Cloud External Key Manager

Diese Seite bietet eine Übersicht über Cloud External Key Manager (Cloud EKM).

Terminologie

• Externer Schlüsselmanager (EKM)

  Der Schlüsselmanager, der außerhalb von Google Cloud zum Verwalten Ihrer Schlüssel verwendet wird.

• Cloud External Key Manager (Cloud EKM)

  Einen Google Cloud-Dienst zur Verwendung Ihrer externen Schlüssel, die in einem unterstützten EKM verwaltet werden.

• Cloud EKM über das Internet

  Eine Version von Cloud EKM, bei der Google Cloud über das Internet mit Ihrem externen Schlüsselverwaltungssystem kommuniziert.

• Cloud EKM über eine VPC

  Eine Version von Cloud EKM, bei der Google Cloud über eine Virtual Private Cloud (VPC) mit Ihrem externen Schlüsselmanager kommuniziert. Weitere Informationen finden Sie unter VPC-Netzwerk – Übersicht.

• EKM-Schlüsselverwaltung von Cloud KMS

  Wenn Sie Cloud EKM über eine VPC mit einem externen Schlüsselverwaltungspartner verwenden, der die Cloud EKM-Kontrollebene unterstützt, können Sie den EKM-Verwaltungsmodus Cloud KMS verwenden, um die Verwaltung externer Schlüssel im externen Schlüsselverwaltungssystem des Partners und in Cloud EKM zu vereinfachen. Weitere Informationen finden Sie auf dieser Seite unter Koordinierte externe Schlüssel und EKM-Schlüsselverwaltung über Cloud KMS.

• Crypto Space

  Ein Container für Ihre Ressourcen bei Ihrem externen Partner für die Schlüsselverwaltung. Ihr Crypto Space wird durch einen eindeutigen Crypto Space-Pfad identifiziert. Das Format des Crypto Space-Pfads variiert je nach Partner für die externe Schlüsselverwaltung, z. B. v0/cryptospaces/YOUR_UNIQUE_PATH.

• Vom Partner verwalteter EKM

  Eine Vereinbarung, bei der Ihr EKM von einem vertrauenswürdigen Partner für Sie verwaltet wird. Weitere Informationen finden Sie auf dieser Seite unter Vom Partner verwaltete EKM.

• Key Access Justifications

  Wenn Sie Cloud EKM mit Key Access Justifications verwenden, enthält jede Anfrage an Ihren Partner für die externe Schlüsselverwaltung ein Feld, in dem der Grund für die Anfrage angegeben ist. Sie können Ihren Partner für die externe Schlüsselverwaltung so konfigurieren, dass Anfragen basierend auf dem angegebenen Key Access Justifications-Code zugelassen oder abgelehnt werden. Weitere Informationen zu Key Access Justifications finden Sie im Überblick über Key Access Justifications.

Übersicht

Mit Cloud EKM können Sie Schlüssel verwenden, die Sie über einen unterstützten Partner für die externe Schlüsselverwaltung verwalten, um Daten in Google Cloud zu schützen. Sie können inaktive Daten in unterstützten CMEK-Integrationsdiensten schützen oder die Cloud Key Management Service API direkt aufrufen.

Cloud EKM bietet mehrere Vorteile:

• Schlüsselherkunft:Sie bestimmen die Position und Verteilung Ihrer extern verwalteten Schlüssel. Extern verwaltete Schlüssel werden nie im Cache von Google Cloud oder direkt dort gespeichert. Stattdessen kommuniziert Cloud EKM bei jeder Anfrage direkt mit dem Partner für die externe Schlüsselverwaltung.

• Zugriffssteuerung:Sie verwalten den Zugriff auf Ihre extern verwalteten Schlüssel in Ihrem externen Schlüsselmanager. Sie können einen extern verwalteten Schlüssel nicht in Google Cloud verwenden, ohne dem Google Cloud-Projekt zuerst Zugriff auf den Schlüssel in Ihrem externen Schlüsselmanager zu gewähren. Sie können die erteilten Zugriffsrechte jederzeit entziehen.

