Kundenverwaltete Verschlüsselungsschlüssel verwenden

In Workflows werden inaktive Kundeninhalte standardmäßig verschlüsselt. Die Verschlüsselung wird von Workflows durchgeführt. Sie müssen nichts weiter tun. Diese Option wird Google-Standardverschlüsselung genannt.

Wenn Sie Ihre Verschlüsselungsschlüssel selbst verwalten möchten, können Sie vom Kunden verwaltete Verschlüsselungsschlüssel (CMEKs, Customer-Managed Encryption Keys) in Cloud KMS mit CMEK-integrierten Diensten wie Workflows verwenden. Mit Cloud KMS-Schlüsseln haben Sie die Kontrolle über Schutzlevel, Speicherort, Rotationszeitplan, Nutzungs- und Zugriffsberechtigungen sowie über kryptografische Grenzen. Mit Cloud KMS können Sie außerdem die Schlüsselnutzung im Blick behalten, Audit-Logs aufrufen und den Lebenszyklus von Schlüsseln steuern. Statt es Google zu überlassen und zu verwalten, das die symmetrischen Schlüsselverschlüsselungsschlüssel (Key Encryption Keys, KEKs) zum Schutz Ihrer Daten enthält, können Sie diese auch über Cloud KMS steuern und verwalten.

Nachdem Sie Ihre Ressourcen mit CMEKs eingerichtet haben, ähnelt der Zugriff auf Ihre Workflow-Ressourcen der Verwendung der Google-Standardverschlüsselung. Weitere Informationen zu den Verschlüsselungsoptionen finden Sie unter Vom Kunden verwaltete Verschlüsselungsschlüssel (CMEK).

Sie können Ihren Workflow und die zugehörigen inaktiven Daten mit einem Verschlüsselungsschlüssel schützen, auf den nur Sie zugreifen können und den Sie mit Cloud KMS steuern und verwalten können.

Mit CMEK geschützte Inhalte

Beim Bereitstellen eines Workflows können Sie einen Cloud KMS-Schlüssel angeben. Mit diesem Schlüssel werden der Workflow und seine Ausführungen verschlüsselt:

• Für einen Workflow ist eine Quelldatei mit einer gültigen Workflowdefinition erforderlich. Diese Quelldatei wird mit dem Schlüssel verschlüsselt.

• Bei einer Workflowausführung wird die aktuelle Workflowdefinition (eine bestimmte Workflow-Überarbeitung) ausgeführt. Mit dem Schlüssel, der der Workflow-Version zum Zeitpunkt der Bereitstellung zugewiesen ist, werden der kompilierte Workflow sowie alle gespeicherten Ausführungs-Eingabe-, -Ausgabe- und -Laufzeitdaten verschlüsselt. Dazu gehören Ausführungsargumente, Ergebnisse, Fehler und Ausnahmen, gesendete Eventarc-Ereignisse sowie Rückruf- und HTTP-Anfragen und ‑Antworten.

Hinweise

Führen Sie die folgenden Schritte aus, bevor Sie CMEK in Workflows verwenden:

1. Aktivieren Sie die APIs.

   Console

   1. Enable the Cloud KMS and Workflows APIs.

      Enable the APIs

   gcloud

   1. In the Google Cloud console, activate Cloud Shell.

      Activate Cloud Shell

      At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

   2. Aktualisieren Sie die gcloud-Komponenten:

      gcloud components update

   3. Aktivieren Sie die Cloud KMS und Workflows APIs für das Projekt, in dem Ihre Verschlüsselungsschlüssel gespeichert werden.

      gcloud services enable cloudkms.googleapis.com workflows.googleapis.com

2. Cloud KMS erstellt Cloud-Audit-Logs, wenn Schlüssel aktiviert, deaktiviert oder von Workflow-Ressourcen zum Verschlüsseln und Entschlüsseln von Daten verwendet werden. Achten Sie darauf, dass für die Cloud KMS API in Ihrem Projekt Logging aktiviert ist , und dass Sie festgelegt haben, welche protokollspezifischen Berechtigungen und Rollen für Ihren Anwendungsfall gelten. Weitere Informationen finden Sie unter Audit-Logging-Informationen in Cloud KMS.

