„Vom Kunden verwaltete Verschlüsselungsschlüssel“ aktivieren

In diesem Dokument wird beschrieben, wie Sie Knowledge Catalog-Daten (ehemals Dataplex Universal Catalog) mit kundenverwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEK) verschlüsseln.

Übersicht

Knowledge Catalog verschlüsselt ruhende Kundeninhalte standardmäßig. Die Verschlüsselung wird von Knowledge Catalog übernommen. Weitere Maßnahmen Ihrerseits sind nicht erforderlich. Diese Option heißt Google-Standardverschlüsselung.

Wenn Sie Ihre Verschlüsselungsschlüssel selbst verwalten möchten, können Sie kundenverwaltete Verschlüsselungsschlüssel (CMEKs) in Cloud KMS mit CMEK-integrierten Diensten wie Knowledge Catalog verwenden. Mit Cloud KMS-Schlüsseln haben Sie die Kontrolle über Schutzlevel, Speicherort, Rotationszeitplan, Nutzungs- und Zugriffsberechtigungen sowie über kryptografische Grenzen. Mit Cloud KMS können Sie außerdem die Schlüsselnutzung verfolgen, Audit-Logs aufrufen und den Lebenszyklus von Schlüsseln steuern. Statt es Google zu überlassen, die symmetrischen Schlüsselverschlüsselungsschlüssel (Key Encryption Keys, KEKs) zum Schutz Ihrer Daten zu besitzen und zu verwalten, können Sie diese auch über Cloud KMS steuern und verwalten.

Nachdem Sie Ihre Ressourcen mit CMEKs eingerichtet haben, ähnelt der Zugriff auf Ihre Knowledge Catalog-Ressourcen der Verwendung der Google-Standardverschlüsselung. Weitere Informationen zu Ihren Verschlüsselungsoptionen finden Sie unter Kundenverwaltete Verschlüsselungsschlüssel (CMEK).

Knowledge Catalog verwendet einen CMEK pro Standort für alle Knowledge Catalog-Ressourcen.

Sie können einen CMEK-Schlüssel auf Organisationsebene in Knowledge Catalog konfigurieren.

Weitere Informationen zu CMEKs im Allgemeinen, einschließlich wann und warum sie aktiviert werden sollten, finden Sie unter Kundenverwaltete Verschlüsselungsschlüssel (CMEKs).

Vorteile von CMEK

Mit CMEK haben Sie folgende Möglichkeiten:

  • Schlüssel-Lebenszyklusvorgänge und Zugriffsberechtigungen verwalten.
  • Mit der Key Inventory API und den Dashboards zur Schlüsselnutzung in Cloud KMS können Sie die Schlüsselnutzung im Blick behalten und beispielsweise sehen, welche Schlüssel welche Ressourcen schützen. Cloud Logging gibt an, wann und von wem auf die Schlüssel zugegriffen wurde.
  • Erfüllen Sie bestimmte gesetzliche Anforderungen, indem Sie Ihre Verschlüsselungsschlüssel selbst verwalten.

Funktionsweise von CMEK mit Knowledge Catalog

Knowledge Catalog-Verschlüsselungsadministratoren in Ihrem Google Cloud -Projekt können CMEK für Knowledge Catalog konfigurieren, indem sie den Cloud KMS-Schlüssel angeben. Anschließend verschlüsselt Knowledge Catalog alle Daten mit dem angegebenen Cloud KMS-Schlüssel, einschließlich vorhandener Daten und aller neuen Ressourcen, die in Knowledge Catalog erstellt werden.

