Auf dieser Seite wird beschrieben, wie Sie Cloud External Key Manager (Cloud EKM) einrichten, um eine Verbindung zu Ihrem externen Schlüsselverwaltungssystem (EKM) über ein VPC-Netzwerk (Virtual Private Cloud) herzustellen.
Sie können externe Schlüssel über VPC an Cloud KMS-Standorten verwenden, die EKM über VPC unterstützen. Weitere Informationen finden Sie auf der Seite Cloud KMS-Standorte.
Terminologie
EKM-Verbindung
Die Cloud KMS-Ressource, die zum Konfigurieren einer Verbindung zu Ihrem externen Schlüsselverwaltungssystem verwendet wird. In der Google Cloud Console wird dies als EKM-über-VPC-Verbindung bezeichnet.
VPC-Projekt
Das Projekt, das die VPC-Ressource enthält, die zum Herstellen einer Verbindung zu Ihrem externen Schlüsselverwaltungssystem verwendet wird.
Schlüsselprojekte
Die Projekte, die EKM-Verbindungsressourcen und Cloud EKM-Schlüssel in Cloud KMS enthalten. Ein Schlüsselprojekt kann mit einem VPC-Projekt identisch sein, ist aber nicht erforderlich.
Crypto Space
Ein Container für Ihre Ressourcen bei Ihrem Partner für die externe Schlüsselverwaltung. Ihr Crypto Space wird durch einen eindeutigen Crypto Space-Pfad identifiziert. Das Format des Crypto Space Pfads variiert je nach Partner für die externe Schlüsselverwaltung, z. B.
v0/cryptospaces/YOUR_UNIQUE_PATH.
Hinweis
Nachdem Sie die folgenden Schritte ausgeführt haben, können Sie Cloud EKM-Schlüssel verwenden, um Ihre Daten zu schützen.
Neues Projekt erstellen
Wechseln Sie in der Google Cloud Console zur Seite Ressourcen verwalten.
Erstellen Sie ein neues Google Cloud Projekt oder wählen Sie ein vorhandenes Projekt aus.
-
Prüfen Sie, ob für Ihr Google Cloud Projekt die Abrechnung aktiviert ist.
Weitere Informationen zu den Preisen von Cloud EKM
Cloud KMS aktivieren
Aktivieren Sie die Cloud Key Management Service-API für das Projekt.
Notieren Sie sich das Cloud EKM-Dienstkonto Ihres Projekts. Ersetzen Sie im folgenden Beispiel
PROJECT_NUMBERdurch die Google Cloud Projektnummer Ihres Projekts. Diese Informationen werden auch angezeigt, wenn Sie die Google Cloud Console zum Erstellen eines Cloud EKM-Schlüssels verwenden.service-PROJECT_NUMBER@gcp-sa-ekms.iam.gserviceaccount.com
Prüfen, ob die gcloud CLI auf dem neuesten Stand ist
Wenn Sie die Google Cloud CLI verwenden möchten, prüfen Sie mit dem folgenden Befehl, ob sie auf dem neuesten Stand ist:
gcloud CLI
gcloud components update
VPC-Netzwerk vorbereiten
Beim Einrichten eines VPC-Netzwerk haben Sie zwei Möglichkeiten:
Standardmäßig enthalten neue Projekte ein Netzwerk im automatischen Modus, das mit Firewallregeln vorkonfiguriert ist. Wenn das VPC-Netzwerk nicht für Produktionszwecke verwendet wird, ist das Standardnetzwerk im automatischen Modus die schnellste Möglichkeit, loszulegen.
Wenn Ihr externes Schlüsselverwaltungssystem lokal ausgeführt wird und Sie über eine Hybridverbindung eine Verbindung dazu herstellen, sollten Sie ein Netzwerk im benutzerdefinierten Modus verwenden, da Sie damit die IP-Adressbereiche des Subnetzes steuern können.
