Ressourcen mit Cloud KMS-Schlüsseln schützen

In diesem Dokument finden Sie Informationen dazu, wie Sie manuell erstellte Cloud Key Management Service (Cloud KMS)-Schlüssel zum Verschlüsseln von Laufwerken und anderen speicherbezogenen Ressourcen verwenden. In Cloud KMS verwaltete Schlüssel werden als vom Kunden verwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK) bezeichnet.

Sie können mit CMEKs Compute Engine-Ressourcen wie Laufwerke, Maschinen-Images und Instant Snapshots sowie Standard-Snapshots verschlüsseln.

Weitere Informationen zur Verwendung von vom Kunden bereitgestellten Verschlüsselungsschlüsseln (Customer-Supplied Encryption Keys, CSEK) zum Verschlüsseln von Laufwerken und anderen Speicherressourcen finden Sie unter Laufwerke mit vom Kunden bereitgestellten Verschlüsselungsschlüsseln verschlüsseln.

Weitere Informationen zur Laufwerksverschlüsselung.

Hinweise

  • Machen Sie sich mit den Informationen zu Laufwerken, Images, Snapshots von nichtflüchtigem Speicher und VM-Instanzen vertraut.

  • Überlegen Sie sich, ob Sie Compute Engine und Cloud KMS im selben Google Cloud -Projekt oder in verschiedenen Projekten ausführen möchten. Weitere Informationen zu Google Cloud Projekt-IDs und Projektnummern finden Sie unter Projekte identifizieren.

  • Gehen Sie für das Google Cloud -Projekt, in dem Cloud KMS ausgeführt wird, so vor:

    1. Enable the Cloud KMS API.

      Enable the API

  • + Wenn Sie ein neues Hyperdisk Balanced-Volume im vertraulichen Modus erstellen möchten, prüfen Sie anhand der relevanten Einschränkungen und unterstützten Regionen, ob Ihr Anwendungsfall unterstützt wird.
  • Richten Sie die Authentifizierung ein, falls Sie dies noch nicht getan haben. Bei der Authentifizierung wird Ihre Identität für den Zugriff auf Google Cloud -Dienste und APIs überprüft. Zum Ausführen von Code oder Beispielen aus einer lokalen Entwicklungsumgebung können Sie sich so bei der Compute Engine authentifizieren:

    Select the tab for how you plan to use the samples on this page:

    Console

    When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

    gcloud

    1. Installieren Sie die Google Cloud CLI. Initialisieren Sie die Google Cloud CLI nach der Installation mit dem folgenden Befehl: 

      gcloud init

      Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, müssen Sie sich zuerst mit Ihrer föderierten Identität in der gcloud CLI anmelden.

    2. Set a default region and zone.

    REST

    Wenn Sie die REST API-Beispiele auf dieser Seite in einer lokalen Entwicklungsumgebung verwenden möchten, verwenden Sie die Anmeldedaten, die Sie der gcloud CLI bereitstellen.

      >

      Installieren Sie die Google Cloud CLI. Initialisieren Sie die Google Cloud CLI nach der Installation mit dem folgenden Befehl: 

      gcloud init

      Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, müssen Sie sich zuerst mit Ihrer föderierten Identität in der gcloud CLI anmelden.

    Weitere Informationen finden Sie in der Dokumentation zur Google Cloud -Authentifizierung unter Für die Verwendung von REST authentifizieren.

Erforderliche Rollen

Damit der Compute Engine-Dienst-Agent die erforderlichen Berechtigungen zum Schutz von Ressourcen mithilfe von Cloud KMS-Schlüsseln hat, bitten Sie Ihren Administrator, dem Compute Engine-Dienst-Agent die Cloud KMS CryptoKey-Verschlüsseler/Entschlüsseler (roles/cloudkms.cryptoKeyEncrypterDecrypter) IAM-Rolle für Ihr Projekt zu gewähren.

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Ihr Administrator kann dem Compute Engine-Dienst-Agent möglicherweise auch die erforderlichen Berechtigungen über benutzerdefinierte Rollen oder andere vordefinierte Rollen erteilen.

Der Compute Engine-Dienst-Agent hat die folgende Form:

service-PROJECT_NUMBER@compute-system.iam.gserviceaccount.com

Sie können die Google Cloud CLI verwenden, um die Rolle zuzuweisen:

gcloud projects add-iam-policy-binding KMS_PROJECT_ID \
    --member serviceAccount:service-PROJECT_NUMBER@compute-system.iam.gserviceaccount.com \
    --role roles/cloudkms.cryptoKeyEncrypterDecrypter

Ersetzen Sie Folgendes:

  • KMS_PROJECT_ID: die ID IhresGoogle Cloud -Projekts, in dem Cloud KMS ausgeführt wird (auch wenn dies dasselbe Projekt ist, in dem Compute Engine ausgeführt wird)
  • PROJECT_NUMBER: die Projektnummer (nicht die Google Cloud Projekt-ID) Ihres Google Cloud Projekts, in dem die Compute Engine-Ressourcen ausgeführt werden

Verschlüsselungsvorgaben

Zum Schutz Ihrer Daten in Compute Engine verwendet Cloud KMS AES-256-Schlüssel. Dabei handelt es sich um Schlüsselverschlüsselungsschlüssel zur Verschlüsselung der Datenverschlüsselungsschlüssel, die Ihre Daten verschlüsseln, nicht der Daten selbst.

Die Daten auf den Festplatten werden mit Google-owned and Google-managed encryption keysverschlüsselt. Informationen zur Standardverschlüsselung in Google Cloudfinden Sie in der Sicherheitsdokumentation unter Standardverschlüsselung ruhender Daten.

Im Modus "Vertraulich" für Hyperdisk Balanced und Cloud HSM hat der Datenverschlüsselungsschlüssel (Data Encryption Key, DEK) zusätzliche Sicherheitseigenschaften mit hardwaregestützten Enklaven.

Beschränkungen

  • Vorhandene Ressourcen können nicht mit CMEKs verschlüsselt werden. Sie können Laufwerke, Images und Snapshots nur dann mit CMEKs verschlüsseln, wenn Sie sie erstellen.

  • Wenn Sie ein Laufwerk aus einem CMEK-verschlüsselten Instant Snapshot erstellen, müssen Sie den Schlüssel angeben, der zum Verschlüsseln des Quelllaufwerks verwendet wurde. Wenn Sie mit anderen CMEK-verschlüsselten Ressourcen wie Laufwerkklonen und Standard-Snapshots arbeiten, müssen Sie den Schlüssel nicht angeben.