• Zentrale Schlüsselverwaltung:Sie können Ihre Schlüssel und Zugriffsrichtlinien über eine zentrale Benutzeroberfläche verwalten, unabhängig davon, ob die geschützten Daten in der Cloud oder bei Ihnen lokal gespeichert sind.

In allen Fällen befindet sich der Schlüssel im externen System und wird niemals an Google gesendet.

Sie können mit Ihrem externen Schlüsselmanager über das Internet oder über eine Virtual Private Cloud (VPC) kommunizieren.

Funktionsweise von Cloud EKM

Cloud EKM-Schlüsselversionen bestehen aus folgenden Teilen:

• Externes Schlüsselmaterial: Das externe Schlüsselmaterial eines Cloud EKM-Schlüssels ist kryptografisches Material, das in Ihrem EKM erstellt und gespeichert wird. Dieses Material verlässt Ihr EKM nicht und wird niemals an Google weitergegeben.
• Schlüsselreferenz: Jede Cloud EKM-Schlüsselversion enthält entweder eine Schlüssel-URI oder einen Schlüsselpfad. Dies ist eine eindeutige Kennung für das externe Schlüsselmaterial, die von Cloud EKM verwendet wird, wenn kryptografische Vorgänge mit dem Schlüssel angefordert werden.
• Internes Schlüsselmaterial: Wenn ein symmetrischer Cloud EKM-Schlüssel erstellt wird, wird in Cloud KMS zusätzliches Schlüsselmaterial erstellt, das nie Cloud KMS verlässt. Dieses Schlüsselmaterial wird als zusätzliche Verschlüsselungsebene bei der Kommunikation mit Ihrem EKM verwendet. Dieses interne Schlüsselmaterial gilt nicht für asymmetrische Signaturschlüssel.

Wenn Sie Ihre Cloud EKM-Schlüssel verwenden möchten, sendet Cloud EKM Anfragen für kryptografische Vorgänge an Ihren EKM. Wenn Sie beispielsweise Daten mit einem symmetrischen Verschlüsselungsschlüssel verschlüsseln möchten, verschlüsselt Cloud EKM die Daten zuerst mit dem internen Schlüsselmaterial. Die verschlüsselten Daten sind in einer Anfrage an den EKM enthalten. Das EKM verpackt die verschlüsselten Daten mit dem externen Schlüsselmaterial in eine weitere Verschlüsselungsschicht und gibt dann den resultierenden Geheimtext zurück. Daten, die mit einem Cloud EKM-Schlüssel verschlüsselt wurden, können nicht ohne das externe und das interne Schlüsselmaterial entschlüsselt werden.

Wenn Ihre Organisation Key Access Justifications aktiviert hat, zeichnet Ihr externer Partner für die Schlüsselverwaltung die angegebene Zugriffsberechtigung auf und führt die Anfrage nur für Berechtigungscodes aus, die gemäß Ihrer Richtlinie für Key Access Justifications für den externen Partner für die Schlüsselverwaltung zulässig sind.

Für das Erstellen und Verwalten von Cloud EKM-Schlüsseln sind entsprechende Änderungen sowohl in Cloud KMS als auch im EKM erforderlich. Diese entsprechenden Änderungen werden für manuell verwaltete externe Schlüssel und für koordinierte externe Schlüssel unterschiedlich behandelt. Alle externen Schlüssel, auf die über das Internet zugegriffen wird, werden manuell verwaltet. Externe Schlüssel, auf die über ein VPC-Netzwerk zugegriffen wird, können je nach EKM-Verwaltungsmodus des EKM über die VPC-Verbindung manuell verwaltet oder koordiniert werden. Der EKM-Verwaltungsmodus Manuell wird für manuell verwaltete Schlüssel verwendet. Der EKM-Verwaltungsmodus von Cloud KMS wird für koordinierte externe Schlüssel verwendet. Weitere Informationen zu den EKM-Verwaltungsmodi finden Sie auf dieser Seite unter Manuell verwaltete externe Schlüssel und Koordinierte externe Schlüssel.

