Cloud External Key Manager

Dieses Thema bietet einen Überblick über den Cloud External Key Manager (Cloud EKM).

Terminologie

• Externer Schlüsselmanager (EKM)

  Schlüsselverwaltungssystem, das außerhalb von Google Cloud zum Verwalten Ihrer Schlüssel verwendet wird.

• Cloud External Key Manager (Cloud EKM)

  Einen Google Cloud-Dienst zur Verwendung Ihrer externen Schlüssel, die in einem unterstützten EKM verwaltet werden.

• Cloud EKM über das Internet

  Eine Version von Cloud EKM, bei der Google Cloud über das Internet mit Ihrem External Key Manager kommuniziert.

• Cloud EKM über eine VPC

  Eine Version von Cloud EKM, bei der Google Cloud über eine Virtual Private Cloud (VPC) mit Ihrem External Key Manager kommuniziert. Weitere Informationen finden Sie unter VPC-Netzwerke.

• EKM-Schlüsselverwaltung über Cloud KMS

  Wenn Sie Cloud EKM über eine VPC mit einem Partner für die externe Schlüsselverwaltung verwenden, der die Cloud EKM-Steuerungsebene unterstützt, können Sie den EKM-Verwaltungsmodus von Cloud KMS verwenden, um die Verwaltung externer Schlüssel bei Ihrem Partner für die externe Schlüsselverwaltung und in Cloud EKM zu vereinfachen. Weitere Informationen finden Sie auf dieser Seite unter Koordinierte externe Schlüssel und EKM-Schlüsselverwaltung von Cloud KMS.

• Kryptoraum

  Ein Container für Ihre Ressourcen innerhalb Ihres Partners für die externe Schlüsselverwaltung. Ihr Kryptobereich wird durch einen eindeutigen Pfad identifiziert. Das Format des Kryptobereichspfads variiert je nach Partner für die externe Schlüsselverwaltung, z. B. v0/cryptospaces/YOUR_UNIQUE_PATH.

• Vom Partner verwalteter EKM

  Eine Vereinbarung, bei der Ihr EKM von einem vertrauenswürdigen Partner für Sie verwaltet wird. Weitere Informationen finden Sie auf dieser Seite unter Vom Partner verwalteter EKM.

• Key Access Justifications

  Wenn Sie Cloud EKM mit Key Access Justifications verwenden, enthält jede Anfrage an Ihren Partner für die externe Schlüsselverwaltung ein Feld, in dem der Grund für die jeweilige Anfrage angegeben ist. Sie können Ihren Partner für die externe Schlüsselverwaltung so konfigurieren, dass Anfragen anhand des bereitgestellten Key Access Justifications-Codes zugelassen oder abgelehnt werden. Weitere Informationen zu Key Access Justifications finden Sie in der Übersicht zu Key Access Justifications.

Überblick

Mit Cloud EKM können Sie Schlüssel verwenden, die Sie bei einem unterstützten Partner für die externe Schlüsselverwaltung verwalten, um Daten in Google Cloud zu schützen. Sie können inaktive Daten in unterstützten CMEK-Integrationsdiensten oder durch direktes Aufrufen der Cloud Key Management Service API schützen.

Cloud EKM bietet mehrere Vorteile:

• Schlüsselherkunft:Sie bestimmen den Speicherort und die Verteilung Ihrer extern verwalteten Schlüssel. Extern verwaltete Schlüssel werden niemals im Cache oder in Google Cloud gespeichert. Stattdessen kommuniziert Cloud EKM bei jeder Anfrage direkt mit dem Partner für die externe Schlüsselverwaltung.

• Zugriffssteuerung: Sie verwalten den Zugriff auf Ihre extern verwalteten Schlüssel in Ihrem External Key Manager. Sie können einen extern verwalteten Schlüssel nicht in Google Cloud verwenden, ohne zuerst dem Google Cloud-Projekt Zugriff auf den Schlüssel in Ihrem External Key Manager zu gewähren. Sie können diese Zugriffsberechtigung jederzeit widerrufen.

• Zentrale Schlüsselverwaltung: Sie können Ihre Schlüssel und Zugriffsrichtlinien über eine einzige Benutzeroberfläche verwalten, unabhängig davon, ob die geschützten Daten in der Cloud oder lokal gespeichert sind.

In allen Fällen befindet sich der Schlüssel im externen System und wird niemals an Google gesendet.

