Vom Kunden verwaltete Verschlüsselungsschlüssel (Customer Managed Encryption Keys, CMEK) verwenden

MySQL   |  PostgreSQL   |  SQL Server

Auf dieser Seite wird gezeigt, wie Sie ein Dienstkonto und Schlüssel für vom Kunden verwaltete Verschlüsselungsschlüssel (Customer-managed Encryption Keys, CMEK) einrichten und wie Sie eine Instanz erstellen, die einen CMEK nutzt. Weitere Informationen zur Verwendung von vom Kunden verwalteten Verschlüsselungsschlüsseln mit Cloud SQL finden Sie unter Von Kunden verwaltete Verschlüsselungsschlüssel – Übersicht.

Hinweis

1. Melden Sie sich bei Ihrem Google Cloud-Konto an. Wenn Sie mit Google Cloud noch nicht vertraut sind, erstellen Sie ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

2. Wählen Sie in der Google Cloud Console auf der Seite der Projektauswahl ein Google Cloud-Projekt aus oder erstellen Sie eines.

   Hinweis: Wenn Sie die Ressourcen, die Sie in diesem Verfahren erstellen, nicht behalten möchten, erstellen Sie ein Projekt, anstatt ein vorhandenes Projekt auszuwählen. Wenn Sie fertig sind, können Sie das Projekt löschen und dadurch alle mit dem Projekt verknüpften Ressourcen entfernen.

   Zur Projektauswahl

3. Die Abrechnung für das Google Cloud-Projekt muss aktiviert sein.

4. Installieren Sie die Google Cloud CLI.

5. Führen Sie folgenden Befehl aus, um die gcloud CLI zu initialisieren:

   gcloud init

6. Wählen Sie in der Google Cloud Console auf der Seite der Projektauswahl ein Google Cloud-Projekt aus oder erstellen Sie eines.

   Hinweis: Wenn Sie die Ressourcen, die Sie in diesem Verfahren erstellen, nicht behalten möchten, erstellen Sie ein Projekt, anstatt ein vorhandenes Projekt auszuwählen. Wenn Sie fertig sind, können Sie das Projekt löschen und dadurch alle mit dem Projekt verknüpften Ressourcen entfernen.

   Zur Projektauswahl

7. Die Abrechnung für das Google Cloud-Projekt muss aktiviert sein.

8. Installieren Sie die Google Cloud CLI.

9. Führen Sie folgenden Befehl aus, um die gcloud CLI zu initialisieren:

   gcloud init

10. Sie müssen die Rolle "Cloud SQL-Administrator" in Ihrem Nutzerkonto haben.

    Zur IAM-Seite

11. Cloud Key Management Service API aktivieren.

    Aktivieren Sie die API

12. Cloud SQL Admin API aktivieren.

    Aktivieren Sie die API

Workflow zum Erstellen einer Cloud SQL-Instanz mit CMEK

1. Nur gcloud- und API-Nutzer: Erstellen Sie ein Dienstkonto für jedes Projekt, für das vom Kunden verwaltete Verschlüsselungsschlüssel erforderlich sind.
2. Erstellen Sie einen Schlüsselbund und Schlüssel und legen Sie den Speicherort für jeden Schlüssel fest. Der Speicherort ist die Google Cloud-Region.
3. Nur gcloud- und API-Nutzer: Gewähren Sie dem Dienstkonto Zugriff auf den Schlüssel.
4. Kopieren oder notieren Sie die Schlüssel-ID (KMS_KEY_ID) und den Speicherort für den Schlüssel sowie die ID (KMS_KEYRING_ID) für den Schlüsselbund. Sie benötigen diese Informationen, wenn Sie dem Dienstkonto Zugriff auf den Schlüssel gewähren.
5. Öffnen Sie ein Projekt und erstellen Sie eine Cloud SQL-Instanz mit den folgenden Optionen:
   1. Derselbe Speicherort wie der vom Kunden verwaltete Verschlüsselungsschlüssel
   2. Die vom Kunden verwaltete Schlüsselkonfiguration
   3. Die vom Kunden verwaltete Verschlüsselungsschlüssel-ID

Ihre Cloud SQL-Instanz ist jetzt mit CMEK aktiviert.

Dienstkonto erstellen

Sie müssen für jedes Projekt ein Dienstkonto erstellen, das vom Kunden verwaltete Verschlüsselungsschlüssel erfordert.

Gewähren Sie eine der folgenden Rollen, um zuzulassen, dass ein Nutzer Dienstkonten verwalten kann:

• Dienstkontonutzer (roles/iam.serviceAccountUser): Umfasst Berechtigungen zum Auflisten von Dienstkonten, Abrufen von Details zu einem Dienstkonto und zum Übernehmen der Identität eines Dienstkontos.
• Dienstkontoadministrator (roles/iam.serviceAccountAdmin): Umfasst Berechtigungen zum Auflisten von Dienstkonten und zum Abrufen von Details zu einem Dienstkonto. Umfasst außerdem Berechtigungen zum Erstellen, Aktualisieren und Löschen von Dienstkonten sowie zum Ansehen oder Ändern der Cloud SQL for PostgreSQL-Richtlinie für ein Dienstkonto.