Das folgende Diagramm zeigt, wie Cloud KMS in das Schlüsselverwaltungsmodell passt. In diesem Diagramm werden Compute Engine und BigQuery als zwei Beispiele verwendet. Eine vollständige Liste der Dienste, die Cloud EKM-Schlüssel unterstützen, finden Sie ebenfalls.

Wenn Sie Cloud EKM verwenden, erfahren Sie mehr über Überlegungen und Einschränkungen.

Manuell verwaltete externe Schlüssel

Dieser Abschnitt bietet einen umfassenden Überblick darüber, wie Cloud EKM mit einem manuell verwalteten externen Schlüssel funktioniert.

1. Sie erstellen oder verwenden einen vorhandenen Schlüssel in einem unterstützten Partnersystem für die externe Schlüsselverwaltung. Dieser Schlüssel hat einen eindeutigen URI oder Schlüsselpfad.
2. Sie erteilen Ihrem Google Cloud-Projekt Zugriff auf den Schlüssel im Partnersystem für die externe Schlüsselverwaltung.
3. Erstellen Sie in Ihrem Google Cloud-Projekt eine Cloud EKM-Schlüsselversion unter Verwendung des URI oder Schlüsselpfads für den extern verwalteten Schlüssel.
4. Wartungsvorgänge wie die Schlüsselrotation müssen zwischen Ihrem EKM und Cloud EKM manuell verwaltet werden. So müssen beispielsweise die Rotation oder das Löschen von Schlüsselversionen sowohl direkt in Ihrem EKM als auch in Cloud KMS ausgeführt werden.

In Google Cloud wird der Schlüssel neben Ihren anderen Cloud KMS- und Cloud HSM-Schlüsseln mit der Schutzstufe EXTERNAL oder EXTERNAL_VPC angezeigt. Der Cloud EKM-Schlüssel und der Schlüssel des Partners für die externe Schlüsselverwaltung schützen gemeinsam Ihre Daten. Das externe Schlüsselmaterial wird Google niemals zugänglich gemacht.

Koordinierte externe Schlüssel

Dieser Abschnitt bietet einen Überblick darüber, wie Cloud EKM mit einem koordinierten externen Schlüssel funktioniert.

1. Sie richten einen EKM über eine VPC-Verbindung ein und legen den EKM-Verwaltungsmodus auf Cloud KMS fest. Während der Einrichtung müssen Sie Ihr EKM für den Zugriff auf Ihr VPC-Netzwerk und Ihr Google Cloud-Projektdienstkonto für den Zugriff auf Ihren Krypto-Speicher in Ihrem EKM autorisieren. Ihre EKM-Verbindung verwendet den Hostnamen Ihres EKM und einen Crypto-Space-Pfad, der Ihre Ressourcen in Ihrem EKM identifiziert.

2. Sie erstellen einen externen Schlüssel in Cloud KMS. Wenn Sie einen Cloud EKM-Schlüssel mit einem EKM über eine VPC-Verbindung erstellen und der EKM-Verwaltungsmodus Cloud KMS aktiviert ist, werden die folgenden Schritte automatisch ausgeführt:

   1. Cloud EKM sendet eine Anfrage zum Erstellen eines Schlüssels an Ihr EKM.
   2. Ihr EKM erstellt das angeforderte Schlüsselmaterial. Dieses externe Schlüsselmaterial bleibt im EKM und wird niemals an Google gesendet.
   3. Ihr EKM gibt einen Schlüsselpfad an Cloud EKM zurück.
   4. Cloud EKM erstellt Ihre Cloud EKM-Schlüsselversion anhand des von Ihrem EKM bereitgestellten Schlüsselpfads.

3. Wartungsvorgänge für koordinierte externe Schlüssel können über Cloud KMS gestartet werden. Beispielsweise können koordinierte externe Schlüssel, die für die symmetrische Verschlüsselung verwendet werden, automatisch nach einem festgelegten Zeitplan rotiert werden. Das Erstellen neuer Schlüsselversionen wird in Ihrem EKM von Cloud EKM koordiniert. Sie können das Erstellen oder Löschen von Schlüsselversionen in Ihrem EKM auch über Cloud KMS mit der Google Cloud Console, der gcloud CLI, der Cloud KMS API oder Cloud KMS-Clientbibliotheken auslösen.