Unterstützte Features

Hinweise

  • Standardmäßig wird jede Organisation mit der Standardverschlüsselung von Google bereitgestellt.
  • Der Organization Administrator (roles/resourcemanager.organizationAdmin) kann im Knowledge Catalog für jeden Standort zu CMEK wechseln.
  • Knowledge Catalog unterstützt Cloud KMS-Schlüssel, Cloud HSM-Schlüssel und Cloud External Key Manager-Schlüssel.
  • Die Schlüsselrotation wird unterstützt. Sobald sie verfügbar ist, wird die neue Schlüsselversion automatisch für die Datenverschlüsselung verwendet. Vorhandene Daten werden ebenfalls mit dieser neuen Version verschlüsselt.
  • Knowledge Catalog bewahrt Datensicherungen maximal 15 Tage lang auf. Alle Sicherungen, die nach dem Aktivieren von CMEK erstellt werden, werden mit dem angegebenen KMS-Schlüssel verschlüsselt. Daten, die vor der Aktivierung von CMEK gesichert wurden, bleiben maximal 15 Tage lang mit der Standardverschlüsselung von Google verschlüsselt.

Beschränkungen

  • Der Wechsel zu CMEK kann nicht rückgängig gemacht werden. Nachdem Sie sich für CMEK entschieden haben, können Sie nicht mehr zur Standardverschlüsselung von Google zurückkehren.
  • Nachdem ein Cloud KMS-Schlüssel für Knowledge Catalog konfiguriert wurde, kann er nicht mehr aktualisiert oder geändert werden.
  • Knowledge Catalog unterstützt nur die Verschlüsselung auf Organisationsebene. Die Verschlüsselungskonfiguration wird also auf Organisationsebene für einen bestimmten Standort festgelegt und zum Verschlüsseln von Knowledge Catalog-Daten für alle Projekte innerhalb dieser Organisation und dieses Standorts verwendet. Die CMEK-Verschlüsselung wird für bestimmte Projekte in einer Organisation oder einem Ordner nicht unterstützt. Das Festlegen von CMEK-bezogenen Organisationsrichtlinien erfordert sorgfältige Überlegungen.
  • Knowledge Catalog unterstützt CMEK in der globalen Region nicht.

  • Wenn CMEK für Knowledge Catalog aktiviert ist, funktionieren die folgenden Features nicht:

    • Organisationsübergreifende Metadatensuche

  • Wenn Sie CMEK in Knowledge Catalog aktivieren, sollten Sie keine Projekte in die CMEK-Organisation oder aus ihr heraus migrieren. Wenn Sie die Platzierung eines Projekts in der Organisation ändern, gehen die in Knowledge Catalog gespeicherten Metadaten für dieses Projekt dauerhaft verloren.

Vorhandene CMEK-Konfigurationen aktualisieren

Wenn Sie CMEK in Knowledge Catalog vor dem 7. November 2025 aktiviert haben, führen Sie den folgenden Befehl aus, um die CMEK-Abdeckung auf Knowledge Catalog und die Knowledge Catalog-Suche auszuweiten:

  gcloud dataplex encryption-config update organizations/ORG_ID/locations/LOCATION/encryptionConfigs/default --enable-metastore-encryption
  • Ersetzen Sie ORG_ID durch die ID der Organisation, die den Schlüssel enthält.
  • Ersetzen Sie LOCATION durch den Standort der Organisation, die den Schlüssel enthält.

Wenn die Daten verschlüsselt sind, kann es zu einem Problem mit der Verfügbarkeit des Knowledge Catalog kommen.

Wenn Sie CMEK nach dem 7. November 2025 zum ersten Mal aktivieren, sind Knowledge Catalog Metastore und Search standardmäßig in der CMEK-Abdeckung enthalten.

Verschlüsselungsschlüssel schützen

Damit Sie weiterhin auf die mit CMEK verschlüsselten Daten zugreifen können, sollten Sie die folgenden Best Practices beachten:

  • Achten Sie darauf, dass Ihre CMEK-Schlüssel aktiviert und zugänglich bleiben. Wenn ein Schlüssel deaktiviert oder gelöscht wird, kann nicht mehr auf Knowledge Catalog-Daten zugegriffen werden. Wenn der Schlüssel länger als 30 Tage nicht verfügbar ist, werden die mit diesem Schlüssel verschlüsselten Daten automatisch gelöscht und können nicht wiederhergestellt werden.
  • Wenn der Cloud KMS-Schlüssel gelöscht wird und nicht wiederhergestellt werden kann, gehen alle zugehörigen Knowledge Catalog-Daten dauerhaft verloren.
  • Wenn Cloud KMS vorübergehend nicht verfügbar ist, unterstützt Knowledge Catalog weiterhin den vollständigen Betrieb nach dem Best-Effort-Prinzip für bis zu eine Stunde. Nach diesem Zeitraum sind die Daten als Schutzmaßnahme vorübergehend nicht mehr zugänglich.
  • Wenn Sie Cloud EKM verwenden, beachten Sie, dass Google die Verfügbarkeit Ihrer extern verwalteten Schlüssel nicht kontrolliert. Eine kurzfristige Nichtverfügbarkeit des Schlüssels führt zu einer vorübergehenden Nichtverfügbarkeit der Daten. Wenn ein Schlüssel 30 Tage lang nicht verfügbar ist, führt dies zu einem dauerhaften Datenverlust.

Verfügbarkeit von Knowledge Catalog

In den folgenden Abschnitten werden der Prozess und die erwarteten Auswirkungen auf den Betrieb beschrieben, wenn Sie CMEK für Ihre Knowledge Catalog-Organisation aktivieren.

Erste Infrastrukturbereitstellung

Nachdem Sie die Verschlüsselungskonfiguration gespeichert haben, richtet Knowledge Catalog die erforderliche Infrastruktur ein. Dieser Vorgang dauert in der Regel 6 bis 8 Stunden. Während dieser Bereitstellungsphase haben Sie weiterhin vollen Zugriff auf alle Knowledge Catalog-Funktionen und die Daten bleiben durch die von Google verwaltete Verschlüsselung verschlüsselt. Wenn die Organisationsrichtlinie constraints/gcp.restrictNonCmekServices festgelegt ist, schlagen Anfragen zur Ressourcenerstellung fehl, bis die Bereitstellungsphase abgeschlossen ist.

Datenverschlüsselung und API-Verfügbarkeit

Nach der Bereitstellung der Infrastruktur beginnt Knowledge Catalog mit der Verschlüsselung vorhandener Daten, die in der Organisation gespeichert sind. Um die Datenintegrität zu gewährleisten und potenzielle Inkonsistenzen während dieses Verschlüsselungsprozesses zu vermeiden, sind die Dataplex API-Methoden vorübergehend nicht verfügbar. Diese Einschränkung verhindert Datenaktualisierungsvorgänge. Wenn Sie CMEK für Knowledge Catalog zum ersten Mal aktivieren, werden alle vorhandenen Daten verschlüsselt. Dieser einmalige Vorgang dauert voraussichtlich bis zu zwei Stunden.

Vorgänge nach der Verschlüsselung

Nach erfolgreichem Abschluss der Verschlüsselung vorhandener Daten sind die Dataplex API-Methoden vollständig verfügbar. Beim Erstellen oder Ändern von Daten in Knowledge Catalog werden diese automatisch mit dem konfigurierten CMEK verschlüsselt, ohne dass es zu Betriebsunterbrechungen oder API-Einschränkungen kommt.

Schlüssel erstellen und CMEK aktivieren

In der folgenden Anleitung wird beschrieben, wie Sie einen Schlüssel erstellen und CMEK für Knowledge Catalog aktivieren. Sie können einen Schlüssel verwenden, der direkt in Cloud KMS erstellt wurde, oder einen extern verwalteten Schlüssel, den Sie mit Cloud EKM zur Verfügung stellen.

