Autokey – Übersicht

Cloud KMS Autokey vereinfacht das Erstellen und Verwenden einer vom Kunden verwalteten Verschlüsselung Schlüssel (CMEKs) durch automatisierte Bereitstellung und Zuweisung. Mit Autokey, Schlüsselbunde und Schlüssel werden bei Bedarf generiert. Dienstkonten, die die Schlüssel zum Verschlüsseln und Entschlüsseln von Ressourcen verwenden, werden erstellt und erhalten bei Bedarf IAM-Rollen (Identity and Access Management). Cloud KMS-Administratoren behalten die vollständige Kontrolle und Sichtbarkeit für von Autokey erstellte Schlüssel, ohne die jede Ressource im Voraus planen und erstellen müssen.

Wenn Sie von Autokey generierte Schlüssel verwenden, können Sie die Branchenstandards und empfohlenen Praktiken für die Datensicherheit konsequent einhalten, einschließlich des HSM-Schutzniveaus, der Aufgabentrennung, der Schlüsselrotation, des Speicherorts und der Schlüsselspezifität. Autokey erstellt Schlüssel, die sowohl allgemeinen als auch spezifischen Richtlinien für den Ressourcentyp für Google Cloud-Dienste entsprechen, die in Cloud KMS Autokey eingebunden sind. Nachdem sie erstellt wurden, die über die Autokey-Funktion angefragt wurde, Cloud HSM-Schlüssel mit denselben Einstellungen.

Autokey kann auch die Nutzung von Terraform für die Schlüsselverwaltung vereinfachen. Wegfall der Notwendigkeit, Infrastruktur als Code mit umfassender Schlüsselerstellung auszuführen Berechtigungen.

Wenn Sie Autokey verwenden möchten, benötigen Sie eine Organisationsressource mit einer Ordnerressource. Weitere Informationen zu Organisations- und Ordnerressourcen Siehe Ressourcenhierarchie.

Cloud KMS Autokey ist an allen Google Cloud-Standorten verfügbar, in denen Cloud HSM ist verfügbar. Weitere Informationen zu Cloud KMS-Standorten finden Sie unter Cloud KMS-Standorte. Es gibt keine zusätzliche Kosten für die Nutzung von Cloud KMS Autokey. Mit Autokey erstellte Schlüssel kosten genauso viel wie andere Cloud HSM-Schlüssel. Weitere Informationen zu den Preisen finden Sie unter Cloud Key Management Service – Preise.

So funktioniert Autokey

In diesem Abschnitt wird die Funktionsweise von Cloud KMS Autokey erläutert. An diesem Prozess sind die folgenden Nutzerrollen beteiligt:

Sicherheitsadministrator
Der Sicherheitsadministrator ist ein Nutzer, der für die Verwaltung der Sicherheit auf Ordner- oder Organisationsebene verantwortlich ist.
Autokey-Entwickler
Der Autokey-Entwickler ist ein Nutzer, der für das Erstellen von Ressourcen mit Cloud KMS Autokey verantwortlich ist.
Cloud KMS-Administrator
Der Cloud KMS-Administrator ist ein Nutzer, der für die Verwaltung von Cloud KMS-Ressourcen verantwortlich ist. Diese Rolle hat bei der Verwendung von Autokey weniger Aufgaben als bei der Verwendung von manuell erstellten Schlüsseln.

Die folgenden Kundenservicemitarbeiter sind ebenfalls an diesem Prozess beteiligt:

Cloud KMS-Dienst-Agent
Der Dienst-Agent für Cloud KMS in einer eines bestimmten Schlüsselprojekts. Autokey setzt voraus, dass dieser Dienst-Agent erweiterte Berechtigungen zum Erstellen von Cloud KMS-Schlüsseln und Schlüsselbünden sowie zum Festlegen von IAM-Richtlinien für die Schlüssel hat, um jedem Ressourcen-Dienst-Agenten Berechtigungen zum Verschlüsseln und Entschlüsseln zu gewähren.
Ressourcendienst-Agent
Der Dienst-Agent für einen bestimmten Dienst in einem bestimmten Ressourcenprojekts an. Dieser Dienst-Agent muss Verschlüsselungs- und Entschlüsselungsrechte haben Berechtigungen für einen Cloud KMS-Schlüssel erteilt, bevor er diesen für CMEK-Schutz für eine Ressource. Autokey erstellt bei Bedarf den Ressourcen-Dienst-Agent und gewährt ihm die erforderlichen Berechtigungen zur Verwendung des Cloud KMS-Schlüssels.

