Sicherheit, Datenschutz, Risiko und Compliance für Spanner

Dieses Dokument bietet einen Überblick über verschiedene Kontrollen, die die Sicherheit von Spanner auf Google Cloud unterstützen, und enthält Links zu weiteren Informationen zum Konfigurieren der Kontrollen. Mit Sicherheitskontrollen wie Optionen für die Netzwerksicherheit, Richtlinien und Zugriffsverwaltung können Sie Geschäftsrisiken minimieren und die Datenschutz- und regulatorischen Anforderungen erfüllen, die für Ihr Unternehmen gelten.

Sicherheit, Datenschutz, Risiken und Compliance für Spanner basieren auf einem Modell der geteilten Verantwortung. Google schützt beispielsweise die Infrastruktur, auf der Spanner und andere Google Cloud Dienste ausgeführt werden, und bietet Ihnen die Funktionen, mit denen Sie den Zugriff auf Ihre Dienste und Ressourcen verwalten können. Weitere Informationen dazu, wie wir die Infrastruktur schützen, finden Sie in der Übersicht zum Sicherheitsdesign der Google-Infrastruktur.

Bereitgestellte Dienste

Wenn Sie Spanner verwenden, aktivieren Sie die folgenden APIs:

Weitere Informationen finden Sie unter Schnellstart: Datenbank in Spanner mit der Google Cloud Console erstellen und abfragen.

Authentifizierung für die Google Cloud Verwaltung

Administratoren und Entwickler, die Spanner-Instanzen erstellen und verwalten, müssen sich beiauthentifizieren, um ihre Identität und Zugriffsrechte zu bestätigen. Google Cloud Sie müssen für jeden Nutzer ein Nutzer Konto einrichten, das verwaltet wird von Cloud Identity, Google Workspace oder einem Identitätsanbieter, den Sie verknüpft haben mit Cloud Identity oder Google Workspace. Weitere Informationen finden Sie unter Übersicht zur Identitätsverwaltung von Google.

Nachdem Sie die Nutzerkonten erstellt haben, implementieren Sie Best Practices für die Sicherheit wie Single Sign-On und die 2-Faktor-Authentifizierung.

Authentifizierung für den Google Cloud Ressourcenzugriff

Mit der Mitarbeiteridentitätsföderation können Sie Ihren externen Identitätsanbieter (Identity Provider, IdP) verwenden, um Ihre Mitarbeiter zu authentifizieren, damit sie auf Ressourcen zugreifen können. Google Cloud Verwenden Sie die Mitarbeiteridentitätsföderation, wenn Nutzer programmatischen Zugriff auf Ihre Google Cloud Ressourcen benötigen und Sie die Anmeldedaten Ihrer Nutzer in IdPs speichern, die OpenID Connect (OIDC) oder Security Assertion Markup Language (SAML) unterstützen.

Mit der Identitätsföderation von Arbeitslasten können Sie Ihren externen IdP verwenden, um Ihren lokalen oder Multi-Cloud-Arbeitslasten Zugriff auf Google Cloud Ressourcen zu gewähren, ohne einen Dienstkontoschlüssel zu verwenden. Sie können die Identitätsföderation mit IdPs wie Amazon Web Services (AWS), Microsoft Entra ID, GitHub oder Okta verwenden.

Weitere Informationen zur Unterstützung der Identitätsföderation durch Spanner, finden Sie unter Unterstützte Dienste für die föderierte Identität.

Weitere Informationen zur Authentifizierung in Google Cloudfinden Sie unter Authentifizierung.

Identity and Access Management

Wenn Sie Identity and Access Management (IAM)-Rollen für Ihre Administratoren und Entwickler im großen Maßstab verwalten möchten, sollten Sie separate Funktionsgruppen für die verschiedenen Nutzerrollen und Anwendungen erstellen. Gewähren Sie Ihren Gruppen die IAM-Rollen oder ‑Berechtigungen, die zum Verwalten von Spanner erforderlich sind. Wenn Sie Ihren Gruppen Rollen zuweisen, folgen Sie dem Prinzip der geringsten Berechtigung und anderen Best Practices für die IAM-Sicherheit. Weitere Informationen finden Sie unter Best Practices für die Verwendung von Google Groups.

Weitere Informationen zum Einrichten von IAM finden Sie unter IAM-Übersicht.

Spanner unterstützt die detaillierte Zugriffssteuerung von IAM, mit der Sie IAM-Prinzipale verwenden können, um den Zugriff auf Spanner-Datenbanken, ‑Tabellen, ‑Spalten und ‑Ansichten zu steuern. Weitere Informationen finden Sie unter Detaillierte Zugriffssteuerung.