Cloud KMS-Schlüsselbund und -Schlüssel erstellen

Sie können einen neuen Schlüsselbund erstellen oder einen vorhandenen verwenden. Im Schlüsselbund können Sie einen neuen Schlüssel hinzufügen oder einen vorhandenen verwenden.

1. Erstellen Sie einen Schlüsselbund.

2. Schlüssel für einen bestimmten Schlüsselbund erstellen

Ressourcen-ID für einen Cloud KMS-Schlüssel abrufen

Die Ressourcen-ID für einen Cloud KMS-Schlüssel ist erforderlich, wenn Sie CMEK für einen Workflow aktivieren. Weitere Informationen finden Sie in diesem Dokument unter CMEK für einen Workflow aktivieren.

Dem Workflows-Dienst-Agent Zugriff auf den Schlüssel gewähren

Sie müssen dem Workflows-Dienst-Agent die IAM-Rolle Cloud KMS CryptoKey-Verschlüsseler/Entschlüsseler zuweisen, damit er auf den Cloud KMS-Schlüssel zugreifen kann:

gcloud kms keys add-iam-policy-binding KEY_NAME \
    --keyring RING_NAME \
    --location LOCATION \
    --member serviceAccount:service-PROJECT_NUMBER@gcp-sa-workflows.iam.gserviceaccount.com \
    --role roles/cloudkms.cryptoKeyEncrypterDecrypter

Solange der Dienst-Agent die Rolle roles/cloudkms.cryptoKeyEncrypterDecrypter hat, kann ein Workflow in Ihrem Projekt seine Daten mit dem CMEK-Schlüssel verschlüsseln und entschlüsseln. Wenn Sie diese Rolle widerrufen oder den CMEK-Schlüssel deaktivieren oder löschen, kann nicht auf diese Daten zugegriffen werden. Siehe Cloud KMS deaktivieren in diesem Dokument.

CMEK für einen Workflow aktivieren

Wenn Sie einen Workflow erstellen oder ihn später aktualisieren, können Sie den Cloud KMS-Schlüssel angeben, der vom Workflow für die Datenverschlüsselung verwendet werden soll.

gcloud workflows deploy WORKFLOW_NAME \
    --source=SOURCE_FILE \
    --kms-key=KEY \
    --location LOCATION \
    --service-account=SERVICE_ACCOUNT

Wichtige Hinweise:

• Workflow-Überarbeitungen und -Ausführungen werden mit dem Schlüssel verschlüsselt, der bei der Bereitstellung angegeben wurde. Ressourcen, die zuvor mit einem früheren Schlüssel verschlüsselt wurden, bleiben mit diesem früheren Schlüssel verschlüsselt. Wenn ein Workflow später bearbeitet und ein neuer Schlüssel angegeben wird, wird diese Version des Workflows mit dem neuen Schlüssel verschlüsselt und alle nachfolgenden Ausführungen verwenden den neuen Schlüssel.
• Bisher nicht mit CMEK verschlüsselte Workflow-Überarbeitungen und -Ausführungen bleiben unverschlüsselt.
• Wenn Sie CMEK für eine Workflow-Version deaktivieren, werden alle nachfolgenden Ausführungen ohne CMEK-Verschlüsselung erstellt. Weitere Informationen finden Sie in diesem Dokument unter CMEK für einen Workflow deaktivieren. Vorhandene Workflow-Überarbeitungen und ‑Ausführungen bleiben mit den Schlüsseln verschlüsselt, mit denen sie zuvor verschlüsselt wurden.

