Informationen zur Laufwerksverschlüsselung

Standardmäßig verschlüsselt Compute Engine inaktive Kundendaten. Compute Engine verwendet automatisch Google-owned and Google-managed encryption keys, um Ihre Daten zu verschlüsseln.

Sie können die Verschlüsselung, die Compute Engine für Ihre Ressourcen verwendet, jedoch anpassen, indem Sie Schlüsselverschlüsselungsschlüssel (Key Encryption Keys, KEKs) bereitstellen. Schlüsselverschlüsselungsschlüssel verschlüsseln nicht direkt Ihre Daten, sondern dieGoogle-owned and managed keys , die Compute Engine zum Verschlüsseln Ihrer Daten verwendet.

Sie haben zwei Möglichkeiten, Schlüsselverschlüsselungsschlüssel bereitzustellen:

  • Empfohlen. Verwenden Sie vom Kunden verwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEKs) in Cloud KMS mit Compute Engine. Mit Cloud KMS-Schlüsseln haben Sie die Kontrolle über Schutzlevel, Speicherort, Rotationszeitplan, Nutzungs- und Zugriffsberechtigungen sowie über kryptografische Grenzen. Mit Cloud KMS können Sie außerdem die Schlüsselnutzung im Blick behalten, Audit-Logs aufrufen und den Lebenszyklus von Schlüsseln steuern. Statt es Google zu überlassen, die symmetrischen Schlüsselverschlüsselungsschlüssel (Key Encryption Keys, KEKs) zum Schutz Ihrer Daten zu steuern und zu verwalten, können Sie diese auch über Cloud KMS steuern und verwalten.

    Sie können CMEKs manuell erstellen oder Cloud KMS Autokey verwenden, um sie automatisch erstellen zu lassen.

    In den meisten Fällen müssen Sie den Schlüssel nach dem Erstellen eines CMEK-verschlüsselten Laufwerks nicht angeben, wenn Sie mit dem Laufwerk arbeiten.

  • Sie können Ihre eigenen Schlüsselverschlüsselungsschlüssel außerhalb von Compute Engine verwalten und den Schlüssel bei jedem Erstellen oder Verwalten eines Laufwerks angeben. Diese Option wird als vom Kunden bereitgestellte Verschlüsselungsschlüssel (CSEKs) bezeichnet. Wenn Sie mit CSEK verschlüsselte Ressourcen verwalten, müssen Sie immer den Schlüssel angeben, den Sie beim Verschlüsseln der Ressource verwendet haben.

Weitere Informationen zu den einzelnen Verschlüsselungstypen finden Sie unter Vom Kunden verwaltete Verschlüsselungsschlüssel und Vom Kunden bereitgestellte Verschlüsselungsschlüssel.

Wenn Sie Ihren Hyperdisk Balanced-Laufwerken eine zusätzliche Sicherheitsebene hinzufügen möchten, aktivieren Sie den vertraulichen Modus. Im vertraulichen Modus wird Ihren Hyperdisk Balanced-Laufwerken eine hardwarebasierte Verschlüsselung hinzugefügt.

Unterstützte Laufwerktypen

In diesem Abschnitt werden die unterstützten Verschlüsselungstypen für Laufwerke und andere Speicheroptionen aufgeführt, die von Compute Engine angeboten werden.

  • Persistent Disk-Volumes unterstützenGoogle-owned and managed keys, CMEKs und CSEKs.

  • Google Cloud Hyperdisk unterstützt CMEKs undGoogle-owned and managed keys. Sie können keine CSEKs zum Verschlüsseln von Hyperdisks verwenden.

  • Lokale SSDs unterstützen nurGoogle-owned and managed keys. Sie können keine vom Kunden bereitgestellten Verschlüsselungsschlüssel (CSEKs) oder vom Kunden verwalteten Verschlüsselungsschlüssel (CMEKs) verwenden, um lokale SSD-Laufwerke zu verschlüsseln.

  • Festplattenklone und Maschinen-Images unterstützenGoogle-owned and managed keys, CMEKs und CSEKs.

  • Standard-Snapshots und Instant Snapshots unterstützenGoogle-owned and managed keys, CMEKs und CSEKs.

CMEK mit Cloud KMS Autokey

Wenn Sie Cloud KMS-Schlüssel zum Schutz Ihrer Compute Engine-Ressourcen verwenden möchten, können Sie CMEKs entweder manuell erstellen oder Cloud KMS Autokey verwenden, um die Schlüssel zu erstellen. Mit Autokey werden Schlüsselbunde und Schlüssel bei der Ressourcenerstellung in Compute Engine auf Anfrage generiert. Dienst-Agents, die die Schlüssel für Verschlüsselungs- und Entschlüsselungsvorgänge verwenden, werden erstellt, falls sie noch nicht vorhanden sind, und erhalten dann die erforderlichen IAM-Rollen (Identity and Access Management). Weitere Informationen finden Sie unter Übersicht: Autokey.