  1. Führen Sie im Google Cloud -Projekt, in dem Sie Ihre Schlüssel verwalten möchten, die folgenden Schritte aus:

    1. Cloud Key Management Service API aktivieren.

    2. Erstellen Sie einen Cloud KMS-Schlüsselbund an dem Standort, an dem Sie ihn verwenden möchten.

    3. Erstellen Sie einen Schlüssel mit einer der folgenden Optionen:

      Wenn Sie einen externen Schlüsselmanager (Cloud EKM) verwenden, müssen Sie dem Cloud KMS-Dienstkonto Zugriff auf Ihren Schlüssel im Partnersystem für die externe Schlüsselverwaltung gewähren. Wenn Sie über eine VPC eine Verbindung zu Ihrem externen Schlüsselmanager herstellen, müssen Sie dem Cloud EKM-Dienstkonto (service-KEY_PROJECT_NUMBER@gcp-sa-ekms.iam.gserviceaccount.com) auch die Rollen Service Directory-Betrachter (roles/servicedirectory.viewer) und Autorisierter Private Service Connect-Dienst (roles/servicedirectory.pscAuthorizedService) in Ihrem VPC-Projekt zuweisen. Weitere Informationen finden Sie unter EKM-Verbindung erstellen.

  2. Erstellen Sie das von Google verwaltete Dienstkonto und rufen Sie es auf:

    gcloud beta services identity create \
    --service=dataplex.googleapis.com \
    --organization=ORG_ID

    Ersetzen Sie ORG_ID durch die ID der Organisation, die den Schlüssel enthält.

    Wenn Sie aufgefordert werden, die Betakomponente der Google Cloud CLI zu installieren, geben Sie Y ein.

    Mit dem gcloud CLI-Befehl services identity wird das spezifische, von Google verwaltete Dienstkonto erstellt oder abgerufen, das Knowledge Catalog für den Zugriff auf den Cloud KMS-Schlüssel verwenden kann.

    Die Dienstkonto-ID hat das Format service-org-ORG_ID@gcp-sa-dataplex.iam.gserviceaccount.com. Außerdem wird ein CMEK-spezifisches Dienstkonto im Format service-org-ORG_ID@gcp-sa-dataplex-cmek.iam.gserviceaccount.com erstellt. Das CMEK-spezifische Dienstkonto wird zum Verschlüsseln und Entschlüsseln von Daten verwendet, die in Knowledge Catalog gespeichert sind. Wenn Sie VPC Service Controls für den Cloud KMS-Schlüssel verwenden, müssen Sie dem CMEK-spezifischen Dienstkonto Zugriff über eine Regel für eingehenden Traffic gewähren.

  3. Weisen Sie dem Knowledge Catalog-Dienstkonto die IAM-Rolle Cloud KMS CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) zu. Erteilen Sie diese Berechtigung für den von Ihnen erstellten Schlüssel.

    Wenn Sie einen externen Schlüsselmanager (Cloud EKM) verwenden, achten Sie darauf, dass Ihr externes Schlüsselmanagersystem dem Cloud KMS-Dienstkonto (service-KEY_PROJECT_NUMBER@gcp-sa-cloudkms.iam.gserviceaccount.com) ebenfalls Zugriffsberechtigungen gewährt.

    Console

    1. Rufen Sie die Seite Schlüsselverwaltung auf.

      Schlüsselverwaltung aufrufen

    2. Klicken Sie auf den Schlüsselbund.

    3. Klicken Sie in der Liste der verfügbaren Schlüssel auf den von Ihnen erstellten Schlüssel.

    4. Klicken Sie auf den Tab Berechtigungen.

    5. Klicken Sie auf Zugriff erlauben.

    6. Führen Sie im Bereich Zugriff gewähren die folgenden Schritte aus, um dem Knowledge Catalog-Dienstkonto Zugriff zu gewähren:

      1. Geben Sie unter Hauptkonten hinzufügen das Dienstkonto service-org-ORG_ID@gcp-sa-dataplex.iam.gserviceaccount.com ein.
      2. Wählen Sie unter Rollen zuweisen die Rolle Cloud KMS CryptoKey-Verschlüsseler/Entschlüsseler (roles/cloudkms.cryptoKeyEncrypterDecrypter) aus.
      3. Klicken Sie auf Speichern.

