Kundenverwaltete Verschlüsselungsschlüssel

Application Integration verschlüsselt ruhende Kundeninhalte standardmäßig. Die Verschlüsselung wird von Application Integration übernommen. Weitere Maßnahmen Ihrerseits sind nicht erforderlich. Diese Option heißt Google-Standardverschlüsselung.

Wenn Sie Ihre Verschlüsselungsschlüssel selbst verwalten möchten, können Sie vom Kunden verwaltete Verschlüsselungsschlüssel (CMEKs, Customer-Managed Encryption Keys) in Cloud KMS mit CMEK-integrierten Diensten wie Application Integration verwenden. Mit Cloud KMS-Schlüsseln haben Sie die Kontrolle über Schutz level, Speicherort, Rotationszeitplan, Nutzungs- und Zugriffsberechtigungen sowie über kryptografische Grenzen. Mit Cloud KMS können Sie außerdem Audit-Logs aufrufen und den Lebenszyklus von Schlüsseln steuern. Statt es Google zu überlassen, die symmetrischen Schlüsselverschlüsselungsschlüssel (Key Encryption Keys, KEKs) zum Schutz Ihrer Daten zu besitzen und zu verwalten, können Sie diese auch über Cloud KMS steuern und verwalten.

Nachdem Sie Ihre Ressourcen mit CMEKs eingerichtet haben, ähnelt der Zugriff auf Ihre Application Integration-Ressourcen der Verwendung der Google-Standardverschlüsselung. Weitere Informationen zu Ihren Verschlüsselung soptionen finden Sie unter Kundenverwaltete Verschlüsselungsschlüssel (CMEK).

Hinweis: Wenn Sie Google-owned and Google-managed encryption keys in Application Integration verwenden, verbrauchen Ihre Mandantenprojekte Kontingente für kryptografische Cloud KMS-Anfragen. Weitere Informationen zu Kontingenten und Limits finden Sie unter Cloud KMS-Kontingente.

Hinweis

Achten Sie darauf, dass die folgenden Aufgaben abgeschlossen sind, bevor Sie CMEK für Application Integration verwenden:

1. Aktivieren Sie die Cloud KMS API für das Projekt, das Ihre Verschlüsselungsschlüssel speichern soll.

   Cloud KMS API aktivieren

   Hinweis:Sie können Application Integration und Cloud Key Management Service im selben Google Cloud-Projekt oder in verschiedenen Projekten ausführen.
   • Wenn Sie CMEK in einem anderen Projekt (freigegebenes oder Schlüssel-Hosting-Projekt) als dem verwenden, in dem Sie Application Integration eingerichtet haben:
   1. Aktivieren Sie die folgende API im freigegebenen oder Schlüssel-Hosting-Projekt:
      • Cloud Key Management Service API
   2. Weisen Sie dem Standarddienstkonto von Application Integration im freigegebenen oder Schlüssel-Hosting-Projekt die folgende IAM-Rolle für den CMEK-Schlüssel zu: Standarddienstkonto
      • Cloud KMS CryptoKey-Verschlüsseler/Entschlüsseler
      Hinweis: Damit die Rollenzuweisung für das Standarddienstkonto aktiviert werden kann, müssen Sie den CMEK-Schlüssel mindestens einmal bestätigen, auch wenn der erste Versuch fehlschlägt.
2. Weisen Sie den Personen, die die CMEK-Schlüssel verwalten, die IAM-Rolle Cloud KMS-Administrator zu. Gewähren Sie außerdem die folgenden IAM-Berechtigungen für das Projekt, in dem Ihre Verschlüsselungsschlüssel gespeichert sind:
   • cloudkms.cryptoKeys.setIamPolicy
   • cloudkms.keyRings.create
   • cloudkms.cryptoKeys.create
   • cloudkms.cryptoKeyVersions.useToEncrypt
   Achtung: Die Rolle „Cloud KMS-Administrator“ enthält Berechtigungen für die Schlüsselwartung und die Zerstörung von Schlüsselversionen. Zum Schutz Ihrer Cloud KMS-Ressourcen sollte diese Rolle nur Personen zugewiesen werden, die für die Schlüsselverwaltung zuständig sind.