Derzeit können Sie mit den gcloud CLI-Befehlen nur die Art von Dienstkonto erstellen, die Sie für vom Kunden verwaltete Verschlüsselungsschlüssel benötigen. Wenn Sie die Console nutzen, legt Cloud SQL dieses Dienstkonto automatisch an.

gcloud

gcloud beta services identity create \
--service=sqladmin.googleapis.com \
--project=PROJECT_ID

Terraform

Verwenden Sie zum Erstellen eines Dienstkontos eine Terraform-Ressource.

resource "google_project_service_identity" "gcp_sa_cloud_sql" {
  provider = google-beta
  service  = "sqladmin.googleapis.com"
}

Änderungen anwenden

Führen Sie die Schritte in den folgenden Abschnitten aus, um Ihre Terraform-Konfiguration auf ein Google Cloud-Projekt anzuwenden.

Cloud Shell vorbereiten

1. Rufen Sie Cloud Shell auf.

2. Legen Sie das Google Cloud-Standardprojekt fest, auf das Sie Ihre Terraform-Konfigurationen anwenden möchten.

   Sie müssen diesen Befehl nur einmal pro Projekt und in jedem beliebigen Verzeichnis ausführen.

   export GOOGLE_CLOUD_PROJECT=PROJECT_ID

   Umgebungsvariablen werden überschrieben, wenn Sie in der Terraform-Konfigurationsdatei explizite Werte festlegen.

Verzeichnis vorbereiten

Jede Terraform-Konfigurationsdatei muss ein eigenes Verzeichnis haben (auch als Stammmodul bezeichnet).

1. Erstellen Sie in Cloud Shell ein Verzeichnis und eine neue Datei in diesem Verzeichnis. Der Dateiname muss die Erweiterung .tf haben, z. B. main.tf. In dieser Anleitung wird die Datei als main.tf bezeichnet.

   mkdir DIRECTORY && cd DIRECTORY && touch main.tf

2. Wenn Sie einer Anleitung folgen, können Sie den Beispielcode in jedem Abschnitt oder Schritt kopieren.

   Kopieren Sie den Beispielcode in das neu erstellte main.tf.

   Kopieren Sie optional den Code aus GitHub. Dies wird empfohlen, wenn das Terraform-Snippet Teil einer End-to-End-Lösung ist.

3. Prüfen und ändern Sie die Beispielparameter, die auf Ihre Umgebung angewendet werden sollen.
4. Speichern Sie die Änderungen.
5. Initialisieren Sie Terraform. Dies ist nur einmal für jedes Verzeichnis erforderlich.

   terraform init

   Fügen Sie optional die Option -upgrade ein, um die neueste Google-Anbieterversion zu verwenden:

   terraform init -upgrade

Änderungen anwenden

1. Prüfen Sie die Konfiguration und prüfen Sie, ob die Ressourcen, die Terraform erstellen oder aktualisieren wird, Ihren Erwartungen entsprechen:

   terraform plan

   Korrigieren Sie die Konfiguration nach Bedarf.

2. Wenden Sie die Terraform-Konfiguration an. Führen Sie dazu den folgenden Befehl aus und geben Sie yes an der Eingabeaufforderung ein:

   terraform apply

   Warten Sie, bis Terraform die Meldung „Apply complete“ anzeigt.

3. Öffnen Sie Ihr Google Cloud-Projekt, um die Ergebnisse aufzurufen. Rufen Sie in der Google Cloud Console Ihre Ressourcen in der Benutzeroberfläche auf, um sicherzustellen, dass Terraform sie erstellt oder aktualisiert hat.

Hinweis: Bei Terraform-Beispielen wird in der Regel davon ausgegangen, dass die erforderlichen APIs in Ihrem Google Cloud-Projekt aktiviert sind.

Der vorherige Befehl gibt den Namen eines Dienstkontos zurück. Sie verwenden diesen Dienstkontonamen, während Sie dem Dienstkonto Zugriff auf den Schlüssel gewähren.

Schlüssel erstellen

Hinweis: Sie können einen extern verwalteten Schlüssel mit CMEK verwenden und den Cloud EKM-Dienst nutzen, um den Schlüssel über Cloud verfügbar zu machen.

Sie können den Schlüssel im selben Google Cloud-Projekt wie die Cloud SQL-Instanz oder in einem separaten Nutzerprojekt erstellen. Der Speicherort des Cloud KMS-Schlüsselbunds muss in der Region sein, in der Sie die Cloud SQL-Instanz anlegen möchten. Ein Schlüssel für mehrere Regionen oder für eine globale Region funktioniert nicht. Die Erstellungsanfrage der Cloud SQL-Instanz schlägt fehl, wenn die Regionen nicht übereinstimmen.

