Cloud External Key Manager

Diese Seite bietet einen Überblick über Cloud External Key Manager (Cloud EKM).

Terminologie

• Externer Schlüsselmanager (EKM)

  Der Schlüsselmanager, der außerhalb von Trusted Cloud zum Verwalten Ihrer Schlüssel verwendet wird.

• Cloud External Key Manager (Cloud EKM)

  Ein Trusted Cloud -Dienst zur Verwendung Ihrer externen Schlüssel, die in einem unterstützten EKM verwaltet werden.

• Cloud EKM über eine VPC

  Eine Version von Cloud EKM, in der Trusted Cloud über eine Virtual Private Cloud (VPC) mit Ihrem External Key Manager kommuniziert. Weitere Informationen finden Sie unter VPC-Netzwerke.

• EKM-Schlüsselverwaltung über Cloud KMS

  Ihre Schlüssel verwenden den EKM-Verwaltungsmodus Cloud KMS, um die Verwaltung externer Schlüssel bei Ihrem externen Partner für die Schlüsselverwaltung und in Cloud EKM zu vereinfachen. Weitere Informationen finden Sie auf dieser Seite unter Abgestimmte externe Schlüssel und EKM-Schlüsselverwaltung über Cloud KMS.

• Crypto Space

  Ein Container für Ihre Ressourcen bei Ihrem Partner für die externe Schlüsselverwaltung. Ihr Crypto Space wird durch einen eindeutigen Crypto Space-Pfad identifiziert. Das Format des Crypto Space-Pfads variiert je nach Partner für die externe Schlüsselverwaltung, z. B. v0/cryptospaces/YOUR_UNIQUE_PATH.

• Von Partnern verwaltetes EKM

  Eine Vereinbarung, bei der Ihr EKM von einem vertrauenswürdigen Partner für Sie verwaltet wird. Weitere Informationen finden Sie auf dieser Seite unter Von Partnern verwaltete EKM.

Übersicht

Mit Cloud EKM können Sie Schlüssel verwenden, die Sie über einen unterstützten Partner für die externe Schlüsselverwaltung verwalten, um Daten inTrusted Cloudzu schützen. Sie können inaktive Daten in unterstützten CMEK-Integrationsdiensten schützen oder die Cloud Key Management Service API direkt aufrufen.

Cloud EKM bietet mehrere Vorteile:

• Schlüsselherkunft:Sie bestimmen die Position und Verteilung Ihrer extern verwalteten Schlüssel. Extern verwaltete Schlüssel werden nie im Cache von Trusted Cloudoder direkt dort gespeichert. Stattdessen kommuniziert Cloud EKM bei jeder Anfrage direkt mit dem Partner für die externe Schlüsselverwaltung.

• Zugriffssteuerung:Sie verwalten den Zugriff auf Ihre extern verwalteten Schlüssel in Ihrem externen Schlüsselmanager. Sie können einen extern verwalteten Schlüssel inTrusted Cloud erst verwenden, wenn Sie dem Trusted Cloud -Projekt Zugriff auf den Schlüssel in Ihrem externen Schlüsselverwaltungssystem gewähren. Sie können die erteilten Zugriffsrechte jederzeit entziehen.

• Zentrale Schlüsselverwaltung:Sie können Ihre Schlüssel und Zugriffsrichtlinien zentral und über eine Benutzeroberfläche verwalten, unabhängig davon, ob die geschützten Daten in der Cloud oder bei Ihnen lokal gespeichert sind.

In allen Fällen befindet sich der Schlüssel im externen System und wird niemals an Google gesendet.

Sie kommunizieren mit Ihrem External Key Manager über eine Virtual Private Cloud (VPC).

Funktionsweise von Cloud EKM

Cloud EKM-Schlüsselversionen bestehen aus folgenden Teilen:

• Externes Schlüsselmaterial: Das externe Schlüsselmaterial eines Cloud EKM-Schlüssels ist kryptografisches Material, das in Ihrem EKM erstellt und gespeichert wird. Dieses Material verlässt Ihr EKM nicht und wird niemals mit Google geteilt.
• Schlüsselreferenz: Jede Cloud EKM-Schlüsselversion enthält entweder einen Schlüssel-URI oder einen Schlüsselpfad. Dies ist ein eindeutiger Bezeichner für das externe Schlüsselmaterial, das Cloud EKM verwendet, wenn kryptografische Vorgänge mit dem Schlüssel angefordert werden.
• Internes Schlüsselmaterial: Wenn ein symmetrischer Cloud EKM-Schlüssel erstellt wird, erstellt Cloud KMS zusätzliches Schlüsselmaterial in Cloud KMS, das Cloud KMS nie verlässt. Dieses Schlüsselmaterial wird als zusätzliche Verschlüsselungsebene für die Kommunikation mit Ihrem EKM verwendet. Dieses interne Schlüsselmaterial gilt nicht für asymmetrische Signaturschlüssel.