Führen Sie die folgenden Schritte aus, um Ihre VPC einzurichten:
Privaten Google-Zugriff aktivieren
Das externe Schlüsselverwaltungssystem muss das OIDC-Token in jeder Anfrage überprüfen. Dazu muss der öffentliche OAuth2-Schlüssel aus dem Domainnamen
www.googleapis.comabgerufen werden. Wenn das externe Schlüsselverwaltungssystem in ausgeführt wird Google Cloud und keinen Zugriff über das Internet hat (z.B. eine VM ohne externe IP-Adresse oder die durch eine Firewall blockiert wird), folgen Sie der Anleitung zum Konfigurieren des privaten Google-Zugriffs.Firewallkonfiguration für den IP-Bereich
35.199.192.0/19Anfragen von Cloud EKM stammen aus diesem Bereich. Erstellen Sie sowohl Regeln für eingehenden als auch für ausgehenden Traffic für TCP für den Port, an dem das externe Schlüsselverwaltungssystem auf Anfragen wartet.
Hybridkonnektivität einrichten
Wenn das externe Schlüsselverwaltungssystem lokal ausgeführt wird, verwenden Sie eine Hybridkonnektivitätslösung um die VPC mit Ihrem lokalen Netzwerk zu verbinden. Nachdem Sie die Verbindung eingerichtet haben, führen Sie die folgenden zusätzlichen Schritte aus:
Privaten Google-Zugriff aktivieren
Das externe Schlüsselverwaltungssystem muss das OIDC-Token in jeder Anfrage überprüfen. Dazu muss der öffentliche OAuth2-Schlüssel aus dem Domainnamen
www.googleapis.comabgerufen werden. Wenn das externe Schlüsselverwaltungssystem lokal ausgeführt wird und keinen Zugriff über das Internet hat, folgen Sie der Anleitung zum Konfigurieren des privaten Google-Zugriffs für lokale Hosts.Firewallkonfiguration für den IP-Bereich
35.199.192.0/19Anfragen von Cloud EKM stammen aus diesem Bereich. Konfigurieren Sie die Firewall Ihres lokalen Netzwerks oder ähnliche Geräte so, dass TCP-Traffic über den Port zugelassen wird, an dem das externe Schlüsselverwaltungssystem auf Anfragen wartet.
Sorgen Sie dafür, dass Ihre VPC eine Rückgaberoute zum IP-Bereich
35.199.192.0/19Ihr lokales Netzwerk muss eine Route für das Ziel
35.199.192.0/19haben. Informationen dazu, wie Sie diese Anforderung erfüllen, finden Sie unter Rückgaberoutenstrategien für lokale Ziele.
Rückgaberoutenstrategien für lokale Ziele
Erstellen Sie für Cloud VPN-Tunnel, die statisches Routing verwenden, manuell eine Route in Ihrem lokalen Netzwerk, deren Ziel
35.199.192.0/19und deren nächster Hop der Cloud VPN-Tunnel ist. Für Cloud VPN-Tunnel , die richtlinienbasiertes Routing verwenden, konfigurieren Sie die lokale Trafficauswahl des Cloud VPN und die Remote-Trafficauswahl des lokalen VPN-Gateways so, dass35.199.192.0/19enthalten ist.Für Cloud VPN-Tunnel, die dynamisches Routing verwenden, oder für Cloud Interconnect, konfigurieren Sie den benutzerdefinierten Advertisement-Modus für
35.199.192.0/19in der BGP-Sitzung des Cloud Router, der den Tunnel oder VLAN-Anhang verwaltet.
Externes Schlüsselverwaltungssystem einrichten
Folgen Sie der Anleitung Ihres EKM-Anbieters, um Ihr EKM einzurichten.
Crypto Space einrichten
Wenn Sie Cloud EKM im Rahmen einer von einem Partner verwalteten EKM-Vereinbarung verwenden, wurden diese Schritte im Rahmen des Bereitstellungsprozesses Ihres Partners für Sie ausgeführt.
Wenn Ihr EKM-Anbieter mit der EKM-Schlüsselverwaltung von Cloud KMS kompatibel ist, müssen die folgenden Einrichtungs- und Konfigurationsschritte in Ihrem EKM ausgeführt werden:
Erstellen Sie in Ihrem EKM einen Crypto Space für Ihre von Cloud KMS verwalteten Ressourcen.