Sie können mit Ihrem External Key Manager über das Internet oder über eine Virtual Private Cloud (VPC) kommunizieren.

Funktionsweise von Cloud EKM

Die Cloud EKM-Schlüsselversionen bestehen aus folgenden Teilen:

• Externes Schlüsselmaterial: Das externe Schlüsselmaterial eines Cloud EKM-Schlüssels ist kryptografisches Material, das in Ihrem EKM erstellt und gespeichert wird. Dieses Material verlässt nicht Ihren EKM und wird nie an Google weitergegeben.
• Schlüsselreferenz: Jede Cloud EKM-Schlüsselversion enthält entweder einen Schlüssel-URI oder einen Schlüsselpfad. Dies ist eine eindeutige Kennung für das externe Schlüsselmaterial, das Cloud EKM verwendet, um kryptografische Vorgänge mit dem Schlüssel anzufordern.
• Internes Schlüsselmaterial: Bei der Erstellung eines symmetrischen Cloud EKM-Schlüssels erstellt Cloud KMS zusätzliches Schlüsselmaterial in Cloud KMS, das Cloud KMS nie verlässt. Dieses Schlüsselmaterial wird als zusätzliche Verschlüsselungsebene bei der Kommunikation mit Ihrem EKM verwendet. Dieses interne Schlüsselmaterial gilt nicht für asymmetrische Signaturschlüssel.

Zur Verwendung Ihrer Cloud EKM-Schlüssel sendet Cloud EKM Anfragen für kryptografische Vorgänge an Ihren EKM. Um beispielsweise Daten mit einem symmetrischen Verschlüsselungsschlüssel zu verschlüsseln, verschlüsselt Cloud EKM die Daten zuerst mithilfe des internen Schlüsselmaterials. Die verschlüsselten Daten sind in einer Anfrage an den EKM enthalten. Der EKM umschließt die verschlüsselten Daten mithilfe des externen Schlüsselmaterials in einer weiteren Verschlüsselungsschicht und gibt dann den resultierenden Geheimtext zurück. Daten, die mit einem Cloud EKM-Schlüssel verschlüsselt wurden, können ohne das externe und das interne Schlüsselmaterial nicht entschlüsselt werden.

Wenn Ihre Organisation Key Access Justifications aktiviert hat, zeichnet Ihr Partner für die externe Schlüsselverwaltung die angegebene Zugriffsbegründung auf und schließt die Anfrage nur für Begründungscodes für Begründungen ab, die gemäß Ihrer Key Access Justifications beim Partner für die externe Schlüsselverwaltung zulässig sind.

Zum Erstellen und Verwalten von Cloud EKM-Schlüsseln sind entsprechende Änderungen sowohl in Cloud KMS als auch im EKM erforderlich. Für manuell verwaltete externe Schlüssel und koordinierte externe Schlüssel werden die entsprechenden Änderungen unterschiedlich gehandhabt. Alle externen Schlüssel, auf die über das Internet zugegriffen wird, werden manuell verwaltet. Externe Schlüssel, auf die über ein VPC-Netzwerk zugegriffen wird, können abhängig vom EKM-Verwaltungsmodus des EKM über die VPC-Verbindung manuell verwaltet oder koordiniert werden. Der EKM-Verwaltungsmodus manuell wird für manuell verwaltete Schlüssel verwendet. Der EKM-Verwaltungsmodus von Cloud KMS wird für koordinierte externe Schlüssel verwendet. Weitere Informationen zu den EKM-Verwaltungsmodi finden Sie auf dieser Seite unter Manuell verwaltete externe Schlüssel und Koordinierte externe Schlüssel.

Das folgende Diagramm zeigt, wie Cloud KMS in das Schlüsselverwaltungsmodell passt. In diesem Diagramm werden Compute Engine und BigQuery als zwei Beispiele verwendet. Sie können auch die vollständige Liste der Dienste ansehen, die Cloud EKM-Schlüssel unterstützen.

Achtung: Sowohl die Cloud EKM-Schlüsselversion als auch der externe Schlüssel sind für jede Ver- und Entschlüsselungsanfrage erforderlich. Wenn Sie den Zugriff auf einen der beiden Schlüssel verlieren, können Ihre Daten nicht wiederhergestellt werden. Es ist nicht möglich, eine identische Cloud EKM-Schlüsselversion mit demselben externen Schlüssel-URI oder Schlüsselpfad neu zu erstellen.