Spanner-Dienstkonten

Wenn Sie Spanner aktivieren, erstellt Google Dienstkonten für Sie. Ein Dienstkonto ist ein spezielles nicht interaktives Google-Konto, das in der Regel von einer Anwendung oder einer Compute-Arbeitslast wie einer Compute Engine-Instanz und nicht von einer Person verwendet wird. Anwendungen verwenden Dienstkonten, um Zugriff auf Google APIs zu erhalten.

Dienst-Agents

Damit Spanner in Ihrem Namen auf Ihre Ressourcen zugreifen kann, erstellt Google Cloud ein spezielles Dienstkonto, das als Dienst-Agent bezeichnet wird.

Wenn Sie Spanner aktivieren, wird der folgende Spanner-Dienst-Agent erstellt:

service-PROJECT_ID@gcp-sa-spanner.iam.gserviceaccount.com

Richtlinien für Spanner

Die vordefinierten Organisationsrichtlinien, die für Spanner gelten, umfassen Folgendes:

  • Erstellung von Instanzen beschränken, die Spanner-Versionen verwenden (constraints/spanner.managed.restrictCloudSpannerEditions)

Weitere Informationen zu Richtlinien finden Sie unter Use Organisationsrichtlinien für Spanner verwenden.

Sie können benutzerdefinierte Organisationsrichtlinien verwenden, um Einschränkungen für Spanner auf Projekt-, Ordner- oder Organisationsebene zu konfigurieren. Weitere Informationen finden Sie unter Benutzerdefinierte Einschränkungen erstellen und verwalten.

Netzwerksicherheit

Standardmäßig wendet Google Standardschutzmaßnahmen für Daten bei der Übertragung für alle Google Cloud Dienste vonan, einschließlich Spanner Instanzen, die aufausgeführt werden Google Cloud. Weitere Informationen zu Standardschutzmaßnahmen für das Netzwerk finden Sie unter Verschlüsselung bei der Übertragung.

Wenn dies von Ihrer Organisation gefordert wird, können Sie zusätzliche Sicherheitskontrollen konfigurieren, um den Traffic im Google Cloud Netzwerk und den Traffic zwischen dem Google Cloud Netzwerk und Ihrem Unternehmensnetzwerk weiter zu schützen. Berücksichtigen Sie das Folgende:

  • Spanner unterstützt VPC Service Controls. Mit VPC Service Controls können Sie die Übertragung von Daten in Google Diensten steuern und eine kontextbasierte Perimetersicherheit einrichten.
  • In Google Cloudist die gemeinsam genutzte VPC die empfohlene Netzwerktopologie. Eine freigegebene VPC bietet eine zentralisierte Verwaltung der Netzwerk konfiguration bei gleichzeitiger Trennung der Umgebungen.
  • Verwenden Sie Cloud VPN oder Cloud Interconnect, um die Sicherheit und Zuverlässigkeit der Verbindung zwischen Ihrem Unternehmensnetzwerk und Google Cloudzu optimieren. Weitere Informationen finden Sie unter Produkt für Network Connectivity auswählen.

Weitere Informationen zu Best Practices für die Netzwerksicherheit finden Sie unter Zero Trust implementieren und Netzwerkdesign für Ihre Google Cloud Landing Zone festlegen.

Anwendungsverbindung

Sie können die Verbindung zwischen Anwendungen und Spanner mit den folgenden Methoden sichern:

  • Serverloser VPC-Zugriff, um Spanner direkt mit Cloud Run zu verbinden.
  • Private Service Connect, um eine Verbindung zu einer verwalteten Anwendung in einer anderen VPC aufherzustellen, indem Sie die private IP-Adresse von Spanner verwenden. Google Cloud Mit dieser Methode bleibt der Traffic in Google Cloud.

Weitere Informationen zu Optionen zum Einrichten von Verbindungen zu Diensten ohne externe IP-Adresse finden Sie unter Optionen für den privaten Zugriff auf Dienste.

Clientauthentifizierung

Spanner bietet die folgenden Authentifizierungsmethoden für Clients:

Datenschutz und Privatsphäre

Spanner verschlüsselt Ihre in Google Cloud gespeicherten Daten mit der Standardverschlüsselung. Beispieldaten:

  • Tabellen- und Spaltennamen
  • Indexnamen
  • Datenbankschema
  • In Tabellen gespeicherte Daten

Auf diese Daten kann nur über Spanner-Instanzen zugegriffen werden.

Sie können kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK) aktivieren, um Ihre ruhenden Daten zu verschlüsseln. Mit CMEK werden Schlüssel in Cloud Key Management Service (Cloud KMS) als softwaregeschützte oder hardwaregeschützte Schlüssel mit Cloud HSM gespeichert, aber von Ihnen verwaltet. Wenn Sie Verschlüsselungsschlüssel automatisch bereitstellen möchten, können Sie Cloud KMS Autokey aktivieren. Wenn Sie Autokey aktivieren, kann ein Entwickler einen Schlüssel von Cloud KMS anfordern und der Dienst-Agent stellt einen Schlüssel bereit, der der Absicht des Entwicklers entspricht. Mit Cloud KMS Autokey sind Schlüssel bei Bedarf verfügbar, konsistent und entsprechen den Branchenstandards.