Damit Ihre Cloud EKM-Schlüssel verwendet werden können, sendet Cloud EKM Anfragen für kryptografische Vorgänge an Ihr EKM. Wenn Sie beispielsweise Daten mit einem symmetrischen Verschlüsselungsschlüssel verschlüsseln möchten, verschlüsselt Cloud EKM die Daten zuerst mit dem internen Schlüsselmaterial. Die verschlüsselten Daten sind in einer Anfrage an das EKM enthalten. EKM verschlüsselt die verschlüsselten Daten mit einer weiteren Verschlüsselungsebene unter Verwendung des externen Schlüsselmaterials und gibt dann den resultierenden Chiffretext zurück. Daten, die mit einem Cloud EKM-Schlüssel verschlüsselt wurden, können nur entschlüsselt werden, wenn sowohl das externe als auch das interne Schlüsselmaterial vorhanden ist.

Das Erstellen und Verwalten von Cloud EKM-Schlüsseln erfordert entsprechende Änderungen sowohl in Cloud KMS als auch im EKM. Ihre Schlüssel sind koordinierte externe Schlüssel. Die entsprechenden Änderungen werden daher über die Cloud EKM-Steuerungsebene für Sie vorgenommen. Weitere Informationen finden Sie auf dieser Seite unter Abgestimmte externe Schlüssel.

Das folgende Diagramm zeigt, wie Cloud KMS in das Schlüsselverwaltungsmodell passt. In diesem Diagramm werden Compute Engine und BigQuery als zwei Beispiele verwendet. Hier finden Sie die vollständige Liste der Dienste, die Cloud EKM-Schlüssel unterstützen.

Wenn Sie Cloud EKM verwenden, erfahren Sie mehr über Überlegungen und Einschränkungen.

Abgestimmte externe Schlüssel

Dieser Abschnitt bietet einen Überblick darüber, wie Cloud EKM mit koordinierten externen Schlüsseln funktioniert.

1. Sie richten eine EKM-Verbindung ein und legen den EKM-Verwaltungsmodus auf Cloud KMS fest. Bei der Einrichtung müssen Sie Ihrem EKM Zugriff auf Ihr VPC-Netzwerk und demTrusted Cloud -Projektdienstkonto Zugriff auf Ihren Kryptobereich in Ihrem EKM gewähren. Für Ihre EKM-Verbindung wird der Hostname Ihres EKM und ein crypto space path (Kryptobereichspfad) verwendet, der Ihre Ressourcen in Ihrem EKM identifiziert.

2. Sie erstellen einen externen Schlüssel in Cloud KMS. Wenn Sie einen Cloud EKM-Schlüssel über eine EKM-über-VPC-Verbindung mit aktiviertem EKM-Verwaltungsmodus Cloud KMS erstellen, werden die folgenden Schritte automatisch ausgeführt:

   1. Cloud EKM sendet eine Anfrage zur Schlüsselerstellung an Ihr EKM.
   2. Ihr EKM erstellt das angeforderte Schlüsselmaterial. Dieses externe Schlüsselmaterial verbleibt im EKM und wird niemals an Google gesendet.
   3. Ihr EKM gibt einen Schlüsselpfad an Cloud EKM zurück.
   4. Cloud EKM erstellt Ihre Cloud EKM-Schlüsselversion mit dem von Ihrem EKM bereitgestellten Schlüsselpfad.

3. Wartungsvorgänge für koordinierte externe Schlüssel können über Cloud KMS initiiert werden. Beispielsweise können koordinierte externe Schlüssel, die für die symmetrische Verschlüsselung verwendet werden, nach einem festgelegten Zeitplan automatisch rotiert werden. Die Erstellung neuer Schlüsselversionen wird in Ihrem EKM von Cloud EKM koordiniert. Sie können das Erstellen oder Löschen von Schlüsselversionen in Ihrem EKM auch über Cloud KMS auslösen. Dazu können Sie dieTrusted Cloud -Konsole, die gcloud CLI, die Cloud KMS API oder Cloud KMS-Clientbibliotheken verwenden.