  • Vorabversion: Wenn Sie einen regionalen Snapshot von einem mit CMEK verschlüsselten Laufwerk erstellen, müssen Sie den Snapshot mit einem regionalen CMEK erstellen, der sich am selben Ort wie der Snapshot befindet. Dadurch wird die regionale Isolation Ihres Snapshots sichergestellt und die Zuverlässigkeit Ihres Snapshots erhöht.

  • Sie können Ihre eigenen Schlüssel nicht mit lokalen SSDs verwenden, da die Schlüssel von der Google Cloud -Infrastruktur verwaltet und bei Beendigung der VM gelöscht werden.

  • Regionale Ressourcen (Laufwerke) können nur mit einem Schlüssel an einem der folgenden Cloud KMS-Standorte verschlüsselt werden:

    • Ein Schlüssel in derselben Region wie das Laufwerk
    • Ein multiregionaler Schlüssel am selben geografischen Standort wie das Laufwerk
    • Ein Schlüssel am globalen Standort.

    Beispielsweise kann ein Laufwerk in Zone us-west1-a mit einem Schlüssel am globalen Standort, in der Region us-west1 oder in der Multi-Region us verschlüsselt werden.

    Globale Ressourcen (z. B. Images und Snapshots) können mit Schlüsseln an jedem beliebigen Standort verschlüsselt werden. Weitere Informationen finden Sie unter Standorttypen für Cloud KMS.

  • Die Verschlüsselung eines Laufwerks, eines Snapshots oder eines Images mit einem Schlüssel ist permanent. Sie können die Verschlüsselung nicht aus der Ressource entfernen, den Verschlüsselungstyp nicht ändern und auch den verwendeten Schlüssel nicht ändern. Die einzige Möglichkeit zum Entfernen von Verschlüsselungs- oder Änderungsschlüsseln besteht darin, eine Kopie der Ressource zu erstellen und dabei eine neue Verschlüsselungsoption anzugeben. Wenn Sie beispielsweise für ein Laufwerk von von Google generierten Schlüsseln zu CMEKs wechseln möchten, gehen Sie so vor:

    1. Erstellen Sie einen Snapshot des Laufwerks.
    2. Erstellen Sie ein neues Laufwerk aus dem Snapshot. Wenn Sie das neue Laufwerk erstellen, wählen Sie den gewünschten Verschlüsselungstyp aus.

    Weitere Informationen finden Sie unter Laufwerkstyp ändern.

Manuelle oder automatische Schlüsselerstellung

Sie können Cloud KMS-Schlüssel entweder manuell erstellen oder Cloud KMS Autokey verwenden. Autokey vereinfacht das Erstellen und Verwalten von Cloud KMS-Schlüsseln durch die Automatisierung der Bereitstellung und Zuweisung. Mit Autokey müssen Sie keine Schlüsselbunde, Schlüssel und Dienstkonten im Voraus bereitstellen. Stattdessen werden sie bei Bedarf im Rahmen der Erstellung von Compute Engine-Ressourcen generiert. Weitere Informationen finden Sie in der Übersicht über Autokey.

Schlüsselbund und Schlüssel manuell erstellen

Erstellen Sie für das Google Cloud -Projekt, in dem Cloud KMS ausgeführt wird, einen Schlüsselbund und einen Schlüssel, wie in Schlüsselbunde und Schlüssel erstellen beschrieben.

Neue Persistent Disk mit CMEK verschlüsseln

Sie können eine neue Persistent Disk verschlüsseln, wenn Sie bei der Erstellung der VM oder des Laufwerks einen Schlüssel bereitstellen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Laufwerke auf.

    Zur Seite „Laufwerke“

  2. Klicken Sie auf Laufwerk erstellen und geben Sie die Attribute für das neue Laufwerk ein.
  3. Wählen Sie unter Verschlüsselung die Option Vom Kunden verwalteter Schlüssel aus.
  4. Wählen Sie im Drop-down-Menü den Cloud KMS-Schlüssel aus, mit dem Sie dieses Laufwerk verschlüsseln möchten.
  5. Klicken Sie auf Erstellen, um das Laufwerk anzulegen.

gcloud

Erstellen Sie mit dem Befehl gcloud compute disks create ein verschlüsseltes Laufwerk und geben Sie den Schlüssel mit dem Flag --kms-key an.

gcloud compute disks create DISK_NAME \
  --kms-key projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY

Ersetzen Sie Folgendes:

  • DISK_NAME: Name des neuen Laufwerks
  • KMS_PROJECT_ID: das Projekt, dem der Cloud KMS-Schlüssel gehört
  • REGION: die Region, in der sich der Schlüssel befindet
  • KEY_RING: der Name des Schlüsselbunds, der den Schlüssel enthält
  • KEY: der Name des Schlüssels, mit dem das Laufwerk verschlüsselt wird

REST

Senden Sie eine POST-Anfrage an die Methode instances.insert. Verwenden Sie zum Verschlüsseln eines Laufwerks das Attribut diskEncryptionKey mit dem Attribut kmsKeyName. Sie können beispielsweise während der VM-Erstellung ein neues Laufwerk mit Ihrem Cloud KMS-Schlüssel verschlüsseln. Geben Sie dazu Folgendes an:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
"machineType": "zones/ZONE/machineTypes/MACHINE_TYPE",
"disks": [
 {
  "type": "PERSISTENT",
  "diskEncryptionKey": {
    "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
  },
  "initializeParams": {
   "sourceImage": "SOURCE_IMAGE"
  },
  "boot": true
 }
],
...
}

Ersetzen Sie Folgendes:

  • PROJECT_ID: die ID desGoogle Cloud -Projekts, in dem Compute Engine ausgeführt wird
  • ZONE ist die Zone, in der die VM erstellt werden soll.
  • MACHINE_TYPE: der Maschinentyp, z. B. c3-standard-4
  • KMS_PROJECT_ID: das Projekt, dem der Cloud KMS-Schlüssel gehört
  • REGION: die Region, in der sich das Laufwerk befindet
  • KEY_RING: der Name des Schlüsselbunds, der den Schlüssel enthält
  • KEY: der Name des Schlüssels, mit dem das Laufwerk verschlüsselt wird
  • SOURCE_IMAGE: das Image, das beim Erstellen der VM verwendet werden soll, z. B. projects/debian-cloud/global/images/debian-11-bullseye-v20231115