Wenn Sie Cloud EKM verwenden, erfahren Sie mehr über Überlegungen und Einschränkungen.

Manuell verwaltete externe Schlüssel

Dieser Abschnitt bietet einen umfassenden Überblick darüber, wie Cloud EKM mit einem manuell verwalteten externen Schlüssel funktioniert.

1. Sie erstellen oder verwenden einen vorhandenen Schlüssel in einem unterstützten Partnersystem für die externe Schlüsselverwaltung. Dieser Schlüssel hat einen eindeutigen URI oder Schlüsselpfad.
2. Sie gewähren Ihrem Google Cloud-Projekt Zugriff zur Verwendung des Schlüssels im externen Schlüsselverwaltungs-Partnersystem.
3. In Ihrem Google Cloud-Projekt erstellen Sie eine Cloud EKM-Schlüsselversion. Dazu verwenden Sie den URI oder Schlüsselpfad für den extern verwalteten Schlüssel.
4. Wartungsvorgänge wie die Schlüsselrotation müssen manuell zwischen Ihrem EKM und Cloud EKM verwaltet werden. Beispielsweise müssen Vorgänge zur Rotation von Schlüsselversionen oder zum Löschen von Schlüsselversionen sowohl direkt in Ihrem EKM als auch in Cloud KMS ausgeführt werden.

In Google Cloud wird der Schlüssel neben Ihren anderen Cloud KMS- und Cloud HSM-Schlüsseln mit der Schutzstufe EXTERNAL oder EXTERNAL_VPC angezeigt. Der Cloud EKM-Schlüssel und der Schlüssel des Partners für die externe Schlüsselverwaltung schützen gemeinsam Ihre Daten. Das Material des externen Schlüssels wird Google niemals zugänglich gemacht.

Koordinierte externe Schlüssel

Dieser Abschnitt bietet einen Überblick darüber, wie Cloud EKM mit einem koordinierten externen Schlüssel funktioniert.

1. Sie richten eine EKM-über-VPC-Verbindung ein und setzen den EKM-Verwaltungsmodus auf Cloud KMS. Während der Einrichtung müssen Sie Ihren EKM autorisieren, auf Ihr VPC-Netzwerk zuzugreifen, und das Dienstkonto Ihres Google Cloud-Projekts für den Zugriff auf den Kryptobereich in Ihrem EKM autorisieren. Die EKM-Verbindung verwendet den Hostnamen Ihres EKM und einen Kryptobereichspfad, der die Ressourcen in Ihrem EKM identifiziert.

2. Sie erstellen einen externen Schlüssel in Cloud KMS. Wenn Sie einen Cloud EKM-Schlüssel mithilfe einer EKM-über-VPC-Verbindung mit aktiviertem EKM-Verwaltungsmodus von Cloud KMS erstellen, werden die folgenden Schritte automatisch ausgeführt:

   1. Cloud EKM sendet eine Anfrage zur Schlüsselerstellung an Ihren EKM.
   2. Ihr EKM erstellt das angeforderte Schlüsselmaterial. Dieses externe Schlüsselmaterial verbleibt im EKM und wird niemals an Google gesendet.
   3. Ihr EKM gibt einen Schlüsselpfad zu Cloud EKM zurück.
   4. Cloud EKM erstellt Ihre Cloud EKM-Schlüsselversion mithilfe des von Ihrem EKM bereitgestellten Schlüsselpfads.

3. Über Cloud KMS können Wartungsvorgänge für koordinierte externe Schlüssel initiiert werden. So können koordinierte externe Schlüssel für die symmetrische Verschlüsselung beispielsweise automatisch nach einem festgelegten Zeitplan rotiert werden. Das Erstellen neuer Schlüsselversionen wird in Ihrem EKM von Cloud EKM koordiniert. Sie können das Erstellen oder Löschen von Schlüsselversionen in Ihrem EKM über Cloud KMS auch über die Google Cloud Console, die gcloud CLI, die Cloud KMS API oder Cloud KMS-Clientbibliotheken auslösen.

In Google Cloud wird der Schlüssel neben Ihren anderen Cloud KMS- und Cloud HSM-Schlüsseln mit der Schutzstufe EXTERNAL_VPC angezeigt. Der Cloud EKM-Schlüssel und der Schlüssel des Partners für die externe Schlüsselverwaltung schützen Ihre Daten in Kombination. Das Material des externen Schlüssels wird Google niemals zugänglich gemacht.