Warnung: Löschen Sie niemals die Primärschlüsselversion, die Sie beim Erstellen der Instanz verwenden. Sie können die Sicherung für die Instanz nicht wiederherstellen, wenn die Schlüsselversion, die ursprünglich beim Erstellen der Instanz genutzt wurde, gelöscht wird. Die ursprüngliche Schlüsselversion muss auch beibehalten werden, wenn die Schlüsselversion rotiert wird. Gelöschte Schlüssel können nicht neu erstellt werden.

Hinweis: Manchmal wird der Cloud KMS-Schlüssel für eine mit CMEK aktivierte Cloud SQL-Instanz in einem anderen Cloud-Projekt gehostet. Wenn Sie in einem solchen Szenario VPC-SC aktivieren, müssen Sie das KMS-Schlüsselhosting-Projekt zum Sicherheitsbereich hinzufügen.

Hinweis: Die Cloud KMS-Nutzung unterliegt einem Kontingent. GKE ruft die Cloud KMS API jedes Mal auf, wenn ein kryptografischer Vorgang ausgeführt wird. Prüfen Sie, ob Ihr Kontingent zum Aktivieren der Verschlüsselung von Secrets auf Anwendungsebene für Ihre Anwendung ausreicht.

So erstellen Sie einen Cloud KMS-Schlüssel:

Console

1. Rufen Sie in der Google Cloud Console die Seite Schlüsselverwaltung auf.

   Schlüsselverwaltung aufrufen

2. Klicken Sie auf Schlüsselbund erstellen.
3. Fügen Sie einen Schlüsselbundnamen hinzu. Notieren Sie sich diesen Namen, da Sie ihn benötigen, wenn Sie dem Dienstkonto Zugriff auf den Schlüssel gewähren.
4. Fügen Sie einen Schlüsselbund-Speicherort hinzu.
5. Klicken Sie auf Erstellen. Die Seite Schlüssel erstellen wird geöffnet.
6. Fügen Sie einen Schlüsselnamen hinzu.
7. Wählen Sie einen Zweck (symmetrisch oder asymmetrisch) aus.
8. Wählen Sie einen Rotationszeitraum und ein Startdatum aus.
9. Klicken Sie auf Erstellen.
10. Klicken Sie in der Tabelle Schlüssel auf die drei Punkte in der letzten Spalte und wählen Sie Ressourcen-ID kopieren aus oder notieren Sie sich die ID. Dies ist die KMS_KEY_ID. Sie benötigen diese ID, wenn Sie dem Schlüssel Zugriff auf das Dienstkonto gewähren.

gcloud

1. Erstellen Sie einen neuen Schlüsselbund:

   gcloud kms keyrings create KMS_KEYRING_ID \
   --location=GCP_REGION
     

   Notieren Sie sich diesen Namen. Sie benötigen ihn, wenn Sie dem Schlüssel Zugriff auf das Dienstkonto gewähren.
2. Erstellen Sie einen Schlüssel im Schlüsselbund:

   gcloud kms keys create KMS_KEY_ID \
   --location=GCP_REGION \
   --keyring=KMS_KEYRING_ID \
   --purpose=encryption
     

   Notieren Sie sich diesen Namen. Sie benötigen ihn, wenn Sie dem Schlüssel Zugriff auf das Dienstkonto gewähren.

Terraform

Verwenden Sie zum Erstellen eines Schlüsselbunds eine Terraform-Ressource.

resource "google_kms_key_ring" "keyring" {
  provider = google-beta
  name     = "keyring-name"
  location = "us-central1"
}

Verwenden Sie zum Erstellen eines Schlüssels eine Terraform-Ressource.

resource "google_kms_crypto_key" "key" {
  provider = google-beta
  name     = "crypto-key-name"
  key_ring = google_kms_key_ring.keyring.id
  purpose  = "ENCRYPT_DECRYPT"
}

Wenden Sie die Terraform-Konfiguration an:

terraform apply

Gewähren Sie dem Dienstkonto Zugriff auf den Schlüssel

Die folgende Vorgehensweise bezieht sich auf die Verwendung von gcloud und der API.

So gewähren Sie dem Dienstkonto Zugriff:

gcloud

gcloud kms keys add-iam-policy-binding KMS_KEY_ID \
--location=GCP_REGION \
--keyring=KMS_KEYRING_ID \
--member=serviceAccount:[e-mail] \
--role=roles/cloudkms.cryptoKeyEncrypterDecrypter

Terraform

Verwenden Sie, um den Zugriff auf den Schlüssel zu gewähren, eine Terraform-Ressource.

resource "google_kms_crypto_key_iam_binding" "crypto_key" {
  provider      = google-beta
  crypto_key_id = google_kms_crypto_key.key.id
  role          = "roles/cloudkms.cryptoKeyEncrypterDecrypter"

  members = [
    "serviceAccount:${google_project_service_identity.gcp_sa_cloud_sql.email}",
  ]
}

Wenden Sie die Terraform-Konfiguration an:

terraform apply

Cloud SQL-Instanz mit CMEK erstellen

Hinweis: Vom Kunden verwaltete Verschlüsselungsschlüssel können nicht für vorhandene Instanzen aktiviert werden.

