Auf dieser Seite wird erläutert, wie Sie vom Kunden verwaltete Verschlüsselungsschlüssel von Cloud KMS in anderen Google Cloud-Diensten verwenden, um Ihre Ressourcen zu schützen. Weitere Informationen finden Sie unter Vom Kunden verwaltete Verschlüsselungsschlüssel (CMEK).
Wenn ein Dienst CMEK unterstützt, hat er eine CMEK-Integration. Einige Dienste, z. B. GKE, verfügen über mehrere CMEK-Integrationen zum Schutz verschiedener Datentypen im Zusammenhang mit dem Dienst. Eine Liste der Dienste mit CMEK-Integrationen finden Sie auf dieser Seite unter CMEK für unterstützte Dienste aktivieren.
Hinweise
Bevor Sie Cloud KMS-Schlüssel in anderen Google Cloud-Diensten verwenden können, benötigen Sie eine Projektressource, die Ihre Cloud KMS-Schlüssel enthält. Wir empfehlen, für Ihre Cloud KMS-Ressourcen ein separates Projekt zu verwenden, das keine anderen Google Cloud-Ressourcen enthält.
CMEK-Integrationen
Aktivierung der CMEK-Integration vorbereiten
Die genauen Schritte zum Aktivieren von CMEK finden Sie in der Dokumentation zum jeweiligen Google Cloud-Dienst. Einen Link zur CMEK-Dokumentation für jeden Dienst finden Sie auf dieser Seite unter CMEK für unterstützte Dienste aktivieren. Für jeden Dienst können Sie Schritte wie diese ausführen:
Erstellen Sie einen Schlüsselbund oder wählen Sie einen vorhandenen Schlüsselbund aus. Der Schlüsselbund sollte sich so geografisch wie möglich bei den Ressourcen befinden, die Sie sichern möchten.
Erstellen Sie einen Schlüssel im ausgewählten Schlüsselbund oder wählen Sie einen vorhandenen Schlüssel aus. Prüfen Sie, ob das Schutzniveau, der Zweck und der Algorithmus für den Schlüssel für die zu schützenden Ressourcen geeignet sind. Dieser Schlüssel ist der CMEK-Schlüssel.
Rufen Sie die Ressourcen-ID für den CMEK-Schlüssel ab. Sie benötigen diese Ressourcen-ID später.
Gewähren Sie dem Dienstkonto für den Dienst die IAM-Rolle "CryptoKey Encrypter/Decrypter" (
roles/cloudkms.cryptoKeyEncrypterDecrypter
) für den CMEK-Schlüssel.
Nachdem Sie den Schlüssel erstellt und die erforderlichen Berechtigungen zugewiesen haben, können Sie einen Dienst zur Verwendung des CMEK-Schlüssels erstellen oder konfigurieren.
Cloud KMS-Schlüssel mit CMEK-integrierten Diensten verwenden
In den folgenden Schritten wird Secret Manager als Beispiel verwendet. Die genauen Schritte zur Verwendung eines Cloud KMS-CMEK-Schlüssels in einem bestimmten Dienst finden Sie in der Liste der CMEK-integrierten Dienste.
In Secret Manager können Sie einen CMEK verwenden, um ruhende Daten zu schützen.
Wechseln Sie in der Google Cloud Console zur Seite Secret Manager.
Klicken Sie zum Erstellen eines Secrets auf Secret erstellen.
Wählen Sie im Abschnitt Verschlüsselung die Option Vom Kunden verwalteten Verschlüsselungsschlüssel (CMEK) verwenden aus.
Führen Sie im Feld Verschlüsselungsschlüssel die folgenden Schritte aus:
Optional: So verwenden Sie einen Schlüssel in einem anderen Projekt:
- Klicken Sie auf Projekt wechseln.
- Geben Sie den gesamten Projektnamen oder einen Teil davon in die Suchleiste ein und wählen Sie das Projekt aus.
- Klicken Sie auf Auswählen, um die verfügbaren Schlüssel für das ausgewählte Projekt aufzurufen.
Optional: Geben Sie Suchbegriffe in die ein, um die verfügbaren Schlüssel nach Standort, Schlüsselbund, Name oder Schutzstufe zu filtern. -Filterleiste
Wählen Sie einen Schlüssel aus der Liste der verfügbaren Schlüssel im ausgewählten Projekt aus. Anhand des angezeigten Speicherorts, des Schlüsselbunds und der Details zum Schutzniveau können Sie dafür sorgen, dass Sie den richtigen Schlüssel auswählen.
Wenn der gewünschte Schlüssel nicht in der Liste aufgeführt ist, klicken Sie auf Schlüssel manuell eingeben und geben Sie die Ressourcen-ID des Schlüssels ein.
Schließen Sie die Konfiguration des Secrets ab und klicken Sie dann auf Secret erstellen. Secret Manager erstellt das Secret und verschlüsselt es mit dem angegebenen CMEK-Schlüssel.
CMEK für unterstützte Dienste aktivieren
Suchen Sie zuerst in der folgenden Tabelle nach dem gewünschten Dienst, um CMEK zu aktivieren. Sie können Suchbegriffe in das Feld eingeben, um die Tabelle zu filtern. Alle Dienste in dieser Liste unterstützen Software- und Hardwareschlüssel (HSM). Produkte, die in Cloud KMS eingebunden werden, wenn externe Cloud EKM-Schlüssel verwendet werden, sind in der Spalte Von EKM unterstützt aufgeführt.
Folgen Sie der Anleitung für jeden Dienst, für den Sie CMEK-Schlüssel aktivieren möchten.