Informationen zur Laufwerksverschlüsselung

In Compute Engine werden Kundeninhalte standardmäßig im Ruhezustand verschlüsselt. Compute Engine verwendet automatisch Google-owned and Google-managed encryption keys um Ihre Daten zu verschlüsseln.

Sie können die Verschlüsselung, die Compute Engine für Ihre Ressourcen verwendet, jedoch anpassen, indem Sie Schlüsselverschlüsselungsschlüssel (Key Encryption Keys, KEKs)bereitstellen. Schlüsselverschlüsselungsschlüssel verschlüsseln Ihre Daten nicht direkt, sondern verschlüsseln die Google-owned and managed keys die Compute Engine zum Verschlüsseln Ihrer Daten verwendet.

Wählen Sie eine der folgenden Optionen aus, um Schlüsselverschlüsselungsschlüssel bereitzustellen:

  • Empfohlen. Verwenden Sie vom Kunden verwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEKs) in Cloud KMS mit Compute Engine. Mit Cloud KMS-Schlüsseln haben Sie die Kontrolle über Schutzlevel, Speicherort, Rotationszeitplan, Nutzungs- und Zugriffsberechtigungen sowie über kryptografische Grenzen. Mit Cloud KMS können Sie außerdem die Schlüsselnutzung verfolgen, Audit-Logs aufrufen und den Lebenszyklus von Schlüsseln steuern. Statt es Google zu überlassen, die symmetrischen Schlüsselverschlüsselungsschlüssel (Key Encryption Keys, KEKs) zum Schutz Ihrer Daten zu besitzen und zu verwalten, können Sie diese auch über Cloud KMS steuern und verwalten.

    Sie können CMEKs manuell erstellen oder sie mit Cloud KMS Autokey automatisch erstellen lassen.

    In den meisten Fällen müssen Sie den Schlüssel nach dem Erstellen eines mit CMEK verschlüsselten Laufwerks nicht angeben, wenn Sie mit dem Laufwerk arbeiten.

  • (Eingestellt). Sie können Ihre eigenen Schlüsselverschlüsselungsschlüssel außerhalb von Compute Engine verwalten und den Schlüssel immer dann bereitstellen, wenn Sie ein Laufwerk erstellen oder verwalten.

    Diese Option wird als vom Kunden bereitgestellte Verschlüsselungsschlüssel (Customer-Supplied Encryption Keys, CSEKs) bezeichnet. Wenn Sie mit CSEK verschlüsselte Ressourcen verwalten, müssen Sie immer den Schlüssel angeben, den Sie beim Verschlüsseln der Ressource verwendet haben.

Weitere Informationen zu den einzelnen Verschlüsselungstypen finden Sie unter Vom Kunden verwaltete Verschlüsselungsschlüssel und Vom Kunden bereitgestellte Verschlüsselungsschlüssel.

Wenn Sie Ihren Hyperdisk Balanced-Laufwerken eine zusätzliche Sicherheitsebene hinzufügen möchten, aktivieren Sie den vertraulichen Modus. Im vertraulichen Modus wird Ihren Hyperdisk Balanced-Laufwerken eine hardwarebasierte Verschlüsselung hinzugefügt.

Unterstützte Laufwerkstypen

In diesem Abschnitt sind die unterstützten Verschlüsselungstypen für Laufwerke und andere Speicheroptionen aufgeführt, die von Compute Engine angeboten werden.

Rotation für Google-owned and managed keys und CMEKs

Compute Engine rotiert die Google-owned and managed keys , die zum Schutz Ihrer Daten verwendet werden, jährlich. Die Schlüsselrotation ist eine Best Practice der Branche für die Datensicherheit, die die potenziellen Auswirkungen eines kompromittierten Schlüssels begrenzt.

Wenn Sie CMEKs verwenden, empfiehlt Google, die automatische Rotation für Ihre Ressourcen zu aktivieren.

Weitere Informationen zum Rotieren von Schlüsseln finden Sie unter Cloud KMS-Verschlüsselungsschlüssel für ein Laufwerk oder einen Standard-Snapshot rotieren.

CMEK mit Cloud KMS Autokey

Wenn Sie Cloud KMS-Schlüssel zum Schutz Ihrer Compute Engine-Ressourcen verwenden möchten, können Sie CMEKs entweder manuell erstellen oder die Schlüssel mit Cloud KMS Autokey erstellen. Mit Autokey werden Schlüsselbunde und Schlüssel bei der Ressourcenerstellung in Compute Engine auf Anfrage generiert. Dienst-Agents, die die Schlüssel für Verschlüsselungs- und Entschlüsselungsvorgänge verwenden, werden erstellt, falls sie noch nicht vorhanden sind, und erhalten dann die erforderlichen IAM-Rollen (Identity and Access Management). Weitere Informationen finden Sie unter Übersicht: Autokey.

