Cloud KMS Autokey vereinfacht das Erstellen und Verwenden von kundenverwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEKs) durch die Automatisierung der Bereitstellung und Zuweisung. Mit Autokey werden Schlüsselbunde und Schlüssel bei Bedarf generiert. Dienstkonten, die die Schlüssel zum Verschlüsseln und Entschlüsseln von Ressourcen verwenden, werden erstellt und erhalten bei Bedarf IAM-Rollen (Identity and Access Management). Cloud KMS-Administratoren behalten die volle Kontrolle und Übersicht über die von Autokey erstellten Schlüssel, ohne jede Ressource im Voraus planen und erstellen zu müssen. Die Verwendung von Autokey ist einfacher als die manuelle Bereitstellung von Schlüsseln und die empfohlene Wahl, wenn die von Autokey erstellten Schlüssel alle Ihre Anforderungen erfüllen.
Die Verwendung von von Autokey generierten Schlüsseln kann Ihnen helfen, die Branchenstandards und empfohlenen Praktiken für die Datensicherheit konsistent einzuhalten, einschließlich des Schutzniveaus von Multi-Tenant Cloud HSM, der Aufgabentrennung, der Schlüsselrotation, des Standorts und der Schlüsselspezifität. Autokey erstellt Schlüssel, die sowohl allgemeinen Richtlinien als auch Richtlinien folgen, die für den Ressourcentyp für Google Cloud Dienste spezifisch sind, die in Cloud KMS Autokey eingebunden sind. Nach der Erstellung funktionieren Schlüssel, die mit Autokey angefordert wurden, genauso wie andere Cloud HSM-Schlüssel mit denselben Einstellungen.
Autokey kann auch die Verwendung von Terraform für die Schlüsselverwaltung vereinfachen, da keine Infrastruktur-als-Code-Ausführung mit erhöhten Berechtigungen zur Schlüsselerstellung erforderlich ist.
Sie können Autokey mit einem zentralen Schlüsselverwaltungsmodell (allgemeine Verfügbarkeit) oder einem delegierten Schlüsselverwaltungsmodell (Vorschau) verwenden. Wenn Sie das zentrale Schlüsselverwaltungsmodell verwenden möchten, benötigen Sie eine Organisationsressource, die eine Ordnerressource enthält. Im zentralen Modell ist Autokey für Projekte in einem Ordner aktiviert und von Autokey erstellte Schlüssel werden in einem dedizierten Schlüsselprojekt für diesen Ordner erstellt. Mit dem delegierten Schlüsselverwaltungsmodell wird die Schlüsselverwaltung an Projektadministratoren delegiert, die Autokey für einen Ordner oder ein Projekt aktivieren können, damit Autokey Schlüssel im selben Projekt wie die Ressourcen erstellt, die sie schützen.
Weitere Informationen zu Organisations- und Ordnerressourcen finden Sie unter Ressourcenhierarchie.
Cloud KMS Autokey ist an allen Google Cloud Standorten verfügbar, an denen Cloud HSM verfügbar ist. Weitere Informationen zu Cloud KMS Standorten finden Sie unter Cloud KMS-Standorte. Für die Verwendung von Cloud KMS Autokey fallen keine zusätzlichen Kosten an. Schlüssel, die mit Autokey erstellt wurden, werden genauso berechnet wie alle anderen Cloud HSM-Schlüssel. Weitere Informationen zu Preisen finden Sie unter Cloud Key Management Service – Preise.
Weitere Informationen zu Autokey finden Sie unter Übersicht: Autokey.
Zwischen Autokey und anderen Verschlüsselungsoptionen wählen
Cloud KMS mit Autokey ist wie ein Autopilot für kundenverwaltete Verschlüsselungsschlüssel: Es erledigt die Arbeit in Ihrem Namen und bei Bedarf. Sie müssen Schlüssel nicht im Voraus planen oder Schlüssel erstellen, die möglicherweise nie benötigt werden. Schlüssel und Schlüsselnutzung sind konsistent. Sie können festlegen, wo Autokey verwendet werden soll, und steuern, wer es verwenden kann. Sie behalten die volle Kontrolle über die von Autokey erstellten Schlüssel. Sie können manuell erstellte Cloud KMS-Schlüssel zusammen mit Schlüsseln verwenden, die mit Autokey erstellt wurden. Sie können Autokey deaktivieren und die erstellten Schlüssel weiterhin so verwenden wie jeden anderen Cloud KMS-Schlüssel.
