Informationen zu den unterstützten Connectors für Application Integration.

Vom Kunden verwaltete Verschlüsselungsschlüssel

Standardmäßig verschlüsselt Application Integration Daten bei Inaktivität automatisch mit von Google verwalteten Verschlüsselungsschlüsseln. Wenn Sie bestimmte Compliance- oder regulatorische Anforderungen in Bezug auf die Schlüssel haben, die Ihre Daten schützen, oder wenn Sie die Verschlüsselung selbst steuern und verwalten möchten, können Sie vom Kunden verwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK) verwenden. CMEK-Schlüssel können als Softwareschlüssel, in einem HSM-Cluster oder extern in Cloud External Key Manager (Cloud EKM) gespeichert werden.

Weitere Informationen zu CMEK finden Sie in der Dokumentation zum Cloud Key Management Service.

Hinweise

Achten Sie darauf, dass die folgenden Aufgaben abgeschlossen sind, bevor Sie CMEK für Application Integration verwenden:

1. Aktivieren Sie die Cloud KMS API für das Projekt, in dem Ihre Verschlüsselungsschlüssel gespeichert werden.

   Cloud KMS API aktivieren

   Tipp:Sie können Application Integration und Cloud KMS im selben Google Cloud-Projekt oder in verschiedenen Projekten ausführen.
2. Weisen Sie die IAM-Rolle Cloud KMS-Administrator zu oder gewähren Sie die folgenden IAM-Berechtigungen für das Projekt, in dem Ihre Verschlüsselungsschlüssel gespeichert werden:
   • cloudkms.cryptoKeys.setIamPolicy
   • cloudkms.keyRings.create
   • cloudkms.cryptoKeys.create

   Informationen zum Gewähren zusätzlicher Rollen oder Berechtigungen finden Sie unter Zugriff gewähren, ändern und widerrufen.

   Achtung : Die Rolle „Cloud KMS-Administrator“ enthält Berechtigungen zur Schlüsselwartung und zum Löschen von Schlüsselversionen. Zum Schutz Ihrer Cloud KMS-Ressourcen sollte diese Rolle nur Personen zugewiesen werden, die für die Schlüsselverwaltung verantwortlich sind.
3. Erstellen Sie einen Schlüsselbund und einen Schlüssel.
   Hinweis : Der Schlüsselbund muss in derselben Region erstellt werden, in der Sie Application Integration eingerichtet haben.

Dienstkonto zum CMEK-Schlüssel hinzufügen

Damit Sie einen CMEK-Schlüssel in Application Integration verwenden können, müssen Sie dafür sorgen, dass Ihr Standarddienstkonto hinzugefügt und die IAM-Rolle CryptoKey Encrypter/Decrypter für diesen CMEK-Schlüssel zugewiesen und zugewiesen ist.

1. Rufen Sie in der Google Cloud Console die Seite Wichtiges Inventar auf.

   Zur Seite „Wichtiges Inventar“

2. Klicken Sie auf das Kästchen für den gewünschten CMEK-Schlüssel.

   Der Tab Berechtigungen im rechten Fensterbereich wird verfügbar.

3. Klicken Sie auf Hauptkonto hinzufügen und geben Sie die E-Mail-Adresse des Standarddienstkontos ein.
4. Klicken Sie auf Rolle auswählen und wählen Sie die Rolle Cloud KMS CryptoKey Encrypter/Decrypter aus der verfügbaren Drop-down-Liste aus.
5. Klicken Sie auf Speichern.

CMEK-Verschlüsselung für eine Application Integration-Region aktivieren

Mit CMEK können Daten ver- und entschlüsselt werden, die auf PDs im Bereich der bereitgestellten Region gespeichert sind.

Achtung : Das Aktivieren der CMEK-Verschlüsselung für eine Application Integration-Region kann nicht rückgängig gemacht werden. Das bedeutet auch, dass Sie die Verschlüsselungsmethode für eine Region nicht ändern können, wenn CMEK bereits aktiviert ist.

Führen Sie die folgenden Schritte aus, um die CMEK-Verschlüsselung für eine Application Integration-Region in Ihrem Google Cloud-Projekt zu aktivieren:

1. Rufen Sie in der Google Cloud Console die Seite Anwendungsintegration auf.

   Zur Seite „Application Integration“

2. Klicken Sie im Navigationsmenü auf Regionen.

   Die Seite Regionen wird geöffnet. Dort sind die bereitgestellten Regionen für Application Integration aufgeführt.