In ähnlicher Weise können Sie die Methode disks.insert verwenden, um eine neue eigenständige Persistent Disk zu erstellen und mit Ihrem Cloud KMS-Schlüssel zu verschlüsseln:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/disks?sourceImage=SOURCE_IMAGE
{
 "name": "DISK_NAME",
 "diskEncryptionKey": {
   "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
  },
 "type": "projects/PROJECT_ID/zones/ZONE/diskTypes/DISK_TYPE"
}

Ersetzen Sie Folgendes:

  • PROJECT_ID: die ID desGoogle Cloud -Projekts, in dem Compute Engine ausgeführt wird
  • ZONE: Zone, in der die VM erstellt werden soll
  • SOURCE_IMAGE: das Image, das beim Erstellen des Laufwerks verwendet werden soll, z. B. projects/debian-cloud/global/images/debian-11-bullseye-v20231115
  • DISK_NAME: ein Name für das neue Laufwerk
  • KMS_PROJECT_ID: das Projekt, dem der Cloud KMS-Schlüssel gehört
  • REGION: die Region, in der sich das Laufwerk befindet
  • KEY_RING: der Name des Schlüsselbunds, der den Schlüssel enthält
  • KEY: der Name des Schlüssels, mit dem das Laufwerk verschlüsselt wird
  • DISK_TYPE: der zu erstellende Laufwerkstyp

Hyperdisk Balanced-Laufwerk im Modus „Vertraulich“ erstellen

Mit derGoogle Cloud -Konsole, der Google Cloud CLI oder REST können Sie eine neue Hyperdisk Balanced-Festplatte im Modus „Vertraulich“ erstellen. Wenn Sie ein Laufwerk erstellen möchten, das sich nicht im vertraulichen Modus befindet, folgen Sie der Anleitung unter Persistent Disk anhand eines mit CMEK verschlüsselten Snapshots erstellen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Laufwerke auf.

    Zur Seite „Laufwerke“

  2. Klicken Sie auf Laufwerk erstellen und geben Sie die Attribute für das neue Laufwerk ein.
  3. Wählen Sie im Abschnitt Laufwerkeinstellungen als Laufwerkstyp Hyperdisk Balanced aus.
  4. Optional. Ändern Sie die Standardeinstellungen für Größe, Bereitgestellte IOPS und Bereitgestellter Durchsatz des Laufwerks.
  5. Wählen Sie im Abschnitt Verschlüsselung die Option Cloud KMS-Schlüssel aus.
  6. Wählen Sie in der Liste der Schlüssel den Cloud HSM-Schlüssel aus, mit dem Sie dieses Laufwerk verschlüsseln möchten.
  7. Wählen Sie im Abschnitt Confidential Computing die Option Confidential Computing-Dienste aktivieren aus.
  8. Klicken Sie auf Erstellen, um das Laufwerk anzulegen.

gcloud

Verschlüsseln Sie ein neues Laufwerk mit dem Modus „Vertraulich“ für Hyperdisk Balanced mit dem Befehl gcloud compute disks create. Aktivieren Sie den Modus „Vertraulich“ mit dem Flag --confidential-compute und geben Sie den Schlüssel mit dem Flag --kms-key an.

gcloud compute disks create DISK_NAME \
  --type=hyperdisk-balanced \
  --kms-key projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY \
  --confidential-compute

Ersetzen Sie Folgendes:

  • DISK_NAME: Name des neuen Laufwerks
  • KMS_PROJECT_ID: das Projekt, dem der Cloud HSM-Schlüssel gehört
  • REGION: die Region, in der sich der Schlüssel befindet
  • KEY_RING: der Name des Schlüsselbunds, der den Schlüssel enthält
  • KEY: der Name des Schlüssels, mit dem das Laufwerk verschlüsselt wird

REST

Senden Sie eine POST-Anfrage an die Methode instances.insert. Wenn Sie ein Laufwerk mit dem Modus „Vertraulich“ für Hyperdisk Balanced verschlüsseln möchten, verwenden Sie das Attribut diskEncryptionKey mit dem Attribut kmsKeyName und legen Sie das Flag enableConfidentialCompute fest. Sie können beispielsweise während der VM-Erstellung ein neues Laufwerk mit Ihrem Cloud HSM-Schlüssel verschlüsseln. Geben Sie dazu Folgendes an:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
"machineType": "zones/ZONE/machineTypes/MACHINE_TYPE",
"disks": [
 {
  "type": "DISK_TYPE",
  "diskEncryptionKey": {
    "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
  },
  "initializeParams": {
   "sourceImage": "SOURCE_IMAGE",
   "enableConfidentialCompute": true
  },
  "boot": true
 }
],
"networkInterfaces": [
  {
   "network": "global/networks/default"
  }
]
}

Ersetzen Sie Folgendes:

  • DISK_TYPE: der zu erstellende Laufwerkstyp, z. B. hyperdisk-balanced
  • PROJECT_ID: die ID des Google Cloud Projekts, in dem Compute Engine ausgeführt wird
  • ZONE ist die Zone, in der die VM erstellt werden soll.
  • MACHINE_TYPE: der Maschinentyp, z. B. n2d-standard-4
  • KMS_PROJECT_ID: das Projekt, dem der Cloud HSM-Schlüssel gehört
  • REGION: die Region, in der sich das Laufwerk befindet
  • KEY_RING: der Name des Schlüsselbunds, der den Schlüssel enthält
  • KEY: der Name des Schlüssels, mit dem das Laufwerk verschlüsselt wird
  • SOURCE_IMAGE: das Image, das Confidential VM unterstützt und beim Erstellen der VM verwendet werden soll, z. B. projects/debian-cloud/global/images/debian-11-bullseye-v20231115

In ähnlicher Weise können Sie die Methode disks.insert verwenden, um ein neues Hyperdisk Balanced-Volume im Modus „Vertraulich“ zu erstellen:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/disks?sourceImage=SOURCE_IMAGE
{
 "name": "DISK_NAME",
 "diskEncryptionKey": {
   "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
  },
 "type": "projects/PROJECT_ID/zones/ZONE/diskTypes/DISK_TYPE",
 "enableConfidentialCompute": true
}

Ersetzen Sie Folgendes:

  • PROJECT_ID: die ID desGoogle Cloud -Projekts, in dem Compute Engine ausgeführt wird
  • ZONE: Zone, in der die VM erstellt werden soll
  • SOURCE_IMAGE: das Image, das vertrauliche VMs beim Erstellen des Laufwerks unterstützt, z. B. projects/debian-cloud/global/images/debian-11-bullseye-v20231115
  • DISK_NAME: ein Name für das neue Laufwerk
  • KMS_PROJECT_ID: das Projekt, dem der Cloud HSM-Schlüssel gehört
  • REGION: die Region, in der sich das Laufwerk befindet
  • KEY_RING: der Name des Schlüsselbunds, der den Schlüssel enthält
  • KEY: der Name des Schlüssels, mit dem das Laufwerk verschlüsselt wird
  • DISK_TYPE: der zu erstellende Laufwerkstyp, z. B. hyperdisk-balanced

Snapshot von einem mit CMEK verschlüsselten Laufwerk erstellen

Zum Schützen eines Snapshots, den Sie von einem mit CMEK verschlüsselten Laufwerk erstellen, müssen Sie denselben Verschlüsselungsschlüssel verwenden, mit dem das Laufwerk verschlüsselt wurde.

Ein Snapshot, der einen CMEK verwendet, kann nur erstellt werden, wenn das Quelllaufwerk ebenfalls CMEK verwendet. Darüber hinaus können CMEK-verschlüsselte Laufwerke oder Snapshots nicht für die Verwendung derGoogle Cloud -Standardverschlüsselung konvertiert werden, es sei denn, Sie erstellen ein völlig neues Laufwerk-Image und einen neuen nichtflüchtigen Speicher.

Snapshots von Laufwerken, die mit CMEK verschlüsselt wurden, sind inkrementell.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Snapshots auf.

    Zu "Snapshots"

  2. Klicken Sie auf Snapshot erstellen.
  3. Wählen Sie unter Quelllaufwerk das Quelllaufwerk für den Snapshot aus. Der Snapshot wird automatisch mit demselben Schlüssel verschlüsselt wie das Quelllaufwerk.

gcloud

Bei der vom Kunden verwalteten Verschlüsselung wird der Cloud KMS-Schlüssel, der zum Verschlüsseln des Laufwerks verwendet wurde, auch zum Verschlüsseln des Snapshots verwendet.

Sie können den Snapshot in der Richtlinie für den Speicherort erstellen, die in Ihren Snapshot-Einstellungen festgelegt ist, oder indem Sie einen alternativen Speicherort Ihrer Wahl verwenden. Weitere Informationen finden Sie unter Snapshot-Speicherort für Snapshots auswählen.

  • Verwenden Sie den Befehl gcloud compute snapshots create, um einen Snapshot am vordefinierten oder benutzerdefinierten Standardspeicherort zu erstellen, der in Ihren Snapshot-Einstellungen konfiguriert ist.

    gcloud compute snapshots create SNAPSHOT_NAME \
    --source-disk-zone=SOURCE_ZONE \
    --source-disk=SOURCE_DISK_NAME \
    --snapshot-type=SNAPSHOT_TYPE

  • Alternativ können Sie die Snapshot-Einstellungen überschreiben und einen Snapshot an einem benutzerdefinierten Speicherort erstellen. Geben Sie dazu das Flag --storage-location an, um festzulegen, wo der Snapshot gespeichert werden soll:

    gcloud compute snapshots create SNAPSHOT_NAME \
    --source-disk-zone=SOURCE_ZONE \
    --source-disk=SOURCE_DISK_NAME \
    --snapshot-type=SNAPSHOT_TYPE \
    --storage-location=STORAGE_LOCATION

  • Vorschau: Wenn Sie einen regionalen Snapshot in einer zulässigen Region erstellen möchten, geben Sie das Flag --region an, um festzulegen, wo der Snapshot erstellt werden soll.

      gcloud beta compute snapshots create SNAPSHOT_NAME \
      --region=SNAPSHOT_SCOPE_REGION
      --source-disk=SOURCE_DISK_NAME \
      --source-disk-zone=SOURCE_ZONE \
      --snapshot-type=SNAPSHOT_TYPE \
      --kms-key=projects/KMS_PROJECT_ID/locations/KEY_REGION/keyRings/KEY_RING/cryptoKeys/SNAPSHOT_KEY

Ersetzen Sie Folgendes:

  • SNAPSHOT_NAME: Ein Name für den Snapshot.
  • SOURCE_ZONE: Die Zone des Quelllaufwerks.
  • SOURCE_DISK_NAME: der Name des Laufwerks, von dem Sie einen Snapshot erstellen möchten
  • KMS_PROJECT_ID: das Projekt, das den im Cloud Key Management Service gespeicherten Verschlüsselungsschlüssel enthält
  • KEY_REGION: die Region, in der sich der Cloud KMS-Schlüssel befindet
  • KEY_RING: der Name des Schlüsselbunds, der den Cloud KMS-Schlüssel enthält
  • SNAPSHOT_KEY: der Name des Cloud KMS-Schlüssels, den Sie zum Verschlüsseln des Quelllaufwerks verwendet haben
  • SNAPSHOT_TYPE: der Snapshot-Typ, entweder STANDARD oder ARCHIVE Wenn kein Snapshot-Typ angegeben ist, wird ein STANDARD-Snapshot erstellt.

  • STORAGE_LOCATION: Optional: Für global ausgerichtete Snapshots ist dies der multiregionale Cloud Storage-Speicherort oder die Cloud Storage-Region, in der Sie den Snapshot speichern möchten. Sie können nur einen Speicherort angeben.

    Verwenden Sie den Parameter --storage-location nur, wenn Sie den vordefinierten oder benutzerdefinierten Standardspeicherort überschreiben möchten, der in Ihren Snapshot-Einstellungen konfiguriert ist.

  • SNAPSHOT_SCOPE_REGION: Optional: Bei regionalen Snapshots die Region, auf die der Snapshot beschränkt ist. Wenn Sie diesen Parameter angeben, können Sie den Parameter --storage-location nicht verwenden. STORAGE_LOCATION wird automatisch auf SNAPSHOT_SCOPE_REGION festgelegt.

REST

Sie können den Snapshot in der Richtlinie für den Speicherort erstellen, die in Ihren Snapshot-Einstellungen festgelegt ist, oder indem Sie einen alternativen Speicherort Ihrer Wahl verwenden. Weitere Informationen finden Sie unter Snapshot-Speicherort für Snapshots auswählen.

