Vom Kunden verwaltete Verschlüsselungsschlüssel (Customer Managed Encryption Keys, CMEK) verwenden

Auf dieser Seite wird beschrieben, wie Sie ein Dienstkonto und Schlüssel für vom Kunden verwaltete Verschlüsselungsschlüssel einrichten und wie Sie eine Instanz mit einem manuell erstellten vom Kunden verwalteten Verschlüsselungsschlüssel erstellen. Weitere Informationen zur Verwendung von vom Kunden verwalteten Verschlüsselungsschlüsseln mit Cloud SQL finden Sie unter Von Kunden verwaltete Verschlüsselungsschlüssel – Übersicht.

Hinweise

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Go to project selector

3. Make sure that billing is enabled for your Google Cloud project.

4. Install the Google Cloud CLI.

5. To initialize the gcloud CLI, run the following command:

   gcloud init

6. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Go to project selector

7. Make sure that billing is enabled for your Google Cloud project.

8. Install the Google Cloud CLI.

9. To initialize the gcloud CLI, run the following command:

   gcloud init

10. Sie müssen die Rolle "Cloud SQL-Administrator" in Ihrem Nutzerkonto haben.

    Zur IAM-Seite

11. Enable the Cloud Key Management Service API.

    Enable the API

12. Enable the Cloud SQL Admin API.

    Enable the API

Workflow zum Erstellen einer Cloud SQL-Instanz mit CMEK

1. Nur gcloud- und API-Nutzer: Erstellen Sie ein Dienstkonto für jedes Projekt, für das vom Kunden verwaltete Verschlüsselungsschlüssel erforderlich sind.
2. Erstellen Sie einen Schlüsselbund und Schlüssel und legen Sie den Speicherort für jeden Schlüssel fest. Der Speicherort ist die Google Cloud-Region.
3. Nur gcloud- und API-Nutzer: Gewähren Sie dem Dienstkonto Zugriff auf den Schlüssel.
4. Notieren Sie sich die Schlüssel-ID (KMS_KEY_ID), den Speicherort des Schlüssels (GCP_REGION) und die Schlüsselbund-ID (KMS_KEYRING_ID)
5. Öffnen Sie ein Projekt und erstellen Sie eine Cloud SQL-Instanz mit den folgenden Optionen:
   1. Derselbe Speicherort wie der vom Kunden verwaltete Verschlüsselungsschlüssel
   2. Die vom Kunden verwaltete Schlüsselkonfiguration
   3. Die vom Kunden verwaltete Verschlüsselungsschlüssel-ID

Ihre Cloud SQL-Instanz ist jetzt mit CMEK aktiviert.

Dienstkonto erstellen

Sie müssen für jedes Projekt ein Dienstkonto erstellen, das vom Kunden verwaltete Verschlüsselungsschlüssel erfordert.

Gewähren Sie eine der folgenden Rollen, um zuzulassen, dass ein Nutzer Dienstkonten verwalten kann:

• Dienstkontonutzer (roles/iam.serviceAccountUser): Umfasst Berechtigungen zum Auflisten von Dienstkonten, Abrufen von Details zu einem Dienstkonto und zum Übernehmen der Identität eines Dienstkontos.
• Dienstkontoadministrator (roles/iam.serviceAccountAdmin): Umfasst Berechtigungen zum Auflisten von Dienstkonten und zum Abrufen von Details zu einem Dienstkonto. Umfasst außerdem Berechtigungen zum Erstellen, Aktualisieren und Löschen von Dienstkonten sowie zum Ansehen oder Ändern der Cloud SQL for MySQL-Richtlinie für ein Dienstkonto.

Derzeit können Sie mit den gcloud CLI-Befehlen nur die Art von Dienstkonto erstellen, die Sie für vom Kunden verwaltete Verschlüsselungsschlüssel benötigen. Wenn Sie die Console nutzen, legt Cloud SQL dieses Dienstkonto automatisch an.

gcloud beta services identity create \
--service=sqladmin.googleapis.com \
--project=PROJECT_ID

resource "google_project_service_identity" "gcp_sa_cloud_sql" {
  provider = google-beta
  service  = "sqladmin.googleapis.com"
}

Der vorherige Befehl gibt den Namen eines Dienstkontos zurück. Sie verwenden diesen Dienstkontonamen, während Sie dem Dienstkonto Zugriff auf den Schlüssel gewähren.

