CMEK konfigurieren

Unterstützt in:

Google SecOps

In diesem Dokument wird beschrieben, wie Sie kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK) für Google Security Operations konfigurieren. Google SecOps verschlüsselt Kundendaten im Ruhezustand standardmäßig mit der Google-Standardverschlüsselung, ohne dass Sie etwas unternehmen müssen. Wenn Sie jedoch mehr Kontrolle über Verschlüsselungsschlüssel benötigen oder dies von einer Organisation vorgeschrieben wird, ist CMEK für Google SecOps-Instanzen verfügbar.

CMEKs sind Verschlüsselungsschlüssel, die Sie besitzen, verwalten und in Cloud Key Management Service speichern. Mit CMEKs haben Sie die vollständige Kontrolle über Verschlüsselungsschlüssel, einschließlich der Verwaltung ihres Lebenszyklus, ihrer Rotation und ihrer Zugriffsrichtlinien. Wenn Sie CMEK konfigurieren, verschlüsselt der Dienst automatisch alle Daten mit dem angegebenen Schlüssel. CMEK

Hinweis :Bei bestimmten vorübergehenden, vom System generierten temporären Dateien kann während der Datenverarbeitungsvorgänge kurzzeitig die standardmäßige Plattformverschlüsselung von Google anstelle Ihres CMEK verwendet werden.

CMEK ist in allen Regionen verfügbar, in denen Google SecOps unterstützt wird. Eine vollständige Liste der von Google SecOps unterstützten Regionen finden Sie auf der Seite mit den Standorten der SecOps-Dienste.

Wichtig :eu und us sind multiregionale Standorte. Wenn Sie eu (multiple regions in European Union) auswählen, müssen Sie zusätzlich einen CMEK in der Region europe-west1 konfigurieren. Wenn Sie us (multiple regions in United States) auswählen, müssen Sie zusätzlich einen CMEK in der Region us-central1 konfigurieren.

Hinweis :eu and us haben den Standorttyp Multiregion, wobei die Spanner-Datenbank auf mehrere Regionen verteilt ist. europe-west1 und us-central1 sind (Single-Region-)Standorte vom Typ Region. Google SecOps verwendet Google Cloud -Dienste, von denen einige nur eine einzelne Region unterstützen. Da für CMEKs eine strenge Anforderung an die Colocation gilt und die Spanner-Datenbank auf mehrere Regionen verteilt ist, benötigen Google SecOps und Google Cloud -Dienste zwei verschiedene CMEK-Standorte.

CMEKs in Cloud KMS verwenden

Wenn Sie Ihre Verschlüsselungsschlüssel selbst verwalten möchten, können Sie CMEKs in Cloud KMS mit CMEK-integrierten Diensten wie Google SecOps verwenden:

• Sie verwalten und speichern diese Schlüssel in Cloud KMS.
• Daten im Google SecOps Data Lake werden im Ruhezustand verschlüsselt.
• Wenn Sie Ihre Google SecOps-Instanz mit einem CMEK konfigurieren, wird der ausgewählte Cloud KMS-Schlüssel verwendet, um ruhende Daten im Data Lake zu verschlüsseln.
• Die Verwendung von CMEK mit Cloud KMS kann je nach Nutzungsmuster zusätzliche Kosten verursachen.

Weitere Informationen zu Cloud KMS-Preisen

Verfügbarkeit von Funktionen mit Cloud KMS

In der folgenden Tabelle wird die Verfügbarkeit wichtiger Funktionen mit Cloud KMS für Google SecOps-Kunden zusammengefasst:

Funktion	Cloud KMS-Status	Roadmap / Voraussichtliche Ankunftszeit	Hinweise/Details
Datentabellen	Cloud KMS-konform	Verfügbar
Gemini in Google SecOps	Cloud KMS-konform	Verfügbar	Enthält: Suchanfragen generieren, mit Gemini eine YARA-L-Regel generieren, Unterstützung bei Threat Intelligence und Sicherheitsfragen, Dokumentationszusammenfassungen abrufen, ein Playbook erstellen und bearbeiten, das Gemini-Widget für die Fallzusammenfassung verwenden und den Triage- und Untersuchungs-Agent verwenden, um Benachrichtigungen zu untersuchen. Ausgenommen: SecOps Lab. Für neue KI-Funktionen werden Cloud KMS-Zeitpläne von Fall zu Fall bereitgestellt.
BigQuery-Exporte	Standard / Enterprise: BYOBQ → Cloud KMS-kompatibel	GA	Enterprise Plus (erweiterter BigQuery Export): Diese Funktion wurde am 1. Juli 2026 von der privaten Vorschau in die öffentliche Vorschau verschoben. Die Einhaltung von Cloud Key Management Service (CMEK) ist bereits in der öffentlichen Vorschau aktiv. Für Cloud KMS- und VPC Service Controls-Nutzer kann der direkte Zugriff auf das von Google verwaltete Projekt für Exporte blockiert werden, wodurch die Exportfunktion nicht mehr funktioniert. Alternativ kann dieser direkte Zugriffspfad auch nicht mehr den Compliance-Anforderungen entsprechen.
Looker-Dashboards	Nicht Cloud KMS-konform	Wird zugunsten von integrierten Dashboards nicht mehr unterstützt	Integrierte Dashboards werden in Zukunft die wichtigste Dashboarding-Funktion sein und sind bereits Cloud KMS-konform.
Eingebautes Dashboard	E‑Mail mit Anhang – nicht Cloud KMS-konform (Ende-zu-Ende)	Voraussichtlicher Zeitplan für Phase 1: Anfang Dezember 2025	Diese Option ist weniger sicher, da der Anhang nicht von Google SecOps kontrolliert werden kann, sobald er von E‑Mail-Servern und ‑Clients empfangen wurde.
Eingebautes Dashboard	E‑Mail mit Cloud Storage-Bucket-Link für den Bericht – Cloud KMS-konform	Phase 2: Termin noch nicht festgelegt	Diese Option entspricht Cloud KMS, da der Bericht in Cloud Storage mit Cloud KMS-Verschlüsselung gespeichert wird.
Data Taps	Von Diensten ausgeschlossen (wird nicht mehr für GA berücksichtigt)	Keine allgemeine Verfügbarkeit	Wenn Sie die Unterstützung von Cloud KMS und VPC Service Controls für alle Google SecOps-Dienste aktivieren, wird DataTap ausgeschlossen.

CMEK aktivieren

Hinweis :Sie können CMEKs nur für eine neue Google SecOps-Instanz aktivieren, nicht für eine vorhandene.

Die folgenden Schritte beschreiben den allgemeinen Prozess für das Onboarding von CMEK mit Google SecOps:

1. Google Cloud -Projekt für Google SecOps konfigurieren: Nehmen Sie die Bereitstellungseinladung an, um zu beginnen. Unser Google SecOps-Expertenteam kümmert sich um die spezielle Konfiguration und Integration.
2. Erstellen Sie einen Cloud KMS-Schlüssel in der Region, in der Sie Ihre Instanz hosten möchten.
3. Erstellen Sie eine neue Google SecOps-Instanz und wählen Sie den CMEK-Schlüssel aus, den Sie in Schritt 2 erstellt haben. Sie werden aufgefordert, Google SecOps während der Instanzerstellung Zugriff auf diesen Schlüssel zu gewähren.
4. Optional: Legen Sie einen Schlüsselrotationszeitplan für jeden Schlüssel fest. Google empfiehlt diese Sicherheitsmaßnahme, um die Auswirkungen eines potenziellen Schlüsselmissbrauchs zu minimieren.

Nach dem Onboarding müssen Sie für diese Instanz keinen Schlüssel mehr über die API oder die Benutzeroberfläche angeben.

Schlüsselverwaltung

Google empfiehlt, Ihre Schlüssel mit Cloud KMS zu verwalten. Google SecOps kann Schlüsseländerungen erst erkennen oder darauf reagieren, wenn sie von Cloud KMS weitergegeben wurden.

Google SecOps unterstützt zwei Arten der Schlüsselverwaltung:

• Cloud KMS-Schlüssel erstellen: Dies ist die von Google empfohlene Methode.
• Cloud External Key Manager (Cloud EKM) verwenden: Die Verwendung von Cloud EKM-Schlüsseln kann sich aufgrund der Abhängigkeit von externen Systemen auf die Verfügbarkeit auswirken.

