CMEK für Security Command Center aktivieren

Security Command Center verschlüsselt ruhende Kundeninhalte standardmäßig. Die Verschlüsselung wird von Security Command Center übernommen. Weitere Maßnahmen Ihrerseits sind nicht erforderlich. Diese Option heißt Google-Standardverschlüsselung.

Wenn Sie Ihre Verschlüsselungsschlüssel selbst verwalten möchten, können Sie kundenverwaltete Verschlüsselungsschlüssel (CMEKs) in Cloud KMS mit CMEK-integrierten Diensten wie Security Command Center verwenden. Mit Cloud KMS-Schlüsseln haben Sie die Kontrolle über Schutzlevel, Speicherort, Rotationszeitplan, Nutzungs- und Zugriffsberechtigungen sowie über kryptografische Grenzen. Mit Cloud KMS können Sie außerdem die Schlüsselnutzung verfolgen, Audit-Logs aufrufen und den Lebenszyklus von Schlüsseln steuern. Statt es Google zu überlassen, die symmetrischen Schlüsselverschlüsselungsschlüssel (Key Encryption Keys, KEKs) zum Schutz Ihrer Daten zu besitzen und zu verwalten, können Sie diese auch über Cloud KMS steuern und verwalten.

Nachdem Sie Ihre Ressourcen mit CMEKs eingerichtet haben, ähnelt der Zugriff auf Ihre Security Command Center-Ressourcen der Verwendung der Google-Standardverschlüsselung. Weitere Informationen zu Ihren Verschlüsselungsoptionen finden Sie unter Kundenverwaltete Verschlüsselungsschlüssel (CMEK).

Um die Aufgabentrennung zu verbessern und den Zugriff auf Schlüssel besser zu kontrollieren, empfehlen wir, Schlüssel in einem dedizierten Projekt ohne andere Google Cloud Ressourcen zu verwalten.

Sie können Security Command Center so konfigurieren, dass kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK) mit Cloud Key Management Service-Schlüsseln verwendet werden, wenn Sie Security Command Center für die Organisation aktivieren. Sie können die Konfiguration auch ändern, nachdem Security Command Center aktiviert wurde.

Sie können CMEK nicht mit Security Command Center-Aktivierungen auf Projektebene aktivieren.

Weitere Informationen zum Aktivieren von Security Command Center und zum Ändern der Konfiguration finden Sie unter:

Mit Einschränkungen für Organisationsrichtlinien können Sie eine erforderliche Verschlüsselungskonfiguration erzwingen. Informationen zur Verwendung von CMEK-Organisationsrichtlinieneinschränkungen und Security Command Center finden Sie auf dieser Seite unter CMEK-Organisationsrichtlinieneinschränkungen.

Warnung: Wenn Sie den CMEK nach der Aktivierung deaktivieren, den Zugriff darauf widerrufen oder ihn löschen, funktioniert Security Command Center nicht mehr und Sie können Ihre Security Command Center-Daten verlieren. Das Löschen einer Schlüsselversion ist ein unwiderruflicher Vorgang, der zu einem nicht wiederherstellbaren Datenverlust führt.

Unterstützte Ressourcentypen

Sie können CMEK verwenden, um Daten für die folgenden Security Command Center-Ressourcentypen zu verschlüsseln:

  • Ergebnisse
  • Benachrichtigungskonfigurationen
  • BigQuery-Exporte
  • Konfigurationen für Ausblendungen

Datenverschlüsselung neu konfigurieren

Nachdem Sie Security Command Center aktiviert haben, können Sie die Konfiguration der Datenverschlüsselung zwischen Cloud KMS-Schlüsseln und Google-owned and Google-managed encryption keysändern.

Warnung: Wenn Sie den CMEK nach der Aktivierung deaktivieren, den Zugriff darauf widerrufen oder ihn löschen, funktioniert Security Command Center nicht mehr und Sie können Ihre Security Command Center-Daten verlieren. Das Löschen einer Schlüsselversion ist ein unwiderruflicher Vorgang, der zu einem nicht wiederherstellbaren Datenverlust führt.

Sie können den CMEK-Schlüssel rotieren. Dadurch wird die neue Schlüsselversion in Security Command Center verwendet. Einige Security Command Center-Funktionen verwenden den alten Schlüssel jedoch noch 30 Tage lang.

