Kundenverwaltete Verschlüsselungsschlüssel zum Schutz Ihrer Sicherungen verwenden

In dieser Anleitung wird erläutert, wie Sie die Sicherungssicherheit verbessern, indem Sie kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK) mit Backup and DR verwenden. Sie erfahren, wie Sie die erforderlichen Berechtigungen erteilen, CMEK-fähige Backup Vaults erstellen und diese auf Ihre Ressourcen anwenden. So sind Ihre Sicherungsdaten mit Schlüsseln geschützt, die Sie in Cloud Key Management Service verwalten. Dies ist wichtig, um Compliance-Anforderungen zu erfüllen und mehr Kontrolle über die Datenverschlüsselung zu erhalten.

Weitere Informationen zu CMEK-Konzepten und unterstützten Arbeitslasttypen in Backup and DR finden Sie unter Übersicht über kundenverwaltete Verschlüsselungsschlüssel (CMEK) mit Backup and DR.

Hinweis

Führen Sie die folgenden Schritte aus, bevor Sie CMEK verwenden:

  1. Cloud Key Management Service API aktivieren

    API aktivieren

    Ersetzen Sie PROJECT_ID durch die ID des Projekts, in dem Sie Ihre Schlüssel verwalten.

  2. Cloud Key Management Service-Schlüsselbund und -Schlüssel erstellen: Wählen Sie beim Erstellen des Schlüssels einen Standort aus, der mit dem Standort Ihres Backup Vault übereinstimmt. Ein Backup Vault in einer Region muss einen Schlüssel aus derselben Region verwenden.

  3. Bei Bedarf den Backup and DR-Dienst-Agent erstellen: Der Dienst-Agent wird in der Regel automatisch erstellt, wenn die erste Backup and DR-Ressource (z. B. eine Verwaltungskonsole oder ein Backup Vault) in einem Projekt erstellt wird. Wenn Sie dem Dienst-Agenten Berechtigungen gewähren müssen, bevor Sie Backup and DR-Ressourcen erstellen, lösen Sie die Erstellung manuell aus:

    gcloud beta services identity create --service=backupdr.googleapis.com --project=PROJECT_ID

    Ersetzen Sie PROJECT_ID durch die ID Ihres Projekts.

Erforderliche Berechtigungen für einen CMEK-fähigen Backup Vault

Der Backup and DR-Dienst-Agent benötigt Berechtigungen, um den angegebenen Cloud KMS-Schlüssel zum Ver- und Entschlüsseln von Daten im Backup Vault zu verwenden.

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für den Cloud KMS-Schlüssel zuzuweisen, der für den Backup Vault bestimmt ist, um die Berechtigungen zu erhalten, die you need to encrypt and decrypt data within the backup vault using CMEK, Sie zum Ver- und Entschlüsseln von Daten im Backup Vault mit CMEK benötigen:

  • Für den Backup and DR-Dienst-Agent (service-VAULT_PROJECT_NUMBER@gcp-sa-backupdr.iam.gserviceaccount.com): Cloud KMS CryptoKey-Verschlüsseler/Entschlüsseler (roles/cloudkms.cryptoKeyEncrypterDecrypter)

    Ersetzen Sie VAULT_PROJECT_NUMBER durch die Projektnummer des Projekts, das Ihren Backup Vault enthält.

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Ver- und Entschlüsseln von Daten im Backup Vault mit CMEK erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen , um die notwendigen Berechtigungen anzuzeigen, die erforderlich sind:

Erforderliche Berechtigungen

Die folgenden Berechtigungen sind erforderlich, um Daten im Backup Vault mit CMEK zu ver- und entschlüsseln:

  • Daten mit der Schlüsselversion verschlüsseln: cloudkms.cryptoKeyVersions.useToEncrypt
  • Daten mit der Schlüsselversion entschlüsseln: cloudkms.cryptoKeyVersions.useToDecrypt
  • Metadaten zu Schlüsselstandorten abrufen: cloudkms.locations.get
  • Schlüsselstandorte auflisten: cloudkms.locations.list
  • Metadaten zum Projekt des Schlüssels abrufen: resourcemanager.projects.get

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

So weisen Sie dem gcp-sa-backupdr-Dienst-Agenten die erforderliche Rolle zu:

Console

  1. Rufen Sie in der Google Cloud Console die Seite Backup Vaults auf.

    Backup Vaults aufrufen

  2. Klicken Sie auf Backup Vault erstellen.

  3. Geben Sie die erforderlichen Details für Ihren Backup Vault ein, z. B. Name und Standort.

  4. Wählen Sie im Abschnitt Verschlüsselung die Option Kundenverwalteter Verschlüsselungsschlüssel (CMEK) aus, um Ihren eigenen Schlüssel zu verwenden.