Schlüssel erstellen

Sie können den Schlüssel im selben Google Cloud-Projekt wie die Cloud SQL-Instanz oder in einem separaten Nutzerprojekt erstellen. Der Speicherort des Cloud KMS-Schlüsselbunds muss in der Region sein, in der Sie die Cloud SQL-Instanz anlegen möchten. Ein Schlüssel für mehrere Regionen oder für eine globale Region funktioniert nicht. Die Erstellungsanfrage der Cloud SQL-Instanz schlägt fehl, wenn die Regionen nicht übereinstimmen.

So erstellen Sie einen Cloud KMS-Schlüssel:

resource "google_kms_key_ring" "keyring" {
  provider = google-beta
  name     = "keyring-name"
  location = "us-central1"
}

resource "google_kms_crypto_key" "key" {
  provider = google-beta
  name     = "crypto-key-name"
  key_ring = google_kms_key_ring.keyring.id
  purpose  = "ENCRYPT_DECRYPT"
}

terraform apply

Gewähren Sie dem Dienstkonto Zugriff auf den Schlüssel

Wenn Sie die Cloud SQL-Instanz mit CMEK erstellen, müssen Sie diesen Vorgang nur ausführen, wenn Sie gcloud oder die API verwenden. Sie können diese Vorgehensweise ausführen, wenn nach dem Erstellen der Instanz Berechtigungsprobleme auftreten.

So gewähren Sie dem Dienstkonto Zugriff:

gcloud kms keys add-iam-policy-binding KMS_KEY_ID \
--location=GCP_REGION \
--keyring=KMS_KEYRING_ID \
--member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-cloud-sql.iam.gserviceaccount.com \
--role=roles/cloudkms.cryptoKeyEncrypterDecrypter

resource "google_kms_crypto_key_iam_binding" "crypto_key" {
  provider      = google-beta
  crypto_key_id = google_kms_crypto_key.key.id
  role          = "roles/cloudkms.cryptoKeyEncrypterDecrypter"

  members = [
    "serviceAccount:${google_project_service_identity.gcp_sa_cloud_sql.email}",
  ]
}

terraform apply

Cloud SQL-Instanz mit CMEK erstellen

So erstellen Sie eine Instanz mit vom Kunden verwalteten Verschlüsselungsschlüsseln:

gcloud sql instances create INSTANCE_NAME \
--project=PROJECT_ID \
--disk-encryption-key=KMS_KEY_ID \
--database-version=VERSION \
--tier=MACHINE_TYPE \
--region=REGION \
--root-password=INSERT-PASSWORD-HERE

resource "google_sql_database_instance" "mysql_instance_with_cmek" {
  name                = "mysql-instance-cmek"
  provider            = google-beta
  region              = "us-central1"
  database_version    = "MYSQL_8_0"
  encryption_key_name = google_kms_crypto_key.key.id
  settings {
    tier = "db-n1-standard-2"
  }
  # set `deletion_protection` to true, will ensure that one cannot accidentally delete this instance by
  # use of Terraform whereas `deletion_protection_enabled` flag protects this instance at the GCP level.
  deletion_protection = false
}

POST https://sqladmin.googleapis.com/v1/projects/project-id/instances

{
  "name":"instance-id",
  "region":"region",
  "databaseVersion": "database-version",
  "diskEncryptionConfiguration" :
  {
      "kmsKeyName" : "kms-resource-id"
  },
  "settings":
  {
     "backupConfiguration":
      {
         "binaryLogEnabled": true,
         "enabled":true
      }
   }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/v1/projects/project-id/instances"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/v1/projects/project-id/instances" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances",
  "status": "PENDING",
  "user": "[email protected]",
  "insertTime": "2020-01-16T02:32:12.281Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

POST https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances

{
  "name":"instance-id",
  "region":"region",
  "databaseVersion": "database-version",
  "diskEncryptionConfiguration" :
  {
      "kmsKeyName" : "kms-resource-id"
  },
  "settings":
  {
     "backupConfiguration":
      {
         "binaryLogEnabled": true,
         "enabled":true
      }
   }
}