Schlüsselrotation verwalten

Warnung :Bestätigen Sie, dass Ihre SOAR-Instanz zu Google migriert wurde (Phase 1), bevor Sie den Schlüssel rotieren.Andernfalls kann die Deaktivierung oder Löschung des vorherigen CMEK-Schlüssels zu einem nicht wiederherstellbaren Datenverlust führen. Wenn Ihre SOAR-Instanz noch nicht zu Google.com migriert wurde, wenden Sie sich an Ihren Kundenbetreuer. Warten Sie nach der Schlüsselrotation zwei Wochen, bevor Sie den vorherigen CMEK deaktivieren oder löschen.

Sie müssen den Schlüssel so löschen:

1. Deaktivieren Sie den Schlüssel oder die Schlüsselversion. Dieser Schritt ist in der Regel optional, aber bei einigen Organisationsrichtlinien muss der Schlüssel vor dem Löschen deaktiviert werden.
2. Löschen Sie die Schlüsselversion.
3. Löschen Sie den Schlüssel.

Datenzugriff und dauerhafter Datenverlust

Warnung :Deaktivieren Sie keine Schlüssel, die aktiv verwendet werden. Das Deaktivieren von Schlüsseln, die aktiv verwendet werden, kann zu einem dauerhaften Datenverlust führen.

Google empfiehlt, Protokolle zu überwachen, um Schlüssel zu erkennen, die nicht mehr verfügbar sind, solange noch Zeit ist, Datenverlust zu verhindern.

Nachdem Google SecOps den Zugriff auf Daten verloren hat, werden die Daten nach 30 Tagen gelöscht.

Google SecOps kann den Zugriff auf Daten aufgrund einer absichtlichen Aktion eines Nutzers (z. B. Widerruf eines Schlüssels) oder einer unbeabsichtigten Aktion (z. B. Unterbrechung der EKM-Verbindung) verlieren. Das bedeutet, dass Google SecOps keine vorhandenen Daten lesen, schreiben oder aktualisieren und keine neuen Daten aufnehmen, speichern oder verarbeiten kann.

Wenn Google SecOps wieder Zugriff auf Daten erhält, z. B. wenn Sie den Schlüssel wieder aktivieren, beginnt Google SecOps automatisch mit dem Erfassen und Verarbeiten neuer Daten. Es kann jedoch bis zu zwei Wochen dauern, bis das System diese Vorgänge wieder vollständig ausführt.

Einschränkungen für CMEK-Organisationsrichtlinien

Wenn Sie die Verwendung von CMEK für Google SecOps erzwingen möchten, können Sie die folgenden Einschränkungen für Organisationsrichtlinien auf Organisations-, Ordner- oder Projektebene anwenden:

• constraints/gcp.restrictNonCmekServices: Erfordert, dass Dienste CMEK verwenden. Wenn Sie constraints/gcp.restrictNonCmekServices für eine Organisation erzwingen und Google SecOps als eingeschränkten Dienst auflisten, müssen Sie beim Erstellen Ihrer Google SecOps-Instanz einen CMEK-Schlüssel auswählen.

  Wichtig :Wenn Sie diese Einschränkung mit Google SecOps als eingeschränkten Dienst erzwingen, aber beim Erstellen einer Instanz keinen CMEK-Schlüssel angeben, wird Google SecOps nicht bereitgestellt.

• constraints/gcp.restrictCmekCryptoKeyProjects: Erfordert, dass der CMEK-Schlüssel für Google SecOps aus einem bestimmten Projekt oder einer bestimmten Gruppe von Projekten stammt.

Wenn Sie beide Einschränkungen für die Organisation erzwingen, die Ihre Google SecOps-Instanz enthält, müssen Sie CMEK mit einem Schlüssel aus einem Projekt aktivieren, das Sie beim Anwenden der Organisationsrichtlinien angeben.

Informationen dazu, wie Organisationsrichtlinien in derGoogle Cloud -Ressourcenhierarchie (Organisationen, Ordner und Projekte) ausgewertet werden, finden Sie unter Informationen zur Bewertung der Hierarchie.

Allgemeine Informationen zur Verwendung von CMEK-Organisationsrichtlinien finden Sie unter CMEK-Organisationsrichtlinien.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten