Workstationressourcen mit CMEK verschlüsseln

Standardmäßig verwendet Cloud Workstations einen von Google verwalteten und von Google verwalteten Schlüssel, um Workstation-Ressourcen wie VMs und nichtflüchtige Speicher zu verschlüsseln, wenn Daten inaktiv sind. Wenn Sie bestimmte Compliance- oder regulatorische Anforderungen in Bezug auf die Schlüssel zum Schutz Ihrer Daten haben, können Sie vom Kunden verwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK) mit dem Cloud Key Management Service (Cloud KMS) verwenden.

Weitere Informationen zu CMEK im Allgemeinen sowie dazu, wann und warum CMEK aktiviert werden sollte, finden Sie in der Cloud KMS-Dokumentation.

Hinweise

Projekte erstellen

1. Wählen Sie in der Google Cloud Console auf der Seite für die Projektauswahl zwei Google Cloud-Projekte aus oder erstellen Sie sie:

   • Ein Schlüsselprojekt enthält Ihre Cloud KMS-Ressourcen, einschließlich eines Schlüsselbunds und eines symmetrischen Verschlüsselungsschlüssels.

   • Ein Workstationprojekt enthält Workstations, die mit einem CMEK-Schlüssel verschlüsselt sind.

   Sie können für Ihr Schlüsselprojekt und Ihr Workstationprojekt dasselbe Projekt verwenden. Als Best Practice empfehlen wir jedoch, zwei Projekte für die Aufgabentrennung zu verwenden.

   Hinweis: Wenn Sie die Ressourcen, die Sie in diesem Verfahren erstellen, nicht behalten möchten, erstellen Sie neue Projekte, anstatt vorhandene auszuwählen. Wenn Sie fertig sind, können Sie die Projekte löschen. Dadurch werden alle Ressourcen entfernt, die mit beiden Projekten verknüpft sind.

2. Die Abrechnung für das Cloud-Projekt muss aktiviert sein. Hier erfahren Sie, wie Sie prüfen, ob die Abrechnung für ein Projekt aktiviert ist.

3. Aktivieren Sie die erforderlichen APIs in jedem Projekt.

   • In Ihrem Schlüsselprojekt muss die Cloud KMS API aktiviert sein.

     Cloud KMS API aktivieren

   • In Ihrem Workstations-Projekt muss die Cloud KMS API und die Cloud Workstations API aktiviert sein.

     Cloud KMS und Cloud Workstations APIs aktivieren

4. Sie müssen die gcloud-Befehlszeile installieren und initialisieren. Führen Sie den folgenden Befehl aus, um die gcloud-Befehlszeile zu initialisieren:

   gcloud init
   

Erforderliche Rollen

Obwohl Sie derselben Person die Rollen „Cloud KMS Admin“ und „Cloud Workstations Admin“ zuweisen können, empfehlen wir, beim Zuweisen von Rollen dem Prinzip der geringsten Berechtigung zu folgen. Weisen Sie diese Rollen am besten zwei verschiedenen Personen zu und lassen Sie sie koordinieren, anstatt Cloud KMS als Cloud Workstations-Administrator zu bitten. Weitere Informationen finden Sie in den Best Practices für die Sicherheit und unter IAM sicher verwenden.

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen zu gewähren, um die Berechtigungen zu erhalten, die Sie zum Einrichten von CMEK benötigen:

• Wenn Sie der Cloud KMS-Administrator sind, bitten Sie Ihren Administrator, Ihnen die folgende Rolle zu gewähren, damit Sie Cloud KMS-Ressourcen erstellen und verwalten können: Cloud KMS-Administrator (roles/cloudkms.admin) für Ihr Schlüsselprojekt.
• Wenn Sie der Cloud Workstations Admin sind, bitten Sie Ihren Administrator, Ihnen die folgende Rolle zu gewähren, damit Sie Workstations erstellen und aktualisieren können: Cloud Workstations Admin (roles/workstations.admin) in Ihrem Workstations-Projekt.

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff verwalten.