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances",
  "status": "PENDING",
  "user": "[email protected]",
  "insertTime": "2020-01-16T02:32:12.281Z",
  "operationType": "UPDATE",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

Sicherung für eine CMEK-fähige Instanz erstellen

Wenn Sie die Sicherung einer Cloud SQL-Instanz erstellen, wird diese Sicherung mit der gleichen Primärschlüsselversion wie der vom Kunden verwaltete Schlüssel der primären Instanz verschlüsselt. Wenn Ihre Instanz einen CMEK-Schlüssel verwendet, der mit Cloud KMS Autokey erstellt wurde, wird für die Sicherung weiterhin derselbe Schlüssel wie für die primäre Instanz verwendet. Autokey erstellt keine Schlüssel für Sicherungen.

On-Demand- und automatische Sicherungen erstellen und verwalten

Im Formular Sicherung erstellen wird folgende Meldung angezeigt: "Your backup will be encrypted with the primary version of this instance's customer-managed encryption key. If anyone destroys or disables this key version, all backup data encrypted using that key version will be permanently lost. You can check the primary version for the key in Cloud KMS."

Auf der Seite "Sicherungen" enthält die Liste der Sicherungen, die mit vom Kunden verwalteten Verschlüsselungsschlüsseln aktiviert sind, zwei zusätzliche Spalten. Eine Spalte gibt an, dass die Sicherung für eine CMEK-fähige Instanz erstellt wird, und die andere Spalte zeigt die Schlüsselversion an, mit der die Sicherung verschlüsselt wurde.

Replikat für eine CMEK-fähige Instanz erstellen

Wenn Sie ein Lesereplikat einer Cloud SQL-Instanz in derselben Region erstellen, wird dafür der vom Kunden verwaltete Verschlüsselungsschlüssel der übergeordneten Instanz übernommen. Wenn Sie ein Lesereplikat in einer anderen Region erstellen, erhalten Sie eine neue Liste mit vom Kunden verwalteten Verschlüsselungsschlüsseln zur Auswahl. Jede Region nutzt einen eigenen Schlüsselsatz.

Lesereplikate erstellen

Auf der Seite Lesereplikat erstellen sind die folgenden Informationen enthalten:

1. Unter Verschlüsselung wird Vom Kunden verwaltet angezeigt.
2. Der Verschlüsselungsschlüssel für das Replikat wird angezeigt.
3. Die folgende Meldung wird angezeigt: "Das Replikat wird mit einem vom Kunden verwalteten Schlüssel der Masterinstanz verschlüsselt. Wenn dieser Schlüssel gelöscht wird, gehen alle mit ihm verschlüsselten Daten dauerhaft verloren."

Für ein regionenübergreifendes Replikat wird die folgende Meldung angezeigt:

"Your cross-region replica will be encrypted with the selected customer-managed key. If anyone destroys this key, all data encrypted with it will be permanently lost."

CMEK-fähige Instanz klonen

Wenn Sie einen Klon der Cloud SQL-Instanz erstellen, übernimmt er den vom Kunden verwalteten Verschlüsselungsschlüssel, der auch für die Verschlüsselung der Quellinstanz genutzt wird.

Instanzen klonen

Auf der Seite Klon erstellen sind die folgenden Informationen enthalten:

1. Unter Verschlüsselung wird Vom Kunden verwaltet angezeigt.
2. Der Verschlüsselungsschlüssel für den Klon wird angezeigt.
3. Die folgende Meldung wird angezeigt: "Der Klon wird mit einem vom Kunden verwalteten Schlüssel der Quellinstanz verschlüsselt. Wenn dieser Schlüssel gelöscht wird, gehen alle mit ihm verschlüsselten Daten dauerhaft verloren."

Wichtige Informationen für eine CMEK-fähige Instanz aufrufen

Nachdem Sie eine Cloud SQL-Instanz erstellt haben, können Sie der Instanzliste oder der Instanzübersicht entnehmen, dass sie mit einem vom Kunden verwalteten Verschlüsselungsschlüssel angelegt wurde. In den Details wird auch der Schlüssel angezeigt, der zum Erstellen der Instanz verwendet wurde.

