Auf dieser Seite werden die einzelnen Ressourcentypen in Cloud KMS beschrieben. Cloud KMS-Ressourcen können nach dem Erstellen nicht mehr an einen anderen Standort verschoben werden. Weitere Informationen zur Ressourcenhierarchie
Schlüssel
Ein Cloud KMS-Schlüssel ist ein benanntes Objekt, das eine oder mehrere Schlüsselversionen sowie Metadaten für den Schlüssel enthält. Ein Schlüssel ist genau einem Schlüsselbund zugeordnet, der an einen bestimmten Standort gebunden ist.
Sie können den Zugriff auf Schlüssel mithilfe von Berechtigungen und Rollen von Identity and Access Management (IAM) zulassen oder verweigern. Sie können den Zugriff auf eine Schlüsselversion nicht verwalten.
Durch das Deaktivieren oder Löschen eines Schlüssels wird auch jede Schlüsselversion deaktiviert oder gelöscht.
In folgenden Abschnitten werden die Eigenschaften eines Schlüssels erläutert.
Je nach Kontext werden die Attribute eines Schlüssels in einem anderen Format angezeigt.
- Wenn Sie die Google Cloud CLI oder die Cloud Key Management Service API verwenden, wird das Attribut als String mit Großbuchstaben wie
SOFTWAREangezeigt. - In der Google Cloud Console wird das Attribut als String mit Großschreibung am Anfang angezeigt, z. B. Software.
In den folgenden Abschnitten wird jedes Format an der entsprechenden Stelle gezeigt.
Typ
Der Typ eines Schlüssels bestimmt, ob er für symmetrische oder asymmetrische kryptografische Vorgänge verwendet wird.
Bei der symmetrischen Verschlüsselung oder Signierung wird derselbe Schlüssel zum Verschlüsseln und Entschlüsseln von Daten oder zum Signieren und Prüfen einer Signatur verwendet.
Bei der asymmetrischen Verschlüsselung oder Signatur besteht der Schlüssel aus einem öffentlichen Schlüssel und einem privaten Schlüssel. Ein privater Schlüssel mit dem entsprechenden öffentlichen Schlüssel wird als Schlüsselpaar bezeichnet.
- Der private Schlüssel ist ein vertrauliches Datum und wird je nach konfiguriertem Zweck des Schlüssels zum Entschlüsseln von Daten oder zum Signieren benötigt.
- Der öffentliche Schlüssel gilt nicht als vertraulich und ist je nach konfiguriertem Zweck des Schlüssels erforderlich, um Daten zu verschlüsseln oder eine Signatur zu überprüfen.
Der Typ eines Schlüssels ist eine Komponente des Verwendungszwecks des Schlüssels und kann nach dem Erstellen des Schlüssels nicht mehr geändert werden.
Zweck
Der Zweck eines Schlüssels gibt an, für welche Art von kryptografischen Vorgängen der Schlüssel verwendet werden kann, z. B. Symmetrisches Ver-/Entschlüsseln oder Asymmetrisches Signieren. Sie wählen den Zweck beim Erstellen des Schlüssels aus. Alle Versionen eines Schlüssels haben denselben Zweck. Der Zweck eines Schlüssels kann nach dem Erstellen des Schlüssels nicht mehr geändert werden. Weitere Informationen zu Schlüsselzwecken finden Sie unter Schlüsselzwecke.
Schutzniveau
Die Schutzebene eines Schlüssels bestimmt die Speicherumgebung des Schlüssels im Ruhezustand. Das Schutzniveau ist eines der folgenden:
- Software (
SOFTWARE) - Mehrmandanten-HSM (
HSM) - HSM für einzelne Mandanten (
HSM_SINGLE_TENANT) - Extern (
EXTERNAL) - External_VPC (
EXTERNAL_VPC)
Die Schutzstufe eines Schlüssels kann nach dem Erstellen des Schlüssels nicht mehr geändert werden.
Hauptversion
Schlüssel können mehrere Schlüsselversionen gleichzeitig aktiv und aktiviert haben. Symmetrische Verschlüsselungsschlüssel haben eine Primärschlüsselversion. Das ist die Schlüsselversion, die standardmäßig zum Verschlüsseln von Daten verwendet wird, wenn Sie keine Schlüsselversion angeben.
Asymmetrische Schlüssel haben keine primären Versionen. Sie müssen die Version angeben, wenn Sie den Schlüssel verwenden.
Sowohl für symmetrische als auch für asymmetrische Schlüssel können Sie jede aktivierte Schlüsselversion zum Verschlüsseln und Entschlüsseln von Daten oder zum Signieren und Validieren von Signaturen verwenden.