So erstellen Sie eine Instanz mit vom Kunden verwalteten Verschlüsselungsschlüsseln:

Console

1. Wechseln Sie in der Google Cloud Console zur Seite Cloud SQL-Instanzen.

   Cloud SQL-Instanzen aufrufen

2. Klicken Sie auf Instanz erstellen.
3. Wählen Sie das Datenbankmodul aus.
4. Geben Sie einen Namen für die Instanz ein. Der Instanzname sollte keine vertraulichen Informationen oder personenbezogenen Daten enthalten, da er extern sichtbar ist. Die Projekt-ID muss im Instanznamen nicht angegeben werden. Sie wird bei Bedarf automatisch erstellt, beispielsweise in den Logdateien.
5. Geben Sie das Passwort für den Nutzer 'root'@'%' ein.
6. Legen Sie die Region für die Instanz fest. Platzieren Sie die Instanz in der Region, in der sich auch die Ressourcen befinden, die darauf zugreifen. In den meisten Fällen müssen Sie keine Zone angeben.
7. Wählen Sie im Abschnitt Konfigurationsoptionen alle Konfigurationsoptionen aus, bis Sie Maschinentyp und Speicher erreichen.
8. Maximieren Sie Maschinentyp und Speicher.
9. Wählen Sie im Abschnitt Encryption (Verschlüsselung) die Option Customer-managed key (Vom Kunden verwalteter Schlüssel) aus.
10. Wählen Sie den KMS-Schlüssel aus dem Drop-down-Menü aus oder geben Sie die KMS_KEY_ID manuell ein. Es werden nur KMS-Schlüssel im selben Projekt und in derselben Region wie die Instanz angezeigt. Wenn Sie einen KMS-Schlüssel auswählen möchten, der zu einem anderen Projekt in derselben Region gehört, wählen Sie Sie können Ihren Schlüssel nicht finden? Schlüsselressourcen-ID eingeben aus und geben Sie die zuvor erfasste KMS_KEY_ID ein.
11. Wenn das Dienstkonto keine Berechtigung zum Verschlüsseln/Entschlüsseln für den ausgewählten Schlüssel hat, wird eine Meldung angezeigt. Klicken Sie in diesem Fall auf Erteilen, um dem Dienstkonto die IAM-Rolle roles/cloudkms.cryptoKeyEncrypterDecrypter> für den ausgewählten KMS-Schlüssel zuzuweisen.
12. Nachdem Sie die Konfigurationsoptionen ausgewählt haben, klicken Sie auf Erstellen.
13. Sie erhalten eine Meldung, in der die Auswirkungen der Verwendung des vom Kunden verwalteten Verschlüsselungsschlüssels erläutert werden. Lesen Sie die Meldung und bestätigen Sie sie, um mit dem Erstellen der Instanz fortzufahren.

gcloud

gcloud sql instances create INSTANCE_NAME \
--project=PROJECT_ID \
--disk-encryption-key=KMS_KEY_ID \
--database-version=VERSION \
--cpu=NUMBER_CPUS \
--memory=MEMORY_SIZE \
--region=REGION \
--root-password=INSERT-PASSWORD-HERE

Terraform

Verwenden Sie zum Erstellen einer Instanz mit CMEK eine Terraform-Ressource.

resource "google_sql_database_instance" "postgres_instance_with_cmek" {
  name                = "postgres-instance-cmek"
  provider            = google-beta
  region              = "us-central1"
  database_version    = "POSTGRES_14"
  encryption_key_name = google_kms_crypto_key.key.id
  settings {
    tier = "db-custom-2-7680"
  }
  # set `deletion_protection` to true, will ensure that one cannot accidentally delete this instance by
  # use of Terraform whereas `deletion_protection_enabled` flag protects this instance at the GCP level.
  deletion_protection = false
}

Änderungen löschen

So löschen Sie das Projekt:

1. Um den Löschschutz zu deaktivieren, setzen Sie in der Terraform-Konfigurationsdatei das Argument deletion_protection auf false.

   deletion_protection =  "false"

2. Wenden Sie die aktualisierte Terraform-Konfiguration an. Führen Sie dazu den folgenden Befehl aus und geben Sie yes an der Eingabeaufforderung ein:

   terraform apply

3. Entfernen Sie Ressourcen, die zuvor mit Ihrer Terraform-Konfiguration angewendet wurden, indem Sie den folgenden Befehl ausführen und yes an der Eingabeaufforderung eingeben:

   terraform destroy

REST Version 1

Um eine Instanz mit vom Kunden verwalteten Verschlüsselungsschlüsseln zu erstellen, übergeben Sie diskEncryptionConfiguration an den Befehl.

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

• project-id: die Projekt-ID
• instance-id: die Instanz-ID
• region: die Region
• database-version: String der Emum-Version (z. B. POSTGRES_12)
• kms-resource-id: die ID, die Sie von der Erstellung eines Schlüssels erhalten haben.