  5. Klicken Sie auf Vom Kunden verwalteten Schlüssel auswählen und wählen Sie in der Auswahl den Cloud KMS-Schlüssel aus, den Sie verwenden möchten.

  6. Berechtigung für Dienst-Agent erteilen:

    • Nachdem Sie einen Schlüssel ausgewählt haben, prüft die Console, ob der Backup and DR-Dienst-Agent die Berechtigung hat, ihn zu verwenden. Der Dienst-Agent heißt service-VAULT_PROJECT_NUMBER@gcp-sa-backupdr.iam.gserviceaccount.com.

    • Wenn Sie ausreichende Berechtigungen für den Schlüssel haben, z. B. roles/cloudkms.admin, und der Dienst-Agent noch keinen Zugriff hat, bietet die Console möglicherweise an, dem Backup and DR-Dienst-Agenten automatisch die Rolle roles/cloudkms.cryptoKeyEncrypterDecrypter für den ausgewählten Schlüssel zu gewähren.

    • Bestätigen Sie bei Aufforderung die Zuweisung, damit Backup and DR Daten im Vault mit Ihrem CMEK ver- und entschlüsseln kann.

    • Wenn die Option für die automatische Zuweisung nicht verfügbar ist oder Sie keine Berechtigung zum Zuweisen von Rollen haben, müssen Sie dem Dienst-Agenten die Rolle roles/cloudkms.cryptoKeyEncrypterDecrypter manuell zuweisen. Eine Anleitung finden Sie auf dem Tab gcloud.

  7. Konfigurieren Sie bei Bedarf weitere Backup Vault-Einstellungen.

  8. Klicken Sie auf Erstellen.

gcloud

gcloud kms keys add-iam-policy-binding KEY_NAME \
    --location=KMS_LOCATION \
    --keyring=KEY_RING \
    --member=serviceAccount:service-VAULT_PROJECT_NUMBER@gcp-sa-backupdr.iam.gserviceaccount.com \
    --role=roles/cloudkms.cryptoKeyEncrypterDecrypter \
    --project=KMS_PROJECT_ID

Ersetzen Sie die Variablen:

  • KEY_NAME: der Name Ihres CMEK-Schlüssels.

  • KMS_LOCATION: die Region Ihres Schlüsselbunds.

  • KEY_RING: der Name Ihres Schlüsselbunds.

  • VAULT_PROJECT_NUMBER: die Projektnummer, in der sich der Backup Vault befindet.

  • KMS_PROJECT_ID: die Projekt-ID, in der der CMEK-Schlüssel verwaltet wird.

Es wird empfohlen, die Rolle für den jeweiligen Schlüssel zuzuweisen, um das Prinzip der geringsten Berechtigung zu befolgen.

Erforderliche Berechtigungen zum Sichern vorhandener CMEK-geschützter Ressourcen

Wenn die Quellressource, die Sie sichern, bereits mit einem anderen CMEK-Schlüssel verschlüsselt ist, z. B. eine Compute Engine-Instanz mit CMEK-verschlüsselten Laufwerken, benötigt der Dienst-Agent des Dienstes der Quellressource z. B. der Compute Engine-Dienst-Agent, die Berechtigung, auf den Schlüssel zuzugreifen, der diese Quellressource schützt.

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für die CMEK-Schlüssel zuzuweisen, die die Quellressource schützen, z. B. Compute Engine-Laufwerke, um die Berechtigungen zu erhalten, die Sie benötigen, damit der Quelldienst während der Sicherungsvorgänge auf seinen CMEK-Schlüssel zugreifen kann:

  • Für den Dienst-Agenten des Dienstes, der die Quellressource hostet: In der Regel Cloud Key Management Service CryptoKey-Verschlüsseler/Entschlüsseler (roles/cloudkms.cryptoKeyEncrypterDecrypter)

    Bei einer CMEK-verschlüsselten Compute Engine-Instanz ist der Principal beispielsweise der Compute Engine-Dienst-Agent des Projekts der Quellinstanz.

