revocation-action-type=stop

REST

Verwenden Sie die Methode instances.insert, um eine VM zu erstellen, und setzen Sie das Attribut "keyRevocationActionType" auf "STOP". Im folgenden Beispiel wird die VM aus einem öffentlichen Image erstellt.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
  "machineType": "zones/MACHINE_TYPE_ZONE/machineTypes/MACHINE_TYPE",
  "name": "VM_NAME",
  "disks": [
    {
      "initializeParams": {
        "sourceImage": "projects/IMAGE_PROJECT/global/images/IMAGE"
      },
      "boot": true
    }
  ],
  "keyRevocationActionType": "STOP"
}

Console

Mit einer Instanzvorlage können Sie VMs erstellen, die heruntergefahren werden, wenn ein Cloud KMS-Schlüssel widerrufen wird.

1. Erstellen Sie eine neue Instanzvorlage, die ein Laufwerk enthält, das durch einen Cloud KMS-Schlüssel geschützt ist.
2. Öffnen Sie das Menü Netzwerk, Laufwerke, Sicherheit, Verwaltung, einzelne Mandanten.
3. Maximieren Sie den Bereich Verwaltung.
4. Wählen Sie unter Widerrufsrichtlinie für vom Kunden verwalteten Verschlüsselungsschlüssel (CMEK) die Option Herunterfahren aus.

gcloud

Erstellen Sie mit dem Befehl gcloud compute instance-templates create eine Instanzvorlage und fügen Sie dabei --key-revocation-action-type=stop ein.

gcloud compute instance-templates create INSTANCE_TEMPLATE_NAME \
  --key-revocation-action-type=stop

REST

Senden Sie eine POST-Anfrage an die Methode instanceTemplates.insert. Im Anfragetext müssen Sie alle erforderlichen Konfigurationsfelder explizit definieren. Wenn Sie möchten, dass VMs, die aus dieser Vorlage erstellt werden, bei Widerrufen des Schlüssels heruntergefahren werden, geben Sie "keyRevocationActionType":"STOP" an. Eine Instanzvorlage mit den minimal erforderlichen Feldangaben zum Erstellen von VMs, die beim Widerrufen des Schlüssels heruntergefahren werden, sieht beispielsweise so aus:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instanceTemplates

{
  "name": "example-template",
  "properties": {
  "machineType": "e2-standard-4",
  "networkInterfaces": [
    {
      "network": "global/networks/default",
      "accessConfigs": [
        {
          "name": "external-IP",
          "type": "ONE_TO_ONE_NAT"
        }
      ]
    }
  ],
  "disks":
  [
    {
      "type": "PERSISTENT",
      "boot": true,
      "mode": "READ_WRITE",
      "initializeParams":
      {
        "sourceImage": "projects/debian-cloud/global/images/family/debian-11"
      }
    }
  ],
  "keyRevocationActionType": "STOP"
  }
}