Außerdem unterstützt Spanner Cloud External Key Manager (Cloud EKM), mit dem Sie Ihre Schlüssel in einem externen Schlüsselverwaltungssystem außerhalb von Google Cloudspeichern können. Weitere Informationen finden Sie unter Übersicht zu kundenverwalteten Verschlüsselungsschlüsseln (CMEK).

Wo Daten verarbeitet werden

Spanner unterstützt den Datenstandort für Daten, die aufgespeichert werden Google Cloud. Mit dem Datenstandort können Sie die Regionen auswählen, in denen Ihre Daten gespeichert werden sollen, indem Sie die Richtlinieneinschränkung für den Ressourcenstandort verwenden. Mit Cloud Asset Inventory können Sie den Standort von Spanner-Ressourcen überprüfen.

Wenn Sie einen Datenstandort für Daten in Verwendung benötigen, können Sie Assured Workloads konfigurieren. Weitere Informationen finden Sie unter Assured Workloads und Daten residenz.

Datenschutz

Zum Schutz der Privatsphäre Ihrer Daten entspricht Spanner den allgemeinen Datenschutz grundsätzen.

Spanner fungiert als Datenauftragsverarbeiter für Kundendaten. Google fungiert außerdem als Datenverantwortlicher für Informationen wie Abrechnung und Kontoverwaltung und Missbrauchserkennung. Weitere Informationen finden Sie in den Google Cloud Datenschutzhinweisen.

Audit-Logging

Spanner schreibt die folgenden Arten von Audit-Logs:

  • Audit-Logs zu Administratoraktivitäten: Umfassen ADMIN WRITE Vorgänge, die Metadaten oder Konfigurationsinformationen schreiben.

  • Audit-Logs zum Datenzugriff: Umfassen ADMIN READ Vorgänge, die Metadaten oder Konfigurationsinformationen lesen. Außerdem DATA READ und DATA WRITE Vorgänge, die von Nutzern bereitgestellte Daten lesen oder schreiben.

  • Audit-Logs zu Systemereignissen: Identifizieren automatisierte Google Cloud Aktionen, die die Konfiguration von Ressourcen ändern.

Weitere Informationen finden Sie unter Audit-Logging.

Access Transparency

Mit der Zugriffsgenehmigung und Access Transparency können Sie den Zugriff auf Spanner-Instanzen durch Google-Mitarbeiter steuern, die den Dienst unterstützen. Mit der Zugriffsgenehmigung können Sie Zugriffsanfragen von Google Mitarbeitern bestätigen oder ablehnen. Access Transparency-Logs bieten nahezu in Echtzeit Einblicke, wenn Google CloudAdministratoren auf die Ressourcen zugreifen.

Monitoring und Incident Response

Sie können verschiedene Tools verwenden, um die Leistung und Sicherheit von Spanner zu überwachen. Berücksichtigen Sie Folgendes:

  • Log-Explorer zum Aufrufen und Analysieren von Ereignislogs sowie zum Erstellen benutzerdefinierter Messwerte und Benachrichtigungen.
  • Verwenden Sie das Cloud Monitoring-Dashboard, um die Leistung von Spanner zu überwachen. Weitere Informationen finden Sie unter Spanner überwachen.
  • Stellen Sie Cloud-Kontrollen und ‑Frameworks in Security Command Center bereit, um Sicherheitslücken und Bedrohungen für Spanner zu erkennen (z. B. Berechtigungseskalationen). Sie können Benachrichtigungen und Playbooks für die Analysten Ihres Sicherheitscenters einrichten, damit sie auf Ergebnisse reagieren können.

Zertifizierungen und Compliance

Die Einhaltung Ihrer regulatorischen Anforderungen ist eine gemeinsame Verantwortung von Ihnen und Google.

Spanner hat eine Vielzahl von Zertifizierungen erhalten, darunter:

  • ISO 27001
  • SOC 2
  • HIPAA

Weitere Informationen zur Google Cloud Compliance mit verschiedenen regulatorischen Frameworks und Zertifizierungen finden Sie im Center für Compliance-Ressourcen.

Spanner unterstützt auch Assured Workloads, mit dem Sie Kontrollen auf bestimmte Ordner in Ihrer Google-Organisation anwenden können, die regulatorische, regionale oder souverente Anforderungen erfüllen. Weitere Informationen finden Sie unter Unterstützte Produkte nach Kontrollpaket.

Nächste Schritte