Schlüsselversionen
Jede Version eines Schlüssels enthält Schlüsselmaterial, das zur Verschlüsselung oder Signierung dient. Jeder Version wird eine Versionsnummer zugewiesen, beginnend mit 1. Durch das Rotieren eines Schlüssels wird eine neue Schlüsselversion erstellt. Weitere Informationen zum Rotieren von Schlüsseln
Zum Entschlüsseln von Daten oder zum Prüfen einer Signatur müssen Sie dieselbe Schlüsselversion verwenden, die zum Verschlüsseln oder Signieren der Daten verwendet wurde. Informationen zum Ermitteln der Ressourcen-ID einer Schlüsselversion finden Sie unter Ressourcen-ID eines Schlüssels abrufen.
Sie können einzelne Schlüsselversionen deaktivieren oder löschen, ohne dass sich dies auf andere Versionen auswirkt. Sie können auch alle Schlüsselversionen für einen bestimmten Schlüssel deaktivieren oder löschen.
Sie können den Zugriff auf Schlüsselversionen nicht unabhängig von den für den Schlüssel geltenden Berechtigungen steuern. Wenn Sie Zugriff auf einen Schlüssel gewähren, wird Zugriff auf alle aktivierten Versionen dieses Schlüssels gewährt.
Aus Sicherheitsgründen kann kein Google Cloud Hauptkonto das rohe kryptografische Schlüsselmaterial, das durch eine Schlüsselversion dargestellt wird, ansehen oder exportieren. Stattdessen greift Cloud KMS für Sie auf das Schlüsselmaterial zu.
In folgenden Abschnitten werden die Eigenschaften einer Schlüsselversion erläutert.
Bundesland
Jede Schlüsselversion hat einen Status, der den Status angibt. Normalerweise ist der Status eines Schlüssels einer der folgenden:
- Aktiviert
- Deaktiviert
- Löschen geplant
- Gelöscht
Eine Schlüsselversion kann nur verwendet werden, wenn sie aktiviert ist. Für Schlüsselversionen in einem anderen Status als „Gelöscht“ fallen Kosten an. Weitere Informationen zu Schlüsselversionsstatus und zum Übergang von Versionen zwischen diesen Status finden Sie unter Schlüsselversionsstatus.
Algorithmus
Der Algorithmus einer Schlüsselversion bestimmt, wie das Schlüsselmaterial erstellt wird und welche Parameter für kryptografische Vorgänge erforderlich sind. Symmetrische und asymmetrische Schlüssel verwenden unterschiedliche Algorithmen. Für die Verschlüsselung und Signierung werden unterschiedliche Algorithmen verwendet.
Wenn Sie beim Erstellen einer neuen Schlüsselversion keinen Algorithmus angeben, wird der Algorithmus der vorherigen Version verwendet.
Unabhängig vom Algorithmus verwendet Cloud KMS die probabilistische Verschlüsselung, sodass derselbe Klartext, der zweimal mit derselben Schlüsselversion verschlüsselt wurde, nicht denselben Geheimtext zurückgibt.
Schlüsselbunde
Ein Schlüsselbund organisiert Schlüssel an einem bestimmten Google Cloud-Standort und ermöglicht es Ihnen, die Zugriffssteuerung für Schlüsselgruppen zu verwalten. Der Name eines Schlüsselbunds muss nicht innerhalb eines Google Cloud -Projekts eindeutig sein, aber innerhalb eines bestimmten Standorts. Für Schlüsselbunde fallen keine Kosten an. Eine Liste der verfügbaren Standorte finden Sie unter Cloud KMS-Standorte.
Schlüssel-Handles
Ein Schlüssel-Handle ist eine Cloud KMS-Ressource, mit der Sie die Aufgabentrennung sicher umgehen können, um mit Autokey neue Cloud KMS-Schlüssel für CMEK zu erstellen. Das Erstellen eines Schlüssel-Handles in einem Ressourcenprojekt löst das Erstellen eines Cloud KMS-Schlüssels im Schlüsselprojekt für die On-Demand-CMEK-Einrichtung aus.
Ein Schlüssel-Handle enthält einen Verweis auf den erstellten Cloud KMS-Schlüssel. Sie können die Cloud KMS-Ressourcen-ID eines von Autokey erstellten Schlüssels aus dem Schlüssel-Handle abrufen. Infrastruktur-als-Code-Tools wie Terraform können mit Schlüssel-Handles verwendet werden, um CMEK-geschützte Ressourcen ohne erhöhte Berechtigungen zu verwalten.
Schlüssel-Handles sind in der Google Cloud Console nicht sichtbar. Wenn Sie Autokey mit der REST API oder Terraform verwenden möchten, müssen Sie jedoch mit Schlüssel-Handles arbeiten. Weitere Informationen zur Verwendung von Schlüssel-Handles finden Sie unter Geschützte Ressourcen mit Cloud KMS Autokey erstellen.