HTTP-Methode und URL:

POST https://sqladmin.googleapis.com/v1/projects/project-id/instances

JSON-Text anfordern:

{
  "name":"instance-id",
  "region":"region",
  "databaseVersion": "database-version",
  "diskEncryptionConfiguration" :
  {
      "kmsKeyName" : "kms-resource-id"
  },
  "settings":
  {
     "backupConfiguration":
      {
         "pointInTimeRecoveryEnabled": true,
         "enabled":true
      }
   }
}

Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

curl (Linux, macOS oder Cloud Shell)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud CLI angemeldet haben. Dazu haben Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt, die Sie automatisch in der gcloud CLI anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/project-id/instances"

PowerShell (Windows)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben. Dazu führen Sie gcloud init oder gcloud auth login aus. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/project-id/instances" | Select-Object -Expand Content

Sie sollten eine JSON-Antwort ähnlich wie diese erhalten:

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances",
  "status": "PENDING",
  "user": "[e-mail]",
  "insertTime": "2020-01-16T02:32:12.281Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

In diesem Beispiel wird instances:insert verwendet.

REST v1beta4

Um eine Instanz mit vom Kunden verwalteten Verschlüsselungsschlüsseln zu erstellen, übergeben Sie diskEncryptionConfiguration an den Befehl.

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

• project-id: die Projekt-ID
• instance-id: die Instanz-ID
• region: die Region
• database-version: String der Emum-Version (z. B. POSTGRES_12)
• kms-resource-id: die ID, die Sie von der Erstellung eines Schlüssels erhalten haben.

HTTP-Methode und URL:

POST https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances

JSON-Text anfordern:

{
  "name":"instance-id",
  "region":"region",
  "databaseVersion": "database-version",
  "diskEncryptionConfiguration" :
  {
      "kmsKeyName" : "kms-resource-id"
  },
  "settings":
  {
     "backupConfiguration":
      {
         "pointInTimeRecoveryEnabled": true,
         "enabled":true
      }
   }
}

Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

curl (Linux, macOS oder Cloud Shell)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud CLI angemeldet haben. Dazu haben Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt, die Sie automatisch in der gcloud CLI anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances"

PowerShell (Windows)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben. Dazu führen Sie gcloud init oder gcloud auth login aus. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances" | Select-Object -Expand Content

Sie sollten eine JSON-Antwort ähnlich wie diese erhalten:

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances",
  "status": "PENDING",
  "user": "[e-mail]",
  "insertTime": "2020-01-16T02:32:12.281Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

In diesem Beispiel wird instances:insert verwendet.

Sicherung für eine CMEK-fähige Instanz erstellen

Wenn Sie die Sicherung einer Cloud SQL-Instanz erstellen, wird diese Sicherung mit der gleichen Primärschlüsselversion wie der vom Kunden verwaltete Schlüssel der primären Instanz verschlüsselt.

On-Demand- und automatische Sicherungen erstellen und verwalten

Im Formular Sicherung erstellen wird folgende Meldung angezeigt: "Your backup will be encrypted with the primary version of this instance's customer-managed encryption key. If anyone destroys or disables this key version, all backup data encrypted using that key version will be permanently lost. You can check the primary version for the key in Cloud KMS."

Auf der Seite "Sicherungen" enthält die Liste der Sicherungen, die mit vom Kunden verwalteten Verschlüsselungsschlüsseln aktiviert sind, zwei zusätzliche Spalten. Eine Spalte gibt an, dass die Sicherung für eine CMEK-fähige Instanz erstellt wird, und die andere Spalte zeigt die Schlüsselversion an, mit der die Sicherung verschlüsselt wurde.

Replikat für eine CMEK-fähige Instanz erstellen

Wenn Sie ein Lesereplikat einer Cloud SQL-Instanz in derselben Region erstellen, wird dafür der vom Kunden verwaltete Verschlüsselungsschlüssel der übergeordneten Instanz übernommen. Wenn Sie ein Lesereplikat in einer anderen Region erstellen, erhalten Sie eine neue Liste mit vom Kunden verwalteten Verschlüsselungsschlüsseln zur Auswahl. Jede Region nutzt einen eigenen Schlüsselsatz.

Lesereplikate erstellen

Auf der Seite Lesereplikat erstellen sind die folgenden Informationen enthalten:

1. Unter Verschlüsselung wird Vom Kunden verwaltet angezeigt.
2. Der Verschlüsselungsschlüssel für das Replikat wird angezeigt.
3. Die folgende Meldung wird angezeigt: "Das Replikat wird mit einem vom Kunden verwalteten Schlüssel der Masterinstanz verschlüsselt. Wenn dieser Schlüssel gelöscht wird, gehen alle mit ihm verschlüsselten Daten dauerhaft verloren."

Für ein regionenübergreifendes Replikat wird die folgende Meldung angezeigt:

"Your cross-region replica will be encrypted with the selected customer-managed key. If anyone destroys this key, all data encrypted with it will be permanently lost."

CMEK-fähige Instanz klonen

Wenn Sie einen Klon der Cloud SQL-Instanz erstellen, übernimmt er den vom Kunden verwalteten Verschlüsselungsschlüssel, der auch für die Verschlüsselung der Quellinstanz genutzt wird.