Der Sicherheitsadministrator aktiviert Cloud KMS Autokey

Bevor Sie Autokey verwenden können, muss der Sicherheitsadministrator die folgenden einmaligen Einrichtungsaufgaben ausführen:

  1. Aktivieren Sie Cloud KMS Autokey für einen Ressourcenordner und identifizieren Sie den Cloud KMS-Projekt, das Autokey-Ressourcen für in diesem Ordner.

  2. Erstellen Sie den Cloud KMS-Dienst-Agent und gewähren Sie ihm Berechtigungen zum Erstellen und Zuweisen von Schlüsseln.

  3. Gewähren Sie Nutzern von Autokey-Entwicklern Autokey-Nutzerrollen.

Wenn diese Konfiguration abgeschlossen ist, können Autokey-Entwickler jetzt On-Demand-Erstellung von Cloud HSM-Schlüsseln Eine vollständige Anleitung zur Einrichtung von Cloud KMS Autokey finden Sie unter Cloud KMS Autokey aktivieren.

Autokey-Entwickler verwenden Cloud KMS Autokey

Nachdem Autokey erfolgreich eingerichtet wurde, autorisiert Autokey Entwickler können jetzt Ressourcen erstellen, die mit für sie erstellten Schlüsseln geschützt sind on demand. Die Details des Ressourcenerstellungsprozesses hängen davon ab, welche Ressource Sie erstellen. Der Prozess verläuft jedoch so:

  1. Der Autokey-Entwickler beginnt mit dem Erstellen einer Ressource in einem kompatiblen Google Cloud-Dienst. Beim Erstellen der Ressource fordert der Entwickler einen neuen Schlüssel vom Autokey-Dienst-Agent an.

  2. Der Autokey-Dienst-Agent empfängt die Anfrage des Entwicklers und führt folgende Schritte aus:

    1. Erstellen Sie im Schlüsselprojekt am ausgewählten Standort einen Schlüsselbund, sofern dieser nicht bereits vorhanden ist.
    2. Erstellen Sie einen Schlüssel im Schlüsselbund mit der entsprechenden Detailebene für den Ressourcentyp, sofern noch kein solcher Schlüssel vorhanden ist.
    3. Erstellen Sie ein Dienstkonto pro Projekt und Dienst, sofern dieses Dienstkonto noch nicht vorhanden ist.
    4. Gewähren Sie dem projekt- und dienstspezifischen Dienstkonto Berechtigungen zum Verschlüsseln und Entschlüsseln des Schlüssels.
    5. Geben Sie die wichtigsten Details an den Entwickler weiter, damit er die Erstellung abschließen kann .

  3. Wenn Schlüsseldetails vom Autokey-Dienst erfolgreich zurückgegeben wurden -Agent kann der Entwickler das Erstellen der geschützten Ressource sofort abschließen.

Cloud KMS Autokey erstellt Schlüssel mit den im nächsten Abschnitt beschriebenen Attributen. Bei diesem Ablauf zum Erstellen von Schlüsseln wird die Aufgabentrennung gewahrt. Cloud KMS hat der Administrator weiterhin volle Transparenz und Kontrolle über die Schlüssel, die von Autokey.

Informationen dazu, wie Sie Autokey nach der Aktivierung für einen Ordner verwenden, finden Sie unter Geschützte Ressourcen mit Cloud KMS Autokey erstellen.

Von Autokey erstellte Schlüssel

Von Cloud KMS Autokey erstellte Schlüssel haben die folgenden Attribute:

  • Schutzniveau: HSM
  • Algorithmus: AES-256 GCM.

  • Rotationszeitraum: Ein Jahr

    Nachdem ein Schlüssel von Autokey erstellt wurde, kann ein Cloud KMS-Administrator den Rotationszeitraum vom Standardwert bearbeiten.

  • Aufgabentrennung:
    • Dem Dienstkonto für den Dienst werden automatisch Berechtigungen zum Verschlüsseln und Entschlüsseln des Schlüssels gewährt.
    • Cloud KMS-Administratorberechtigungen werden wie gewohnt auf Schlüssel angewendet von Autokey erstellt. Cloud KMS-Administratoren können von Autokey erstellte Schlüssel aufrufen, aktualisieren, aktivieren oder deaktivieren und löschen. Cloud KMS-Administratoren werden nicht Verschlüsselungs- und Entschlüsselungsberechtigungen.
    • Autokey-Entwickler können nur die Schlüsselerstellung und der Zuweisung an. Sie können Schlüssel weder ansehen noch verwalten.
  • Schlüsselspezifität oder Detaillierung: Die Detaillierung von Autokey-Schlüsseln variiert je nach Ressourcentyp. Für dienstspezifische Details zum Detaillierungsgrad von Schlüsseln finden Sie auf dieser Seite unter Kompatible Dienste.

  • Speicherort:Autokey erstellt Schlüssel am selben Speicherort wie die zu schützende Ressource.