    gcloud

    Weisen Sie dem Dienstkonto die Rolle Cloud KMS CryptoKey-Verschlüsseler/Entschlüsseler (roles/cloudkms.cryptoKeyEncrypterDecrypter) zu:

    gcloud kms keys add-iam-policy-binding KEY_NAME \
    --location=LOCATION \
    --keyring KEY_RING \
    --project=KEY_PROJECT_ID \
    --member serviceAccount:service-org-ORG_ID@gcp-sa-dataplex.iam.gserviceaccount.com \
    --role roles/cloudkms.cryptoKeyEncrypterDecrypter

    Ersetzen Sie Folgendes:

    • KEY_NAME: der Schlüsselname
    • LOCATION: der Standort
    • KEY_RING: der Schlüsselbund
    • KEY_PROJECT_ID: die Projekt-ID

  4. Weisen Sie sich selbst die Rolle Dataplex Encryption Admin (roles/dataplex.encryptionAdmin) zu.

    Console

    Folgen Sie der Anleitung zum Zuweisen einer IAM-Rolle.

    gcloud 

    gcloud organizations add-iam-policy-binding ORG_ID \
    --member='user:USER_EMAIL' \
    --role='roles/dataplex.encryptionAdmin'

    Ersetzen Sie Folgendes:

    • ORG_ID: die ID der Organisation, die den Schlüssel enthält.
    • USER_EMAIL: die E-Mail-Adresse des Nutzers.

  5. Konfigurieren Sie Knowledge Catalog für die Verwendung Ihres CMEK-Schlüssels.

    Console

    1. Rufen Sie in der Google Cloud Console die Seite „Knowledge Catalog“ auf.

      Zu Knowledge Catalog

    2. Klicken Sie auf Einstellungen.

    3. Wählen Sie unter Region für CMEK auswählen eine Region aus. Die ausgewählte Region muss mit dem Standort des Cloud KMS-Schlüssels übereinstimmen.

    4. Wählen Sie unter Verschlüsselungsschlüssel auswählen den von Ihnen erstellten Schlüssel aus.

    5. Klicken Sie auf Speichern.

      Die Datenverschlüsselung dauert eine Weile. Wenn der Vorgang abgeschlossen ist, wird die folgende Meldung angezeigt: Data Encryption is complete. Your selected CMEK key is now protecting your data.

    gcloud

    1. Legen Sie die Verschlüsselungskonfiguration in Knowledge Catalog fest:

      gcloud dataplex encryption-config create default \
    --location=LOCATION \
    --organization=ORG_ID \
    --key=KEY_RESOURCE_ID

      Ersetzen Sie Folgendes:

      • ORG_ID: die ID der Organisation, die den Schlüssel enthält.
      • KEY_RESOURCE_ID: die Schlüsselressourcen-ID, z. B. projects/PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY_NAME. Ersetzen Sie PROJECT_ID durch die Schlüsselprojekt-ID.

    2. Prüfen Sie, ob der Verschlüsselungsvorgang abgeschlossen ist:

      gcloud dataplex encryption-config describe default \
    --location=LOCATION \
    --organization=ORG_ID

    Die Datenverschlüsselung dauert eine Weile. Wenn der Vorgang abgeschlossen ist, wird die folgende Meldung angezeigt: encryptionState: COMPLETED.

Logging und Monitoring

Auditieren Sie Knowledge Catalog-Anfragen an Cloud KMS, indem Sie das Audit-Logging für die Cloud Key Management Service API aktivieren.

CMEK-Organisationsrichtlinien

Google Cloud bietet Einschränkungen für Organisationsrichtlinien, um die CMEK-Nutzung zu erzwingen und die zulässigen Cloud KMS-Schlüssel in Ihrer Organisation zu steuern. Diese Einschränkungen tragen dazu bei, dass Daten in Knowledge Catalog konsistent durch CMEK geschützt werden.