In Trusted Cloudwird der Schlüssel neben Ihren anderen Cloud KMS- und Cloud HSM-Schlüsseln mit der SchutzstufeEXTERNAL_VPCangezeigt. Der Cloud EKM-Schlüssel und der Schlüssel des Partners für die externe Schlüsselverwaltung schützen gemeinsam Ihre Daten. Das externe Schlüsselmaterial wird Google niemals zugänglich gemacht.

EKM-Schlüsselverwaltung über Cloud KMS

Koordinierte externe Schlüssel werden durch EKM-Verbindungen ermöglicht, die die EKM-Schlüsselverwaltung von Cloud KMS verwenden. Wenn Ihr EKM die Cloud EKM-Steuerungsebene unterstützt, können Sie die EKM-Schlüsselverwaltung über Cloud KMS für Ihre EKM-Verbindungen aktivieren, um koordinierte externe Schlüssel zu erstellen. Wenn die EKM-Schlüsselverwaltung über Cloud KMS aktiviert ist, kann Cloud EKM die folgenden Änderungen in Ihrem EKM anfordern:

• Schlüssel erstellen: Wenn Sie einen extern verwalteten Schlüssel in Cloud KMS über eine kompatible EKM-Verbindung erstellen, sendet Cloud EKM Ihre Anfrage zum Erstellen des Schlüssels an Ihren EKM. Wenn der Vorgang erfolgreich ist, erstellt Ihr EKM den neuen Schlüssel und das neue Schlüsselmaterial und gibt den Schlüsselpfad zurück, den Cloud EKM für den Zugriff auf den Schlüssel verwenden kann.

• Schlüssel rotieren: Wenn Sie einen extern verwalteten Schlüssel in Cloud KMS über eine kompatible EKM-Verbindung rotieren, sendet Cloud EKM Ihre Rotationsanfrage an Ihr EKM. Wenn der Vorgang erfolgreich ist, erstellt Ihr EKM neues Schlüsselmaterial und gibt den Schlüsselpfad zurück, den Cloud EKM für den Zugriff auf die neue Schlüsselversion verwendet.

• Schlüssel löschen: Wenn Sie eine Schlüsselversion für einen extern verwalteten Schlüssel in Cloud KMS über eine kompatible EKM-Verbindung löschen, plant Cloud KMS das Löschen der Schlüsselversion in Cloud KMS. Wenn die Schlüsselversion nicht vor Ablauf des Zeitraums Zum Löschen vorgemerkt wiederhergestellt wird, löscht Cloud EKM seinen Teil des kryptografischen Materials des Schlüssels und sendet eine Löschanfrage an Ihr EKM.

  Daten, die mit dieser Schlüsselversion verschlüsselt wurden, können nicht mehr entschlüsselt werden, nachdem die Schlüsselversion in Cloud KMS gelöscht wurde, auch wenn das EKM die Schlüsselversion noch nicht gelöscht hat. Sie können prüfen, ob das EKM die Schlüsselversion erfolgreich gelöscht hat, indem Sie sich die Details des Schlüssels in Cloud KMS ansehen.

Wenn Schlüssel in Ihrem EKM über Cloud KMS verwaltet werden, befindet sich das Schlüsselmaterial weiterhin in Ihrem EKM. Google kann ohne ausdrückliche Genehmigung keine Schlüsselverwaltungsanfragen an Ihr EKM senden. Google kann Berechtigungen in Ihrem Partnersystem für die externe Schlüsselverwaltung nicht ändern. Wenn Sie die Berechtigungen von Google in Ihrem EKM widerrufen, schlagen Schlüsselverwaltungsvorgänge fehl, die in Cloud KMS ausgeführt werden.