Gewähren Sie Ihrem Cloud KMS-Dienstkonto Zugriff auf Ihren Crypto Space und die darin erstellten Schlüssel.
Richten Sie die Richtlinie für Key Access Justifications ein, um zu definieren, welche Zugriffsbegründungen zulässig oder unzulässig sein sollen.
Der genaue Prozess für jeden dieser Schritte hängt von Ihrem EKM ab. Weitere Informationen finden Sie in der Dokumentation Ihres EKM-Anbieters.
Service Directory-Dienstendpunkt erstellen
Erstellen und konfigurieren Sie einen Service Directory Dienstendpunkt in Ihrem VPC-Projekt, der auf die private IP-Adresse und den Port Ihres externen Schlüsselverwaltungssystems verweist. Wenn Sie einen Load-Balancer vor mehreren EKM-Replikaten verwenden, verwenden Sie die IP-Adresse und den Port des Load-Balancers. Das Feld Netzwerk des Service Directory-Dienstendpunkts muss ausgefüllt sein.
Cloud EKM Zugriff auf Ihre VPC autorisieren
Für jedes Schlüsselprojekt müssen Sie Cloud EKM autorisieren, im Namen dieses Projekts auf Ihre VPC zuzugreifen, auch wenn das Schlüsselprojekt und das VPC-Projekt identisch sind. Durch die Autorisierung des Zugriffs können Schlüssel in Ihrem Schlüsselprojekt die VPC in Ihrem VPC-Projekt verwenden.
Prüfen Sie, ob ein Cloud EKM-Dienstkonto für das Projekt vorhanden ist.
gcloud CLI
gcloud beta services identity create \ --service=cloudkms.googleapis.com \ --project=KEY_PROJECT_ID
Weisen Sie in Ihrem VPC-Projekt die Rollen
servicedirectory.viewerundservicedirectory.pscAuthorizedServicedem Dienstkontoservice-KEY_PROJECT_NUMBER@gcp-sa-ekms.iam.gserviceaccount.comzu. Hilfe zum Abrufen Ihrer Projekt-ID und Nummer erhalten Sie unter Projekte erstellen und verwalten.gcloud CLI
gcloud projects add-iam-policy-binding VPC_PROJECT_ID \ --member=serviceAccount:service-KEY_PROJECT_NUMBER@gcp-sa-ekms.iam.gserviceaccount.com \ --role=roles/servicedirectory.viewer gcloud projects add-iam-policy-binding VPC_PROJECT_ID \ --member=serviceAccount:service-KEY_PROJECT_NUMBER@gcp-sa-ekms.iam.gserviceaccount.com \ --role=roles/servicedirectory.pscAuthorizedService
EKM-Verbindung erstellen
Um Ihr externes Schlüsselverwaltungssystem mit Cloud EKM zu verbinden, erstellen Sie eine EKM-Verbindung in Ihrem Schlüsselprojekt.
Console
Wechseln Sie in der Google Cloud Console zur Seite KMS-Infrastruktur.
Klicken Sie auf Verbindung erstellen.
Geben Sie unter Verbindungsname einen Namen für die Verbindung ein.
Wählen Sie unter Region einen Standort für die EKM-Verbindung aus. Alle Cloud KMS-Schlüssel, die dieser Verbindung zugeordnet sind, müssen sich am selben Standort wie die Verbindung befinden.
Geben Sie im Feld Dienstressourcen-ID (self_link) den Wert des Service Directory-Dienstes ein, der im Abschnitt Service Directory-Dienstendpunkt erstellen erstellt wurde. Der Service Directory-Dienst muss sich am selben Standort wie die Verbindung befinden.
Fügen Sie im Feld Hostname den Hostnamen für Ihr externes Schlüsselverwaltungssystem hinzu.
Klicken Sie unter Zertifikate auf Zertifikat hinzufügen, um ein oder mehrere X.509-Serverzertifikate für Ihr externes Schlüsselverwaltungssystem hochzuladen. Zertifikate müssen im DER-Format vorliegen.