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die erforderlich sind, damit der Quelldienst während der Sicherungsvorgänge auf seinen CMEK-Schlüssel zugreifen kann. Maximieren Sie den Abschnitt Erforderliche Berechtigungen , um die notwendigen Berechtigungen anzuzeigen, die erforderlich sind:

Erforderliche Berechtigungen

Die folgenden Berechtigungen sind erforderlich, damit der Quelldienst während der Sicherungsvorgänge auf seinen CMEK-Schlüssel zugreifen kann:

  • Daten mit der Schlüsselversion verschlüsseln: cloudkms.cryptoKeyVersions.useToEncrypt
  • Daten mit der Schlüsselversion entschlüsseln: cloudkms.cryptoKeyVersions.useToDecrypt
  • Metadaten zu Schlüsselstandorten abrufen: cloudkms.locations.get
  • Schlüsselstandorte auflisten: cloudkms.locations.list
  • Metadaten zum Projekt des Schlüssels abrufen: resourcemanager.projects.get

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

CMEK mit Backup and DR verwenden

  1. Erstellen Sie einen CMEK-fähigen Backup Vault. Wählen Sie beim Erstellen eines Backup Vault im Abschnitt Verschlüsselungstyp die Option Kundenverwalteter Verschlüsselungsschlüssel (CMEK) aus und wählen Sie den von Ihnen erstellten Cloud Key Management Service-Schlüssel aus. CMEK kann nur während der Vault-Erstellung aktiviert werden. Es kann nicht zu einem vorhandenen Vault hinzugefügt, daraus entfernt oder geändert werden.

  2. Erstellen Sie einen Sicherungsplan. Wählen Sie beim Erstellen eines Sicherungsplans den von Ihnen erstellten CMEK-fähigen Backup Vault als Ziel aus.

  3. Wenden Sie den Sicherungsplan auf Ressourcen an. Die Kompatibilität hängt vom Ressourcentyp und seiner Verschlüsselung ab:

    • Compute Engine-Instanzen :

      Instanzlaufwerkverschlüsselung Backup Vault-Verschlüsselung Unterstützt Hinweise
      Von Google verwaltet Von Google verwaltet Ja
      Von Google verwaltet CMEK Ja Sicherungen werden mit dem CMEK des Backup Vault verschlüsselt.
      Beliebiges Laufwerk, CMEK-verschlüsselt Von Google verwaltet Nein Für Sicherungen von Instanzen mit CMEK-verschlüsselten Laufwerken ist ein CMEK-fähiger Backup Vault erforderlich.
      Beliebiges Laufwerk, CMEK-verschlüsselt CMEK Ja Der CMEK des Backup Vault kann sich vom CMEK des Laufwerks unterscheiden.

    • Nichtflüchtige Speicher :

      • Bei Sicherungen von nichtflüchtigen Speichern wird immer die Verschlüsselungsmethode des Quelllaufwerks beibehalten.

      • Wenn der nichtflüchtige Speicher der Quelle die von Google verwaltete Verschlüsselung verwendet, wird auch die Sicherung mit der von Google verwalteten Verschlüsselung verschlüsselt.

      • Wenn der nichtflüchtige Speicher der Quelle CMEK verwendet, wird die Sicherung mit derselben CMEK-Schlüsselversion wie das Quelllaufwerk geschützt.

      • Die Verschlüsselungseinstellung des Backup Vault, CMEK oder von Google verwaltet, ändert nichts an der Verschlüsselung der Sicherungsdaten des nichtflüchtigen Speichers selbst. Es können jedoch weiterhin Organisationsrichtlinien gelten. Weitere Informationen finden Sie unter CMEK-Organisationsrichtlinien.