Kompatibilität

Unterstützte Schlüsselmanager

Sie können externe Schlüssel in den folgenden Partnersystemen für die externen Schlüsselverwaltung speichern:

• Zur Zeit unterstützt:
  • Fortanix
  • Futurex
  • Thales

Dienste, die CMEK mit Cloud EKM unterstützen

Die folgenden Dienste unterstützen die Integration in Cloud KMS für externe (Cloud EKM-)Schlüssel:

• Agent Assist
• AlloyDB for PostgreSQL
• Apigee API-Hub
• Application Integration
• Artifact Registry
• Sicherung für GKE
• BigQuery
• Bigtable
• Cloud Composer
• Cloud Data Fusion
• Cloud Healthcare API
• Cloud Logging: Daten im Log-Router und Daten im Logging-Speicher
• Cloud Run
• Cloud Run Functions
• Cloud SQL
• Cloud Storage
• Cloud Tasks
• Cloud Workstations
• Compute Engine: Nichtflüchtige Speicher, Snapshots, Benutzerdefinierte Images, und Maschinen-Images
• Dialogorientierte Insights
• Database Migration Service: MySQL-Migrationen – In Datenbanken geschriebene Daten, PostgreSQL-Migrationen – In Datenbanken geschriebene Daten, PostgreSQL-zu-AlloyDB-Migrationen – In Datenbanken geschriebene Daten, SQL Server-Migrationen – In Datenbanken geschriebene Daten, und Oracle-zu-PostgreSQL-Daten im Ruhezustand
• Dataflow
• Dataform
• Dataplex Universal Catalog
• Dataproc: Dataproc-Clusterdaten auf VM-Laufwerken und Dataproc Serverless-Daten auf VM-Laufwerken
• Dataproc Metastore
• Dialogflow CX
• Document AI
• Eventarc Standard
• Filestore
• Firestore
• Google Cloud Managed Service for Apache Kafka
• Google Cloud NetApp Volumes
• Google Distributed Cloud
• Google Kubernetes Engine: Daten auf VM-Laufwerken und Secrets auf Anwendungsebene
• Integration Connectors
• Looker (Google Cloud Core)
• Memorystore for Redis
• Migrate to Virtual Machines: Von VMware-, AWS- und Azure-VM-Quellen migrierte Daten und Von Laufwerk- und Maschinenimage-Quellen migrierte Daten
• Parameter Manager
• Pub/Sub
• Secret Manager
• Secure Source Manager
• Spanner
• Speaker ID (Eingeschränkte allgemeine Verfügbarkeit)
• Speech-to-Text
• Vertex AI
• Vertex AI Workbench-Instanzen
• Workflows

Hinweise

• Wenn Sie einen Cloud EKM-Schlüssel verwenden, hat Google keine Kontrolle über die Verfügbarkeit Ihres extern verwalteten Schlüssels im Partnersystem für die externe Schlüsselverwaltung. Wenn Sie Schlüssel verlieren, die Sie außerhalb von Trusted Cloudverwalten, kann Google Ihre Daten nicht wiederherstellen.

• Lesen Sie die Richtlinien zu Partner für die externe Schlüsselverwaltung und Regionen für die Wahl der Speicherorte Ihrer Cloud EKM-Schlüssel.

• Wenn Sie mit einem externen Dienst über das Internet kommunizieren, kann das zu Problemen hinsichtlich Zuverlässigkeit, Verfügbarkeit und Latenz führen. Bei Anwendungen, die eine geringe Toleranz für diese Risiken haben, sollten Sie Cloud HSM oder Cloud KMS zum Speichern Ihres Schlüsselmaterials in Betracht ziehen.

  • Wenn kein externer Schlüssel verfügbar ist, gibt Cloud KMS den Fehler FAILED_PRECONDITION zurück und stellt Einzelheiten in den Fehlerdetails PreconditionFailure bereit.

    Audit-Logging von Daten aktivieren, um alle Fehler im Zusammenhang mit Cloud EKM zu erfassen. Fehlermeldungen enthalten detaillierte Informationen, anhand derer Sie die Ursache des Fehlers ermitteln können. Ein Beispiel für einen häufigen Fehler ist, wenn ein Partner für die externe Schlüsselverwaltung auf eine Anfrage nicht innerhalb eines angemessenen Zeitraums antwortet.

  • Sie benötigen einen Supportvertrag mit dem Partner für die externe Schlüsselverwaltung. DerTrusted Cloud -Support kann nur bei Problemen mitTrusted Cloud -Diensten helfen und bei Problemen mit externen Systemen nicht direkt behilflich sein. Manchmal müssen Sie mit dem Support beider Seiten zusammenarbeiten, um Interoperabilitätsprobleme zu beheben.