Wählen Sie unter EKM-Verwaltungsmodus die Option Manuell aus, um die EKM-Verbindung für manuell verwaltete externe Schlüssel zu verwenden, oder wählen Sie Cloud KMS aus, um die EKM Verbindung für koordinierte externe Schlüssel zu verwenden.
Wenn Sie für EKM-Verwaltungsmodus die Option Cloud KMS ausgewählt haben, geben Sie im Feld Crypto Space-Pfad den Crypto Space-Pfad ein, den Sie von Ihrem EKM erhalten haben.
Optional. Wenn Sie die EKM-Verbindung als Standardverbindung für dieses Projekt und diesen Standort festlegen möchten, klicken Sie das Kästchen Verbindung als Standard festlegen an. Wenn derzeit eine andere EKM-Verbindung als Standardverbindung für dieses Projekt und diesen Standort festgelegt ist, ersetzt diese EKM-Verbindung die vorhandene Standardverbindung.
Klicken Sie auf Erstellen.
gcloud
Wenn Sie Cloud KMS in der Befehlszeile verwenden möchten, müssen Sie zuerst die Google Cloud CLI installieren oder ein Upgrade ausführen.
Führen Sie den folgenden Befehl aus, um eine EKM-Verbindung für manuell verwaltete externe Schlüssel zu erstellen:
gcloud beta kms ekm-connections create EKM_CONNECTION \
--location LOCATION \
--service-directory-service SERVICE_DIRECTORY_SERVICE \
--hostname HOSTNAME \
--server-certificates-files SERVER_CERTIFICATE_FILES \
--key-management-mode manual
Ersetzen Sie Folgendes:
EKM_CONNECTION: ein Name für die EKM-Verbindung.LOCATION: der Cloud KMS-Standort, an dem Sie die EKM-Verbindung erstellen möchten. Alle Cloud KMS-Schlüssel, die dieser Verbindung zugeordnet sind, müssen sich am selben Standort wie die Verbindung befinden.SERVICE_DIRECTORY_SERVICE: die Ressourcen-ID des Service Directory-Dienstes für Ihre Verbindung.HOSTNAME: der Hostname Ihres externen Schlüsselverwaltungssystems.SERVER_CERTIFICATE_FILES: eine durch Kommas getrennte Liste von Dateien mit X.509-Serverzertifikaten für Ihr externes Schlüsselverwaltungssystem. Zertifikate müssen im DER-Format vorliegen.
Führen Sie den folgenden Befehl aus, um eine EKM-Verbindung für koordinierte externe Schlüssel zu erstellen:
gcloud beta kms ekm-connections create EKM_CONNECTION \
--location LOCATION \
--service-directory-service SERVICE_DIRECTORY_SERVICE \
--hostname HOSTNAME \
--server-certificates-files SERVER_CERTIFICATE_FILES \
--key-management-mode cloud-kms \
--crypto-space-path CRYPTO_SPACE_PATH
Ersetzen Sie Folgendes:
EKM_CONNECTION: ein Name für die EKM-Verbindung.LOCATION: der Cloud KMS-Standort, an dem Sie die EKM-Verbindung erstellen möchten. Alle Cloud KMS-Schlüssel, die dieser Verbindung zugeordnet sind, müssen sich am selben Standort wie die Verbindung befinden.SERVICE_DIRECTORY_SERVICE: die Ressourcen-ID des Service Directory-Dienstes für Ihre Verbindung.HOSTNAME: der Hostname Ihres externen Schlüsselverwaltungssystems.SERVER_CERTIFICATE_FILES: eine durch Kommas getrennte Liste von Dateien mit X.509-Serverzertifikaten für Ihr externes Schlüsselverwaltungssystem. Zertifikate müssen im DER-Format vorliegen.CRYPTO_SPACE_PATH: der Crypto Space-Pfad, den Sie von Ihrem EKM-Anbieter erhalten haben.
Wenn Sie Informationen zu allen Flags und möglichen Werten erhalten möchten, führen Sie den Befehl mit dem Flag --help aus.
API
In diesen Beispielen wird curl als HTTP-Client verwendet, um die Verwendung der API zu demonstrieren. Weitere Informationen zur Zugriffssteuerung finden Sie unter Auf die Cloud KMS API zugreifen.
