Übersicht

Auf dieser Seite erhalten Sie eine Übersicht über die Funktion „Berechtigungserklärung für den Schlüsselzugriff“. Mit Key Access Justifications können Sie eine Richtlinie für Cloud Key Management Service-Schlüssel (Cloud KMS) festlegen, um Anfragen zum Schlüsselzugriff je nach angegebenem Begründungscode anzusehen, zu genehmigen oder abzulehnen. Für ausgewählte Partner für die externe Schlüsselverwaltung können Sie Richtlinien für Key Access Justifications außerhalb von Google Cloud wird ausschließlich vom External Key Manager erzwungen, als mit Cloud KMS. Key Access Justifications funktioniert mit den folgenden Cloud KMS-Schlüsseltypen, je nachdem, welches Assured Workloads-Kontrollpaket Sie auswählen:

So funktioniert die Verschlüsselung ruhender Daten

Bei der Google Cloud-Verschlüsselung inaktiver Daten werden Ihre auf Google Cloud mit einem Verschlüsselungsschlüssel, der sich außerhalb des Dienstes befindet, in dem der Daten gespeichert werden. Wenn Sie beispielsweise Daten in Cloud Storage verschlüsseln, speichert der Dienst nur die verschlüsselten Informationen, die Sie gespeichert haben, während der Schlüssel zum Verschlüsseln dieser Daten in Cloud KMS gespeichert wird (wenn Sie vom Kunden verwaltete Verschlüsselungsschlüssel (CMEK) verwenden) oder in Ihrem externen Schlüsselverwaltungssystem (wenn Sie Cloud EKM verwenden).

Wenn Sie einen Google Cloud-Dienst verwenden, sollten Ihre Anwendungen wie beschrieben funktionieren. Dazu müssen Ihre Daten entschlüsselt werden. Wenn Sie beispielsweise eine Abfrage mit BigQuery ausführen, muss der BigQuery-Dienst Ihre Daten entschlüsseln, um sie analysieren zu können. BigQuery indem eine Entschlüsselungsanfrage an den Key Manager gesendet wird, erforderlichen Daten.

Warum wird auf meine Schlüssel zugegriffen?

Ihre Verschlüsselungsschlüssel werden meistens von automatisierten Systemen abgerufen, die Bearbeitung Ihrer eigenen Anfragen und Arbeitslasten in Google Cloud.

Zusätzlich zu vom Kunden initiierten Zugriffen müssen Google-Mitarbeiter möglicherweise aus den folgenden Gründen Vorgänge initiieren, bei denen Ihre Verschlüsselungsschlüssel verwendet werden:

  • Datenstruktur oder ‑qualität optimieren: Google-Systeme müssen möglicherweise auf Ihre Verschlüsselungsschlüssel zugreifen, um Ihre Daten zu indexieren, zu strukturieren, vorab zu berechnen, zu hashen, zu s Sharden oder im Cache zu speichern.

  • Daten sichern: Google muss möglicherweise auf Ihre Verschlüsselungsschlüssel zugreifen, um Ihre Daten aus Gründen der Notfallwiederherstellung zu sichern.

  • Supportanfrage bearbeiten: Ein Google-Mitarbeiter muss Ihre Daten möglicherweise entschlüsseln, um der vertraglichen Verpflichtung zur Erbringung von Support nachzukommen.

  • Systeme verwalten und Fehler beheben: Google-Mitarbeiter können Vorgänge initiieren, bei denen Ihre Verschlüsselungsschlüssel verwendet werden, um technisches Debugging für eine komplexe Supportanfrage oder Prüfung durchzuführen. Möglicherweise ist auch Zugriff erforderlich, Speicherfehler oder Datenbeschädigungen beheben.

  • Datenintegrität und Compliance gewährleisten sowie vor Betrug und Missbrauch schützen: Google muss Daten aus den folgenden Gründen möglicherweise entschlüsseln:

    • Um die Sicherheit Ihrer Daten und Konten zu gewährleisten.
    • Um sicherzustellen, dass Sie Google-Dienste gemäß den die Google Cloud-Nutzungsbedingungen.
    • Prüfung von Beschwerden anderer Nutzer und Kunden oder anderer Hinweise auf missbräuchliche Aktivitäten
    • Sie können überprüfen, ob die Google Cloud-Dienste gemäß den anwendbare regulatorische Anforderungen, z. B. Anti-Geldwäsche Vorschriften einhalten.

  • Systemzuverlässigkeit aufrechterhalten: Google-Mitarbeiter können Zugriff auf prüfen, ob ein möglicher Dienstausfall Sie nicht beeinträchtigt. Außerdem kann der Zugriff angefordert werden, um Sicherungen und Wiederherstellungen nach Ausfällen oder Systemfehlern zu ermöglichen.

Eine Liste der Begründungscodes findest du unter Codes für die Begründungen für Key Access Justifications.

Zugriff auf extern verwaltete Schlüssel verwalten

Key Access Justifications liefert jedes Mal einen Grund, wenn Ihre extern verwalteten Schlüssel auf die zugegriffen wird. Gründe werden nur angegeben, wenn Schlüssel extern verwaltet werden. Für Zugriffe auf in Cloud KMS oder Cloud HSM gespeicherte Schlüssel wird kein Grund angegeben. Wenn ein Schlüssel in Ihrem externen Schlüsselverwaltungssystem gespeichert ist, erhalten Sie eine Begründung sowohl für den dienstbasierten Zugriff (für unterstützte Dienste) als auch für den direkten API-Zugriff.

Sobald Sie für Key Access Justifications angemeldet sind und einen extern verwalteten Schlüssel verwenden, erhalten Sie umgehend Begründungen für jeden Schlüsselzugriff.

Wenn Sie Key Access Justifications und Access Approval mit einem externer vom Kunden verwalteter Schlüssel, Anfragen für Administratorzugriff können nicht sein verarbeitet, es sei denn, die Genehmigungen werden nach dem und übergeben eine Richtlinienprüfung für Key Access Justifications für die Signaturanfrage. Alle Durch den Schlüssel signierte Zugriffsgenehmigungen werden in den Access Transparency-Logs angezeigt.

Key Access Justifications aktivieren

Key Access Justifications kann nur mit Assured Workloads verwendet werden und wird durch Standardeinstellung, wenn Sie einen neuen Assured Workloads-Ordner erstellen, der für ein Kontrollpaket mit Key Access Justifications. Weitere Informationen finden Sie in der Weitere Informationen finden Sie unter Assured Workloads – Übersicht. Informationen.

Ausschlüsse für Key Access Justifications

Key Access Justifications gelten nur für:

  • Vorgänge auf verschlüsselten Daten Informationen zu den Feldern in einem bestimmten Dienst, die mit einem vom Kunden verwalteten Schlüssel verschlüsselt werden, finden Sie in der Dokumentation des Dienstes.
  • Der Übergang von inaktiven zu aktiven Daten. Während Google weiterhin Schutzmaßnahmen für Ihre aktiven Daten anwendet, regelt Key Access Justifications nur die von ruhenden Daten zu inaktiven Daten wechseln.
  • Die folgenden Compute Engine- und Persistent Disk-Funktionen sind ausgenommen, wenn sie mit CMEK verwendet werden:

Nächste Schritte