• Cloud EKM kann mit Bare Metal Rack HSM verwendet werden, um eine Einzelmandanten-HSM-Lösung zu erstellen, die in Cloud KMS eingebettet ist. Weitere Informationen finden Sie unter Anforderungen an Bare Metal Rack-HSMs.

• Aktivieren Sie das Audit-Logging in Ihrem externen Schlüsselverwaltungssystem, um den Zugriff auf Ihre EKM-Schlüssel und deren Verwendung zu erfassen.

Beschränkungen

• Wenn Sie einen Cloud EKM-Schlüssel mit der API oder der Google Cloud CLI erstellen, darf er keine anfängliche Schlüsselversion haben. Dies gilt nicht für Cloud EKM-Schlüssel, die mit derTrusted Cloud Console
• Für Cloud-EKM-Vorgänge gelten zusätzlich zu den Kontingenten für Cloud KMS-Vorgänge bestimmte Kontingente.

Symmetrische Verschlüsselungsschlüssel

• Symmetrische Verschlüsselungsschlüssel werden nur für die folgenden Elemente unterstützt:
  • Vom Kunden verwaltete Verschlüsselungsschlüssel (Customer Managed Encryption Keys, CMEK) in unterstützten Integrationsdiensten.
  • Symmetrische Ver- und Entschlüsselung direkt mit Cloud KMS.
• Daten, die von Cloud EKM mithilfe eines extern verwalteten Schlüssels verschlüsselt wurden, können ohne Cloud EKM nicht entschlüsselt werden.

Asymmetrische Signaturschlüssel

• Asymmetrische Signierschlüssel sind auf eine Teilmenge von Cloud KMS-Algorithmen beschränkt.
• Asymmetrische Signaturschlüssel werden nur für die folgenden Anwendungsfälle unterstützt:
  • Asymmetrische Signierung direkt mit Cloud KMS.
  • Benutzerdefinierter Signaturschlüssel mit Zugriffsgenehmigung.
• Sobald ein asymmetrischer Signaturalgorithmus für einen Cloud EKM-Schlüssel festgelegt wurde, kann er nicht mehr geändert werden.
• Die Unterschrift muss im Feld data erfolgen.

Von Partnern verwalteter EKM

Mit Partner-managed EKM können Sie Cloud EKM über einen vertrauenswürdigen souveränen Partner verwenden, der Ihr EKM-System für Sie verwaltet. Bei der EKM-Verwaltung durch Partner erstellt und verwaltet Ihr Partner die Schlüssel, die Sie in Cloud EKM verwenden. Der Partner sorgt dafür, dass Ihr EKM den Anforderungen an die Souveränität entspricht.

Wenn Sie mit Ihrem souveränen Partner zusammenarbeiten, stellt der Partner Ressourcen in der Trusted Cloud und Ihrem EKM bereit. Zu diesen Ressourcen gehören ein Cloud KMS-Projekt zur Verwaltung Ihrer Cloud EKM-Schlüssel und eine EKM-Verbindung, die für die EKM-Schlüsselverwaltung über Cloud KMS konfiguriert ist. Ihr Partner erstellt Ressourcen an Trusted Cloud -Standorten gemäß Ihren Anforderungen an den Datenstandort.

Jeder Cloud EKM-Schlüssel enthält Cloud KMS-Metadaten, mit denen Cloud EKM Anfragen an Ihr EKM senden kann, um kryptografische Vorgänge mit dem externen Schlüsselmaterial auszuführen, das Ihr EKM nie verlässt. Symmetrische Cloud EKM-Schlüssel enthalten auch internes Cloud KMS-Schlüsselmaterial, das Trusted Cloudniemals verlässt. Weitere Informationen zur internen und externen Seite von Cloud EKM-Schlüsseln finden Sie auf dieser Seite unter Funktionsweise von Cloud EKM.

Weitere Informationen zu von Partnern verwalteten EKM finden Sie unter Von Partnern verwaltete Cloud KMS-Schlüssel konfigurieren.

Nächste Schritte

• Mit der Verwendung der API beginnen.

• EKM-Verbindung erstellen, um EKM über VPC zu verwenden.

• Lesen Sie die Cloud KMS API-Referenz.

• Weitere Informationen zu Logging in Cloud KMS. Das Logging basiert auf Vorgängen und gilt für Schlüssel mit HSM- und Softwareschutzlevel.