In Google Cloud wird der Schlüssel neben Ihren anderen Cloud KMS- und Cloud HSM-Schlüsseln mit der Schutzstufe EXTERNAL_VPC angezeigt. Der Cloud EKM-Schlüssel und der Schlüssel des Partners für die externe Schlüsselverwaltung schützen gemeinsam Ihre Daten. Das externe Schlüsselmaterial wird Google niemals zugänglich gemacht.

EKM-Schlüsselverwaltung über Cloud KMS

Koordinierte externe Schlüssel werden durch EKM-über-VPC-Verbindungen ermöglicht, die die EKM-Schlüsselverwaltung von Cloud KMS verwenden. Wenn Ihr EKM die Cloud EKM-Steuerungsebene unterstützt, können Sie die EKM-Schlüsselverwaltung von Cloud KMS für Ihren EKM über VPC-Verbindungen aktivieren, um koordinierte externe Schlüssel zu erstellen. Wenn die EKM-Schlüsselverwaltung von Cloud KMS aktiviert ist, kann Cloud EKM die folgenden Änderungen an Ihrem EKM anfordern:

• Schlüssel erstellen: Wenn Sie einen extern verwalteten Schlüssel in Cloud KMS mit einem kompatiblen EKM über eine VPC-Verbindung erstellen, sendet Cloud EKM Ihre Anfrage zum Erstellen des Schlüssels an Ihr EKM. Bei Erfolg erstellt Ihr EKM den neuen Schlüssel und das Schlüsselmaterial und gibt den Schlüsselpfad zurück, den Cloud EKM für den Zugriff auf den Schlüssel verwenden soll.

• Schlüssel rotieren: Wenn Sie einen extern verwalteten Schlüssel in Cloud KMS mit einem kompatiblen EKM über eine VPC-Verbindung rotieren, sendet Cloud EKM Ihre Rotationsanfrage an Ihr EKM. Bei Erfolg erstellt Ihr EKM neues Schlüsselmaterial und gibt den Schlüsselpfad zurück, den Cloud EKM für den Zugriff auf die neue Schlüsselversion verwenden kann.

• Schlüssel löschen: Wenn Sie eine Schlüsselversion für einen extern verwalteten Schlüssel in Cloud KMS mit einem kompatiblen EKM über eine VPC-Verbindung löschen, wird die Schlüsselversion in Cloud KMS zum Löschen geplant. Wenn die Schlüsselversion nicht vor Ablauf des Zeitraums Zum Löschen vorgemerkt wiederhergestellt wird, zerstört Cloud EKM seinen Teil des kryptografischen Materials des Schlüssels und sendet eine Löschanfrage an Ihren EKM.

  Daten, die mit dieser Schlüsselversion verschlüsselt wurden, können nicht mehr entschlüsselt werden, nachdem die Schlüsselversion in Cloud KMS gelöscht wurde, auch wenn der EKM die Schlüsselversion noch nicht gelöscht hat. Sie können in Cloud KMS in den Details des Schlüssels nachsehen, ob das EKM die Schlüsselversion erfolgreich gelöscht hat.

Wenn Schlüssel in Ihrem EKM über Cloud KMS verwaltet werden, befindet sich das Schlüsselmaterial weiterhin in Ihrem EKM. Google kann ohne ausdrückliche Genehmigung keine Schlüsselverwaltungsanfragen an Ihren EKM senden. Google kann keine Berechtigungen oder Richtlinien für Key Access Justifications in Ihrem Partnersystem für die externe Schlüsselverwaltung ändern. Wenn Sie die Berechtigungen von Google in Ihrem EKM widerrufen, schlagen Schlüsselverwaltungsvorgänge in Cloud KMS fehl.

Kompatibilität

Unterstützte Schlüsselmanager

Sie können externe Schlüssel in den folgenden Partnersystemen für die externen Schlüsselverwaltung speichern:

• Zur Zeit unterstützt:
  • Fortanix
  • Futurex
  • Thales

Dienste, die CMEK mit Cloud EKM unterstützen

Die folgenden Dienste unterstützen die Einbindung in Cloud KMS für externe Schlüssel (Cloud EKM):

• Agent Assist
• AlloyDB for PostgreSQL
• Apigee API Hub
• Artifact Registry
• Sicherung für GKE
• BigQuery
• Bigtable
• Cloud Composer
• Cloud Data Fusion
• Cloud Healthcare API
• Cloud Logging: Daten im Log-Router und Daten im Logging-Speicher
• Cloud Run
• Cloud Run Functions
• Cloud SQL
• Cloud Storage
• Cloud Tasks
• Cloud Workstations
• Compute Engine: Nichtflüchtige Laufwerke , Snapshots , Benutzerdefinierte Images , und Maschinen-Images
• Dialogorientierte Insights
• Database Migration Service: MySQL-Migrationen – Daten, die in Datenbanken geschrieben werden , PostgreSQL-Migrationen – Daten, die in Datenbanken geschrieben werden , PostgreSQL-zu-AlloyDB-Migrationen – Daten, die in Datenbanken geschrieben werden , und ruhende Daten von Oracle zu PostgreSQL
• Dataflow
• Dataform
• Dataproc: Dataproc-Clusterdaten auf VM-Laufwerken und Dataproc-Serverless-Daten auf VM-Laufwerken
• Dataproc Metastore
• Dialogflow CX
• Document AI
• Eventarc Standard
• Filestore
• Firestore
• Von Google verwalteter Dienst für Apache Kafka
• Google Distributed Cloud
• Google Kubernetes Engine: Daten auf VM-Laufwerken und Secrets auf Anwendungsebene
• Looker (Google Cloud Core)
• Memorystore for Redis
• Migrate to Virtual Machines: Daten, die von VMware-, AWS- und Azure-VM-Quellen migriert wurden und Daten, die von Laufwerk- und Maschinen-Image-Quellen migriert wurden
• Pub/Sub
• Secret Manager
• Secure Source Manager
• Spanner
• Speaker ID (eingeschränkt verfügbar)
• Speech-to-Text
• Vertex AI
• Vertex AI Workbench-Instanzen
• Workflows

Hinweise

• Wenn Sie einen Cloud EKM-Schlüssel verwenden, hat Google keine Kontrolle über die Verfügbarkeit Ihres extern verwalteten Schlüssels im Partnersystem für die externe Schlüsselverwaltung. Wenn Sie Schlüssel verlieren, die Sie außerhalb von Google Cloud verwalten, kann Google Ihre Daten nicht wiederherstellen.

• Lesen Sie die Richtlinien zu Partner für die externe Schlüsselverwaltung und Regionen für die Wahl der Speicherorte Ihrer Cloud EKM-Schlüssel.

• Lesen Sie das Service Level Agreement (SLA).

• Wenn Sie mit einem externen Dienst über das Internet kommunizieren, kann das zu Problemen hinsichtlich Zuverlässigkeit, Verfügbarkeit und Latenz führen. Bei Anwendungen, die eine geringe Toleranz für diese Risiken haben, sollten Sie Cloud HSM oder Cloud KMS zum Speichern Ihres Schlüsselmaterials in Betracht ziehen.

  • Wenn kein externer Schlüssel verfügbar ist, gibt Cloud KMS den Fehler FAILED_PRECONDITION zurück und stellt Einzelheiten in den Fehlerdetails PreconditionFailure bereit.

    Audit-Logging von Daten aktivieren, um alle Fehler im Zusammenhang mit Cloud EKM zu erfassen. Fehlermeldungen enthalten detaillierte Informationen, anhand derer Sie die Ursache des Fehlers ermitteln können. Ein Beispiel für einen häufigen Fehler ist, wenn ein Partner für die externe Schlüsselverwaltung auf eine Anfrage nicht innerhalb eines angemessenen Zeitraums antwortet.

  • Sie benötigen einen Supportvertrag mit dem Partner für die externe Schlüsselverwaltung. Der Google Cloud-Support kann nur bei Problemen mit Google Cloud-Diensten helfen und bei Problemen mit externen Systemen nicht direkt behilflich sein. Möglicherweise müssen Sie mit dem Support beider Seiten zusammenarbeiten, um Interoperabilitätsprobleme zu beheben.

• Cloud EKM kann mit Bare-Metal-Rack-HSM verwendet werden, um eine Einzelmandanten-HSM-Lösung zu erstellen, die in Cloud KMS eingebettet ist. Weitere Informationen erhalten Sie von einem Cloud EKM-Partner, der Einzelmandanten-HSMs unterstützt. Lesen Sie auch die Anforderungen für Bare-Metal-Rack-HSMs.

• Aktivieren Sie das Audit-Logging in Ihrem externen Schlüsselverwaltungssystem, um Zugriff und Nutzung Ihrer EKM-Schlüssel zu erfassen.

Beschränkungen

• Eine automatische Rotation wird nicht unterstützt.
• Wenn Sie einen Cloud EKM-Schlüssel mit der API oder der Google Cloud CLI erstellen, darf er keine anfängliche Schlüsselversion haben. Dies gilt nicht für Cloud EKM-Schlüssel, die mit der Google Cloud Console erstellt wurden.
• Für Cloud-EKM-Vorgänge gelten zusätzlich zu den Kontingenten für Cloud KMS-Vorgänge bestimmte Kontingente.

Symmetrische Verschlüsselungsschlüssel

• Symmetrische Verschlüsselungsschlüssel werden nur für die folgenden Elemente unterstützt:
  • Vom Kunden verwaltete Verschlüsselungsschlüssel (CMEK) in unterstützten Integrationsdiensten
  • Symmetrische Ver- und Entschlüsselung direkt mit Cloud KMS.
• Daten, die von Cloud EKM mithilfe eines extern verwalteten Schlüssels verschlüsselt wurden, können ohne Cloud EKM nicht entschlüsselt werden.

Asymmetrische Signaturschlüssel

• Asymmetrische Signaturschlüssel sind auf eine Teilmenge der Cloud KMS-Algorithmen beschränkt.
• Asymmetrische Signaturschlüssel werden nur für die folgenden Anwendungsfälle unterstützt:
  • Asymmetrische Signatur direkt mit Cloud KMS.
  • Benutzerdefinierter Signaturschlüssel mit Access Approval
• Nachdem ein asymmetrischer Signaturalgorithmus für einen Cloud EKM-Schlüssel festgelegt wurde, kann er nicht mehr geändert werden.
• Die Unterschrift muss im Feld data erfolgen.

Externe Schlüsselmanager und Regionen

Cloud EKM muss Ihre Schlüssel schnell erreichen können, um einen Fehler zu vermeiden. Wählen Sie beim Erstellen eines Cloud EKM-Schlüssels einen Google Cloud-Standort aus, der sich in der Nähe des Standorts befindet, an dem sich der Schlüssel des Partners für die externe Schlüsselverwaltung befindet. Sehen Sie in der Dokumentation des Partners für die externe Schlüsselverwaltung nach, welche Standorte er unterstützt.

• Cloud EKM über das Internet: Verfügbar an den meisten Google Cloud-Standorten, an denen Cloud KMS verfügbar ist, einschließlich regionaler und multiregionaler Standorte.
• Cloud EKM über eine VPC: Verfügbar an den meisten regionalen Standorten, an denen Cloud KMS verfügbar ist. Cloud EKM über eine VPC ist an multiregionalen Standorten nicht verfügbar.

Einige Standorte, darunter global und nam-eur-asia1, sind für Cloud EKM nicht verfügbar. Informationen zu den Standorten, die Cloud EKM unterstützen, finden Sie unter Cloud KMS-Standorte.