  • Zum Erstellen eines Snapshots am vordefinierten oder benutzerdefinierten Standardspeicherort, der in Ihren Snapshot-Einstellungen konfiguriert ist, senden Sie eine POST-Anfrage an die Methode snapshots.insert:

    POST https://compute.googleapis.com/compute/v1/projects/DESTINATION_PROJECT_ID/global/snapshots
{
    "name": "SNAPSHOT_NAME",
    "sourceDisk": "projects/SOURCE_PROJECT_ID/zones/SOURCE_ZONE/disks/SOURCE_DISK_NAME",
    "snapshotEncryptionKey":  {
     "kmsKeyName": "projects/KMS_PROJECT_ID/locations/KEY_REGION/keyRings/KEY_RING/cryptoKeys/SNAPSHOT_KEY"
    },
    "snapshotType": "SNAPSHOT_TYPE"
}

  • Wenn Sie alternativ die Snapshot-Einstellungen überschreiben und einen Snapshot an einem benutzerdefinierten Speicherort erstellen möchten, senden Sie eine POST-Anfrage an die snapshots.insertMethode und fügen Sie das Attribut storageLocations in Ihre Anfrage ein:

    POST https://compute.googleapis.com/compute/v1/projects/DESTINATION_PROJECT_ID/global/snapshots
{
    "name": "SNAPSHOT_NAME",
    "sourceDisk": "projects/SOURCE_PROJECT_ID/zones/SOURCE_ZONE/disks/SOURCE_DISK_NAME",
    "snapshotEncryptionKey":  {
     "kmsKeyName": "projects/KMS_PROJECT_ID/locations/KEY_REGION/keyRings/KEY_RING/cryptoKeys/SNAPSHOT_KEY"
    },
    "snapshotType": "SNAPSHOT_TYPE",
    "storageLocations": [
        "STORAGE_LOCATION"
    ],
}

  • Vorabversion: Wenn Sie einen regionalen Snapshot in einer zulässigen Region erstellen möchten, senden Sie eine POST-Anfrage an die Methode snapshots.insert und definieren Sie die Erstellungsregion:

    POST https://compute.googleapis.com/compute/beta/projects/DESTINATION_PROJECT_ID/regions/SNAPSHOT_SCOPE_REGION/snapshots
{
  "name": "SNAPSHOT_NAME",
  "sourceDisk": "projects/SOURCE_PROJECT_ID/regions/SOURCE_REGION/disks/SOURCE_DISK_NAME",
  "snapshotType": "SNAPSHOT_TYPE",
  "snapshotEncryptionKey": {
    "kmsKeyName":"projects/KMS_PROJECT_ID/locations/KEY_REGION/keyRings/KEY_RING/cryptoKeys/SNAPSHOT_KEY",
  },
}

Ersetzen Sie Folgendes:

  • DESTINATION_PROJECT_ID: Die ID des Projekts, in dem Sie den Snapshot erstellen möchten.
  • SNAPSHOT_NAME: Ein Name für den Snapshot.
  • SOURCE_PROJECT_ID: Die ID des Projekts des Quelllaufwerks.
  • SOURCE_ZONE: Die Zone des Quelllaufwerks.
  • SOURCE_DISK_NAME: der Name des Laufwerks, von dem Sie einen Snapshot erstellen möchten
  • KMS_PROJECT_ID: das Projekt, das den im Cloud Key Management Service gespeicherten Verschlüsselungsschlüssel enthält
  • KEY_REGION: die Region, in der sich der Cloud KMS-Schlüssel befindet
  • KEY_RING: der Name des Schlüsselbunds, der den Cloud KMS-Schlüssel enthält
  • SNAPSHOT_KEY: der Name des Cloud KMS-Schlüssels, den Sie zum Verschlüsseln des Quelllaufwerks verwendet haben
  • SNAPSHOT_TYPE: der Snapshot-Typ, entweder STANDARD oder ARCHIVE Wenn kein Snapshot-Typ angegeben ist, wird ein STANDARD-Snapshot erstellt.

  • STORAGE_LOCATION: Optional: Für global ausgerichtete Snapshots ist dies der multiregionale Cloud Storage-Speicherort oder die Cloud Storage-Region, in der Sie den Snapshot speichern möchten. Sie können nur einen Speicherort angeben.

    Verwenden Sie den Parameter storageLocations nur, wenn Sie den vordefinierten oder benutzerdefinierten Standardspeicherort überschreiben möchten, der in Ihren Snapshot-Einstellungen konfiguriert ist.

  • SNAPSHOT_SCOPE_REGION: Optional: Bei regionalen Snapshots die Region, auf die der Snapshot beschränkt ist. Wenn Sie diesen Parameter angeben, können Sie den Parameter storageLocations nicht verwenden. STORAGE_LOCATION wird automatisch auf SNAPSHOT_SCOPE_REGION festgelegt.

Importiertes Image mit CMEK verschlüsseln

Sie können ein neues Image verschlüsseln, wenn Sie ein benutzerdefiniertes Image in Compute Engine importieren. Vor dem Importieren eines Images müssen Sie eine Image-Datei des Laufwerks erstellen und komprimieren und diese komprimierte Datei in Cloud Storage hochladen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Images auf.

    Zur Seite „Images“

  2. Klicken Sie auf Image erstellen.
  3. Wählen Sie unter Quelllaufwerk das Laufwerk aus, von dem Sie ein Image erstellen möchten.
  4. Wählen Sie unter Verschlüsselung die Option Vom Kunden verwalteter Schlüssel aus.
  5. Wählen Sie im Drop-down-Menü den Cloud KMS-Schlüssel aus, mit dem Sie das Image verschlüsseln möchten.
  6. Fahren Sie dann mit der Erstellung des Images fort.

gcloud

Mit dem Befehl gcloud compute images create können Sie ein Image importieren und verschlüsseln. Geben Sie für die vom Kunden verwaltete Verschlüsselung den Cloud KMS-Schlüssel für das Image an.

gcloud compute images create IMAGE_NAME \
    --source-disk=SOURCE_DISK  \
    --kms-key projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY

Ersetzen Sie Folgendes:

  • IMAGE_NAME: der Name des Images, das Sie erstellen
  • SOURCE_DISK: der Name des Laufwerks, von dem ein Snapshot erstellt werden soll
  • KMS_PROJECT_ID: das Projekt, das den Cloud KMS-Schlüssel enthält
  • REGION: die Region, in der sich der Cloud KMS-Schlüssel befindet
  • KEY_RING: der Schlüsselbund, der den Cloud KMS-Schlüssel enthält
  • KEY: der Name des Schlüssels, mit dem das neue Laufwerk verschlüsselt wird

