第 3 步：配置托管和加密

本页面适用于 Apigee，但不适用于 Apigee Hybrid。

查看 Apigee Edge 文档。

您在此步骤中执行的操作

在此步骤中，根据具体的用户体验历程，您需要指定 Apigee 分析或控制平面、运行时和数据平面实例的托管位置以及 API 使用方数据区域。 您还需要指定加密密钥选择。

提示：如果您希望使用最简单的配置快速启动并运行，请按照用户体验历程 A：由 Google 管理的加密（无数据驻留）中的说明操作。

每个用户体验历程的区别在于加密密钥的选择或创建，无论这些密钥是由 Google 管理还是由客户管理，以及无论数据驻留是否启用。

启用数据驻留后，某些功能将不受支持。如需了解详情，请参阅数据驻留兼容性。

如果您的 Google Cloud 项目具有 CMEK 组织政策限制条件，则系统会默认启用数据驻留，并且需要使用 CMEK。

在创建组织期间，系统会使用以下密钥：

加密密钥	说明
控制平面密钥	加密在 Apigee 租户项目的 BigQuery 中存储的 Analytics 数据。 加密 API 代理、目标服务器、truststore 和密钥库，以及跨运行时共享的任何其他内容。
API 使用方数据密钥	加密服务基础架构数据。这必须是控制平面位置内的一个区域。
运行时数据库密钥	加密应用数据（如 KVM、缓存和客户端密钥），然后将其存储在数据库中。

在创建每个实例期间，系统会使用以下密钥：

加密密钥	说明
运行时磁盘密钥	加密 KVM；环境缓存；配额存储桶和计数器。 加密 KMS 数据 API 产品、开发者、开发者应用、OAuth 令牌（包括访问令牌、刷新令牌和授权代码）和 API 密钥。

执行步骤

执行此任务所需的权限

---

您可以向 Apigee 预配工具授予包含完成此任务所需的权限的预定义角色，也可以授予更精细的权限以提供所需的最小权限。 请参阅预定义角色和运行时实例权限。

---

如需查看特定用户体验历程的步骤，请选择以下用户体验历程之一。它们按复杂程度的顺序列出，最简单的是用户体验历程 A。

查看用户体验历程流程图

---

下图显示了使用 Cloud 控制台为随用随付组织配置托管和加密的可能用户体验历程。

用户体验历程标注了 A 到 F，并且按从易到难的顺序排列，其中 A 是最简单的，F 是最复杂的。

---

	用户体验历程	说明
	用户体验历程 A：由 Google 管理的加密（无数据驻留）	如果您符合以下情况，请选择此选项： 希望 Google 管理加密密钥 无需在同一地理区域内存储核心内容和处理 您的 Google Cloud 项目没有 CMEK 组织政策限制条件
	用户体验历程 B：由 Google 管理的加密（有数据驻留）	如果您符合以下情况，请选择此选项： 希望 Google 管理加密密钥 希望在同一地理区域存储核心内容和处理 您的 Google Cloud 项目没有 CMEK 组织政策限制条件
	用户体验历程 C：由客户管理的加密（无数据驻留）	如果您符合以下情况，请选择此选项： 希望自行管理加密密钥 无需在同一地理区域内存储核心内容和处理 您的 Google Cloud 项目没有 CMEK 组织政策限制条件
	用户体验历程 D：由客户管理的加密（有数据驻留）	如果您符合以下情况，请选择此选项： 希望自行管理加密密钥 希望在同一地理区域存储核心内容和处理 您的 Google Cloud 项目具有 CMEK 组织政策限制条件

用户体验历程 A：由 Google 管理的加密（无数据驻留）

注意：如果您的 Google Cloud 项目具有 CMEK 组织政策限制条件，则必须指定数据驻留和 CMEK。 用户体验历程 D 是唯一适用的路径。

在第 3 步中，控制台会显示托管和加密配置选项及其默认值的列表。您可以接受默认配置，或点击 修改以打开托管和加密密钥面板。

1. 在加密类型部分中，选择 Google-managed encryption key。这是由 Google 管理的服务器端加密密钥，用于加密 Apigee 实例和数据，然后再将其写入磁盘。
2. 点击下一步。
3. 在控制平面部分：
   1. 取消选中启用数据驻留复选框。
      注意：如果您要在 Google Cloud 项目中预配新的 Apigee 组织，并在组织政策中应用资源位置限制条件，请确认位置限制设置为 global。由于 Apigee 控制平面默认是全局实体，因此在应用 global 以外的限制条件时，预配将失败。如需了解详情，请参阅数据驻留简介。