    Wenn Sie CMEK-geschützte Ressourcen an Standorten erstellen müssen, an denen Cloud HSM ist nicht verfügbar. Sie müssen Ihren CMEK manuell erstellen.

  • Status der Schlüsselversion: Neu erstellte Schlüssel, die mit Autokey angefordert werden, werden als Primärschlüsselversion im aktivierten Status erstellt.
  • Schlüsselbundbenennung:Alle von Autokey erstellten Schlüssel werden in einer Schlüsselbund namens autokey im Autokey-Projekt im ausgewählten Standort. Schlüsselringe in Ihrem Autokey-Projekt werden erstellt, wenn ein Autokey-Entwickler den ersten Schlüssel an einem bestimmten Standort anfordert.
  • Schlüsselbenennung: Von Autokey erstellte Schlüssel folgen dieser Benennungskonvention: PROJECT_NUMBER-SERVICE_SHORT_NAME-RANDOM_HEX
  • Schlüsselexport: Wie bei allen Cloud KMS-Schlüsseln werden auch die von Autokey kann nicht exportiert werden.
  • Schlüssel-Tracking: Wie alle Cloud KMS-Schlüssel, die in den CMEK verwendet werden die mit Schlüssel-Tracking, Schlüsseln die von Autokey erstellt wurden, werden im Cloud KMS-Dashboard verfolgt.

Autokey erzwingen

Wenn Sie die Verwendung von Autokey in einem Ordner erzwingen möchten, können Sie IAM-Zugriffssteuerungen mit CMEK-Organisationsrichtlinien kombinieren. Dabei werden Berechtigungen für die Schlüsselerstellung von anderen Hauptkonten entfernt als dem für den Autokey-Dienst-Agent erforderlich ist, durch einen CMEK mit dem Autokey-Schlüsselprojekt geschützt. Eine ausführliche Anleitung zum Erzwingen der Verwendung von Autokey finden Sie unter Verwendung von Autokey erzwingen.

Kompatible Dienste

In der folgenden Tabelle sind Dienste aufgeführt, die mit Cloud KMS Autokey kompatibel sind:

Dienst Geschützte Ressourcen Detaillierungsgrad des Schlüssels
Cloud Storage
  • storage.googleapis.com/Bucket

Objekte innerhalb eines Storage-Bucket verwendet den Bucket-Standardschlüssel. Autokey erstellt nicht Schlüssel für storage.object Ressource.

 Ein Schlüssel pro Bucket
Compute Engine
  • compute.googleapis.com/Disk
  • compute.googleapis.com/Image
  • compute.googleapis.com/Instance
  • compute.googleapis.com/MachineImage

Für Snapshots wird der Schlüssel für das Laufwerk verwendet, von dem Sie einen Snapshot erstellen. Autokey erstellt keine Schlüssel für compute.snapshot-Ressourcen.

 Ein Schlüssel pro Ressource
BigQuery
  • bigquery.googleapis.com/Dataset

Autokey erstellt Standardschlüssel für Datasets. Tabellen, Modelle, Abfragen und temporäre Tabellen innerhalb eines Datasets verwenden den Standardschlüssel des Datasets.

Autokey erstellt keine Schlüssel für BigQuery-Ressourcen als Datasets. Zum Schutz von Ressourcen, die nicht Teil eines Dataset ist, müssen Sie Ihre eigenen Standardschlüssel im Projekt oder Organisationsebene.

 Ein Schlüssel pro Ressource
Secret Manager
  • secretmanager.googleapis.com/Secret

Secret Manager ist nur mit Cloud KMS Autokey kompatibel wenn Sie Ressourcen mit Terraform oder der REST API erstellen.

 Ein Schlüssel pro Standort innerhalb eines Projekts
Cloud SQL
  • sqladmin.googleapis.com/Instance

Autokey erstellt keine Schlüssel für Cloud SQL-BackupRun-Ressourcen. Wenn Sie eine Sicherung einer Cloud SQL-Instanz wird die Sicherung mit der primären Instanz verschlüsselt, des vom Kunden verwalteten Schlüssels der Instanz.

Cloud SQL ist nur mit Cloud KMS Autokey kompatibel wenn Sie Ressourcen mit Terraform oder der REST API erstellen.

 Ein Schlüssel pro Ressource
Spanner
  • spanner.googleapis.com/Database

Spanner ist nur dann mit Cloud KMS Autokey kompatibel, wenn Ressourcen mit Terraform oder der REST API erstellt werden.

 Ein Schlüssel pro Ressource

Beschränkungen

  • Die gcloud CLI ist für Autokey-Ressourcen nicht verfügbar.
  • Schlüssel-Handles sind nicht in Cloud Asset Inventory verfügbar.

Nächste Schritte