  • constraints/gcp.restrictNonCmekServices erzwingt die obligatorische Verwendung von CMEK für Knowledge Catalog-Ressourcen.

    • Wenn Sie dataplex.googleapis.com zur Liste der Google Cloud -Dienstnamen hinzufügen und die Einschränkung auf Deny festlegen, wird das Erstellen von Knowledge Catalog-Ressourcen ohne CMEK-Schutz verhindert.

    • Wenn in den CMEK-Verschlüsselungseinstellungen kein Cloud KMS-Schlüssel für den angeforderten Standort angegeben ist, schlagen Anfragen zum Erstellen von Ressourcen in Knowledge Catalog fehl.

    • Diese Richtlinie wird auf der Ebene des einzelnen Ressourcenprojekts validiert.

  • constraints/gcp.restrictCmekCryptoKeyProjects beschränkt die Auswahl von Cloud KMS-Schlüsseln für CMEK auf bestimmte Ressourcenhierarchien.

    • Wenn Sie eine Liste von Ressourcenhierarchie-Indikatoren (Projekte, Ordner oder Organisationen) konfigurieren und die Einschränkung auf Allow setzen, ist Knowledge Catalog darauf beschränkt, CMEK-Schlüssel nur von den angegebenen Standorten zu verwenden.

    • Wenn ein Cloud KMS-Schlüssel aus einem nicht zulässigen Projekt bereitgestellt wird, schlagen Anfragen zum Erstellen von CMEK-geschützten Ressourcen in Knowledge Catalog fehl.

    • Diese Richtlinie wird bei der Ressourcenerstellung auf der Ebene des Ressourcenprojekts validiert.

    • Diese Richtlinie wird auf Organisationsebene validiert, wenn CMEK-Verschlüsselungseinstellungen konfiguriert werden.

    • Achten Sie darauf, dass Konfigurationen auf Projektebene mit organisationsweiten Richtlinien übereinstimmen, um Inkonsistenzen zu vermeiden.

Weitere Informationen zum Konfigurieren von Organisationsrichtlinien finden Sie unter CMEK-Organisationsrichtlinien.

CMEK-Berechtigungen für Knowledge Catalog-DataScans

Wenn Sie Datenprofil- oder Datenqualitätsscans für CMEK-verschlüsselte BigQuery-Ressourcen erstellen möchten, weisen Sie den Cloud KMS-Schlüssel, der das BigQuery-Dataset schützt, den Dienst-Agents von Knowledge Catalog und BigQuery zu. Weisen Sie ihnen die Rolle „Cloud KMS CryptoKey Encrypter/Decrypter“ (roles/cloudkms.cryptoKeyEncrypterDecrypter) zu.

Weisen Sie dem Knowledge Catalog-Dienst-Agent die Rolle roles/cloudkms.cryptoKeyEncrypterDecrypter zu:

gcloud kms keys add-iam-policy-binding KEY_NAME \
    --location=LOCATION \
    --keyring=KEYRING_NAME \
    --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-dataplex.iam.gserviceaccount.com" \
    --role="roles/cloudkms.cryptoKeyEncrypterDecrypter"

Weisen Sie dem BigQuery-Dienst-Agent die Rolle roles/cloudkms.cryptoKeyEncrypterDecrypter zu:

gcloud kms keys add-iam-policy-binding KEY_NAME \
    --location=LOCATION \
    --keyring=KEYRING_NAME \
    --member="serviceAccount:bq-PROJECT_NUMBER@bigquery-encryption.iam.gserviceaccount.com" \
    --role="roles/cloudkms.cryptoKeyEncrypterDecrypter"

Ersetzen Sie Folgendes:

  • KEY_NAME: der Name des Cloud KMS-Schlüssels, der das BigQuery-Dataset schützt.
  • LOCATION: der Speicherort des Schlüsselbunds
  • KEYRING_NAME: Der Name des Schlüsselbunds.
  • PROJECT_NUMBER: Ihre Google Cloud Projektnummer

Nächste Schritte