EKM-Schlüsselverwaltung über Cloud KMS

Koordinierte externe Schlüssel werden durch EKM-über-VPC-Verbindungen ermöglicht, die die EKM-Schlüsselverwaltung über Cloud KMS verwenden. Wenn Ihr EKM die Cloud EKM-Steuerungsebene unterstützt, können Sie die EKM-Schlüsselverwaltung von Cloud KMS für Ihre EKM-über-VPC-Verbindungen aktivieren, um koordinierte externe Schlüssel zu erstellen. Wenn die EKM-Schlüsselverwaltung über Cloud KMS aktiviert ist, kann Cloud EKM die folgenden Änderungen in Ihrem EKM anfordern:

• Schlüssel erstellen: Wenn Sie in Cloud KMS einen extern verwalteten Schlüssel mit einer kompatiblen EKM-über-VPC-Verbindung erstellen, sendet Cloud EKM Ihre Anfrage zur Schlüsselerstellung an Ihren EKM. Wenn der Vorgang erfolgreich ist, erstellt Ihr EKM den neuen Schlüssel und das Schlüsselmaterial und gibt den Schlüsselpfad zurück, mit dem Cloud EKM auf den Schlüssel zugreifen kann.

• Schlüssel rotieren: Wenn Sie einen extern verwalteten Schlüssel in Cloud KMS mithilfe einer kompatiblen EKM-über-VPC-Verbindung rotieren, sendet Cloud EKM Ihre Rotationsanfrage an Ihren EKM. Wenn der Vorgang erfolgreich ist, erstellt Ihr EKM neues Schlüsselmaterial und gibt den Schlüsselpfad zurück, den Cloud EKM für den Zugriff auf die neue Schlüsselversion verwenden kann.

• Schlüssel löschen: Wenn Sie eine Schlüsselversion für einen extern verwalteten Schlüssel in Cloud KMS mithilfe einer kompatiblen EKM-über-VPC-Verbindung löschen, plant Cloud KMS das Löschen der Schlüsselversion in Cloud KMS. Wenn die Schlüsselversion nicht vor Ablauf des zum Löschen vorgemerkten Zeitraums wiederhergestellt wird, löscht Cloud EKM seinen Teil des kryptografischen Materials des Schlüssels und sendet eine Löschanfrage an Ihren EKM.

  Mit dieser Schlüsselversion verschlüsselte Daten können nicht entschlüsselt werden, nachdem die Schlüsselversion in Cloud KMS gelöscht wurde, selbst wenn der EKM die Schlüsselversion noch nicht gelöscht hat. In den Details des Schlüssels in Cloud KMS können Sie sehen, ob der EKM die Schlüsselversion erfolgreich gelöscht hat.

Wenn Schlüssel in Ihrem EKM über Cloud KMS verwaltet werden, befindet sich das Schlüsselmaterial weiterhin in Ihrem EKM. Google kann ohne ausdrückliche Genehmigung keine Anfragen zur Schlüsselverwaltung an Ihren EKM senden. Google kann Berechtigungen oder Key Access Justifications in Ihrem Partnersystem für die externe Schlüsselverwaltung nicht ändern. Wenn Sie die Berechtigungen von Google in Ihrem EKM widerrufen, schlagen die versuchten Schlüsselverwaltungsvorgänge in Cloud KMS fehl.

Kompatibilität

Unterstützte Schlüsselmanager

Sie können externe Schlüssel in den folgenden Partnersystemen für die externen Schlüsselverwaltung speichern:

• Derzeit unterstützt:
  • Fortanix
  • Futurex
  • Thales
  • Virtru

Dienste, die CMEK mit Cloud EKM unterstützen

Die folgenden Dienste unterstützen die Einbindung von Cloud KMS für externe Schlüssel (Cloud EKM):