CMEK-verschlüsselte Sicherungen wiederherstellen

Wenn Sie eine Arbeitslast aus einer CMEK-verschlüsselten Sicherung wiederherstellen, verwendet die wiederhergestellte Ressource standardmäßig denselben Cloud Key Management Service-Schlüssel, der die Quellressource zum Zeitpunkt der Sicherung geschützt hat. Sie können während des Wiederherstellungsvorgangs einen anderen Cloud Key Management Service-Schlüssel für die Zielressource angeben.

Auswirkungen der Cloud KMS-Schlüsselrotation auf die Wiederherstellbarkeit von Sicherungen

Wenn Sie einen Schlüssel rotieren, erstellt Cloud Key Management Service eine neue Schlüsselversion, die zur primären Version wird. Backup and DR verwendet diese primäre Schlüsselversion, um alle neuen Sicherungen für Backup Vaults zu verschlüsseln, die mit diesem Schlüssel konfiguriert sind.

Vorhandene Sicherungen bleiben mit der Schlüsselversion verschlüsselt, mit der sie ursprünglich erstellt wurden. Um eine Sicherung wiederherzustellen, muss die spezifische Schlüsselversion, die zum Verschlüsseln verwendet wurde, in Cloud Key Management Service verfügbar und aktiviert sein.

Folgen des fehlenden Zugriffs auf Schlüsselversionen

  • Wenn Sie eine Schlüsselversion deaktivieren oder löschen, können Sie nicht mehr auf Sicherungen zugreifen, die mit dieser Version verschlüsselt wurden.

  • Wenn Backup and DR nicht auf Ihren CMEK-Schlüssel zugreifen kann, weil er deaktiviert oder gelöscht wurde oder die Berechtigungen dafür widerrufen wurden, kann Folgendes passieren:

    • Neue Sicherungen im CMEK-fähigen Backup Vault schlagen fehl.

    • Wiederherstellungen aus Sicherungen schlagen fehl, wenn die spezifische Schlüsselversion für diese Sicherung nicht zugänglich ist.

    • Die Erstellung neuer Backup Vaults mit einem nicht zugänglichen Schlüssel schlägt fehl.

Wenn Sie eine deaktivierte Schlüsselversion wieder aktivieren, wird der Zugriff wiederhergestellt. Das Löschen einer Schlüsselversion ist endgültig und führt zu einem irreversiblen Datenverlust für Sicherungen, die mit dieser Version verschlüsselt wurden.

Anwendung von CMEK-Organisationsrichtlinien

Mit Einschränkungen für Organisationsrichtlinien können Sie CMEK-Anforderungen für Backup and DR-Ressourcen erzwingen. Weitere Informationen finden Sie unter CMEK-Organisationsrichtlinien.

Einschränkungen für die Erstellung von Backup Vaults

  • constraints/gcp.restrictNonCmekServices:Wenn diese Einschränkung für backupdr.googleapis.com erzwungen wird, müssen alle neuen Backup Vaults mit CMEK erstellt werden.

  • constraints/gcp.restrictCmekCryptoKeyProjects:Wenn diese Einschränkung erzwungen wird, müssen CMEK-fähige Backup Vaults Schlüssel aus einem zulässigen Projekt oder Ordner verwenden.

Einschränkungen für Sicherungsvorgänge

  • constraints/gcp.restrictNonCmekServices: Wenn diese Einschränkung für backupdr.googleapis.com erzwungen wird:

    • Sicherungen von Compute Engine-Instanzen: Schlagen fehl, wenn der Ziel Backup Vault die von Google verwaltete Verschlüsselung verwendet.

    • Sicherungen von nichtflüchtigem Speicher: Schlagen fehl, wenn der nichtflüchtige Speicher der Quelle die von Google verwaltete Verschlüsselung verwendet.

  • constraints/gcp.restrictCmekCryptoKeyProjects: Wenn diese Einschränkung erzwungen wird:

    • Sicherungen von Compute Engine-Instanzen: Wenn der Ziel-Backup Vault CMEK-verschlüsselt ist, muss der Schlüssel aus einem zulässigen Projekt oder Ordner stammen.

    • Sicherungen von nichtflüchtigem Speicher: Wenn der nichtflüchtige Speicher der Quelle CMEK-verschlüsselt ist, muss der Schlüssel aus einem zulässigen Projekt oder Ordner stammen.

Nächste Schritte