In mehreren Regionen verwenden

Wenn Sie einen extern verwalteten Schlüssel in mehreren Regionen verwenden, stehen die Metadaten des Schlüssels in mehreren Rechenzentren innerhalb dieser Regionen zur Verfügung. Diese Metadaten enthalten die Informationen, die für die Kommunikation mit dem Partner für die externe Schlüsselverwaltung erforderlich sind. Wird bei Ihrer Anwendung innerhalb dieser Regionen von einem Rechenzentrum zu einem anderen ein Failover durchgeführt, werden vom neuen Rechenzentrum Schlüsselanfragen initiiert. Das neue Rechenzentrum verfügt möglicherweise über andere Netzwerkmerkmale als das vorherige, einschließlich der Entfernung zum Partner für die externe Schlüsselverwaltung und der Wahrscheinlichkeit von Zeitüberschreitungen. Wir empfehlen, nur dann eine Mehrfachregion mit Cloud EKM zu verwenden, wenn der ausgewählte externe Schlüsselmanager für alle Bereiche dieser Mehrfachregion eine geringe Latenz bietet.

Von einem Partner verwalteter EKM

Bei der partnerverwalteten EKM-Lösung können Sie Cloud EKM über einen vertrauenswürdigen Sovereign Cloud-Partner nutzen, der Ihr EKM-System für Sie verwaltet. Bei der partnerverwalteten EKM-Lösung erstellt und verwaltet Ihr Partner die Schlüssel, die Sie in Cloud EKM verwenden. Der Partner sorgt dafür, dass Ihr EKM die Souveränitätsanforderungen erfüllt.

Wenn Sie Ihren souveränen Partner einbinden, stellt er Ressourcen in Google Cloud und Ihrem EKM bereit. Dazu gehören ein Cloud KMS-Projekt zur Verwaltung Ihrer Cloud EKM-Schlüssel und eine EKM-VPC-Verbindung, die für die EKM-Schlüsselverwaltung über Cloud KMS konfiguriert ist. Ihr Partner erstellt Ressourcen an Google Cloud-Standorten gemäß Ihren Anforderungen an den Datenstandort.

Jeder Cloud EKM-Schlüssel enthält Cloud KMS-Metadaten, mit denen Cloud EKM Anfragen an Ihren EKM senden kann, um kryptografische Vorgänge mit dem externen Schlüsselmaterial auszuführen, das niemals Ihren EKM verlässt. Symmetrische Cloud EKM-Schlüssel umfassen auch internes Cloud KMS-Schlüsselmaterial, das Google Cloud nie verlässt. Weitere Informationen zur internen und externen Seite von Cloud EKM-Schlüsseln finden Sie auf dieser Seite unter Funktionsweise von Cloud EKM.

Weitere Informationen zu vom Partner verwalteten EKMs finden Sie unter Vom Partner verwaltetes Cloud KMS konfigurieren.

Cloud EKM-Nutzung überwachen

Sie können Ihre EKM-Verbindung mit Cloud Monitoring überwachen. Anhand der folgenden Messwerte können Sie die Nutzung von EKM besser nachvollziehen:

• cloudkms.googleapis.com/ekm/external/request_latencies
• cloudkms.googleapis.com/ekm/external/request_count

Weitere Informationen zu diesen Messwerten finden Sie unter CloudKMS-Messwerte. Sie können ein Dashboard erstellen, um diese Messwerte zu erfassen. Informationen zum Einrichten eines Dashboards zum Überwachen Ihrer EKM-Verbindung finden Sie unter EKM-Nutzung überwachen.

Support

Wenn mit Cloud EKM ein Problem auftritt, wenden Sie sich an den Support.

Nächste Schritte

• Cloud EKM über das Internet einrichten

• Erstellen Sie eine EKM-Verbindung, um EKM über VPC zu verwenden.

• Mit der Verwendung der API beginnen.

• Lesen Sie die Cloud KMS API-Referenz.

• Weitere Informationen zu Logging in Cloud KMS. Das Logging basiert auf Vorgängen und gilt für Schlüssel mit HSM- und Softwareschutzlevel.

• Im Hilfeartikel Referenzarchitekturen für die zuverlässige Bereitstellung von Cloud EKM-Diensten finden Sie Empfehlungen zur Konfiguration einer Bereitstellung eines EKM-Dienstes (External Key Manager), der in Cloud EKM eingebunden ist.