Überblick

Diese Seite bietet einen Überblick über Key Access Justifications. Mit Key Access Justifications können Sie eine Richtlinie für Cloud KMS-Schlüssel (Cloud Key Management Service) festlegen, um Schlüsselzugriffsanfragen abhängig vom angegebenen Begründungscode anzusehen, zu genehmigen und abzulehnen. Für ausgewählte Partner für die externe Schlüsselverwaltung können Sie Richtlinien für Key Access Justifications außerhalb von Google Cloud so konfigurieren, dass sie ausschließlich vom External Key Manager und nicht von Cloud KMS erzwungen werden. Key Access Justifications funktioniert mit den folgenden Cloud KMS-Schlüsseltypen, je nachdem, welches Assured Workloads-Kontrollpaket Sie auswählen:

So funktioniert die Verschlüsselung ruhender Daten

Bei der Google Cloud-Verschlüsselung inaktiver Daten werden Ihre in Google Cloud gespeicherten Daten mit einem Verschlüsselungsschlüssel verschlüsselt, der sich außerhalb des Dienstes befindet, in dem die Daten gespeichert sind. Wenn Sie beispielsweise Daten in Cloud Storage verschlüsseln, speichert der Dienst nur die verschlüsselten Informationen, die Sie gespeichert haben. Der für die Verschlüsselung dieser Daten verwendete Schlüssel wird dagegen in Cloud KMS (wenn Sie vom Kunden verwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK) verwenden) oder in Ihrem External Key Manager (wenn Sie Cloud EKM verwenden) gespeichert haben.

Wenn Sie einen Google Cloud-Dienst verwenden, sollen Ihre Anwendungen wie beschrieben weiter funktionieren. Dazu müssen Ihre Daten entschlüsselt werden. Wenn Sie beispielsweise eine Abfrage mit BigQuery ausführen, muss der BigQuery-Dienst die Daten entschlüsseln, um sie analysieren zu können. Dazu sendet BigQuery eine Entschlüsselungsanfrage an den Schlüsselmanager, um die erforderlichen Daten abzurufen.

Warum wird auf meine Schlüssel zugegriffen?

Ihre Verschlüsselungsschlüssel werden meistens von automatisierten Systemen abgerufen, während Ihre eigenen Anfragen und Arbeitslasten in Google Cloud bearbeitet werden.

Zusätzlich zu vom Kunden initiierten Zugriffen muss ein Google-Mitarbeiter möglicherweise aus folgenden Gründen Vorgänge initiieren, bei denen Ihre Verschlüsselungsschlüssel verwendet werden:

  • Struktur oder Qualität der Daten optimieren: Google-Systeme müssen möglicherweise auf Ihre Verschlüsselungsschlüssel zugreifen, um Ihre Daten zu indexieren, zu strukturieren, vorab zu berechnen, zu hashen, zu fragmentieren oder im Cache zu speichern.

  • Daten sichern: Google benötigt möglicherweise Zugriff auf Ihre Verschlüsselungsschlüssel, um Ihre Daten aus Gründen der Notfallwiederherstellung zu sichern.

  • Supportanfrage klären: Möglicherweise muss ein Google-Mitarbeiter Ihre Daten entschlüsseln, um die vertragliche Verpflichtung zur Bereitstellung des Supports zu erfüllen.

  • Verwaltung und Fehlerbehebung von Systemen: Google-Mitarbeiter können Vorgänge einleiten, die Ihre Verschlüsselungsschlüssel verwenden, um eine technische Fehlerbehebung für eine komplexe Supportanfrage oder Prüfung durchzuführen. Möglicherweise ist auch Zugriff erforderlich, um Speicherfehler oder Datenschäden zu beheben.

  • Datenintegrität und Compliance gewährleisten und Schutz vor Betrug und Missbrauch: Google kann Daten aus den folgenden Gründen entschlüsseln:

    • Um die Sicherheit deiner Daten und Konten zu gewährleisten.
    • Um sicherzustellen, dass Sie Google-Dienste gemäß den Google Cloud-Nutzungsbedingungen verwenden.
    • Prüfung von Beschwerden anderer Nutzer und Kunden oder anderer Hinweise auf missbräuchliche Aktivitäten
    • Überprüfung, ob Google Cloud-Dienste gemäß geltenden behördlichen Anforderungen verwendet werden, z. B. Anti-Geldwäsche-Bestimmungen

  • Systemzuverlässigkeit aufrechterhalten: Google-Mitarbeiter können Zugriff anfordern, um zu prüfen, ob Sie von einem möglichen Dienstausfall nicht betroffen sind. Außerdem kann der Zugriff angefordert werden, um die Sicherung und Wiederherstellung nach Ausfällen oder Systemausfällen zu gewährleisten.

Eine Liste der Begründungscodes finden Sie unter Begründungscodes für Key Access Justifications.

Zugriff auf extern verwaltete Schlüssel verwalten

Key Access Justifications gibt bei jedem Zugriff auf Ihre extern verwalteten Schlüssel einen Grund an. Gründe werden nur angegeben, wenn Schlüssel extern verwaltet werden. Für den Zugriff auf Schlüssel, die in Cloud KMS oder Cloud HSM gespeichert sind, ist kein Grund angegeben. Wenn ein Schlüssel in Ihrem External Key Manager gespeichert ist, erhalten Sie eine Begründung sowohl für den dienstbasierten Zugriff (für unterstützte Dienste) als auch für den direkten API-Zugriff.

Nachdem Sie bei Key Access Justifications registriert sind und einen extern verwalteten Schlüssel verwenden, erhalten Sie sofort eine Begründung für jeden Schlüsselzugriff.

Wenn Sie Key Access Justifications und Access Approval mit einem externen, vom Kunden verwalteten Schlüssel verwenden, können Anfragen für den Administratorzugriff nur verarbeitet werden, wenn die Genehmigungen mit dem extern verwalteten Schlüssel signiert werden, nachdem die Richtlinienprüfung für Key Access Justifications für die Signaturanfrage bestanden wurde. Alle durch den Schlüssel signierten Zugriffsgenehmigungen werden in den Access Transparency-Logs angezeigt.

Key Access Justifications aktivieren

Key Access Justifications kann nur mit Assured Workloads verwendet werden und wird standardmäßig aktiviert, wenn Sie einen neuen Assured Workloads-Ordner erstellen, der für ein Kontrollpaket konfiguriert ist, das Key Access Justifications enthält. Weitere Informationen finden Sie in der Übersicht zu Assured Workloads.

Ausschlüsse für Key Access Justifications

Key Access Justifications gelten nur für:

  • Vorgänge mit verschlüsselten Daten. Informationen zu den Feldern in einem bestimmten Dienst, die mit einem vom Kunden verwalteten Schlüssel verschlüsselt werden, finden Sie in der Dokumentation des Dienstes.
  • Der Übergang von inaktiven zu aktiven Daten. Während Google weiterhin Schutzmaßnahmen für Ihre aktiven Daten anwendet, regelt Key Access Justifications nur den Übergang von ruhenden Daten zu aktiven Daten.
  • Die folgenden Compute Engine- und Persistent Disk-Funktionen sind bei der Verwendung mit CMEK ausgenommen:

Nächste Schritte