• AlloyDB for PostgreSQL
• Artifact Registry
• Sicherung für GKE
• BigQuery
• Bigtable
• Cloud Composer
• Cloud Data Fusion
• Cloud Functions
• Cloud Logging: Daten im Logrouter und Daten im Logging-Speicher
• Cloud Run
• Cloud SQL
• Cloud Storage
• Cloud Tasks
• Cloud Workstations
• Compute Engine: Nichtflüchtige Speicher , Snapshots , Benutzerdefinierte Images , und Maschinen-Images
• Contact Center AI Insights
• Database Migration Service: MySQL-Migrationen – in Datenbanken geschriebene Daten , PostgreSQL-Migrationen – In Datenbanken geschriebene Daten , Migrationen von PostgreSQL zu AlloyDB – Daten, die in Datenbanken geschrieben werden , und Inaktive Daten von Oracle zu PostgreSQL
• Dataflow
• Dataproc: Dataproc-Clusterdaten auf VM-Laufwerken und serverlose Dataproc-Daten auf VM-Laufwerken
• Dataproc Metastore
• Dialogflow CX
• Document AI
• Eventarc
• Filestore
• Firestore (Vorschau)
• Google Distributed Cloud Edge
• Google Kubernetes Engine: Daten auf VM-Laufwerken und Secrets auf Anwendungsebene
• Looker (Google Cloud Core)
• Memorystore for Redis
• Migrate to Virtual Machines
• Pub/Sub
• Secret Manager
• Secure Source Manager
• Cloud Spanner
• Sprecher-ID (eingeschränkte allgemeine Verfügbarkeit)
• Speech-to-Text
• Vertex AI
• Vertex AI Workbench-Instanzen
• Workflows

Wichtig: Alle anderen Dienste sind nicht mit Cloud External Key Manager für CMEK kompatibel.

Hinweis: Wenn Ihr Cloud EKM-Schlüssel beim Einrichten von CMEK-Diensten nicht in der Google Cloud Console aufgeführt wird, kopieren Sie zuerst den Ressourcennamen. Wählen Sie dann Ihr Schlüssel wird nicht angezeigt? Geben Sie den Namen der Schlüsselressource ein und den zuvor erfassten Schlüsselressourcennamen.

Hinweise

• Wenn Sie einen Cloud EKM-Schlüssel verwenden, hat Google keine Kontrolle über die Verfügbarkeit Ihres extern verwalteten Schlüssels im Partnersystem für die externe Schlüsselverwaltung. Wenn Sie Schlüssel verlieren, die Sie außerhalb von Google Cloud verwalten, kann Google Ihre Daten nicht wiederherstellen.

• Lesen Sie die Richtlinien zu Partner für die externe Schlüsselverwaltung und Regionen für die Wahl der Speicherorte Ihrer Cloud EKM-Schlüssel.

• Lesen Sie das Service Level Agreement (SLA).

• Die Kommunikation mit einem externen Dienst über das Internet kann zu Problemen mit der Zuverlässigkeit, Verfügbarkeit und Latenz führen. Bei Anwendungen mit geringer Toleranz für diese Arten von Risiken sollten Sie Cloud HSM oder Cloud KMS zum Speichern Ihres Schlüsselmaterials in Betracht ziehen.

  • Wenn kein externer Schlüssel verfügbar ist, gibt Cloud KMS den Fehler FAILED_PRECONDITION zurück und stellt Einzelheiten in den Fehlerdetails PreconditionFailure bereit.

    Aktivieren Sie das Audit-Logging von Daten, um alle Fehler im Zusammenhang mit Cloud EKM aufzuzeichnen. Fehlermeldungen enthalten detaillierte Informationen, anhand derer Sie die Ursache des Fehlers ermitteln können. Ein Beispiel für einen häufigen Fehler ist, wenn ein Partner für die externe Schlüsselverwaltung auf eine Anfrage nicht innerhalb eines angemessenen Zeitraums antwortet.

  • Sie benötigen einen Supportvertrag mit dem Partner für die externe Schlüsselverwaltung. Der Google Cloud-Support kann Ihnen nur bei Problemen mit Google Cloud-Diensten helfen, nicht direkt bei Problemen mit externen Systemen. Manchmal müssen Sie mit dem Support auf beiden Seiten zusammenarbeiten, um Interoperabilitätsprobleme zu beheben.

• Cloud EKM kann mit Bare-Metal-Rack-HSM verwendet werden, um eine einmandantenfähige HSM-Lösung zu erstellen, die in Cloud KMS eingebunden ist. Wählen Sie für weitere Informationen einen Cloud EKM-Partner aus, der einmandantenfähige HSMs unterstützt, und lesen Sie die Anforderungen für Bare-Metal-Rack-HSMs.