Informationen zur Verwendung von CMEKs, die von Cloud KMS Autokey erstellt wurden, zum Schutz Ihrer Compute Engine-Ressourcen finden Sie unter Autokey mit Compute Engine Ressourcen verwenden.

Snapshots

Wenn Sie mit Autokey Schlüssel zum Schutz Ihrer Compute Engine-Ressourcen erstellen, werden von Autokey keine neuen Schlüssel für Snapshots erstellt. Sie müssen einen Snapshot mit demselben Schlüssel verschlüsseln, der zum Verschlüsseln des Quelllaufwerks verwendet wurde. Wenn Sie einen Snapshot mit der Google Cloud Console erstellen, wird der vom Laufwerk verwendete Verschlüsselungsschlüssel automatisch auf den Snapshot angewendet. Wenn Sie einen Snapshot mit der gcloud CLI, Terraform oder der Compute Engine API erstellen, müssen Sie die Ressourcen-ID des Schlüssels abrufen, der zum Verschlüsseln des Laufwerks verwendet wurde, und diesen Schlüssel dann zum Verschlüsseln des Snapshots verwenden.

Laufwerke mit vom Kunden verwalteten Verschlüsselungsschlüsseln verschlüsseln

Weitere Informationen zum Verschlüsseln von Laufwerken und anderen Compute Engine-Ressourcen mit manuell erstellten kundenverwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEKs) finden Sie unter Ressourcen mit Cloud Key Management Service-Schlüsseln schützen.

Laufwerke mit vom Kunden bereitgestellten Verschlüsselungsschlüsseln verschlüsseln

Informationen zum Verschlüsseln von Laufwerken und anderen Compute Engine-Ressourcen mit vom Kunden bereitgestellten Verschlüsselungsschlüsseln (Customer-Supplied Encryption Keys, CSEKs) finden Sie unter Laufwerke mit vom Kunden bereitgestellten Verschlüsselungsschlüsseln verschlüsseln.

Verschlüsselungstyp eines Laufwerks ansehen

Informationen zum Ansehen des Verschlüsselungstyps eines Laufwerks finden Sie unter Informationen zur Verschlüsselung eines Laufwerks ansehen.

Vertraulicher Modus für Hyperdisk Balanced

Wenn Sie Confidential Computing verwenden, können Sie die hardwarebasierte Verschlüsselung auf Ihre Hyperdisk Balanced-Volumes ausweiten, indem Sie den vertraulichen Modus aktivieren.

Im vertraulichen Modus für Ihre Hyperdisk Balanced-Volumes können Sie zusätzliche Sicherheitsmaßnahmen aktivieren, ohne die Anwendung umgestalten zu müssen. Der vertrauliche Modus ist eine Eigenschaft, die Sie beim Erstellen eines neuen Hyperdisk Balanced-Volumes angeben können.

Hyperdisk Balanced-Volumes im vertraulichen Modus können nur mit Confidential VMs verwendet werden.

Informationen zum Erstellen eines Hyperdisk Balanced-Volumes im vertraulichen Modus finden Sie unter Hyperdisk Balanced-Volume im Modus „Vertraulich“ erstellen.

Unterstützte Maschinentypen für Hyperdisk Balanced-Volumes im vertraulichen Modus

Hyperdisk Balanced-Volumes im vertraulichen Modus können nur mit Confidential VMs verwendet werden, die den Maschinentyp N2D verwenden.

Unterstützte Regionen für Hyperdisk Balanced-Volumes im vertraulichen Modus

Der vertrauliche Modus für Hyperdisk Balanced-Volumes ist in den folgenden Regionen verfügbar:

  • europe-west4
  • us-central1
  • us-east4
  • us-east5
  • us-south1
  • us-west4

Einschränkungen für Hyperdisk Balanced-Volumes im vertraulichen Modus

  • Hyperdisk Extreme, Hyperdisk Throughput, Hyperdisk ML und Hyperdisk Balanced High Availability unterstützen den vertraulichen Modus nicht.
  • Sie können eine VM, die Hyperdisk Balanced-Volumes im vertraulichen Modus verwendet, nicht anhalten oder fortsetzen.
  • Sie können Hyperdisk Storage Pools nicht mit Hyperdisk Balanced-Volumes im vertraulichen Modus verwenden.
  • Sie können aus einem Hyperdisk Balanced-Volume im vertraulichen Modus kein Maschinen-Image oder benutzerdefiniertes Image erstellen.

Nächste Schritte