Informationen zur Sicherung für GKE-CMEK-Verschlüsselung

Autopilot Standard

Auf dieser Seite wird gezeigt, wie der vom Kunden verwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Key, CMEK) in Sicherung für GKE funktioniert.

Übersicht

Es gibt zwei Arten von Nutzerdatenartefakten, die über die Sicherung für GKE erstellt und gespeichert werden:

Konfigurationssicherung: Eine Reihe von Kubernetes-Ressourcenbeschreibungen, die aus dem API-Server des Clusters extrahiert wurden, der die Sicherung ausführt, und den Clusterstatus erfasst.
Volume-Sicherungen: Eine Reihe von Volume-Sicherungen, die PersistentVolumeClaim-Ressourcen in der Konfigurationssicherung entsprechen.

Standardmäßig werden alle Sicherungsartefakte, die über "Sicherung für GKE" erstellt wurden, im inaktiven Zustand mit einem von Google bereitgestellten Schlüssel verschlüsselt.

Sie können diese Artefakte jedoch mit einem vom Kunden verwalteten Verschlüsselungsschlüssel (Customer-Managed Encryption Key, CMEK) verschlüsseln, der über den Cloud Key Management Service verwaltet wird, wenn gewünscht.

CMEK-Verschlüsselung aktivieren

Die CMEK-Verschlüsselung wird in zwei Schritten aktiviert:

Legen Sie einen Schlüssel zum Verschlüsseln von Sicherungen fest, die für einen BackupPlan erstellt wurden.
Gewähren Sie den entsprechenden Dienstkonten Zugriff auf die entsprechenden Schlüssel.

Für jedes Sicherungsszenario sind möglicherweise drei CMEK-Schlüssel beteiligt:

bplan_key: Dies ist der Schlüssel, auf den Sie beim Erstellen oder Aktualisieren von BackupPlan verweisen. Nach Möglichkeit dieser Schlüssel, der beim Verschlüsseln aller Sicherungsartefakte verwendet wird. Dieser Schlüssel muss sich in derselben Region wie der BackupPlan selbst befinden (siehe Informationen zu Ressourcenstandorten).
orig_disk_key: Wenn Sie die nichtflüchtige Speicher-Volumes mit einem CMEK-Schlüssel verschlüsselt haben, werden die von "Sicherung für GKE" für diese Volumes generierten Volume-Sicherungen mit diesem Schlüssel verschlüsselt, auch wenn ein anderer Schlüssel beim BackupPlan registriert ist.
new_disk_key: Dies ist der CMEK-Schlüssel, den Sie zum Verschlüsseln von Volumes verwenden möchten, die Sie aus der Sicherung wiederhergestellt haben. Dies wird durch die StorageClass im Zielcluster der Wiederherstellung referenziert.

Es gibt fünf verschiedene Dienstkonten, die möglicherweise Zugriff auf CMEK-Schlüssel erfordern:

agent_wi: Wenn Sie die Vorschauversion des Agents ausführen (GKE-Cluster mit Version 1.23 oder niedriger), muss diesem Dienstkonto Zugriff auf den bplan_key gewährt werden. Dieses Dienstkonto hat das Format PROJECT_ID.svc.id.goog[gkebackup/agent], wobei PROJECT_ID die ID Ihres Google Cloud-Projekts ist.
agent_robot: Wenn Ihre GKE-Cluster die Version 1.24 oder höher ausführen, muss diesem Dienstkonto Zugriff auf die bplan_key gewährt werden. Dieses Dienstkonto hat das Format service-PROJECT_NUMBER@container-engine-robot.iam.gserviceaccount.com, wobei PROJECT_NUMBER die Anzahl Ihres Google Cloud-Projekts ist.
non_cmek_service_agent: Beim Sichern von nicht CMEK-verschlüsselten Volumes muss diesem Dienstkonto Zugriff auf das bplan_key gewährt werden. Dieses Dienstkonto hat das Format service-PROJECT_NUMBER@gcp-sa-gkebackup.iam.gserviceaccount.com, wobei PROJECT_NUMBER die Anzahl Ihres Google Cloud-Projekts ist.
cmek_service_agent: Beim Sichern von CMEK-verschlüsselten Volumes muss diesem Dienstkonto Zugriff auf das orig_disk_key gewährt werden. Dieses Dienstkonto hat das Format service-TENANT_PROJECT_NUMBER@compute-system.iam.gserviceaccount.com, wobei TENANT_PROJECT_NUMBER die Nummer des Mandantenprojekts ist, das Ihrem BackupPlan zugewiesen ist.