   Informationen zum Zuweisen zusätzlicher Rollen oder Berechtigungen finden Sie unter Zugriff auf Ressourcen erteilen, ändern und entziehen.

3. Erstellen Sie einen Schlüsselbund und einen Schlüssel.
   Hinweis: Der Schlüsselbund und der CMEK-Schlüssel müssen in derselben Region erstellt werden, in der Sie Application Integration eingerichtet haben.

Dienstkonto zum CMEK-Schlüssel hinzufügen

Damit Sie einen CMEK-Schlüssel in Application Integration verwenden können, muss Ihr Standarddienstkonto hinzugefügt und ihm die IAM-Rolle „CryptoKey-Verschlüsseler/Entschlüsseler“ für diesen CMEK-Schlüssel zugewiesen werden.

1. Rufen Sie in der Google Cloud Console die Seite Schlüsselinventar auf.

   Seite „Schlüsselinventar“ aufrufen

2. Klicken Sie das Kästchen für den gewünschten CMEK-Schlüssel an.

   Der Tab Berechtigungen im rechten Fensterbereich wird verfügbar.

3. Klicken Sie auf Hauptkonto hinzufügen und geben Sie die E-Mail-Adresse des Standarddienstkontos ein.
4. Klicken Sie auf Rolle auswählen und wählen Sie in der Drop-down-Liste die Rolle Cloud KMS CryptoKey-Verschlüsseler/Entschlüsseler aus.
5. Klicken Sie auf Speichern.

CMEK-Verschlüsselung für eine Application Integration-Region aktivieren

Mit CMEK können Daten verschlüsselt und entschlüsselt werden, die auf persistenten Datenträgern im Rahmen der bereitgestellten Region gespeichert sind.

Achtung: Das Aktivieren der CMEK-Verschlüsselung für eine Application Integration-Region kann nicht rückgängig gemacht werden. Das bedeutet auch, dass Sie die Verschlüsselungsmethode für eine Region nicht ändern können, wenn CMEK bereits aktiviert ist. Außerdem kann der Stammpfad der Schlüsselressource für eine vorhandene Ressource nicht dynamisch aktualisiert oder geändert werden.

So aktivieren Sie die CMEK-Verschlüsselung für eine Application Integration-Region in Ihrem Google Cloud-Projekt:

1. Rufen Sie in der Google Cloud Console die Application Integration Seite auf.

   Zu Application Integration

2. Klicken Sie im Navigationsmenü auf Regionen.

   Die Seite Regionen wird angezeigt. Dort sind die bereitgestellten Regionen für Application Integration aufgeführt.

3. Klicken Sie für die vorhandene Integration, für die Sie CMEK verwenden möchten, auf Aktionen und wählen Sie Verschlüsselung bearbeiten aus.
4. Maximieren Sie im Bereich Verschlüsselung bearbeiten den Abschnitt Erweiterte Einstellungen.
5. Wählen Sie Vom Kunden verwalteten Verschlüsselungsschlüssel (CMEK) verwenden aus und führen Sie die folgenden Schritte aus:
   1. Wählen Sie einen CMEK-Schlüssel aus der Drop-down-Liste aus. Die in der Drop-down-Liste aufgeführten CMEK-Schlüssel basieren auf der bereitgestellten Region. Informationen zum Erstellen eines neuen Schlüssels finden Sie unter Neuen CMEK-Schlüssel erstellen.
   2. Klicken Sie auf Bestätigen , um zu prüfen, ob Ihr Standarddienstkonto Zugriff auf den ausgewählten CMEK-Schlüssel hat.
   3. Wenn die Bestätigung für den ausgewählten CMEK-Schlüssel fehlschlägt, klicken Sie auf Gewähren , um dem Standarddienstkonto die IAM-Rolle „CryptoKey-Verschlüsseler/Entschlüsseler“ zuzuweisen.
6. Klicken Sie auf Fertig.

Neuen CMEK erstellen

Sie können einen neuen CMEK-Schlüssel erstellen, wenn Sie Ihren vorhandenen Schlüssel nicht verwenden möchten oder wenn in der angegebenen Region kein Schlüssel vorhanden ist.

Hinweis: In Application Integration können Sie nur einen symmetrischen Verschlüsselungsschlüssel verwenden.

