Verschlüsselungsressourcen verwalten

Auf dieser Seite wird beschrieben, wie Sie verschlüsselte Storage-Buckets in Google Distributed Cloud (GDC) mit Air Gap verwalten.

Hinweis

Storage-Buckets sind Ressourcen, die auf ein bestimmtes Projekt beschränkt sind. Das Projekt fungiert als Container, der Ihre Buckets gruppiert und ihre Verwaltung über den Management API-Server ermöglicht. Bevor Sie die Vorgänge auf dieser Seite ausführen können, müssen Sie entweder ein neues Projekt erstellen oder ein vorhandenes Projekt auswählen, für das Sie ausreichende Berechtigungen haben.

Erforderliche IAM-Rollen

Wenden Sie sich an Ihren IAM-Projektadministrator, um die folgenden Rollen in Ihrem Projekt-Namespace anzufordern:

  • Bucket-Projektadministrator (project-bucket-admin): Erstellen, Aktualisieren und Löschen von Storage-Buckets.
  • Bucket-Objekt-Projekt-Betrachter (project-bucket-object-viewer): Details zu Storage-Buckets und -Objekten aufrufen und prüfen.

Weitere Informationen finden Sie unter Bucket-Zugriff gewähren.

Umgebung vorbereiten

So führen Sie Befehle für den Management-API-Server oder den globalen API-Server aus:

  1. Melden Sie sich an und generieren Sie die kubeconfig-Datei für den API-Server für die zonale Verwaltung, falls Sie noch keine haben.
  2. Gehen Sie bei Dual-Zone-Buckets so vor:
    • Prüfen Sie mit Ihrem Infrastrukturbetreiber (IO), ob die benutzerdefinierte Ressource BucketLocationConfig für Ihre gekoppelten Zonen erstellt wurde.
    • Generieren Sie die kubeconfig-Datei für den globalen API-Server.

Verschlüsselungsressourcen verwalten

Für Buckets mit v2-Verschlüsselung werden ein Secret kekRef und mehrere AEADKeys erstellt. kekRef wird verwendet, um auf aktive Standard-AEADKeys zu verweisen, die verwendet werden. AEADKeys umfassen aktive und archivierte Schlüssel, die zum Bucket gehören.

Aktive Standard-AEADKeys für einen Bucket aktualisieren

Als Best Practice sollten Sie die Standard-AEADKeys Ihres Buckets nach etwa 42 Milliarden Objektschreibvorgängen aktualisieren. Dieser proaktive Schritt erhöht die Sicherheit und verhindert, dass Schlüssel ausgehen. Beim Aktualisierungsvorgang wird eine neue kekRef erstellt und die vorherigen AEADKeys werden deaktiviert. Löschen Sie das mit dem Bucket verknüpfte kekRef-Secret, um den Aktualisierungsvorgang zu starten.

Die vorherige kekRef kann mit dem folgenden Befehl abgerufen werden:

kubectl get secrets -n NAMESPACE_NAME -l  object.gdc.goog/bucket-name=BUCKET_NAME

Anschließend können Sie den vorhandenen kekRef mit dem folgenden Befehl löschen:

kubectl delete secrets OLD_KEKREF_NAME -n  NAMESPACE_NAME

Nach dem erfolgreichen Löschen können Sie mit dem folgenden Befehl prüfen, ob eine neue kekRef basierend auf AGE erstellt wurde:

kubectl get secrets -n NAMESPACE_NAME -l  object.gdc.goog/bucket-name=BUCKET_NAME

Prüfen Sie, ob neue Standard-AEADKeys basierend auf AGE erstellt wurden:

kubectl get aeadkeys -n NAMESPACE_NAME -l  cmek.security.gdc.goog/resource-name=BUCKET_NAME

Standard-AEADKeys für einen Bucket rotieren

Wenn ein AEADKey für Ihren Bucket manipuliert wird, müssen Sie die mit dem Bucket verknüpften Schlüsselverschlüsselungsschlüssel manuell rotieren.

Dazu müssen Sie zuerst die aktiven Standardschlüssel aktualisieren. Dadurch werden neue aktive Standard-AEADKeys erstellt und die vorherigen Schlüsselverschlüsselungsschlüssel als deaktiviert markiert. Nach der Aktualisierung der Standardschlüssel werden die nachfolgenden Objekt-Uploads mit den neuen AEADKeys als Schlüsselverschlüsselungsschlüssel verschlüsselt. Die vorherigen AEADKeys werden nicht gelöscht, sodass Sie weiterhin vorhandene Objekte entschlüsseln können, die zuvor mit diesen Schlüsseln verschlüsselt wurden.

Folgen Sie als Nächstes der Anleitung, um die Objekte in Ihrem Bucket herunterzuladen und noch einmal hochzuladen und die alten Objekte zu löschen.

Nachdem Sie alle Objekte in Ihrem Bucket noch einmal hochgeladen haben, können Sie die inaktiven AEADKeys und alten Objekte bereinigen. Identifizieren Sie die deaktivierten AEADKeys anhand von AGE:

kubectl get aeadkeys -n NAMESPACE_NAME -l  cmek.security.gdc.goog/resource-name=BUCKET_NAME

Folgen Sie abschließend der Anleitung zum Löschen der AEADKeys.