Unterstützung für CMEKs

Google Cloud Observability verschlüsselt inaktive Kundendaten standardmäßig. Die Verschlüsselung wird von Google Cloud Observability übernommen. Weitere Maßnahmen Ihrerseits sind nicht erforderlich. Diese Option heißt Google-Standardverschlüsselung.

Wenn Sie Ihre Verschlüsselungsschlüssel selbst verwalten möchten, können Sie vom Kunden verwaltete Verschlüsselungsschlüssel (CMEKs, Customer-Managed Encryption Keys) in Cloud KMS mit CMEK-integrierten Diensten wie Google Cloud Observability verwenden. Mit Cloud KMS-Schlüsseln haben Sie die Kontrolle über Schutz level, Speicherort, Rotationszeitplan, Nutzungs- und Zugriffsberechtigungen sowie über kryptografische Grenzen. Mit Cloud KMS können Sie außerdem Audit-Logs aufrufen und den Lebenszyklus von Schlüsseln steuern. Statt es Google zu überlassen, die symmetrischen Schlüsselverschlüsselungsschlüssel (Key Encryption Keys, KEKs) zum Schutz Ihrer Daten zu besitzen und zu verwalten, können Sie diese auch über Cloud KMS steuern und verwalten.

Nachdem Sie Ihre Ressourcen mit CMEKs eingerichtet haben, ähnelt der Zugriff auf Ihre Google Cloud Observability-Ressourcen der Verwendung der Google-Standardverschlüsselung. Weitere Informationen zu Ihren Verschlüsselung soptionen finden Sie unter Kundenverwaltete Verschlüsselungsschlüssel (CMEK).

Google Cloud Observability kann vom Kunden verwaltete Verschlüsselungsschlüssel (CMEKs) verwenden, um Daten zu verschlüsseln, die in Observability-Datasets gespeichert sind. In diesen Datasets werden Ihre Tracedaten gespeichert. In diesem Dokument werden die unterstützten Organisationsrichtlinien aufgeführt, Standardeinstellungen für Observability-Buckets vorgestellt und beschrieben, wie Organisationsrichtlinien und Standardeinstellungen interagieren.

Dieses Dokument gilt nicht für Cloud Logging, das Daten, die in Log-Buckets gespeichert sind, mit CMEKs verschlüsseln kann. Weitere Informationen finden Sie unter CMEKs für Cloud Logging konfigurieren.

Unterstützte Einschränkungen für Organisationsrichtlinien

Wenn Sie steuern möchten, wo Ihre Observability-Buckets erstellt werden und wer die Verschlüsselungsschlüssel für diese Buckets verwaltet, können Sie die folgenden Organisationsrichtlinien konfigurieren:

  • Eine Richtlinie mit der Einschränkungs-ID constraints/gcp.resourceLocations. Diese Richtlinie definiert die Standorte an denen neue Ressourcen erstellt werden können. Wenn Sie Observability-Buckets verwenden möchten, muss diese Gruppe von Standorten mindestens einen unterstützten Standort für Observability-Buckets enthalten.

  • Eine Deny-Richtlinie mit der Einschränkungs-ID constraints/gcp.restrictNonCmekServices. Diese Richtlinie erfordert, dass neue Ressourcen mit CMEKs verschlüsselt werden.

  • Eine Richtlinie mit der Einschränkungs-ID constraints/gcp.restrictCmekCryptoKeyProjects. Diese Richtlinie beschränkt die Cloud Key Management Service-Schlüssel, die für die Verschlüsselung verwendet werden.

Sie können Organisationsrichtlinien erstellen, die auf Organisations-, Ordner- oder Projektebene angewendet werden. Weitere Informationen finden Sie unter Richtlinien erstellen und bearbeiten.

Standardeinstellungen für Observability-Buckets

Google Cloud Observability bietet Standardeinstellungen für Observability-Buckets, die auf ein Projekt, einen Ordner oder eine Organisation angewendet werden. Diese Standardeinstellungen funktionieren zusammen mit Ihren Organisationsrichtlinien, um sicherzustellen, dass sich neue Observability-Buckets am gewünschten Standort befinden und das von Ihnen angegebene Verschlüsselungsmodell verwenden.

Für Organisationen, Ordner und Projekte können Sie mit den Standardeinstellungen für Observability-Buckets Folgendes konfigurieren:

  • Einen Standardspeicherort.
  • Für jeden Standort einen Standard-Cloud Key Management Service-Schlüssel.

Es gibt zwei verschiedene Möglichkeiten, wie das System Standardeinstellungen verwendet:

  • Wenn das System automatisch einen Observability-Bucket erstellt, werden mit den Standardeinstellungen der Standort und der Verschlüsselungsschlüssel des Buckets festgelegt. Wenn Sie keine Standardeinstellungen definiert haben, wählt das System den Standort aus und der Bucket verwendet die Google-Standardverschlüsselung.

  • Wenn Sie die Erstellung eines Observability-Buckets durch eine API-Anfrage initiieren, geben Sie den Standort an. Das System verwendet jedoch automatisch den Cloud KMS-Schlüssel, der durch die Standardeinstellungen definiert ist, um die Daten zu verschlüsseln, es sei denn, die Argumente der API-Anfrage geben den Schlüssel an.

Da das übergeordnete Element eines Observability-Buckets immer ein Projekt ist, sucht das System beim Erstellen eines Buckets zuerst nach Standardeinstellungen auf Projektebene. Wenn diese nicht vorhanden sind, sucht das System in den Vorfahren des übergeordneten Elements nach Standardeinstellungen. Wenn Sie beispielsweise Standardeinstellungen für einen Ordner definieren, gelten diese Einstellungen für alle Nachfolger des Ordners, mit Ausnahme der Nachfolger, für die Standardeinstellungen konfiguriert sind.

Weitere Informationen finden Sie unter Standardeinstellungen für Observability-Buckets festlegen.

Interaktion von Organisationsrichtlinien und Standardeinstellungen

Das übergeordnete Element eines Observability-Buckets muss ein Projekt sein. Das System kann also keinen Observability-Bucket in einem Ordner oder in einer Organisation erstellen. Wenn Sie jedoch Standardeinstellungen für Observability-Buckets für eine Organisation oder einen Ordner konfigurieren, gelten diese Standardeinstellungen für alle Projekte, die Nachfolger dieser Organisation oder dieses Ordners sind.

In der folgenden Tabelle sind die Regeln aufgeführt, mit denen das System den Standort eines neuen Observability-Buckets bestimmt:

Organisationsrichtlinie verwenden,
um den Standort einzuschränken		 Projekt (oder Vorfahre) hat einen
Standardspeicherort		 So bestimmt das System den Standort für einen neuen Observability-Bucket
Nein Nein

Das System wählt den Standort aus den unterstützten Standorten für Observability-Buckets aus.
Ja Nein

Das System wählt den Standort aus der Schnittmenge der Standorte aus, die von den Organisationsrichtlinien zugelassen werden und die von Observability-Buckets unterstützt werden.

Wenn die Schnittmenge leer ist, erstellt das System den Observability-Bucket nicht.
Nein Ja

Das System legt den Standort auf den Standardspeicherort fest, der in den Standardeinstellungen des Projekts definiert ist. Wenn für das Projekt kein Standardspeicherort definiert ist, verwendet das System den Standardspeicherort, der für einen Vorfahren definiert ist.
Ja Ja

Das System legt den Standort auf den Standardspeicherort fest, der in den Standardeinstellungen des Projekts definiert ist. Wenn für das Projekt kein Standardspeicherort definiert ist, verwendet das System den Standardspeicherort des Vorfahren.

Wenn der Standardspeicherort gemäß den Organisationsrichtlinien nicht zulässig ist, erstellt das System den Observability-Bucket nicht.

In der folgenden Tabelle sind die Regeln aufgeführt, mit denen das System bestimmt, ob ein neuer Observability-Bucket CMEKs verwendet und wenn ja, den Wert des Cloud KMS-Schlüssels. Um einen Observability-Bucket zu verschlüsseln, muss sich ein Cloud KMS-Schlüssel am Standort des Buckets befinden und gemäß den Organisationsrichtlinien zulässig sein. Wenn Sie keine Organisationsrichtlinie mit der Einschränkung gcp.restrictCmekCryptoKeyProjects angeben, sind alle Schlüssel zulässig:

Organisationsrichtlinie verwenden
, um CMEKs zu erzwingen		 Projekt (oder Vorfahre) hat einen
Standard-Cloud KMS-Schlüssel		 So bestimmt das System, welcher Cloud KMS-Schlüssel verwendet wird.
Nein Nein

Der Observability-Bucket verwendet keine CMEKs.
Ja Nein

Das System erstellt keine neuen Observability-Buckets , da die Organisationsrichtlinie CMEKs erfordert, aber kein Standard-Cloud KMS-Schlüssel definiert ist.
Nein Ja

Um einen Schlüssel für die Verschlüsselung zu identifizieren, bestimmt das System zuerst, ob ein Standardspeicherort für das Projekt oder einen seiner Vorfahren festgelegt ist. Wenn nicht, wählt das System einen Standort aus und erstellt den Observability-Bucket. Der Bucket verwendet keinen CMEK.

Wenn ein Standardspeicherort gefunden wird, sucht das System die Standardeinstellungen des Projekts nach einem Standard-Cloud KMS-Schlüssel. Wenn in den Standardeinstellungen des Projekts kein geeigneter Schlüssel angegeben ist, sucht das System in den Standardeinstellungen des Vorfahren nach einem Standardschlüssel, der sich am Standort des neuen Buckets befindet.

Eines der folgenden Ereignisse tritt ein:

  • Es wurde kein Schlüssel gefunden: Der neue Observability-Bucket verwendet keinen CMEK.
  • Ein Schlüssel wurde gefunden und ist zulässig: Das System erstellt den Observability-Bucket.
  • Ein Schlüssel wurde gefunden, ist aber nicht zulässig: Das System erstellt den neuen Observability-Bucket nicht.
Ja Ja

Um einen Schlüssel für die Verschlüsselung zu identifizieren, bestimmt das System zuerst, ob ein Standardspeicherort für das Projekt oder einen seiner Vorfahren festgelegt ist. Wenn kein Standardspeicherort festgelegt ist, dann erstellt das System den neuen Observability-Bucket nicht.

Wenn ein Standardspeicherort gefunden wird, sucht das System die Standardeinstellungen des Projekts nach einem Standard-Cloud KMS-Schlüssel. Wenn in den Standardeinstellungen des Projekts kein geeigneter Schlüssel angegeben ist, sucht das System in den Standardeinstellungen des Vorfahren nach einem Standardschlüssel, der sich am Standort des neuen Buckets befindet.

Eines der folgenden Ereignisse tritt ein:

  • Es wurde kein Schlüssel gefunden: Der neue Observability-Bucket wird nicht erstellt.
  • Ein Schlüssel wurde gefunden und ist zulässig: Das System erstellt den Observability-Bucket.
  • Ein Schlüssel wurde gefunden, ist aber nicht zulässig: Das System erstellt den neuen Observability-Bucket nicht.

Beschränkungen

Wenn das System einen Observability-Bucket erstellt, verwendet es entweder die Google-Standardverschlüsselung oder verschlüsselt die Daten mit einem CMEK. Nachdem der Bucket vorhanden ist, können Sie den CMEK aktualisieren. Weitere Informationen finden Sie unter Observability-Buckets aktualisieren.

Nächste Schritte