• Aktivieren Sie das Audit-Logging in Ihrem External Key Manager, um den Zugriff auf Ihre EKM-Schlüssel und deren Verwendung zu erfassen.

Achtung :Wenn Sie Cloud EKM-Schlüssel über das Internet verwenden, besteht das Risiko, dass der Schlüssel nicht mehr verfügbar ist. Je nachdem, welche Dienste Sie verwenden, kann dies zu schwerwiegenden Fehlern oder zu nicht zugänglichen Daten führen. Wenn Sie beispielsweise einen externen CMEK-Schlüssel verwenden, um Secrets auf Anwendungsebene von Google Kubernetes Engine zu verschlüsseln, sind Ihre Knoten möglicherweise nicht mehr verfügbar, wenn sie die Secrets nicht entschlüsseln können. Es ist auch nicht möglich, auf den externen Schlüssel zuzugreifen. Dies kann auch zu einem dauerhaften Datenverlust führen. Wenn beispielsweise der CMEK-Schlüssel, der zum Verschlüsseln einer Spanner-Datenbank verwendet wird, länger als 30 aufeinanderfolgende Tage nicht verfügbar ist, löscht Spanner die Datenbank automatisch. Wenn die aktuelle Schlüsselversion nicht verfügbar ist, können Sie die Daten nicht durch Rotieren zu einer neuen Schlüsselversion wiederherstellen. Für eine bessere Verfügbarkeit sollten Sie Cloud EKM über VPC- oder Cloud HSM-Schlüssel verwenden.

Einschränkungen

• Eine automatische Rotation wird nicht unterstützt.
• Wenn Sie einen Cloud EKM-Schlüssel mit der API oder der Google Cloud CLI erstellen, darf er keine anfängliche Schlüsselversion haben. Dies gilt nicht für Cloud EKM-Schlüssel, die mit der Google Cloud Console erstellt wurden.
• Für Cloud-EKM-Vorgänge gelten zusätzlich zu den Kontingenten für Cloud KMS-Vorgänge bestimmte Kontingente.

Symmetrische Verschlüsselungsschlüssel

• Symmetrische Verschlüsselungsschlüssel werden nur für Folgendes unterstützt:
  • Vom Kunden verwaltete Verschlüsselungsschlüssel (Customer Managed Encryption Keys, CMEK) in unterstützten Integrationsdiensten.
  • Symmetrische Ver- und Entschlüsselung direkt mit Cloud KMS.
• Daten, die von Cloud EKM mit einem extern verwalteten Schlüssel verschlüsselt wurden, können ohne Cloud EKM nicht entschlüsselt werden.

Asymmetrische Signaturschlüssel

• Asymmetrische Signaturschlüssel sind auf einen Teil der Cloud KMS-Algorithmen beschränkt.
• Asymmetrische Signaturschlüssel werden nur unterstützt für:
  • Asymmetrisches Signieren mit Cloud KMS direkt:
  • Benutzerdefinierter Signaturschlüssel mit Access Approval
• Nachdem ein asymmetrischer Signaturalgorithmus für einen Cloud EKM-Schlüssel festgelegt wurde, kann er nicht mehr geändert werden.
• Du musst im Feld data signieren.

Externe Schlüsselmanager und Regionen

Cloud EKM muss Ihre Schlüssel schnell erreichen können, um einen Fehler zu vermeiden. Wählen Sie beim Erstellen eines Cloud EKM-Schlüssels einen Google Cloud-Standort aus, der sich in der Nähe des Standorts befindet, an dem sich der Schlüssel des Partners für die externe Schlüsselverwaltung befindet. Weitere Informationen zur Standortverfügbarkeit des Partners finden Sie in der Partnerdokumentation.

• Cloud EKM über das Internet: verfügbar an allen Google Cloud-Standorten, die für Cloud KMS unterstützt werden, mit Ausnahme von global und nam-eur-asia1.
• Cloud EKM über eine VPC: nur an regionalen Standorten verfügbar, die für Cloud KMS unterstützt werden

Sehen Sie in der Dokumentation des Partners für die externe Schlüsselverwaltung nach, welche Standorte er unterstützt.