REST

Erstellen Sie eine POST-Anfrage an die Methode images.insert, um ein importiertes Image zu verschlüsseln. Geben Sie den URI für die komprimierte Datei an, fügen Sie der Anfrage zum Erstellen des Images das Attribut imageEncryptionKey hinzu und geben Sie im Attribut kmsKeyName den Schlüssel zum Verschlüsseln des Images an.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/images

{
 "rawDisk": {
  "source": "http://storage.googleapis.com/example-image/example-image.tar.gz"
  },
 "name": "IMAGE_NAME",
 "sourceType": "RAW",
 "imageEncryptionKey": {
   "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
   }
}

Ersetzen Sie Folgendes:

  • PROJECT_ID: das Projekt, in dem das verschlüsselte Image erstellt werden soll
  • IMAGE_NAME: der Name des Images, das Sie erstellen
  • KMS_PROJECT_ID: das Projekt, das den Cloud KMS-Schlüssel enthält
  • REGION: die Region, in der sich der Cloud KMS-Schlüssel befindet
  • KEY_RING: der Schlüsselbund, der den Cloud KMS-Schlüssel enthält
  • KEY: der Name des Schlüssels, mit dem Sie das Quelllaufwerk verschlüsselt haben

Laufwerk anhand eines mit CMEK verschlüsselten Snapshots erstellen

So erstellen Sie ein neues Laufwerk aus einem verschlüsselten Snapshot:

Console

  1. Rufen Sie in der Google Cloud Console die Seite Laufwerke auf.

    Zur Seite „Laufwerke“

  2. Klicken Sie auf Laufwerk erstellen und geben Sie die Attribute für das neue Laufwerk ein.
  3. Wählen Sie unter Quelltyp den Snapshot oder das Image aus, das Sie verwenden möchten.

  4. Optional: Wenn Sie einen neuen Verschlüsselungsschlüssel angeben möchten, geben Sie unter Verschlüsselung den entsprechenden Verschlüsselungsschlüssel an und geben Sie dann die Informationen zum Verschlüsselungsschlüssel an.

    Wenn Sie den vom Kunden verwalteten oder vom Kunden bereitgestellten Verschlüsselungsschlüssel entfernen möchten, verwenden Sie für Verschlüsselung den Standardwert Google-managed encryption key.

  5. Fahren Sie mit der Erstellung des Laufwerks fort.

gcloud

  • Verwenden Sie den Befehl gcloud compute disks create, um ein neues Laufwerk aus einem global verschlüsselten Snapshot zu erstellen.

    gcloud compute disks create DISK_NAME \
  --zone=ZONE \
  --source-snapshot=SNAPSHOT_NAME \
  --kms-key=projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY

  • Vorabversion: Wenn Sie ein neues Laufwerk aus einem regional verschlüsselten Snapshot erstellen möchten, verwenden Sie den gcloud compute disks create-Befehl und geben Sie die Region des Quell-Snapshots an.

    gcloud compute disks create DISK_NAME \
  --zone=ZONE \
  --source-snapshot=SNAPSHOT_NAME \
  --source-snapshot-region=SOURCE_REGION \
  --kms-key=projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY

Ersetzen Sie Folgendes:

  • DISK_NAME: Name des neuen Laufwerks

  • SNAPSHOT_NAME: der Name des verschlüsselten Snapshots

    Wenn Sie statt eines Snapshots ein Image verwenden möchten, ersetzen Sie --source-snapshot SNAPSHOT_NAME durch --image IMAGE_NAME.

  • KMS_PROJECT_ID: Optional: das Projekt, das den Cloud KMS-Schlüssel enthält

  • REGION: Optional: Region, in der sich der Cloud KMS-Schlüssel befindet

  • SOURCE_REGION: Die Region, auf die der Quell-Snapshot beschränkt ist

  • ZONE: Die Zone, in der sich das neue Laufwerk befindet

  • KEY_RING: Optional: der Schlüsselbund, der den Cloud KMS-Schlüssel enthält

  • KEY: Optional: der Name des Cloud KMS-Schlüssels, der zum Verschlüsseln des neuen Laufwerks verwendet werden soll

    Zum Verschlüsseln des neuen Laufwerks haben Sie folgende Möglichkeiten:

    • Verwenden Sie zum Angeben eines neuen vom Kunden verwalteten Verschlüsselungsschlüssels das Flag --kms-key.
    • Wenn Sie die Standardeinstellung Google-owned and Google-managed encryption keyverwenden möchten, geben Sie nicht das Flag --kms-key an.

REST

  • Erstellen Sie eine POST-Anfrage an die Methode compute.disks.insert, um ein neues Laufwerk aus einem global verschlüsselten Snapshot zu erstellen. Verwenden Sie das Attribut sourceSnapshot, um den Snapshot anzugeben.

    POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/disks

{
  "name": "DISK_NAME",
  "sourceSnapshot": "projects/SNAPSHOT_PROJECT_ID/global/snapshots/SNAPSHOT_NAME",
  "diskEncryptionKey": {
    "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
  }
}

  • Vorschau: Wenn Sie ein neues Laufwerk aus einem regional verschlüsselten Snapshot erstellen möchten, senden Sie eine POST-Anfrage an die Methode compute.disks.insert. Verwenden Sie das Attribut sourceSnapshot, um den Snapshot anzugeben.

    POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/disks

{
  "name": "DISK_NAME",
  "sourceSnapshot": "projects/SNAPSHOT_PROJECT_ID/regions/SOURCE_REGION/snapshots/SNAPSHOT_NAME",
  "type": "projects/PROJECT_ID/zones/ZONE/diskTypes/DISK_TYPE",
  "zone": "projects/PROJECT_ID/zones/ZONE"
  "diskEncryptionKey": {
    "kmsKeyName": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY"
  }
}

Ersetzen Sie Folgendes:

  • PROJECT_ID: Das Projekt, in dem das neue Laufwerk erstellt werden soll
  • ZONE: Die Zone, in der das neue Laufwerk erstellt werden soll
  • SOURCE_REGION: Die Region, auf die der Quell-Snapshot beschränkt ist
  • DISK_NAME: Der Name des neuen Laufwerks.
  • DISK_TYPE: Die vollständige oder partielle URL für den Typ des Laufwerks, z. B. PROJECT_ID/zones/ZONE/diskTypes/pd-ssd.
  • SNAPSHOT_PROJECT_ID: Das Projekt, das den Snapshot enthält

  • SNAPSHOT_NAME: Der Name des verschlüsselten Snapshots

    Wenn Sie statt eines Snapshots ein Image verwenden möchten, ersetzen Sie sourceSnapshot durch sourceImage.