Instanzen klonen

Auf der Seite Klon erstellen sind die folgenden Informationen enthalten:

1. Unter Verschlüsselung wird Vom Kunden verwaltet angezeigt.
2. Der Verschlüsselungsschlüssel für den Klon wird angezeigt.
3. Die folgende Meldung wird angezeigt: "Der Klon wird mit einem vom Kunden verwalteten Schlüssel der Quellinstanz verschlüsselt. Wenn dieser Schlüssel gelöscht wird, gehen alle mit ihm verschlüsselten Daten dauerhaft verloren."

Wichtige Informationen für eine CMEK-fähige Instanz aufrufen

Nachdem Sie eine Cloud SQL-Instanz erstellt haben, können Sie der Instanzliste oder der Instanzübersicht entnehmen, dass sie mit einem vom Kunden verwalteten Verschlüsselungsschlüssel angelegt wurde. In den Details wird auch der Schlüssel angezeigt, der zum Erstellen der Instanz verwendet wurde.

1. Wechseln Sie in der Google Cloud Console zur Seite Cloud SQL-Instanzen.

   Cloud SQL-Instanzen aufrufen

2. Scrollen Sie in der Liste der Instanzen nach rechts, bis die Spalte Verschlüsselung zu sehen ist. In dieser Spalte werden die Einträge Von Google verwaltet und Vom Kunden verwaltet angezeigt.
3. Klicken Sie auf den Instanznamen, um die entsprechende Übersicht zu öffnen. Der vom Kunden verwaltete Verschlüsselungsschlüssel ist im Bereich Konfiguration aufgeführt.

Existierende CMEK-fähige Instanz oder Replikat neu verschlüsseln

Sie können Ihre vorhandenen Cloud SQL-Instanzen und -Replikate mit der neuesten primären Schlüsselversion neu verschlüsseln. Weitere Informationen zum erneuten Verschlüsseln Ihrer vorhandenen CMEK-fähigen Instanz oder eines Replikats finden Sie unter Informationen zu Schlüsseln.

Neue primäre Schlüsselversion abrufen

• Sie benötigen die neue primäre Schlüsselversion, um Ihre Instanz oder das Replikat mit einer neuen Version neu zu verschlüsseln. Wenn Sie eine neue Schlüsselversion für Ihre Instanzen benötigen, müssen Sie Ihren Schlüssel mit dem Cloud Key Management Service rotieren. Informationen zum Rotieren Ihres Primärschlüssels finden Sie unter Schlüssel rotieren.

• Warten Sie nach Abschluss der Schlüsselrotation, bis die Änderung des Primärschlüssels wirksam wurde, bevor Sie Ihre Instanzen neu verschlüsseln. Ist die Schlüsselversion nicht konsistent, so verwendet Ihre Instanz nach der erneuten Verschlüsselung weiterhin die alte Schlüsselversion. Weitere Informationen finden Sie unter Konsistenz der Schlüsselversionen.

CMEK-fähige Instanz neu verschlüsseln

Verschlüsseln Sie nach Abschluss der Schlüsselrotation Ihre vorhandene CMEK-fähige Instanz oder Ihr Replikat neu.

Hinweis: Wenn Ihre neue Schlüsselversion in Cloud SQL nicht konsistent ist, verwendet die Instanz nach der erneuten Verschlüsselung weiter die alte Schlüsselversion.

Console

1. Wechseln Sie in der Google Cloud Console zur Seite Cloud SQL-Instanzen.

   Cloud SQL-Instanzen aufrufen

2. Klicken Sie auf den Instanznamen, um die Übersichtsseite einer Instanz zu öffnen.
3. Klicken Sie im Abschnitt Konfiguration auf Instanz neu verschlüsseln.
4. Bestätigen Sie im angezeigten Dialogfeld Ihre Auswahl durch einen Klick auf Neu verschlüsseln.

gcloud

Führen Sie folgenden Befehl aus, um die Instanz oder das Replikat neu zu verschlüsseln:

gcloud sql instances reencrypt INSTANCE_NAME

Ersetzen Sie INSTANCE_NAME durch den Namen der neu zu verschlüsselnden Instanz oder des Replikats.

REST Version 1

Führen Sie folgenden Befehl aus, um Ihre Instanz oder das Replikat mit dem neuen Schlüssel neu zu verschlüsseln:

    POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

• PROJECT_ID: die Projekt-ID
• INSTANCE_ID: die Instanz-ID

HTTP-Methode und URL:

POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

curl (Linux, macOS oder Cloud Shell)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud CLI angemeldet haben. Dazu haben Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt, die Sie automatisch in der gcloud CLI anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Führen Sie folgenden Befehl aus:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d "" \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt"

PowerShell (Windows)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben. Dazu führen Sie gcloud init oder gcloud auth login aus. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Führen Sie folgenden Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt" | Select-Object -Expand Content

Sie sollten in etwa folgende JSON-Antwort erhalten:

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "[e-mail]",
  "insertTime": "2023-06-28T21:19:09.503Z",
  "operationType": "REENCRYPT",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

REST v1beta4

Führen Sie folgenden Befehl aus, um Ihre Instanz oder das Replikat mit dem neuen Schlüssel neu zu verschlüsseln:

    POST https://sqladmin.googleapis.com/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

• PROJECT_ID: die Projekt-ID
• INSTANCE_ID: die Instanz-ID

HTTP-Methode und URL:

POST https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

curl (Linux, macOS oder Cloud Shell)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud CLI angemeldet haben. Dazu haben Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt, die Sie automatisch in der gcloud CLI anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Führen Sie folgenden Befehl aus:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d "" \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt"

PowerShell (Windows)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben. Dazu führen Sie gcloud init oder gcloud auth login aus. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Führen Sie folgenden Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt" | Select-Object -Expand Content

Sie sollten eine JSON-Antwort ähnlich wie diese erhalten:

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "[e-mail]",
  "insertTime": "2023-06-28T21:22:13.663Z",
  "operationType": "REENCRYPT",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

Automatische Sicherungen neu verschlüsseln

Wenn Sie eine primäre Instanz mit einer neuen Primärschlüsselversion neu verschlüsseln, erstellt Cloud SQL automatisch eine On-Demand-Sicherung, die "Neuverschlüsselungssicherung" genannt wird.

In der Liste der Sicherungen für Ihre Cloud SQL-Instanz wird die Sicherung zur Neuverschlüsselung als Typ on-demand aufgeführt und mit backup created automatically for data before CMEK re-encryption gekennzeichnet.

Wie bei anderen On-Demand-Sicherungen bleiben Sicherungen über die erneute Verschlüsselung erhalten, bis Sie sie oder die Instanz löschen.

Einschränkungen bei der Neuverschlüsselung

Beachten Sie folgende Einschränkungen, wenn Sie eine Instanz neu verschlüsseln:

• Während der erneuten Verschlüsselung können Sie auf der Instanz keine weiteren Admin-Vorgänge ausführen.
• Durch die Neuverschlüsselung wird eine auf der Größe der Instanz oder des Replikats basierende Ausfallzeit ausgelöst.
• Replikate einer Instanz werden nicht neu verschlüsselt, wenn eine Instanz neu verschlüsselt wird. Sie müssen jedes Replikat separat neu verschlüsseln.
• Sicherungen werden nicht automatisch mit der neuen Schlüsselversion verschlüsselt, wenn Sie Ihre Instanz neu verschlüsseln. Wenn Sie die Sicherung oder die Wiederherstellung zu einer bestimmten Zeit nach dem Erstellen wiederherstellen möchten, müssen Sie die Cloud KMS-Schlüsselversion behalten, mit der die Sicherung verschlüsselt ist.

Informationen zur Fehlerbehebung finden Sie in der Fehlerbehebungstabelle: Erneute Verschlüsselung.

Cloud External Key Manager (Cloud EKM) verwenden

Zum Schutz von Daten in Cloud SQL-Instanzen können Sie Schlüssel verwenden, die Sie mit einem unterstützten Partner für externe Schlüsselverwaltung verwalten. Weitere Informationen finden Sie unter Cloud External Key Manager, einschließlich des Abschnitts Hinweise.

Informationen zum Erstellen eines Cloud EKM-Schlüssels finden Sie unter Cloud EKM-Schlüssel verwalten. Nachdem ein Schlüssel erstellt wurde, geben Sie den Namen des Schlüssels an, wenn Sie eine Cloud SQL-Instanz erstellen.

Sie können Key Access Justifications (KAJ) als Teil von Cloud EKM verwenden. KAJ ermöglicht es Ihnen, den Grund für jede Cloud EKM-Anfrage aufzurufen. Basierend auf der Begründung können Sie eine Anfrage außerdem automatisch genehmigen oder ablehnen. Weitere Informationen finden Sie in der Übersicht.

Damit bietet KAJ eine zusätzliche Kontrolle über Ihre Daten. Dazu stellt es für jeden Versuch zum Entschlüsseln der Daten eine Begründung bereit.

Google hat keine Kontrolle über die Verfügbarkeit von Schlüsseln in einem Partnersystem für die externe Schlüsselverwaltung.

Warnung: Wenn ein externer Schlüssel gelöscht wird oder nicht wiederhergestellt werden kann, sind alle mit diesem Schlüssel verschlüsselten Cloud SQL-Instanzen dauerhaft nicht mehr zugänglich.

Schlüsselversionen deaktivieren und reaktivieren

Sehen Sie sich die folgenden Themen an:

• Aktivierte Schlüsselversion deaktivieren
• Deaktivierte Schlüsselversion aktivieren

Fehlerbehebung

In diesem Abschnitt wird beschrieben, welche Maßnahmen Sie ergreifen können, wenn Sie beim Einrichten oder Verwenden von CMEK-fähigen Instanzen eine Fehlermeldung erhalten.