Führen Sie den folgenden Befehl aus, um eine EKM-Verbindung für koordinierte externe Schlüssel zu erstellen:
curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/ekmConnections" \
--request "POST" \
--header "authorization: Bearer TOKEN" \
--header "content-type: application/json" \
--header "x-goog-user-project: PROJECT_ID" \
--data '{
"name": "EKM_CONNECTION",
"serviceResolvers": [
{
"serviceDirectoryService": "SERVICE_DIRECTORY_SERVICE",
"hostname": "HOSTNAME",
"serverCertificates": [
{
SERVER_CERTIFICATES
}
]
}
]
"keyManagementMode": "CLOUD_KMS",
"cryptoSpacePath": "CRYPTO_SPACE_PATH"
}'
Ersetzen Sie Folgendes:
PROJECT_ID: die ID des Projekts, in dem Sie die EKM-Verbindung erstellen möchten.LOCATION: der Cloud KMS-Standort, an dem Sie die EKM-Verbindung erstellen möchten.EKM_CONNECTION: der Name, der für die EKM-Verbindung verwendet werden soll.SERVER_CERTIFICATES: eine Liste mit bis zu 10Certificate-Objekten, die Blattzertifikate darstellen.HOSTNAME: der Hostname Ihres externen Schlüsselverwaltungssystems.CRYPTO_SPACE_PATH: der Crypto Space-Pfad, den Sie von Ihrem EKM-Anbieter erhalten haben.
Führen Sie den folgenden Befehl aus, um eine EKM-Verbindung für manuell verwaltete externe Schlüssel zu erstellen:
curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/ekmConnections" \
--request "POST" \
--header "authorization: Bearer TOKEN" \
--header "content-type: application/json" \
--header "x-goog-user-project: PROJECT_ID" \
--data '{
"name": "EKM_CONNECTION",
"serviceResolvers": [
{
"serviceDirectoryService": "SERVICE_DIRECTORY_SERVICE",
"hostname": "HOSTNAME",
"serverCertificates": [
{
SERVER_CERTIFICATES
}
]
}
]
}'
Ersetzen Sie Folgendes:
PROJECT_ID: die ID des Projekts, in dem Sie die EKM-Verbindung erstellen möchten.LOCATION: der Cloud KMS-Standort, an dem Sie die EKM-Verbindung erstellen möchten.EKM_CONNECTION: der Name, der für die EKM-Verbindung verwendet werden soll.SERVER_CERTIFICATES: eine Liste mit bis zu 10CertificateObjekten , die Blattzertifikate darstellen.HOSTNAME: der Hostname Ihres externen Schlüsselverwaltungssystems.
Weitere Informationen finden Sie in der EkmConnection.create API-Dokumentation.
Zertifikatstatus
Nachdem Sie ein Zertifikat für Ihre EKM-Verbindung hochgeladen haben, können Sie den allgemeinen Zertifikatstatus der EKM-Verbindung sowie den Status jedes Zertifikats auf der Seite „KMS-Infrastruktur“ prüfen.
EKM-Verbindungen haben in der Spalte Zertifikatstatus jeder Verbindung einen Gesamtstatus. Wenn eine EKM-Verbindung einen anderen Status als Aktiv hat, empfehlen wir, die Zertifikate in Ihrer EKM-Verbindung zu aktualisieren.
Sowohl EKM-Verbindungen als auch einzelne Zertifikate können die folgenden Status haben:
- Aktiv: Das Zertifikat ist gültig und das Ablaufdatum rückt nicht näher.
- Läuft in den nächsten 30 Tagen ab: Das Zertifikat ist gültig, hat aber ein Ablauf datum in den nächsten 30 Tagen.
- Abgelaufen: Das Zertifikat ist abgelaufen und nicht mehr gültig. Wir empfehlen, alle abgelaufenen Zertifikate zu aktualisieren.
- Noch nicht gültig: Das Zertifikat ist nicht aktiv. Das kann passieren, wenn das Startdatum des Zertifikats in der Zukunft liegt.