Informationen zum Schutz Ihrer Compute Engine-Ressourcen mit von Cloud KMS Autokey erstellten CMEKs finden Sie unter Autokey mit Compute Engine-Ressourcen verwenden.

Snapshots

Wenn Sie mit Autokey Schlüssel zum Schutz Ihrer Compute Engine-Ressourcen erstellen, werden keine neuen Schlüssel für Snapshots erstellt. Sie müssen einen Snapshot mit demselben Schlüssel verschlüsseln, der zum Verschlüsseln des Quelllaufwerks verwendet wurde. Wenn Sie einen Snapshot über die Google Cloud Console erstellen, wird der vom Laufwerk verwendete Verschlüsselungsschlüssel automatisch auf den Snapshot angewendet. Wenn Sie einen Snapshot mit der gcloud CLI, Terraform oder der Compute Engine API erstellen, müssen Sie den Ressourcen-Identifier des Schlüssels abrufen, mit dem das Laufwerk verschlüsselt wurde, und diesen Schlüssel dann zum Verschlüsseln des Snapshots verwenden.

Laufwerke mit vom Kunden verwalteten Verschlüsselungsschlüsseln verschlüsseln

Weitere Informationen zur Verwendung von manuell erstellten vom Kunden verwalteten Verschlüsselungsschlüsseln (CMEK) zum Verschlüsseln von Laufwerken und anderen Compute Engine-Ressourcen finden Sie unter Ressourcen mit Cloud KMS-Schlüsseln schützen.

Laufwerke mit vom Kunden bereitgestellten Verschlüsselungsschlüsseln verschlüsseln

Informationen zum Verschlüsseln von Laufwerken und anderen Compute Engine-Ressourcen mit vom Kunden bereitgestellten Verschlüsselungsschlüsseln (Customer-Supplied Encryption Keys, CSEK) finden Sie unter Laufwerke mit vom Kunden bereitgestellten Verschlüsselungsschlüsseln verschlüsseln.

Informationen zur Verschlüsselung eines Laufwerks ansehen

Laufwerke in Compute Engine werden mit einem der folgenden Verschlüsselungsschlüssel verschlüsselt:

  • Google-owned and managed keys
  • Vom Kunden verwaltete Verschlüsselungsschlüssel (CMEKs)
  • Vom Kunden bereitgestellte Verschlüsselungsschlüssel (Customer-Supplied Encryption Keys, CSEKs)

Standardmäßig verwendet Compute Engine Google-owned and managed keys.

Sie können den Verschlüsselungstyp eines Laufwerks mit der gcloud CLI, der Google Cloud Console oder der Compute Engine API aufrufen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Laufwerke auf.

    Zur Seite „Laufwerke“

  2. Klicken Sie in der Spalte Name auf den Namen des Laufwerks.

  3. In der Tabelle Attribute gibt die Zeile mit der Bezeichnung Verschlüsselung den Typ der Verschlüsselung an: von Google verwaltet, vom Kunden verwaltet oder vom Kunden bereitgestellt.

gcloud

  1. In the Google Cloud console, activate Cloud Shell.

    Activate Cloud Shell

    At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

  2. Führen Sie folgenden gcloud compute disks describe-Befehl aus:

        gcloud compute disks describe DISK_NAME \
      --zone=ZONE \
      --format="json(diskEncryptionKey)"

    Ersetzen Sie Folgendes:

    • PROJECT_ID: durch Ihre Projekt-ID.
    • ZONE: durch die Zone, in der sich der nichtflüchtige Speicher befindet.

    • DISK_NAME: der Name des Laufwerks

      Befehlsausgabe

      Wenn die Ausgabe null ist, verwendet das Laufwerk eine Google-owned and managed key.

      Andernfalls ist die Ausgabe ein JSON-Objekt.

      Wenn das JSON-Objekt ein Feld namens diskEncryptionKey enthält, ist das Laufwerk verschlüsselt. Das diskEncryptionKey-Objekt enthält Informationen dazu, ob das Laufwerk CMEK- oder CSEK-verschlüsselt ist:

      • Wenn das Attribut diskEncryptionKey.kmsKeyName vorhanden ist, ist das Laufwerk CMEK-verschlüsselt. Das Attribut kmsKeyName gibt den Namen des spezifischen Schlüssels an, der zum Verschlüsseln des Laufwerks verwendet wurde: 
        {
  "diskEncryptionKey": {
    "kmsKeyName": "projects/my-proj/.."
  }
}
      • Wenn das Attribut diskEncryptionKey.sha256 vorhanden ist, ist das Laufwerk CSEK-verschlüsselt. Das Attribut sha256 ist der SHA‑256-Hash des vom Kunden bereitgestellten Verschlüsselungsschlüssels, der das Laufwerk schützt. 
          {
    "diskEncryptionKey": {
      "sha256": "abcdefghijk134560459345dssfd"
    }
  }

    3. REST

    Stellen Sie eine POST-Anfrage an die Methode compute.disks.get.

        POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/disks/DISK_NAME

    Ersetzen Sie Folgendes:

    • PROJECT_ID: durch Ihre Projekt-ID.
    • ZONE: durch die Zone, in der sich der nichtflüchtige Speicher befindet.
    • DISK_NAME: Name des Laufwerks

    Anfrageantwort

    Wenn die Antwort null ist, verwendet das Laufwerk eine Google-owned and managed key.

    Andernfalls ist die Antwort ein JSON-Objekt.

    Wenn das JSON-Objekt ein Feld namens diskEncryptionKey enthält, ist das Laufwerk verschlüsselt. Das diskEncryptionKey-Objekt enthält Informationen dazu, ob das Laufwerk CMEK- oder CSEK-verschlüsselt ist:

    • Wenn das Attribut diskEncryptionKey.kmsKeyName vorhanden ist, ist das Laufwerk CMEK-verschlüsselt. Das Attribut kmsKeyName gibt den Namen des spezifischen Schlüssels an, der zum Verschlüsseln des Laufwerks verwendet wurde: 
      {
  "diskEncryptionKey": {
    "kmsKeyName": "projects/my-proj/.."
  }
}
    • Wenn das Attribut diskEncryptionKey.sha256 vorhanden ist, ist das Laufwerk CSEK-verschlüsselt. Das Attribut sha256 ist der SHA‑256-Hash des vom Kunden bereitgestellten Verschlüsselungsschlüssels, der das Laufwerk schützt. 
        {
    "diskEncryptionKey": {
      "sha256": "abcdefghijk134560459345dssfd"
    }
  }

Wenn das Laufwerk CMEKs verwendet, können Sie detaillierte Informationen über den Schlüssel, den Schlüsselbund und den Speicherort finden, indem Sie die Schritte unter Schlüssel nach Projekt ansehen ausführen.

Wenn auf dem Laufwerk CSEKs verwendet werden, wenden Sie sich an den Administrator Ihrer Organisation, um Informationen zum Schlüssel zu erhalten. Mit CMEK können Sie auch sehen, welche Ressourcen mit dem Tracking der Schlüsselnutzung durch diesen Schlüssel geschützt werden. Weitere Informationen finden Sie unter Schlüsselnutzung ansehen.

Vertraulicher Modus für Hyperdisk Balanced

Wenn Sie Confidential Computing verwenden, können Sie die hardwarebasierte Verschlüsselung auf Ihre Hyperdisk Balanced-Volumes ausweiten, indem Sie den Modus „Vertraulich“ aktivieren.

Mit dem vertraulichen Modus für Ihre Hyperdisk Balanced-Volumes können Sie zusätzliche Sicherheit aktivieren, ohne die Anwendung umzugestalten. Der vertrauliche Modus ist eine Eigenschaft, die Sie beim Erstellen eines neuen Hyperdisk Balanced-Volumes angeben können.

Hyperdisk Balanced-Volumes im Modus „Vertraulich“ können nur mit Confidential VMs verwendet werden.

Wenn Sie ein Hyperdisk Balanced-Volume im vertraulichen Modus erstellen möchten, folgen Sie der Anleitung unter Hyperdisk Balanced-Volume im Modus „Vertraulich“ erstellen.

Unterstützte Maschinentypen für Hyperdisk Balanced-Volumes im Modus „Vertraulich“

Hyperdisk Balanced-Volumes im vertraulichen Modus können nur mit Confidential VMs verwendet werden, die den N2D-Maschinentyp verwenden.

Unterstützte Regionen für Hyperdisk Balanced-Volumes im Modus „Vertraulich“

Der Modus „Vertraulich“ für Hyperdisk Balanced-Volumes ist in den folgenden Regionen verfügbar:

  • europe-west4
  • us-central1
  • us-east4
  • us-east5
  • us-south1
  • us-west4

Einschränkungen für Hyperdisk Balanced-Volumes im vertraulichen Modus

  • Der Modus „Vertraulich“ wird für Hyperdisk Extreme, Hyperdisk Throughput, Hyperdisk ML und Hyperdisk Balanced High Availability nicht unterstützt.
  • Sie können eine VM, die Hyperdisk Balanced-Volumes im Modus „Vertraulich“ verwendet, nicht anhalten oder fortsetzen.
  • Sie können Hyperdisk Storage Pools nicht mit Hyperdisk Balanced-Volumes im Modus „Vertraulich“ verwenden.
  • Sie können kein Maschinen-Image oder benutzerdefiniertes Image aus einem Hyperdisk Balanced-Volume im Modus „Vertraulich“ erstellen.

Nächste Schritte