Cloud KMS Autokey ist eine gute Wahl, wenn Sie eine konsistente Schlüsselnutzung in allen Projekten mit geringem Betriebsaufwand wünschen und die Empfehlungen von Google für Schlüssel befolgen möchten.
| Funktion | Standardmäßige Google-Verschlüsselung | Cloud KMS | Cloud KMS Autokey |
|---|---|---|---|
| Kryptografische Isolation: Schlüssel sind exklusiv für das Konto eines Kunden | Nein | Ja | Ja |
| Kunde besitzt und kontrolliert Schlüssel | Nein | Ja | Ja |
| Entwickler löst die Schlüsselbereitstellung und -zuweisung aus | Ja | Nein | Ja |
| Spezifität: Schlüssel werden automatisch mit der empfohlenen Schlüssel Granularität erstellt | Nein | Nein | Ja |
| Ermöglicht das kryptografische Löschen von Daten | Nein | Ja | Ja |
| Automatische Ausrichtung an empfohlenen Praktiken für die Schlüsselverwaltung | Nein | Nein | Ja |
| Verwendet HSM-gestützte Schlüssel, die FIPS 140-2 Level 3 entsprechen | Nein | Optional | Ja |
Wenn Sie ein anderes Schutzniveau als HSM oder einen benutzerdefinierten Rotationszeitraum verwenden müssen, können Sie CMEK ohne Autokey verwenden.
Zentrale oder delegierte Schlüsselverwaltung
Autokey für die zentrale Schlüsselverwaltung mit einem dedizierten Schlüsselprojekt in einem Ordner ist allgemein verfügbar. In der Vorschau unterstützt Autokey das Speichern von Schlüsseln im selben Projekt wie die Ressourcen, die durch die Schlüssel geschützt werden. Es kann für alle Projekte in einem Ordner oder für einzelne Projekte konfiguriert werden.
Kompatible Dienste
In der folgenden Tabelle sind die Dienste aufgeführt, die mit Cloud KMS Autokey kompatibel sind:
| Dienst | Geschützte Ressourcen | Schlüsselgranularität |
|---|---|---|
| Artifact Registry |
Autokey erstellt Schlüssel während der Repository-Erstellung, die für alle gespeicherten Artefakte verwendet werden. |
Ein Schlüssel pro Ressource |
| BigQuery |
Autokey erstellt Standardschlüssel für Datasets. Tabellen, Modelle, Abfragen und temporäre Tabellen in einem Dataset verwenden den Standardschlüssel des Datasets. Mit Autokey werden keine Schlüssel für andere BigQuery-Ressourcen als Datasets erstellt. Wenn Sie Ressourcen schützen möchten, die nicht Teil eines Datasets sind, müssen Sie eigene Standardschlüssel auf Projekt- oder Organisationsebene erstellen. |
Ein Schlüssel pro Ressource |
| Bigtable |
Autokey erstellt Schlüssel für Cluster. Mit Autokey werden keine Schlüssel für andere Bigtable-Ressourcen als Cluster erstellt. Bigtable ist nur dann mit Cloud KMS Autokey kompatibel, wenn Ressourcen mit Terraform oder dem Google Cloud SDK erstellt werden. |
Ein Schlüssel pro Cluster |
| AlloyDB for PostgreSQL |
AlloyDB for PostgreSQL ist nur dann mit Cloud KMS Autokey kompatibel, wenn Ressourcen mit Terraform oder der REST API erstellt werden. |
Ein Schlüssel pro Ressource |
| Cloud Run |
|
Ein Schlüssel pro Standort in einem Projekt |
| Cloud SQL |
Mit Autokey werden keine Schlüssel für Cloud SQL
Cloud SQL ist nur dann mit Cloud KMS Autokey kompatibel, wenn Ressourcen mit Terraform oder der REST API erstellt werden. |
Ein Schlüssel pro Ressource |
| Cloud Storage |
Objekte in einem
Storage-Bucket verwenden den Standardschlüssel des Buckets. Mit Autokey werden keine
Schlüssel für |
Ein Schlüssel pro Bucket |
| Compute Engine |
Für Snapshots wird der Schlüssel für das Laufwerk verwendet, von dem Sie einen Snapshot erstellen.
Mit Autokey werden keine Schlüssel für |
Ein Schlüssel pro Ressource |
| Pub/Sub |
|
Ein Schlüssel pro Ressource |
| Secret Manager |
Secret Manager ist nur dann mit Cloud KMS Autokey wenn Ressourcen mit Terraform oder der REST API erstellt werden. |
Ein Schlüssel pro Standort in einem Projekt |
| Secure Source Manager |
|
Ein Schlüssel pro Ressource |
| Spanner |
Spanner ist nur dann mit Cloud KMS Autokey kompatibel, wenn Ressourcen mit Terraform oder der REST API erstellt werden. |
Ein Schlüssel pro Ressource |
| Dataflow |
|
Ein Schlüssel pro Ressource |
| Managed Service for Apache Spark |
|
Für Cluster-, SessionTemplate- und WorkflowTemplate Ressourcen: Ein Schlüssel pro Ressource Für Batch- und Session-Ressourcen: Ein Schlüssel pro Standort in einem Projekt |
Nächste Schritte
- Weitere Informationen zur Funktionsweise von Cloud KMS Autokey finden Sie unter Übersicht Autokey.