Hinweis

Im folgenden Abschnitt werden die Schritte beschrieben, die Sie vor dem Ändern der Konfiguration ausführen müssen.

Schlüsselstandort ermitteln

Wenn Sie einen Cloud KMS-Schlüssel und -Schlüsselbund für Security Command Center erstellen, müssen Sie einen Standort verwenden, der Ihrem Security Command Center-Standort entspricht.

Wenn Sie nicht vorhaben, den Datenstandort für Security Command Center zu aktivieren, erstellen Sie Ihren Cloud KMS-Schlüssel und -Schlüsselbund am Standort us.

Wenn Sie den Datenstandort aktivieren möchten, wählen Sie den Cloud KMS-Standort aus, der Ihrem Security Command Center-Standort entspricht:

Security Command Center-Standort Cloud KMS-Schlüsselstandort
eu europe
sa me-central2
us us

Einschränkungen für Organisationsrichtlinien für CMEK definieren

Wenn Sie die Verwendung von CMEK für Security Command Center erzwingen möchten, können Sie die folgenden Einschränkungen für Organisationsrichtlinien auf Organisations-, Ordner- oder Projektebene erzwingen:

  • constraints/gcp.restrictNonCmekServices: Erfordert die Verwendung von CMEK. Wenn Sie constraints/gcp.restrictNonCmekServices für eine Organisation erzwingen und Security Command Center als eingeschränkten Dienst aufgeführt haben, der für die Verwendung von CMEK erforderlich ist, müssen Sie CMEK aktivieren, wenn Sie Security Command Center aktivieren.

  • constraints/gcp.restrictCmekCryptoKeyProjects: Der Cloud KMS-Schlüssel für Security Command Center muss aus einem bestimmten Projekt oder einer bestimmten Gruppe von Projekten stammen.

Wenn Sie beide Einschränkungen für die Organisation erzwingen, in der Sie Security Command Center aktivieren, müssen Sie CMEK für Security Command Center aktivieren und der CMEK-Schlüssel muss sich in einem bestimmten Projekt befinden.

Informationen dazu, wie Organisationsrichtlinien in derGoogle Cloud -Ressourcenhierarchie (Organisationen, Ordner und Projekte) ausgewertet werden, finden Sie unter Informationen zur Bewertung der Hierarchie.

Allgemeine Informationen zur Verwendung von CMEK-Organisationsrichtlinien finden Sie unter CMEK-Organisationsrichtlinien.

Cloud Key Management Service-Schlüssel konfigurieren

Bevor Sie Security Command Center für die Verwendung von CMEK konfigurieren, führen Sie die folgenden Schritte aus:

  1. Installieren Sie die Google Cloud CLI und initialisieren Sie sie:

      Installieren Sie die Google Cloud CLI. Initialisieren Sie die Google Cloud CLI nach der Installation mit dem folgenden Befehl: 

      gcloud init

      Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, müssen Sie sich zuerst mit Ihrer föderierten Identität in der gcloud CLI anmelden.

  2. Erstellen Sie ein Google Cloud Projekt, in dem Cloud KMS aktiviert ist. Dies ist Ihr Schlüsselprojekt.

  3. Erstellen Sie einen Schlüsselbund am richtigen Ort. Der Ort des Schlüsselbunds muss dem Ort entsprechen, an dem Sie Security Command Center aktivieren möchten.

    Den richtigen Ort finden Sie auf dieser Seite unter Schlüsselposition. Informationen zum Erstellen eines Schlüsselbunds finden Sie unter Schlüsselbund erstellen.

  4. Erstellen Sie einen Cloud KMS-Schlüssel im Schlüsselbund. Eine Anleitung finden Sie unter Schlüssel erstellen.

Datenverschlüsselung für Security Command Center konfigurieren

Sie können die Datenverschlüsselung konfigurieren, wenn Sie die Standard-Dienststufe oder die Premium-Dienststufe von Security Command Center für eine Organisation aktivieren.

Sie können die Konfiguration der Datenverschlüsselung in den Versionen Standard und Premium ändern, nachdem Sie Security Command Center aktiviert haben. Weitere Informationen finden Sie unter Konfiguration für Datenstandort oder Datenverschlüsselung ändern.