Achtung: Wenn der Sicherungsbereich ein mit CMEK verschlüsseltes Volume enthält, schlägt die mit diesem Volume verknüpfte VolumeBackup fehl. Das Feld stateMessage der Ressource VolumeBackup enthält eine Fehlermeldung, die das Dienstkonto (cmek_service_agent) identifiziert, dem Zugriff auf orig_disk_key gewährt werden muss. Sie können VolumeBackup-Ressourcen mit dem Befehl gcloud beta container backup-restore volume-backups list anzeigen und --format=yaml weitergeben, um alle Felder anzuzeigen.
compute_service_agent: Dieses Dienstkonto wird beim Erstellen neuer verschlüsselter Volumes für einen Cluster verwendet. Er muss Zugriff auf den new_disk_key haben. Dieses Dienstkonto hat das Format service-PROJECT_NUMBER@compute-system.iam.gserviceaccount.com, wobei PROJECT_NUMBER die Anzahl Ihres Google Cloud-Projekts ist.

Wenn diskEncryptionKey.kmsKeyServiceAccount für die Laufwerke festgelegt ist, müssen Sie die folgenden Schritte ausführen, bevor Sie eine Sicherung erstellen:

Deaktivieren Sie die Organisationsrichtlinie iam.disableCrossProjectServiceAccountUsage, um den Identitätsübertragung für ein Dienstkonto Projektübergreifend zu aktivieren:
```
  gcloud resource-manager org-policies disable-enforce \
      iam.disableCrossProjectServiceAccountUsage
      --project=PROJECT_ID
```

Weisen Sie cmek_service_agent die Rolle roles/iam.serviceAccountTokenCreator zu, um kurzlebige Anmeldedaten zu erstellen:

  gcloud iam service-accounts add-iam-policy-binding \
    # Replace the email with the value from
    # `diskEncryptionKey.kmsKeyServiceAccount`
    your-kms-key-service-acount@PROJECT_ID.iam.gserviceaccount.com \
    --member=service-TENANT_PROJECT_NUMBER@compute-system.iam.gserviceaccount.com \
    --role=roles/iam.serviceAccountTokenCreator

In der folgenden Tabelle ist zusammengefasst, welche Dienstkonten in welchen Szenarien Zugriff auf welche Schlüssel erhalten müssen:

Artifact	Dienstkonto	Schlüssel
config backup, 1.23- cluster	agent_wi	bplan_key
config backup, 1.24+ cluster	agent_robot	bplan_key
Sicherung von CMEK-verschlüsseltem Volume	cmek_service_agent	orig_disk_key
Sicherung eines von Google verschlüsselten Volumes	non_cmek_service_agent	bplan_key
Neues mit CMEK verschlüsseltes Volume, das während der Wiederherstellung erstellt wurde	compute_service_agent	new_disk_key

Sie können Zugriff auf Schlüssel auf Projektebene (erteilt Zugriff auf alle Schlüssel unter diesem Projekt) oder auf den einzelnen Schlüssel gewähren.

Beispiel: Zugriff auf Projektebene gewähren

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member serviceAccount:service-PROJECT_NUMBER@gcp-sa-gkebackup.iam.gserviceaccount.com \
    --role roles/cloudkms.cryptoKeyEncrypterDecrypter

Beispiel: Zugriff auf Schlüsselebene gewähren

gcloud kms keys add-iam-policy-binding key \
    --keyring key-ring \
    --location location \
    --member "serviceAccount:PROJECT_ID.svc.id.goog[gkebackup/agent]" \
    --role roles/cloudkms.cryptoKeyEncrypterDecrypter

Überlegungen und Einschränkungen zur Nutzung

Wenn Sie ein CMEK-verschlüsseltes Volume sichern möchten, müssen Sie Zugriff auf den Schlüssel dieses Laufwerks gewähren, auch wenn Sie die CMEK-Verschlüsselung in Ihrem BackupPlan nicht aktivieren.
CMEK-Schlüssel müssen sich in derselben Region wie BackupPlan befinden, damit ein regionaler Ausfall den Zugriff auf den Schlüssel nicht entfernt, während Sicherungen weiterhin zugänglich sind. Diese Einschränkung kann jedoch nicht für Schlüssel erzwungen werden, die mit verschlüsselten Volumes gemeinsam genutzt werden. Wenn verschlüsselte Volumes verwendet werden, ist es möglich, dass die Wiederherstellung auch dann fehlschlägt, wenn eine Sicherung verfügbar ist, da der Verschlüsselungsschlüssel des Laufwerks möglicherweise nicht in derselben Region wie die Sicherung gespeichert wird.