Cloud SQL-Administratorvorgänge wie Erstellen, Klonen oder Aktualisieren können aufgrund von Cloud KMS-Fehlern und fehlenden Rollen oder Berechtigungen fehlschlagen. Häufige Gründe für einen Fehler sind eine fehlende, deaktivierte oder gelöschte Cloud KMS-Schlüsselversion, unzureichende IAM-Berechtigungen für den Zugriff auf die Cloud KMS-Schlüsselversion oder wenn sich die Cloud KMS-Schlüsselversion in einer anderen Region als die Cloud SQL-Instanz befindet. Verwenden Sie die folgende Tabelle zur Fehlerbehebung, um häufige Probleme zu diagnostizieren und zu beheben.

Tabelle zur Fehlerbehebung für vom Kunden verwaltete Verschlüsselungsschlüssel

Fehler	Das könnte das Problem sein	Lösungsvorschlag
Dienstkonto pro Produkt und Projekt wurde nicht gefunden	Der Name des Dienstkontos ist falsch.	Sie müssen ein Dienstkonto für das richtige Nutzerprojekt erstellt haben. Zur Seite "Dienstkonten"
Zugriff auf das Dienstkonto kann nicht gewährt werden	Das Nutzerkonto ist nicht berechtigt, Zugriff auf diese Schlüsselversion zu gewähren.	Weisen Sie dem Nutzer- oder Dienstkonto die Rolle Organisationsadministrator zu. Zur Seite "IAM-Konten"
Die Cloud KMS-Schlüsselversion wurde gelöscht.	Die Schlüsselversion wurde gelöscht.	Wenn die Schlüsselversion gelöscht wurde, können Sie sie nicht zum Verschlüsseln oder Entschlüsseln von Daten verwenden.
Die Cloud KMS-Schlüsselversion ist deaktiviert.	Die Schlüsselversion ist deaktiviert.	Aktivieren Sie die Cloud KMS-Schlüsselversion noch einmal. Zur Seite "Kryptografische Schlüssel"
Unzureichende Berechtigung zur Verwendung des Cloud KMS-Schlüssels	Die Rolle cloudkms.cryptoKeyEncrypterDecrypter fehlt in dem Nutzer- oder Dienstkonto, das Sie zum Ausführen von Vorgängen auf Cloud SQL-Instanzen verwenden, oder die Cloud KMS-Schlüsselversion ist nicht vorhanden.	Weisen Sie Ihrem Nutzer- oder Dienstkonto die Rolle cloudkms.cryptoKeyEncrypterDecrypter zu. Zur Seite "IAM-Konten" Wenn Ihrem Konto bereits die Rolle zugewiesen ist, finden Sie unter Schlüssel erstellen Informationen zum Erstellen einer neuen Schlüsselversion. Siehe Hinweis.
Cloud KMS-Schlüssel wurde nicht gefunden	Die Schlüsselversion ist nicht vorhanden.	Erstellen Sie eine neue Schlüsselversion. Schlüssel erstellen Siehe Hinweis.
Die Cloud SQL-Instanz und die Cloud KMS-Schlüsselversion befinden sich in verschiedenen Regionen.	Die Cloud KMS-Schlüsselversion und die Cloud SQL-Instanz müssen sich in derselben Region befinden. Es kommt zu einem Fehler, wenn sich die Cloud KMS-Schlüsselversion in einer globalen Region oder Mehrfachregion befindet.	Erstellen Sie eine Schlüsselversion in derselben Region, in der Sie Instanzen erstellen möchten. Schlüssel erstellen Siehe Hinweis.

Hinweis: Wenn die Instanz während des create-Vorgangs einen Fehlerstatus hat, müssen Sie sie löschen, die Rolle dem verwendeten Konto zuweisen und mit einer aktiven Version des Cloud KMS-Schlüssels eine neue Instanz erstellen.

Fehlerbehebungstabelle: Erneute Verschlüsselung

Fehler	Das könnte das Problem sein	Lösungsvorschlag
Die erneute Verschlüsselung der CMEK-Ressource ist fehlgeschlagen, da der Cloud KMS-Schlüssel nicht zugänglich ist. Prüfen Sie, ob die primäre Schlüsselversion aktiviert und die Berechtigung korrekt erteilt wurde.	Die Schlüsselversion ist nicht aktiviert oder hat nicht die erforderlichen Berechtigungen.	Aktivieren Sie die Cloud KMS-Schlüsselversion noch einmal: ZUR SEITE "KRYPTOSCHLÜSSEL" Prüfen Sie, ob sie die erforderlichen Berechtigungen hat: Zur Seite "IAM-Konten"
Die erneute Verschlüsselung der CMEK-Ressource ist aufgrund eines internen Serverfehlers fehlgeschlagen. Versuchen Sie es später noch einmal.	Ein interner Serverfehler ist aufgetreten.	Wiederholen Sie die Neuverschlüsselung. Weitere Informationen finden Sie unter Vorhandene CMEK-fähige Instanz oder -Replikat neu verschlüsseln.

Nächste Schritte

• Zugriff auf die Instanz konfigurieren
• Mit einem Client eine Verbindung zur Instanz herstellen
• Datenbank auf der Instanz erstellen
• Daten in die Instanz importieren
• Nutzer auf der Instanz erstellen
• Instanzeinstellungen
• Key Access Justifications zu Ihren Schlüsseln hinzufügen.