Wenn Ihr Zertifikat nicht mehr gültig ist, aktualisieren Sie Ihre EKM-Verbindung in der Google Cloud Console.
Console
Wechseln Sie in der Google Cloud Console zur Seite KMS-Infrastruktur.
Klicken Sie auf den Namen der EKM-über-VPC-Verbindung mit dem Zertifikat, das aktualisiert werden muss.
Klicken Sie auf Verbindung bearbeiten.
Klicken Sie auf Zertifikat hinzufügen , um ein oder mehrere X.509-Serverzertifikate für Ihr externes Schlüsselverwaltungssystem hochzuladen. Zertifikate müssen im DER-Format vorliegen.
Entfernen Sie die abgelaufenen Zertifikate. Bewegen Sie den Mauszeiger auf das abgelaufene Zertifikat und wählen Sie rechts das Symbol Löschen aus.
Klicken Sie auf Verbindung aktualisieren , um die EKM-über-VPC-Verbindung zu aktualisieren.
EKM-Verbindung als Standard festlegen
Sie können eine EKM-Verbindung als Standardverbindung für ein bestimmtes Projekt und einen bestimmten Standort festlegen. Wenn eine Standard-EKM-Verbindung für ein Projekt und einen Standort festgelegt ist, verwenden neue Cloud EKM-über-VPC-Schlüssel, die in Schlüsselbunden an diesem Standort erstellt wurden, die angegebene EKM-Verbindung, sofern keine andere EKM-Verbindung ausgewählt ist.
Führen Sie die folgenden Schritte aus, um eine EKM-Verbindung als Standard für das zugehörige Projekt und den zugehörigen Standort festzulegen:
Console
Wechseln Sie in der Google Cloud Console zur Seite KMS-Infrastruktur.
Klicken Sie auf die EKM-Verbindung, die Sie als Standard festlegen möchten.
Klicken Sie auf Verbindung bearbeiten.
Klicken Sie unter Standardverbindung das Kästchen Verbindung als Standard für LOCATION an.
Klicken Sie auf Verbindung aktualisieren.
gcloud CLI
gcloud kms ekm-config update --location=LOCATION --default-ekm-connection=projects/PROJECT_ID/locations/LOCATION/ekmConnections/DEFAULT_EKM_CONNECTION
Ersetzen Sie Folgendes:
LOCATION: der Cloud KMS-Standort, für den Sie die Standard-EKM-Verbindung festlegen möchten.PROJECT_ID: der Name des Projekts, für das Sie die Standard-EKM-Verbindung festlegen möchten.DEFAULT_EKM_CONNECTION: der Name der EKM-Verbindung, die Sie als Standard für diesen Standort festlegen möchten. Der Standort der EKM-Verbindung muss mit dem inLOCATIONangegebenen Standort übereinstimmen.
API
Verwenden Sie die Methode EkmConfig.patch, um die Standard-EKM-Verbindung für einen Standort festzulegen:
curl "https://cloudkms.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/ekmConfig" \
--request "PATCH" \
--header "authorization: Bearer TOKEN" \
--header "content-type: application/json" \
--data '{"defaultEkmConnection": "projects/PROJECT_ID/locations/LOCATION/ekmConnections/DEFAULT_EKM_CONNECTION"}'
Ersetzen Sie Folgendes:
PROJECT_ID: die ID des Projekts, für das Sie eine Standard-EKM-Verbindung festlegen möchten.LOCATION: der Cloud KMS-Standort, für den Sie die Standard-EKM-Verbindung festlegen möchten.DEFAULT_EKM_CONNECTION: der Name der EKM-Verbindung, die Sie als Standard für diesen Standort festlegen möchten. Der Standort der EKM-Verbindung muss mit dem inLOCATIONangegebenen Standort übereinstimmen.
Wenn für diesen Standort eine andere EKM-Verbindung als Standard festgelegt wurde, wird sie durch die ausgewählte EKM-Verbindung ersetzt. Für ein bestimmtes Projekt und einen bestimmten Standort kann nur eine EKM-Verbindung als Standard festgelegt werden.