  • KMS_PROJECT_ID: Optional: das Projekt, das den Cloud KMS-Schlüssel enthält

  • REGION: Optional: Region, in der sich der Cloud KMS-Schlüssel befindet

  • KEY_RING: Optional: der Schlüsselbund, der den Cloud KMS-Schlüssel enthält

  • KEY: Optional: der Name des Cloud KMS-Schlüssels, der zum Verschlüsseln des neuen Laufwerks verwendet werden soll

    Wenn Sie diskEncryptionKey angeben, wird das Laufwerk mit dem angegebenen Cloud KMS-Schlüssel verschlüsselt. Wenn Sie diskEncryptionKey nicht angeben, wird das Laufwerk mit einem Google-owned and Google-managed encryption keyverschlüsselt.

Mit CMEK verschlüsseltes Bootlaufwerk an eine neue VM anhängen

Console

  1. Rufen Sie in der Google Cloud Console die Seite Instanz erstellen auf.

    Zur Seite „Instanz erstellen“

  2. Geben Sie die VM-Details an und klicken Sie im Abschnitt Bootlaufwerk auf Ändern. Gehen Sie anschließend so vor:

    1. Klicken Sie auf Vorhandene Laufwerke.
    2. Wählen Sie in der Liste Laufwerk ein vorhandenes Laufwerk aus, um es an die VM anzuhängen.
    3. Klicken Sie auf Auswählen.

  3. Fahren Sie mit dem VM-Erstellungsprozess fort.

gcloud

Verwenden Sie den Befehl gcloud compute instances create, um beim Erstellen einer neuen VM ein verschlüsseltes Laufwerk anzuhängen. Verwenden Sie das Flag --disk, um das verschlüsselte Bootlaufwerk anzugeben, wie im folgenden Beispiel gezeigt:

gcloud compute instances create VM_NAME \
  ...
  --disk name=DISK_NAME,boot=yes

Ersetzen Sie Folgendes:

  • VM_NAME: der Name des Snapshots, den Sie erstellen
  • DISK_NAME: der Name des verschlüsselten Laufwerks

REST

Senden Sie eine POST-Anfrage an die Methode compute.instances.insert. Verwenden Sie das Attribut disks, um das verschlüsselte Bootlaufwerk anzugeben, wie im folgenden Beispiel gezeigt:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances
{
  ...
  "disks": [
    {
      "deviceName": "DISK_ALIAS",
      "source": "projects/PROJECT_ID/zones/ZONE/disks/DISK_NAME"
    }
  ]
}

Ersetzen Sie Folgendes:

  • PROJECT_ID: die Zone, in der die neue VM erstellt werden soll
  • ZONE ist die Zone, in der die neue VM erstellt werden soll.
  • DISK_ALIAS: ein eindeutiger Gerätename, der als Laufwerkalias im Verzeichnis /dev/disk/by-id/google-* der VM verwendet werden soll, auf der ein Linux-Betriebssystem ausgeführt wird. Mit diesem Namen kann das Laufwerk z. B. aus der Instanz heraus bereitgestellt oder in der Größe angepasst werden. Wenn Sie keinen Gerätenamen angeben, wählt die VM einen Standardgerätenamen aus, der auf dieses Laufwerk angewendet werden soll. Er hat das Format persistent-disk-x, wobei x eine Nummer ist, die von der Compute Engine zugewiesen werden kann. Dieses Feld gilt nur für Persistent Disk-Volumes.
  • DISK_NAME: der Name des verschlüsselten Laufwerks

Cloud KMS-Verschlüsselungsschlüssel aus Persistent Disk entfernen

Sie können den Inhalt eines verschlüsselten Laufwerks entschlüsseln und ein neues Laufwerk erstellen, das stattdessen die Standardverschlüsselung von Google Cloud verwendet. Standardmäßig verschlüsselt Google Cloudalle inaktiven Daten.

  1. Erstellen Sie einen Snapshot des verschlüsselten Laufwerks.
  2. Verwenden Sie den neuen verschlüsselten Snapshot, um einen neuen nichtflüchtigen Speicher zu erstellen.

Nachdem Sie die neue Persistent Disk erstellt haben, werden die Inhalte des Laufwerks durch die Google Cloud -Standardverschlüsselung geschützt. Auch die Snapshots, die Sie von diesem Laufwerk erstellen, müssen die Standardverschlüsselung verwenden.

Cloud KMS-Verschlüsselungsschlüssel für ein Laufwerk rotieren

Rotieren Sie den Schlüssel, der zum Verschlüsseln des Laufwerks verwendet wird, indem Sie ein neues Laufwerk erstellen, das eine neue Cloud KMS-Schlüsselversion verwendet. Das Rotieren von Schlüsseln ist eine Best Practice zur Einhaltung standardisierter Sicherheitsverfahren. So rotieren Sie Ihre Schlüssel:

  1. Rotieren Sie Ihre Cloud KMS-Schlüssel.
  2. Erstellen Sie einen Snapshot des verschlüsselten Laufwerks.
  3. Verwenden Sie den neuen Snapshot, um ein neues Laufwerk mit dem im vorherigen Schritt rotierten Schlüssel zu erstellen.
  4. Ersetzen Sie das mit Ihrer VM verbundene Laufwerk, das den alten Verschlüsselungsschlüssel verwendet.

Beim Erstellen des neuen Laufwerks wird die neue Schlüsselversion für die Verschlüsselung verwendet. Alle Snapshots, die Sie von diesem Laufwerk erstellen, verwenden die neueste Primärschlüsselversion.

Wenn Sie einen Schlüssel rotieren, werden Daten, die mit früheren Schlüsselversionen verschlüsselt wurden, nicht automatisch neu verschlüsselt. Weitere Informationen finden Sie unter Daten neu verschlüsseln. Durch das Rotieren eines Schlüssels wird eine vorhandene Schlüsselversion nicht automatisch deaktiviert oder gelöscht.

CMEK deaktivieren oder löschen

Wenn Sie einen CMEK nicht mehr benötigen oder seine Verwendung verhindern möchten, löschen oder deaktivieren Sie den Schlüssel. Das Löschen, Deaktivieren oder Entfernen von IAM-Berechtigungen für einen Schlüssel wird auch als Widerrufen des Schlüssels bezeichnet.