3. Klicken Sie für die vorhandene Integration, die Sie CMEK verwenden möchten, auf Aktionen und wählen Sie Verschlüsselung bearbeiten aus.
4. Maximieren Sie im Bereich Verschlüsselung bearbeiten den Bereich Erweiterte Einstellungen.
5. Wählen Sie Vom Kunden verwalteten Verschlüsselungsschlüssel (CMEK) verwenden aus und gehen Sie so vor:
   1. Wählen Sie aus der verfügbaren Drop-down-Liste einen CMEK-Schlüssel aus. Die im Drop-down-Menü aufgeführten CMEK-Schlüssel basieren auf der bereitgestellten Region. Informationen zum Erstellen eines neuen Schlüssels finden Sie unter Neuen CMEK-Schlüssel erstellen.
   2. Klicken Sie auf Bestätigen, um zu prüfen, ob Ihr Standarddienstkonto Kryptoschlüsselzugriff auf den ausgewählten CMEK-Schlüssel hat.
   3. Wenn die Überprüfung für den ausgewählten CMEK-Schlüssel fehlschlägt, klicken Sie auf Erteilen, um dem Standarddienstkonto die IAM-Rolle CryptoKey Encrypter/Decrypter zuzuweisen.
6. Klicken Sie auf Fertig.

Neuen CMEK-Schlüssel erstellen

Sie können einen neuen CMEK-Schlüssel erstellen, wenn Sie den vorhandenen Schlüssel nicht verwenden möchten oder in der angegebenen Region keinen Schlüssel haben.

Hinweis : In Application Integration können Sie nur einen symmetrischen Verschlüsselungsschlüssel verwenden.

Führen Sie im Dialogfeld Neuen Schlüssel erstellen die folgenden Schritte aus, um einen neuen symmetrischen Verschlüsselungsschlüssel zu erstellen:

1. Wählen Sie einen Schlüsselbund aus:
   1. Klicken Sie auf Schlüsselbund und wählen Sie einen vorhandenen Schlüsselbund in der angegebenen Region aus.
   2. Wenn Sie einen neuen Schlüsselbund für Ihren Schlüssel erstellen möchten, klicken Sie auf die Ein/Aus-Schaltfläche Schlüsselbund erstellen und führen Sie die folgenden Schritte aus:
      1. Klicken Sie auf Schlüsselbundname und geben Sie einen Namen für den Schlüsselbund ein.
      2. Klicken Sie auf Schlüsselbund-Speicherort und wählen Sie den regionalen Standort für Ihren Schlüsselbund aus.
         Hinweis:Für die CMEK-Verschlüsselung muss Ihr Schlüsselbund in derselben Region wie Application Integration erstellt werden.
   3. Klicken Sie auf Weiter.
2. Schlüssel erstellen:
   1. Klicken Sie auf Schlüsselname und geben Sie einen Namen für den neuen Schlüssel ein.
   2. Klicken Sie auf Schutzniveau und wählen Sie entweder Software oder HSM aus.

      Informationen zu Schutzniveaus finden Sie unter Cloud KMS-Schutzniveaus.

3. Prüfen Sie die Details zu Schlüssel und Schlüsselbund und klicken Sie auf Weiter.
4. Klicken Sie auf Erstellen.

Cloud KMS-Kontingente und Application Integration

Wenn Sie CMEK in Application Integration verwenden, können Ihre Projekte Cloud KMS-Kontingente für kryptografische Anfragen verbrauchen. CMEK-Schlüssel können diese Kontingente beispielsweise für jeden Verschlüsselungs- und Entschlüsselungsaufruf nutzen.

Ver- und Entschlüsselungsvorgänge über CMEK-Schlüssel wirken sich auf die Cloud KMS-Kontingente so aus:

• Für CMEK-Softwareschlüssel, die in Cloud KMS generiert wurden, wird kein Cloud KMS-Kontingent verbraucht.
• Bei Hardware-CMEK-Schlüsseln (manchmal auch Cloud HSM-Schlüssel genannt) werden Verschlüsselungs- und Entschlüsselungsvorgänge auf Cloud HSM-Kontingente in dem Projekt angerechnet, das den Schlüssel enthält.
• Bei externen CMEK-Schlüsseln (manchmal auch Cloud EKM-Schlüssel genannt) werden Verschlüsselungs- und Entschlüsselungsvorgänge auf Cloud EKM-Kontingente in dem Projekt angerechnet, das den Schlüssel enthält.

Weitere Informationen finden Sie unter Cloud KMS-Kontingente.