1. Wechseln Sie in der Google Cloud Console zur Seite Cloud SQL-Instanzen.

   Cloud SQL-Instanzen aufrufen

2. Scrollen Sie in der Liste der Instanzen nach rechts, bis die Spalte Verschlüsselung zu sehen ist. In dieser Spalte werden die Einträge Von Google verwaltet und Vom Kunden verwaltet angezeigt.
3. Klicken Sie auf den Instanznamen, um die entsprechende Übersicht zu öffnen. Der vom Kunden verwaltete Verschlüsselungsschlüssel ist im Bereich Konfiguration aufgeführt.

Existierende CMEK-fähige Instanz oder Replikat neu verschlüsseln

Sie können Ihre vorhandenen Cloud SQL-Instanzen und -Replikate mit der aktuellen Primärschlüsselversion neu verschlüsseln. Weitere Informationen zur Neuverschlüsselung von vorhandenen CMEK-fähigen Instanzen oder Replikaten finden Sie unter Informationen zu Schlüsseln.

Neue primäre Schlüsselversion abrufen

• Sie benötigen die aktuelle Primärschlüsselversion, um Ihre Instanz oder Ihr Replikat mit einer neuen Version neu zu verschlüsseln. Wenn Sie eine neue Schlüsselversion für Ihre Instanzen benötigen, müssen Sie Ihren Schlüssel mit dem Cloud Key Management Service rotieren. Informationen zum Rotieren des Primärschlüssels finden Sie unter Schlüssel rotieren.

• Warten Sie nach Abschluss der Schlüsselrotation, bis die Primärschlüsseländerung weitergegeben wurde, bevor Sie die Instanzen neu verschlüsseln. Ist die Schlüsselversion nicht konsistent, so verwendet Ihre Instanz nach der erneuten Verschlüsselung weiterhin die alte Schlüsselversion. Weitere Informationen finden Sie unter Konsistenz der Schlüsselversionen.

CMEK-fähige Instanz neu verschlüsseln

Verschlüsseln Sie nach Abschluss der Schlüsselrotation Ihre vorhandenen CMEK-fähigen Instanzen oder Replikate neu.

gcloud sql instances reencrypt INSTANCE_NAME

    POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

POST https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d "" \
     "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -Uri "https://sqladmin.googleapis.com/v1/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/v1/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "[email protected]",
  "insertTime": "2023-06-28T21:19:09.503Z",
  "operationType": "REENCRYPT",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/v1/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

    POST https://sqladmin.googleapis.com/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

POST https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d "" \
     "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -Uri "https://sqladmin.googleapis.com/sql/v1beta4/projects/PROJECT_ID/instances/INSTANCE_ID/reencrypt" | Select-Object -Expand Content

{
  "kind": "sql#operation",
  "targetLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/instances/instance-id",
  "status": "PENDING",
  "user": "[email protected]",
  "insertTime": "2023-06-28T21:22:13.663Z",
  "operationType": "REENCRYPT",
  "name": "operation-id",
  "targetId": "instance-id",
  "selfLink": "https://sqladmin.googleapis.com/sql/v1beta4/projects/project-id/operations/operation-id",
  "targetProject": "project-id"
}

Automatische Sicherungen bei erneuter Verschlüsselung

Wenn Sie eine primäre Instanz mit einer neuen Primärschlüsselversion neu verschlüsseln, erstellt Cloud SQL automatisch eine On-Demand-Sicherung, die "Neuverschlüsselungssicherung" genannt wird.

In der Liste der Sicherungen für Ihre Cloud SQL-Instanz wird die Sicherung mit erneuter Verschlüsselung als Typ on-demand und mit dem Label backup created automatically for data before CMEK re-encryption aufgeführt.

Wie bei anderen On-Demand-Sicherungen bleiben Sicherungen über die erneute Verschlüsselung erhalten, bis Sie sie oder die Instanz löschen.