Cloud KMS-Integration prüfen

Sie können die CMEK-Integration prüfen, indem Sie die Metadaten für einen Workflow anzeigen.

gcloud workflows describe WORKFLOW_NAME \
    --location=LOCATION

createTime: '2022-08-10T19:57:58.233177709Z'
cryptoKeyName: projects/PROJECT_NAME/locations/LOCATION/keyRings/RING_NAME/cryptoKeys/KEY_NAME
name: projects/PROJECT_NAME/locations/LOCATION/workflows/WORKFLOW_NAME
revisionCreateTime: '2022-11-18T19:44:04.933633237Z'
revisionId: 000009-8be
serviceAccount: projects/PROJECT_NAME/serviceAccounts/SA_NAME@PROJECT_NAME.iam.gserviceaccount.com
sourceContents:
[...]
state: ACTIVE
updateTime: '2022-11-18T19:44:05.171793128Z'

CMEK für einen Workflow deaktivieren

Sie können CMEK für einen Workflow deaktivieren, sodass der zugehörige Cloud KMS-Schlüssel nicht mehr verwendet wird.

gcloud workflows deploy WORKFLOW_NAME \
    --source=SOURCE_FILE \
    --clear-kms-key \
    --service-account=SERVICE_ACCOUNT

Dadurch wird CMEK für die aktuelle Workflowversion deaktiviert und alle nachfolgenden Ausführungen werden ohne CMEK-Verschlüsselung erstellt. Vorhandene Workflow-Überarbeitungen und -Ausführungen bleiben mit den Schlüsseln verschlüsselt, mit denen sie zuvor verschlüsselt wurden.

Cloud KMS deaktivieren

Wenn Sie den Datenzugriff auf Ihren Workflow oder Ihre Workflowausführungen widerrufen möchten, können Sie Cloud KMS auf folgende Arten deaktivieren:

• Deaktivieren oder löschen Sie die Primärschlüsselversion Ihres kundenverwalteten Verschlüsselungsschlüssels. Durch das Deaktivieren einer CMEK-Schlüsselversion wird der Zugriff auf alle Daten gesperrt, die durch diese Schlüsselversion geschützt sind. Das Löschen einer Schlüsselversion ist das permanente Gegenstück dieser Aktion. Beide betreffen nur die Workflows und Workflowausführungen, die mit dem jeweiligen Schlüssel verknüpft sind. Sie können keine neuen Ausführungen erstellen oder die mit dem deaktivierten oder gelöschten Schlüssel verknüpften Ressourcen aufrufen. Alle aktiven Ausführungen schlagen mit einer entsprechenden Fehlermeldung fehl.

• Entziehen Sie dem Workflows-Dienst-Agent die IAM-Rolle cloudkms.cryptoKeyEncrypterDecrypter. Dies betrifft alle Workflows im Google Cloud-Projekt, die die Verschlüsselung mit CMEK unterstützen. Sie können keine neuen CMEK-integrierten Workflows und Ausführungen erstellen und keine CMEK-verschlüsselten Ressourcen aufrufen. Alle aktiven Ausführungen schlagen mit einer entsprechenden Fehlermeldung fehl.

Obwohl keiner der Vorgänge eine sofortige Zugriffssperre garantiert, werden IAM-Änderungen im Allgemeinen schneller übernommen. Weitere Informationen finden Sie unter Konsistenz von Cloud KMS-Ressourcen und Weitergabe von Zugriffsänderungen.

Fehlerbehebung

Bei der Verwendung von Cloud KMS mit Workflows können Fehler auftreten. In der folgenden Tabelle werden verschiedene Probleme und deren Behebung beschrieben.

Umgang mit einem nicht verfügbaren Schlüsselstatus

Wenn Cloud KMS aus irgendeinem Grund nicht verfügbar ist, kann der Status Ihres Schlüssels möglicherweise nicht aus Cloud KMS abgerufen werden.

Wenn der Schlüsselstatus nicht verfügbar ist, gibt der Workflow oder seine Ausführung einen state: UNAVAILABLE-Wert und zugehörige Details im Feld stateError zurück.

Wenn der Schlüsselstatus während der Ausführung eines Workflows nicht verfügbar ist (z. B. wenn eine Berechtigung während eines Rückrufs widerrufen wird), tritt ein Laufzeitfehler auf. Es wird der Wert state: FAILED zurückgegeben und im Feld error werden entsprechende Details angezeigt.

Preise

Durch diese Einbindung entstehen keine zusätzlichen Kosten über die Schlüsselvorgänge hinaus, die Ihrem Google Cloud-Projekt in Rechnung gestellt werden. Aktuelle Preisinformationen finden Sie unter Cloud KMS-Preise.