Auswirkungen des Schlüsselwiderrufs auf verschlüsselte Ressourcen

Wenn Sie einen Verschlüsselungsschlüssel widerrufen, sind die Ressourcen, die durch den Schlüssel geschützt werden, folgendermaßen betroffen:

  • Sie können eine VM nicht starten, wenn für eines der angehängten Laufwerke die Schlüssel widerrufen wurden.
  • Wenn ein Laufwerk, für das der Schlüssel verwendet wird, an eine laufende VM angehängt ist und Sie für die VM die Shutdown-Funktion von VMs bei Widerrufen des Schlüssels aktiviert haben, fährt Compute Engine die VM innerhalb von sieben Stunden herunter.
  • Sie können ein Laufwerk mit einem widerrufenen Schlüssel nicht an eine VM anhängen oder einen Snapshot des Laufwerks erstellen.
  • Sie können keine Laufwerke aus Images oder Snapshots erstellen, die mit widerrufenen Schlüsseln verschlüsselt sind.

Wenn Sie den Schlüssel deaktivieren, können Sie die vorherigen Auswirkungen durch Aktivieren des Schlüssels umkehren. Wenn Sie den Schlüssel löschen, können Sie die vorherigen Effekte nicht umkehren.

Herunterfahren einer VM beim Widerrufen von Cloud KMS-Schlüsseln konfigurieren

Sie können eine VM so konfigurieren, dass sie automatisch heruntergefahren wird, wenn Sie den Cloud KMS-Schlüssel widerrufen, durch den ein an die VM angehängtes Laufwerk geschützt wird. Sie können einen Schlüssel widerrufen, indem Sie ihn deaktivieren oder löschen. Wenn diese Einstellung aktiviert ist, fährt die VM innerhalb von 7 Stunden nach dem Widerrufen des Schlüssels herunter.

Wenn Sie den Schlüssel wieder aktivieren, können Sie die VM mit dem angehängten Laufwerk neu starten, das durch den Schlüssel geschützt wird. Die VM wird nach der Aktivierung des Schlüssels nicht automatisch neu gestartet.

Console

So konfigurieren Sie eine VM zum Herunterfahren, wenn ein Cloud KMS-Schlüssel widerrufen wird:

  1. Beginnen Sie mit dem Erstellen einer VM, die ein Laufwerk enthält, das durch einen Cloud KMS-Schlüssel geschützt ist.
  2. Öffnen Sie das Menü Netzwerk, Laufwerke, Sicherheit, Verwaltung, einzelne Mandanten.
  3. Maximieren Sie den Bereich Verwaltung.
  4. Wählen Sie unter Widerrufsrichtlinie für vom Kunden verwalteten Verschlüsselungsschlüssel (CMEK) die Option Herunterfahren aus.

gcloud

Verwenden Sie den Befehl gcloud compute instances create, um eine VM zu erstellen, und fügen Sie --key-revocation-action-type=stop ein.

gcloud compute instances create VM_NAME \
  --image IMAGE \
  --key-revocation-action-type=stop

REST

Verwenden Sie die Methode instances.insert, um eine VM zu erstellen, und setzen Sie das Attribut "keyRevocationActionType" auf "STOP". Im folgenden Beispiel wird die VM aus einem öffentlichen Image erstellt.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
  "machineType": "zones/MACHINE_TYPE_ZONE/machineTypes/MACHINE_TYPE",
  "name": "VM_NAME",
  "disks": [
    {
      "initializeParams": {
        "sourceImage": "projects/IMAGE_PROJECT/global/images/IMAGE"
      },
      "boot": true
    }
  ],
  "keyRevocationActionType": "STOP"
}

Alternativ können Sie eine Instanzvorlage konfigurieren, um VMs zu erstellen, die beim Widerrufen des Schlüssels heruntergefahren werden. Dazu nutzen Sie die Google Cloud CLI oder REST.

Console

Mit einer Instanzvorlage können Sie VMs erstellen, die heruntergefahren werden, wenn ein Cloud KMS-Schlüssel widerrufen wird.

  1. Erstellen Sie eine neue Instanzvorlage, die ein Laufwerk enthält, das durch einen Cloud KMS-Schlüssel geschützt ist.
  2. Öffnen Sie das Menü Netzwerk, Laufwerke, Sicherheit, Verwaltung, einzelne Mandanten.
  3. Maximieren Sie den Bereich Verwaltung.
  4. Wählen Sie unter Widerrufsrichtlinie für vom Kunden verwalteten Verschlüsselungsschlüssel (CMEK) die Option Herunterfahren aus.

gcloud

Erstellen Sie mit dem Befehl gcloud compute instance-templates create eine Instanzvorlage und fügen Sie dabei --key-revocation-action-type=stop ein.

gcloud compute instance-templates create INSTANCE_TEMPLATE_NAME \
  --key-revocation-action-type=stop

REST

Senden Sie eine POST-Anfrage an die Methode instanceTemplates.insert. Im Anfragetext müssen Sie alle erforderlichen Konfigurationsfelder explizit definieren. Wenn Sie möchten, dass VMs, die aus dieser Vorlage erstellt werden, bei Widerrufen des Schlüssels heruntergefahren werden, geben Sie "keyRevocationActionType":"STOP" an. Eine Instanzvorlage mit den minimal erforderlichen Feldangaben zum Erstellen von VMs, die beim Widerrufen des Schlüssels heruntergefahren werden, sieht beispielsweise so aus:

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instanceTemplates

{
  "name": "example-template",
  "properties": {
  "machineType": "e2-standard-4",
  "networkInterfaces": [
    {
      "network": "global/networks/default",
      "accessConfigs": [
        {
          "name": "external-IP",
          "type": "ONE_TO_ONE_NAT"
        }
      ]
    }
  ],
  "disks":
  [
    {
      "type": "PERSISTENT",
      "boot": true,
      "mode": "READ_WRITE",
      "initializeParams":
      {
        "sourceImage": "projects/debian-cloud/global/images/family/debian-11"
      }
    }
  ],
  "keyRevocationActionType": "STOP"
  }
}

Nachdem Sie eine VM erstellt haben, die für das Herunterfahren bei einem Cloud KMS-Widerruf konfiguriert ist, erstellen Sie eine Persistent Disk, die mit einem Cloud KMS-Schlüssel verschlüsselt ist, und hängen Sie sie an.