   2. 从分析区域下拉列表中，选择要存储分析数据的物理位置。如需查看可用的 Apigee API Analytics 区域列表（包括支持 API Hub 的区域），请参阅 Apigee 位置。如果您选择的区域不支持 API Hub，则系统不会创建 API Hub 实例。如需详细了解 API Hub，请参阅什么是 API Hub？

   3. 点击确认。
4. 在运行时部分中：
   1. 从运行时托管区域下拉列表中，选择要托管实例的区域。
   2. 在运行时数据库加密密钥下，列出由 Google 管理作为加密类型。
   3. 在运行时磁盘加密密钥下，列出由 Google 管理作为加密类型。
   4. 点击确认。
   5. 点击完成。
5. 点击下一步。

警告：提交已完成的 Apigee 预配配置时（在第 4 步结束时），您无法返回并更改托管区域和加密密钥选择。Apigee 不支持在预配完成后更新托管区域或加密密钥选择。例如，如果您选择“由 Google 管理的加密”，日后便无法将其更改为“由客户管理的加密”，反之亦然。

转到下一步：第 4 步：自定义访问权限路由。

用户体验历程 B：由 Google 管理的加密（有数据驻留）

注意：如果您的 Google Cloud 项目具有 CMEK 组织政策限制条件，则必须指定数据驻留和 CMEK。 用户体验历程 D 是唯一适用的路径。

在第 3 步中，控制台会显示托管和加密配置选项及其默认值的列表。您可以接受默认配置，或点击 修改以打开托管和加密密钥面板。

1. 在加密类型部分中，选择 Google-managed encryption key。这是由 Google 管理的服务器端加密密钥，用于加密 Apigee 实例和数据，然后再将其写入磁盘。
2. 点击下一步。
3. 在控制平面部分：
   1. 选中启用数据驻留复选框。
   2. 从控制平面托管管辖区下拉列表中，选择要用于存储数据的物理位置。
      注意：管辖区是指地理政治边界内的某个位置，该位置可能跨越多个区域。如需查看可用的控制平面托管管辖区列表，请参阅 Apigee 位置。

   3. 在控制平面加密密钥下，列出由 Google 管理作为加密类型。
4. 在 API 使用方数据区域部分中：
   1. 从 API 使用方数据区域下拉列表中，选择要存储数据的物理位置。如需查看可用的使用方数据区域的列表，请参阅 Apigee 位置。
   2. 在 API 使用方数据加密密钥下，列出由 Google 管理作为加密类型。
   3. 点击确认。
5. 在运行时部分中：
   1. 从运行时托管区域下拉列表中，选择要托管实例的区域。如需查看可用运行时区域的列表，请参阅 Apigee 位置。使用数据驻留时，运行时位置必须位于控制平面区域内。
   2. 在运行时数据库加密密钥下，列出由 Google 管理作为加密类型。
   3. 在运行时磁盘加密密钥下，列出由 Google 管理作为加密类型。
   4. 点击确认。
   5. 点击完成。
6. 点击下一步。

警告：提交已完成的 Apigee 预配配置时（在第 4 步结束时），您无法返回并更改托管区域和加密密钥选择。Apigee 不支持在预配完成后更新托管区域或加密密钥选择。例如，如果您选择“由 Google 管理的加密”，日后便无法将其更改为“由客户管理的加密”，反之亦然。

转到下一步：第 4 步：自定义访问权限路由。

用户体验历程 C：由客户管理的加密（无数据驻留）

注意：如果您的 Google Cloud 项目具有 CMEK 组织政策限制条件，则必须指定数据驻留和 CMEK。 用户体验历程 D 是唯一适用的路径。

在第 3 步中，控制台会显示托管和加密配置选项及其默认值的列表。 您可以接受默认配置，或点击 修改以打开托管和加密密钥面板。

1. 在加密类型部分中，选择由客户管理的加密密钥 (CMEK)。这是由用户管理的服务器端加密密钥，用于加密 Apigee 实例和数据，然后再将其写入磁盘。
2. 点击下一步。
3. 在控制平面部分：
   1. 取消选中启用数据驻留复选框。
      注意：如果您要在 Google Cloud 项目中预配新的 Apigee 组织，并在组织政策中应用资源位置限制条件，请确认位置限制设置为 global。由于 Apigee 控制平面默认是全局实体，因此在应用 global 以外的限制条件时，预配将失败。如需了解详情，请参阅数据驻留简介。