Autokey-Konfigurationen
Eine Autokey-Konfiguration ist eine Ressource auf Ordner- oder Projektebene, die definiert, ob Autokey für Ressourcen im Ordner aktiviert ist. In der Autokey-Konfiguration wird auch festgelegt, welches Schlüsselprojekt für Schlüssel verwendet wird, die von Cloud KMS Autokey erstellt werden, um Ressourcen in diesem Ordner zu schützen. Wenn Sie Autokey aktivieren, erstellen oder aktualisieren Sie eine Autokey-Konfiguration für den Ressourcenordner oder das Projekt. Weitere Informationen zur Verwendung von Autokey-Konfigurationen finden Sie unter Cloud KMS Autokey aktivieren.
EKM-Verbindungen
Eine EKM-Verbindung ist eine Cloud KMS-Ressource, die VPC-Verbindungen zu Ihren lokalen EKMs an einem bestimmtenGoogle Cloud -Standort organisiert. Mit einer EKM-Verbindung können Sie über ein VPC-Netzwerk eine Verbindung zu Schlüsseln aus einem externen Schlüsselverwaltungssystem herstellen und diese Schlüssel verwenden. Nach dem Erstellen kann eine EKM-Verbindung nicht mehr gelöscht werden. Für EKM-Verbindungen fallen keine Kosten an.
Ressourcen-ID abrufen
Bei einigen API-Aufrufen und gcloud CLI-Befehlen müssen Sie möglicherweise einen Schlüsselbund, einen Schlüssel oder eine Schlüsselversion anhand der Ressourcen-ID angeben. Dies ist ein String, der den vollständig qualifizierten CryptoKeyVersion-Namen darstellt. Ressourcen-IDs sind hierarchisch, ähnlich wie ein Dateisystempfad. Die Ressourcen-ID eines Schlüssels enthält auch Informationen zum Schlüsselbund und zum Standort.
| Objekt | Format der Ressourcen-ID |
|---|---|
| Schlüsselbund | projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING |
| Schlüssel | projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME |
| Schlüsselversion | projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME/cryptoKeyVersions/KEY_VERSION |
| Schlüssel-Handle | projects/RESOURCE_PROJECT_ID/locations/LOCATION/keyHandles/KEY_HANDLE |
| EKM-Verbindung | projects/PROJECT_ID/locations/LOCATION/ekmConnections/EKM_CONNECTION |
| Autokey-Konfiguration | folders/FOLDER_NUMBER/autokeyConfigprojects/PROJECT_ID/autokeyConfig |
Weitere Informationen finden Sie unter Cloud KMS-Ressourcen-ID abrufen
Ressourcen organisieren
Wenn Sie planen, wie Sie die Ressourcen in Ihrem Google Cloud-Projekt organisieren, sollten Sie Ihre Geschäftsregeln und die geplante Zugriffsverwaltung berücksichtigen. Sie können Zugriff auf einen einzelnen Schlüssel, alle Schlüssel in einem Schlüsselbund oder alle Schlüssel in einem Projekt gewähren. Folgende Organisationsmuster sind üblich:
- Nach Umgebung, z. B.
prod,testunddevelop. - Nach Arbeitsbereich, z. B.
payrolloderinsurance_claims. - Nach Vertraulichkeit oder Eigenschaften der Daten, z. B.
unrestricted,restricted,confidential,top-secret.
Ressourcenlebenszyklen
Unter bestimmten Umständen können Sie Schlüsselbunde, Schlüssel und Schlüsselversionen löschen. Wenn Sie eine Ressource löschen, wird sie aus den Listen der Cloud KMS-Ressourcen entfernt. Wenn Sie eine Schlüsselversion löschen, wird das zugrunde liegende Schlüsselmaterial endgültig gelöscht. Wenn Sie einen Schlüsselbund löschen, kann sein Name wiederverwendet werden. Die Namen gelöschter Schlüssel können jedoch nicht wiederverwendet werden. So wird sichergestellt, dass die Ressourcen-ID einer Schlüsselversion eindeutig ist und immer auf das ursprüngliche Schlüsselmaterial für diese Schlüsselversion verweist, sofern es nicht gelöscht wurde. Sie können eine unbegrenzte Anzahl von Schlüsselbunden, aktivierten oder deaktivierten Schlüsseln und aktivierten, deaktivierten oder gelöschten Schlüsselversionen speichern. Weitere Informationen finden Sie unter Preise und Kontingente.
Informationen zum Löschen oder Wiederherstellen einer Schlüsselversion finden Sie unter Schlüsselversionen löschen und wiederherstellen.
Nachdem Sie das Beenden eines Google Cloud -Projekts geplant haben, können Sie nicht mehr auf die Ressourcen des Projekts zugreifen, einschließlich Cloud KMS-Ressourcen, es sei denn, Sie stellen das Projekt wieder her. Folgen Sie dazu der Anleitung unter Projekt wiederherstellen.