In mehreren Regionen verwenden

Wenn Sie einen extern verwalteten Schlüssel mit einem multiregionalen Standort verwenden, sind die Metadaten des Schlüssels in mehreren Rechenzentren innerhalb des multiregionalen Standorts verfügbar. Diese Metadaten enthalten die Informationen, die für die Kommunikation mit dem Partner für die externe Schlüsselverwaltung erforderlich sind. Bei einem Failover Ihrer Anwendung von einem Rechenzentrum zu einem anderen innerhalb des multiregionalen Standorts werden vom neuen Rechenzentrum Schlüsselanfragen initiiert. Das neue Rechenzentrum hat möglicherweise andere Netzwerkeigenschaften als das vorherige, einschließlich der Entfernung vom Partner für die externe Schlüsselverwaltung und der Wahrscheinlichkeit von Zeitüberschreitungen. Wir empfehlen, eine Mehrfachregion nur dann mit Cloud EKM zu verwenden, wenn der von Ihnen gewählte External Key Manager eine niedrige Latenz für alle Bereiche dieser Multiregion bietet.

Von Partnern verwalteter EKM

Mit dem vom Partner verwalteten EKM können Sie Cloud EKM über einen vertrauenswürdigen Datenhoheitspartner verwenden, der Ihr EKM-System für Sie verwaltet. Bei einem vom Partner verwalteten EKM erstellt und verwaltet Ihr Partner die Schlüssel, die Sie in Cloud EKM verwenden. Der Partner stellt sicher, dass Ihr EKM die Anforderungen an die Datenhoheit erfüllt.

Wenn Sie Ihren Datenhoheitspartner einrichten, stellt der Partner Ressourcen in Google Cloud und Ihrem EKM bereit. Zu diesen Ressourcen gehören ein Cloud KMS-Projekt zum Verwalten Ihrer Cloud EKM-Schlüssel und eine EKM-über-VPC-Verbindung, die für die EKM-Schlüsselverwaltung über Cloud KMS konfiguriert ist. Ihr Partner erstellt entsprechend Ihren Anforderungen an den Datenstandort Ressourcen an Google Cloud-Standorten.

Jeder Cloud EKM-Schlüssel enthält Cloud KMS-Metadaten, mit denen Cloud EKM Anfragen an Ihren EKM senden kann, um mit dem externen Schlüsselmaterial, das niemals Ihren EKM verlässt, kryptografische Vorgänge auszuführen. Symmetric Cloud EKM-Schlüssel enthalten auch internes Cloud KMS-Schlüsselmaterial, das Google Cloud nie verlässt. Weitere Informationen zur internen und externen Seite von Cloud EKM-Schlüsseln finden Sie auf dieser Seite unter Funktionsweise von Cloud EKM.

Weitere Informationen zum vom Partner verwalteten EKM finden Sie unter Cloud KMS vom Partner verwalten.

Cloud EKM-Nutzung überwachen

Vorschau

Diese Funktion unterliegt den „Nutzungsbedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Nutzungsbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA-Funktionen sind „wie besehen“ verfügbar und werden möglicherweise nur eingeschränkt unterstützt. Weitere Informationen finden Sie in den Beschreibungen der Startphase.

Mit Cloud Monitoring können Sie Ihre EKM-Verbindung überwachen. Die folgenden Messwerte geben Aufschluss über Ihre EKM-Nutzung:

• cloudkms.googleapis.com/ekm/external/request_latencies
• cloudkms.googleapis.com/ekm/external/request_count

Weitere Informationen zu diesen Messwerten finden Sie unter cloudkms-Messwerte. Sie können ein Dashboard erstellen, um diese Messwerte zu verfolgen. Informationen zum Einrichten eines Dashboards zum Überwachen der EKM-Verbindung finden Sie unter EKM-Nutzung überwachen.

Support

Wenn mit Cloud EKM ein Problem auftritt, wenden Sie sich an den Support.

Nächste Schritte

• Cloud EKM über das Internet einrichten

• Erstellen Sie eine EKM-Verbindung, um EKM über VPC zu verwenden.

• Mit der Verwendung der API beginnen.

• Cloud KMS API-Referenz lesen

• Weitere Informationen zu Logging in Cloud KMS. Das Logging basiert auf Vorgängen und gilt für Schlüssel mit HSM- und Softwareschutzlevel.

• Empfehlungen zum Konfigurieren einer in Cloud EKM eingebundenen Bereitstellung eines EKM-Dienstes (External Key Manager) finden Sie unter Referenzarchitekturen für die zuverlässige Bereitstellung von Cloud EKM-Diensten.