   2. 从分析地区下拉列表中，选择要存储分析数据的物理位置。如需查看可用的 Apigee API Analytics 区域列表，请参阅 Apigee 位置。

   3. 点击确认。
4. 在运行时部分中：
   1. 从运行时托管区域下拉列表中，选择要托管实例的区域。
   2. 从运行时数据库加密密钥下拉列表中，为各运行时位置存储和复制的数据选择或创建密钥。
   3. 在系统提示时点击授权。
   4. 在运行时磁盘加密密钥下拉列表中，为运行时实例数据选择或创建密钥，然后再将数据写入磁盘。每个实例都有自己的磁盘加密密钥。
   5. 在系统提示时点击授权。
   6. 点击确认。
   7. 点击完成。
5. 点击下一步。

警告：提交已完成的 Apigee 预配配置时（在第 4 步结束时），您无法返回并更改托管区域和加密密钥选择。Apigee 不支持在预配完成后更新托管区域或加密密钥选择。例如，如果您选择“由 Google 管理的加密”，日后便无法将其更改为“由客户管理的加密”，反之亦然。

转到下一步：第 4 步：自定义访问权限路由。

用户体验历程 D：由客户管理的加密（有数据驻留）

在第 3 步中，控制台会显示托管和加密配置选项及其默认值的列表。 您可以接受默认配置，或点击 修改以打开托管和加密密钥面板。

1. 在加密类型部分中，选择由客户管理的加密密钥 (CMEK)。这是由用户管理的服务器端加密密钥，用于加密 Apigee 实例和数据，然后再将其写入磁盘。
   注意：如果您的 Google Cloud 项目具有 CMEK 组织政策限制条件，Google-managed encryption key 会处于停用状态，并且客户管理的加密密钥无法清除。
2. 点击下一步。
3. 在控制平面部分：
   1. 选中启用数据驻留复选框。
      注意：如果您的 Google Cloud 项目具有 CMEK 组织政策限制条件，则数据驻留位置已被选中，无法清除。
   2. 从控制平面托管管辖区下拉列表中，选择要用于存储数据的物理位置。
      注意：管辖区是指地理政治边界内的某个位置，该位置可能跨越多个区域。如需查看可用的控制平面托管管辖区列表，请参阅 Apigee 位置。

   3. 从控制平面加密密钥下拉列表中，为各运行时位置存储和复制的数据选择或创建密钥。
      注意：仅当您选择 us (multiple regions in us) 或 eu (multiple regions in European Union) 作为控制平面托管管辖区时，才需要执行此步骤。如果选择其他区域，则不需要此密钥。
   4. 在系统提示时点击授权。
4. 在 API 使用方数据区域部分中：
   1. 从 API 使用方数据区域下拉列表中，选择要存储数据的物理位置。如需查看可用的使用方数据区域的列表，请参阅 Apigee 位置。
   2. 从 API 使用方数据加密密钥下拉列表中，为存储的控制平面数据选择或创建密钥。
   3. 在系统提示时点击授权。
   4. 点击确认。
5. 在运行时部分中：
   1. 从运行时托管区域下拉列表中，选择要托管实例的区域。 使用数据驻留时，运行时位置必须位于控制平面区域内。
   2. 从运行时数据库加密密钥下拉列表中，为各运行时位置存储和复制的数据选择或创建密钥。
   3. 在系统提示时点击授权。
   4. 在运行时磁盘加密密钥下拉列表中，为运行时实例数据选择或创建密钥，然后再将数据写入磁盘。每个实例都有自己的磁盘加密密钥。
   5. 在系统提示时点击授权。
   6. 点击确认。
   7. 点击完成。
6. 点击下一步。

警告：提交已完成的 Apigee 预配配置时（在第 4 步结束时），您无法返回并更改托管区域和加密密钥选择。Apigee 不支持在预配完成后更新托管区域或加密密钥选择。例如，如果您选择“由 Google 管理的加密”，日后便无法将其更改为“由客户管理的加密”，反之亦然。

转到下一步：第 4 步：自定义访问权限路由。

如何创建密钥

如要创建项，请执行以下操作：

1. 点击创建密钥。
2. 选择密钥环；如果密钥环不存在，请启用创建密钥环，然后输入密钥环名称并选择密钥环位置。密钥环名称可以包含字母、数字、下划线 (_) 和连字符 (-)。不能重命名或删除密钥环。
3. 点击继续。
4. 创建密钥。输入名称和保护级别。 请注意，密钥名称可以包含字母、数字、下划线 (_) 和连字符 (-)。不能重命名或删除密钥。对于保护级别而言，软件是一个好的选择。这是 Cloud KMS 使用的同一默认值；不过，您可以根据需要进行更改。
5. 点击继续，然后检查您的选择。
6. 点击创建。