Möglicherweise können Sie die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Schlüsselbund und Verschlüsselungsschlüssel erstellen

Erstellen Sie in Ihrem Schlüsselprojekt einen Schlüssel und speichern Sie die Ressourcen-ID des Schlüssels:

1. Erstellen Sie einen Schlüsselbund oder wählen Sie einen aus.

   Sie können Schlüsselbunde für verschiedene Dienste freigeben. Als Best Practice empfehlen wir jedoch, für jede geschützte Ressource einen anderen Schlüssel zu verwenden. Siehe Aufgabentrennung.

2. Erstellen Sie einen symmetrischen Verschlüsselungsschlüssel.

   Der CMEK-Schlüssel und die Workstationkonfiguration müssen in derselben Region erstellt werden.

3. Rufen Sie die Ressourcen-ID des Schlüssels ab und speichern Sie diese für einen späteren Schritt.

Auf Workstationkonfigurationen prüfen

Wenn in der Google Cloud Console keine Workstationkonfigurationen verfügbar sind, bitten Sie Ihren Cloud Workstations-Administrator, eine Workstationkonfiguration für Sie zu erstellen. Sie können auch prüfen, ob Sie für das Projekt die IAM-Rolle „Cloud Workstations Admin“ haben, damit Sie diese Ressourcen selbst erstellen können.

Kundenverwaltete Verschlüsselungsschlüssel verwenden

Aktivieren Sie CMEK über die Google Cloud Console oder die gcloud CLI, um einen CMEK in einer Workstationkonfiguration zu verwenden.

Achtung :CMEK-Felder in der Workstationkonfiguration sind unveränderlich. Nachdem die Workstationkonfiguration erstellt wurde, kann der Verschlüsselungsschlüssel nicht mehr geändert werden. Wenn Sie einen anderen Verschlüsselungsschlüssel verwenden möchten, müssen Sie eine neue Workstationkonfiguration erstellen und dann Workstationnutzer zur neuen Workstationkonfiguration migrieren.

Console

Gewähren Sie dem Compute Engine-Dienstkonto und Ihrem Compute Engine-Dienst-Agent die Cloud KMS-Rolle CryptoKey Encrypter/Decrypter und Cloud KMS Viewer:

1. Rufen Sie in der Google Cloud Console die Seite Schlüsselverwaltung auf.

   Schlüsselverwaltung aufrufen

2. Klicken Sie auf den Namen des Schlüsselbunds, der den Schlüssel enthält.

3. Klicken Sie das Kästchen für den Schlüssel an, den Sie verwenden möchten.

   Der Tab Berechtigungen wird als Bereich angezeigt.

4. Geben Sie im Dialogfeld Mitglieder hinzufügen die E-Mail-Adresse des Compute Engine-Dienstkontos und des Compute Engine-Dienst-Agents an, dem Sie Zugriff gewähren.

5. Wählen Sie im Drop-down-Menü Rolle auswählen die Option Cloud KMS CryptoKey-Verschlüsseler/Entschlüsseler aus.

6. Klicken Sie auf Weitere Rolle hinzufügen.

7. Wählen Sie im Drop-down-Menü Rolle auswählen die Option Cloud KMS-Betrachter aus.

8. Klicken Sie auf Speichern.

So aktivieren Sie CMEK über die Google Cloud Console:

1. Führen Sie die Schritte unter Workstationkonfiguration erstellen aus.

2. Suchen Sie beim Festlegen der Maschinenkonfiguration nach dem Abschnitt Erweiterte Optionen.

3. Klicken Sie auf expand_more Mehr anzeigen und wählen Sie Vom Kunden verwalteten Verschlüsselungsschlüssel (CMEK) verwenden aus.

   1. Wählen Sie im Feld Wählen Sie einen vom Kunden verwalteten Schlüssel aus den vom Kunden verwalteten Verschlüsselungsschlüssel aus, den Sie in Ihrem Schlüsselprojekt erstellt haben.

      Wenn der von Ihnen erstellte Schlüssel nicht aufgeführt ist, klicken Sie auf Schlüssel manuell eingeben, um den Schlüssel nach der Ressourcen-ID auszuwählen, und geben Sie dann die zuvor notierte Ressourcen-ID ein.