Nachdem Sie CMEK konfiguriert haben, verschlüsselt Security Command Center Daten mit dem von Ihnen ausgewählten Cloud KMS-Schlüssel.

Fehlerbehebung bei CMEK

In den folgenden Abschnitten finden Sie Informationen zur Behebung von Problemen, die bei Ressourcentypen, die CMEK unterstützen, auftreten können.

Zugriff des Dienst-Agents auf Schlüssel wiederherstellen

Wenn CMEK aktiviert ist, muss der Cloud Security Command Center-Dienst-Agent Zugriff auf Ihren Cloud KMS-Schlüssel haben. Wenn dieser Dienst-Agent nicht die erforderliche IAM-Rolle für Ihren Schlüssel hat, funktionieren einige Funktionen von Security Command Center nicht richtig.

Um festzustellen, ob dieses Problem bei Ihnen auftritt, sehen Sie sich die Liste der Hauptkonten an, die Zugriff auf Ihren Schlüssel haben. Wenn der Dienst-Agent richtig konfiguriert ist, enthält die Liste ein Hauptkonto mit der Kennung service-org-ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com und der Rolle „Cloud KMS CryptoKey Encrypter/Decrypter“ (roles/cloudkms.cryptoKeyEncrypterDecrypter).

Wenn Sie diesen Prinzipal und diese Rolle nicht sehen, gewähren Sie dem Dienst-Agent die erforderliche Rolle für Ihren Schlüssel:

gcloud kms keys add-iam-policy-binding KEY_NAME \
    --keyring KEY_RING \
    --location LOCATION \
    --member=serviceAccount:service-org-ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com \
    --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

Ersetzen Sie Folgendes:

  • KEY_RING: der Schlüsselbund für Ihren Cloud KMS-Schlüssel
  • LOCATION: der Speicherort Ihres Cloud KMS-Schlüssels
  • KEY_NAME: der Name Ihres Cloud KMS-Schlüssels
  • ORGANIZATION_NUMBER: Ihre Organisationsnummer

Schlüssel wiederherstellen, die deaktiviert oder zum Löschen geplant sind

Wenn ein Cloud KMS-Schlüssel oder eine Schlüsselversion deaktiviert ist, können Sie eine Schlüsselversion aktivieren.

Wenn ein Cloud KMS-Schlüssel zum Löschen geplant ist, können Sie eine Schlüsselversion wiederherstellen. Nachdem ein Schlüssel zerstört wurde, können Sie ihn nicht mehr wiederherstellen und haben keinen Zugriff mehr auf Ressourcen in Security Command Center, die CMEK unterstützen.

Fehler beim Erstellen geschützter Ressourcen beheben

Wenn Sie Google-owned and Google-managed encryption keys auswählen, wenn Sie Security Command Center aktivieren, und dann eine CMEK-Einschränkung der Organisationsrichtlinie in dieser Organisation erzwingen, können Sie keine neuen Ressourcen erstellen, die CMEK unterstützen.

Wenn Sie diese Ressourcen nicht erstellen können, prüfen Sie, ob für Ihre Organisation oder für Projekte oder Ordner in dieser Organisation eine CMEK-Organisationsrichtlinieneinschränkung erzwungen wird. Weitere Informationen finden Sie auf dieser Seite unter Einschränkungen für CMEK-Organisationsrichtlinien.

Kontingente und Preise

Wenn Sie CMEK in Security Command Center verwenden, können Ihre Projekte Kontingente für kryptografische Cloud KMS-Anfragen verbrauchen. Für CMEK-verschlüsselte Instanzen werden Kontingente verwendet, wenn Daten in Security Command Center gelesen oder geschrieben werden. Ver- und Entschlüsselungsvorgänge über CMEK-Schlüssel wirken sich nur dann auf Cloud KMS-Kontingente aus, wenn Sie Hardware- (Cloud HSM) oder externe Schlüssel (Cloud EKM) verwenden. Weitere Informationen finden Sie unter Cloud KMS-Kontingente.

Außerdem fallen Cloud KMS-Gebühren an, wenn Security Command Center Ihren CMEK zum Ver- oder Entschlüsseln von Daten verwendet. Weitere Informationen finden Sie unter Cloud KMS-Preise.