So erstellen Sie einen neuen symmetrischen Verschlüsselungsschlüssel:

1. Wählen Sie „Schlüsselbund“ aus:
   1. Klicken Sie auf Schlüsselbund und wählen Sie einen vorhandenen Schlüsselbund in der angegebenen Region aus.
   2. Wenn Sie einen neuen Schlüsselbund für Ihren Schlüssel erstellen möchten, klicken Sie auf die Schaltfläche Schlüsselbund erstellen und führen Sie die folgenden Schritte aus:
      1. Klicken Sie auf Schlüsselbundname und geben Sie einen Namen für den Schlüsselbund ein.
      2. Klicken Sie auf Speicherort des Schlüsselbunds und wählen Sie den regionalen Speicherort des Schlüsselbunds aus.
         Hinweis:Für die CMEK-Verschlüsselung muss der Schlüsselbund in derselben Region erstellt werden, in der Sie Application Integration eingerichtet haben.
   3. Klicken Sie auf Weiter.
2. Schlüssel erstellen:
   1. Klicken Sie auf Schlüsselname und geben Sie einen Namen für den neuen Schlüssel ein.
   2. Klicken Sie auf Schutzstufe und wählen Sie entweder Software oder HSM aus.

      Informationen zu Schutzstufen finden Sie unter Cloud KMS-Schutzstufen.

3. Prüfen Sie die Details zum Schlüssel und Schlüsselbund und klicken Sie auf Weiter.
4. Klicken Sie auf Erstellen.

Hinweis:Sie müssen CMEK in einer Region aktivieren, bevor Sie Integrationen in dieser Region erstellen oder veröffentlichen. Andernfalls können Fehler auftreten.

Schlüsselrotation und erneute Verschlüsselung

Wenn ein CMEK-Schlüssel rotiert wird, werden vorhandene Daten nicht automatisch mit der neuen Schlüsselversion verschlüsselt. Application Integration unterstützt auch keine manuelle erneute Verschlüsselung. Die Daten bleiben jedoch zugänglich, solange die vorherigen aktiven Schlüsselversionen nicht deaktiviert oder gelöscht werden.

Verschlüsselte Daten

In der folgenden Tabelle sind die in Application Integration verschlüsselten Daten aufgeführt:

Ressource	Verschlüsselte Daten
Integrationsdetails	Parameter für die Aufgabenkonfiguration Beschreibungen der Aufgabenkonfiguration
Informationen zur Integrationsausführung	Anfrageparameter Antwortparameter Details zur Aufgabenausführung
Anmeldedaten für das Authentifizierungsprofil	Nutzername und Passwörter API-Schlüssel OAuth 2.0-Autorisierungscode OAuth 2.0-Clientanmeldedaten Anmeldedaten für den OAuth 2.0-Ressourceninhaber Authentifizierungstokens JWT-Tokens Dienstkonten SSL/TLS-Clientzertifikate Google OIDC ID-Tokens
Details zu Genehmigungs-/Sperraufgaben	Konfigurationen für Genehmigung oder Sperrung

Cloud KMS-Kontingente und Application Integration

Wenn Sie CMEK in Application Integration verwenden, können Ihre Projekte Kontingente für kryptografische Cloud KMS-Anfragen verbrauchen. CMEK-Schlüssel können diese Kontingente beispielsweise für jeden Verschlüsselungs- und Entschlüsselungsaufruf verbrauchen.

Ver- und Entschlüsselungsvorgänge über CMEK-Schlüssel wirken sich auf die Cloud KMS-Kontingente so aus:

• Für in Cloud KMS generierte Software-CMEK-Schlüssel wird kein Cloud KMS-Kontingent verbraucht.
• Bei Hardware-CMEK-Schlüsseln (manchmal auch Cloud HSM-Schlüssel genannt) werden Verschlüsselungs- und Entschlüsselungsvorgänge auf Cloud HSM-Kontingente in dem Projekt angerechnet, das den Schlüssel enthält.
• Bei externen CMEK-Schlüsseln (manchmal auch Cloud EKM-Schlüssel genannt) werden Verschlüsselungs- und Entschlüsselungsvorgänge auf Cloud EKM-Kontingente in dem Projekt angerechnet, das den Schlüssel enthält.

Weitere Informationen finden Sie unter Cloud KMS-Kontingente.