   2. Wählen Sie im Feld Dienstkonto das vom Schlüssel verwendete Dienstkonto aus.

4. Führen Sie die anderen Schritte aus, um die Workstationkonfiguration zu erstellen.

5. Workstationkonfiguration zum Verschlüsseln der nichtflüchtigen Speicher in Ihrem Projekt mit dem angegebenen Cloud KMS-Schlüssel erstellen, starten und starten

gcloud

Im folgenden Beispiel wird eine IAM-Rolle zugewiesen, die Zugriff auf einen Cloud KMS-Schlüssel bietet. Anschließend wird CMEK durch Angabe dieses Schlüssels in der Workstationkonfiguration aktiviert:

1. Gewähren Sie dem KMS-Dienstkonto und dem Compute Engine-Dienst-Agent für Ihr Workstationprojekt die Cloud KMS-Rolle CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) für den CMEK-Schlüssel. Dadurch kann der Compute Engine-Dienst mit dem angegebenen CMEK-Schlüssel verschlüsselte Ressourcen in Ihrem Projekt erstellen.

     gcloud kms keys add-iam-policy-binding KEY_NAME \
       --location LOCATION \
       --keyring KEY_RING \
       --member serviceAccount:[e-mail] \
       --role roles/cloudkms.cryptoKeyEncrypterDecrypter \
       --project KMS_PROJECT_ID
   
     gcloud kms keys add-iam-policy-binding KEY_NAME \
       --location LOCATION \
       --keyring KEY_RING \
       --member serviceAccount:[e-mail] \
       --role roles/cloudkms.cryptoKeyEncrypterDecrypter \
       --project KMS_PROJECT_ID
   

   Ersetzen Sie Folgendes:

   • KEY_NAME: der Name des Schlüssels
   • LOCATION: Name der Region, in der Sie den Schlüsselbund erstellt haben.
   • KEY_RING: der Name des Schlüsselbunds.
   • WORKSTATIONS_PROJECT_NUMBER: Die automatisch generierte, eindeutige numerische Kennzeichnung, die im ersten Teil des Compute Engine-Standarddienstkontos des Workstationprojekts enthalten ist.
   • KMS_PROJECT_ID: Projekt-ID, ein eindeutiger String, mit dem sich Ihr Cloud KMS-Projekt von allen anderen in Google Cloud unterscheidet.

   Informationen zu allen Flags und möglichen Werten erhalten Sie, wenn Sie den Befehl mit dem Flag --help ausführen.

2. Verwenden Sie den folgenden Befehl, um das Dienstkonto für die Workstationverwaltung für Ihr Workstationprojekt abzurufen:

   gcloud beta services identity create --service=workstations.googleapis.com \
       --project=WORKSTATIONS_PROJECT_ID
   

   Ersetzen Sie WORKSTATIONS_PROJECT_ID durch die Projekt-ID Ihrer Workstation.

   Hinweis: Das Dienstkonto für die Workstationverwaltung hat das folgende Format:
   service-$[e-mail].

3. Gewähren Sie dem Dienstkonto zur Workstationverwaltung für Ihr Projekt die Rolle „Cloud KMS-Betrachter“ (roles/cloudkms.viewer) für den CMEK-Schlüssel. Dadurch kann der Workstationdienst die Schlüsselrotation erkennen und Ressourcen nach Bedarf in Ihrem Projekt neu verschlüsseln.

   gcloud kms keys add-iam-policy-binding KEY_NAME \
       --location LOCATION \
       --keyring KEY_RING \
       --member WORKSTATIONS_MANAGEMENT_SERVICE_ACCOUNT \
       --role roles/cloudkms.viewer \
       --project KMS_PROJECT_ID
   

   Ersetzen Sie Folgendes:

   • KEY_NAME: der Name des Schlüssels
   • LOCATION: Name der Region, in der Sie den Schlüsselbund erstellt haben.
   • KEY_RING: der Name des Schlüsselbunds.
   • WORKSTATIONS_MANAGEMENT_SERVICE_ACCOUNT: das Dienstkonto für die Workstationverwaltung, das im obigen Schritt abgerufen wurde.
   • KMS_PROJECT_ID: die Projekt-ID, ein eindeutiger String, mit dem sich Ihr Cloud KMS-Schlüsselprojekt von allen anderen in Google Cloud unterscheidet.