Einschränkungen bei der erneuten Verschlüsselung

Beachten Sie folgende Einschränkungen, wenn Sie eine Instanz neu verschlüsseln:

• Während der Vorgang zur erneuten Verschlüsselung läuft, können Sie keine anderen Verwaltungsvorgänge auf der Instanz ausführen.
• Durch die Neuverschlüsselung wird eine auf der Größe der Instanz oder des Replikats basierende Ausfallzeit ausgelöst.
• Replikate einer Instanz werden nicht neu verschlüsselt, wenn eine Instanz neu verschlüsselt wird. Sie müssen jedes Replikat einzeln neu verschlüsseln.
• Sicherungen werden bei der Neuverschlüsselung einer Instanz nicht automatisch mit der neuen Schlüsselversion verschlüsselt. Wenn Sie die Sicherung oder die Wiederherstellung zu einer bestimmten Zeit nach dem Erstellen wiederherstellen möchten, müssen Sie die Cloud KMS-Schlüsselversion behalten, mit der die Sicherung verschlüsselt ist.

Informationen zur Fehlerbehebung finden Sie in der Fehlerbehebungstabelle: Erneute Verschlüsselung.

Cloud External Key Manager (Cloud EKM) verwenden

Zum Schutz von Daten in Cloud SQL-Instanzen können Sie Schlüssel verwenden, die Sie mit einem unterstützten Partner für externe Schlüsselverwaltung verwalten. Weitere Informationen finden Sie unter Cloud External Key Manager, einschließlich des Abschnitts Hinweise.

Informationen zum Erstellen eines Cloud EKM-Schlüssels finden Sie unter Cloud EKM-Schlüssel verwalten. Nachdem ein Schlüssel erstellt wurde, geben Sie den Namen des Schlüssels an, wenn Sie eine Cloud SQL-Instanz erstellen.

Sie können Key Access Justifications (KAJ) als Teil von Cloud EKM verwenden. KAJ ermöglicht es Ihnen, den Grund für jede Cloud EKM-Anfrage aufzurufen. Basierend auf der Begründung können Sie eine Anfrage außerdem automatisch genehmigen oder ablehnen. Weitere Informationen finden Sie in der Übersicht.

Damit bietet KAJ eine zusätzliche Kontrolle über Ihre Daten. Dazu stellt es für jeden Versuch zum Entschlüsseln der Daten eine Begründung bereit.

Google hat keine Kontrolle über die Verfügbarkeit von Schlüsseln in einem Partnersystem für die externe Schlüsselverwaltung.

Schlüsselversionen deaktivieren und reaktivieren

Sehen Sie sich die folgenden Themen an:

• Aktivierte Schlüsselversion deaktivieren
• Deaktivierte Schlüsselversion aktivieren

Fehlerbehebung

In diesem Abschnitt wird beschrieben, welche Maßnahmen Sie ergreifen können, wenn Sie beim Einrichten oder Verwenden von CMEK-fähigen Instanzen eine Fehlermeldung erhalten.

Cloud SQL-Administratorvorgänge wie Erstellen, Klonen oder Aktualisieren können aufgrund von Cloud KMS-Fehlern und fehlenden Rollen oder Berechtigungen fehlschlagen. Häufige Gründe für einen Fehler sind eine fehlende, deaktivierte oder gelöschte Cloud KMS-Schlüsselversion, unzureichende IAM-Berechtigungen für den Zugriff auf die Cloud KMS-Schlüsselversion oder wenn sich die Cloud KMS-Schlüsselversion in einer anderen Region als die Cloud SQL-Instanz befindet. Verwenden Sie die folgende Tabelle zur Fehlerbehebung, um häufige Probleme zu diagnostizieren und zu beheben.

Tabelle zur Fehlerbehebung für vom Kunden verwaltete Verschlüsselungsschlüssel

Fehlerbehebungstabelle: Erneute Verschlüsselung

Nächste Schritte

• Zugriff auf die Instanz konfigurieren
• Mit einem Client eine Verbindung zur Instanz herstellen
• Datenbank auf der Instanz erstellen
• Daten in die Instanz importieren
• Nutzer auf der Instanz erstellen
• Instanzeinstellungen
• Key Access Justifications zu Ihren Schlüsseln hinzufügen.