   Informationen zu allen Flags und möglichen Werten erhalten Sie, wenn Sie den Befehl mit dem Flag --help ausführen.

4. Optional: Wenn Sie noch keinen Workstationcluster erstellt haben, erstellen Sie einen mit dem gcloud-Befehl clusters create.

   gcloud workstations clusters create \
       WORKSTATIONS_CLUSTER_NAME --region=LOCATION \
       --project=WORKSTATIONS_PROJECT_NUMBER
   

   Ersetzen Sie Folgendes:

   • WORKSTATIONS_CLUSTER_NAME: der Name des Workstationclusters.
   • LOCATION: Der Name der Region für Ihren Workstationcluster.
   • WORKSTATIONS_PROJECT_NUMBER: Die automatisch generierte, eindeutige numerische Kennzeichnung, die im ersten Teil des Compute Engine-Standarddienstkontos des Workstationprojekts enthalten ist

5. Wenn Sie bereits einen Cluster erstellt haben, erstellen Sie eine Workstationkonfiguration mit den Einstellungen encryption_key.

   Führen Sie den folgenden gcloud-Befehlszeilenbefehl aus, um eine Workstationkonfiguration mit dem Maschinentyp e2-standard-2, dem inaktiven Zeitlimit von 3600s und CMEK-verschlüsselten Workstationressourcen zu erstellen:

   gcloud workstations configs create WORKSTATIONS_CONFIG_NAME \
     --cluster=WORKSTATIONS_CLUSTER_NAME \
     --region=LOCATION \
     --machine-type="e2-standard-2" \
     --idle-timeout=3600 \
     --kms-key="projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME" \
     --kms-key-service-account="[e-mail]" \
     --project=WORKSTATIONS_PROJECT_NUMBER
   

   Ersetzen Sie Folgendes:

   • WORKSTATIONS_CONFIG_NAME: der Name der Workstationkonfiguration.
   • WORKSTATIONS_CLUSTER_NAME ist der Name Ihres Workstationclusters.
   • LOCATION ist der Name der Region für Ihren Cluster.
   • KMS_PROJECT_ID: Projekt-ID, ein eindeutiger String, mit dem Ihr Projekt von allen anderen Projekten in Google Cloud unterschieden wird.
   • KEY_RING: der Name des Schlüsselbunds.
   • KEY_NAME: der Name des Schlüssels
   • WORKSTATIONS_PROJECT_NUMBER: Die automatisch generierte, eindeutige numerische Kennzeichnung, die im ersten Teil des Compute Engine-Standarddienstkontos des Workstationprojekts enthalten ist

   Nachdem Sie eine Workstationkonfiguration erstellt haben, verschlüsselt Cloud KMS die nichtflüchtigen Speicher in Ihrem Projekt mit dem angegebenen Cloud KMS-Schlüssel.

Cloud KMS-Kontingente und Cloud Workstations

Wenn Sie CMEK in Cloud Workstations verwenden, können Ihre Projekte Cloud KMS-Kontingente für kryptografische Anfragen nutzen. CMEK-verschlüsselte Repositories können diese Kontingente beispielsweise pro Up- oder Download verbrauchen. Ver- und Entschlüsselungsvorgänge über CMEK-Schlüssel wirken sich nur dann auf Cloud KMS-Kontingente aus, wenn Sie Hardware- (Cloud HSM) oder externe Schlüssel (Cloud EKM) verwenden. Weitere Informationen finden Sie unter Cloud KMS-Kontingente.

Externe Schlüssel

Sie können Cloud External Key Manager (Cloud EKM) verwenden, um Daten in Google Cloud mit von Ihnen verwalteten externen Schlüsseln zu verschlüsseln.

Wenn Sie einen Cloud EKM-Schlüssel verwenden, hat Google keine Kontrolle über die Verfügbarkeit Ihres extern verwalteten Schlüssels. Wenn der Schlüssel nicht mehr verfügbar ist, kann Ihre Workstation nicht gestartet werden.

Weitere Überlegungen zur Verwendung externer Schlüssel finden Sie unter Cloud External Key Manager.

Nächste Schritte

• Weitere Informationen finden Sie unter Vom Kunden verwaltete Verschlüsselungsschlüssel.
• Was ist Verschlüsselung?