Informationen zu den unterstützten Connectors für Application Integration.

Vom Kunden verwaltete Verschlüsselungsschlüssel

In der Anwendungsintegration werden inaktive Kundeninhalte standardmäßig verschlüsselt. Die Verschlüsselung wird von Application Integration durchgeführt. Zusätzliche Maßnahmen Ihrerseits sind nicht erforderlich. Diese Option wird Google-Standardverschlüsselung genannt.

Wenn Sie Ihre Verschlüsselungsschlüssel selbst verwalten möchten, können Sie vom Kunden verwaltete Verschlüsselungsschlüssel (CMEKs, Customer-Managed Encryption Keys) in Cloud KMS mit CMEK-integrierten Diensten wie der Anwendungsintegration verwenden. Mit Cloud KMS-Schlüsseln haben Sie die Kontrolle über Schutzlevel, Speicherort, Rotationszeitplan, Nutzungs- und Zugriffsberechtigungen sowie über kryptografische Grenzen. Mit Cloud KMS können Sie außerdem Audit-Logs aufrufen und den Lebenszyklus von Schlüsseln steuern. Statt es Google zu überlassen, die symmetrischen Schlüsselverschlüsselungsschlüssel (Key Encryption Keys, KEKs) zum Schutz Ihrer Daten zu steuern und zu verwalten, können Sie diese auch über Cloud KMS steuern und verwalten.

Nachdem Sie Ihre Ressourcen mit CMEKs eingerichtet haben, ähnelt der Zugriff auf Ihre Ressourcen für die Anwendungsintegration der Verwendung der Google-Standardverschlüsselung. Weitere Informationen zu den Verschlüsselungsoptionen finden Sie unter Vom Kunden verwaltete Verschlüsselungsschlüssel (CMEK).

Hinweise

Führen Sie die folgenden Aufgaben aus, bevor Sie CMEK für die Anwendungsintegration verwenden:

  1. Aktivieren Sie die Cloud KMS API für das Projekt, in dem Ihre Verschlüsselungsschlüssel gespeichert werden.

    Cloud KMS API aktivieren

  2. Weisen Sie die IAM-Rolle Cloud KMS Admin zu oder gewähren Sie dem Projekt, in dem Ihre Verschlüsselungsschlüssel gespeichert werden, die folgenden IAM-Berechtigungen:
    • cloudkms.cryptoKeys.setIamPolicy
    • cloudkms.keyRings.create
    • cloudkms.cryptoKeys.create

    Informationen zum Zuweisen zusätzlicher Rollen oder Berechtigungen finden Sie unter Zugriff auf Ressourcen erteilen, ändern und entziehen.

  3. Erstellen Sie einen Schlüsselbund und einen Schlüssel.

Dienstkonto zum CMEK-Schlüssel hinzufügen

Wenn Sie einen CMEK-Schlüssel in der Anwendungsintegration verwenden möchten, müssen Sie dafür sorgen, dass Ihr Standarddienstkonto hinzugefügt und ihm die IAM-Rolle CryptoKey-Verschlüsseler/-Entschlüsseler für diesen CMEK-Schlüssel zugewiesen wird.

  1. Rufen Sie in der Google Cloud Console die Seite Schlüsselinventar auf.

    Seite „Wichtiges Inventar“ aufrufen

  2. Klicken Sie das Kästchen für den gewünschten CMEK-Schlüssel an.

    Der Tab Berechtigungen im rechten Fensterbereich wird verfügbar.

  3. Klicken Sie auf Hauptkonto hinzufügen und geben Sie die E-Mail-Adresse des Standarddienstkontos ein.
  4. Klicken Sie auf Rolle auswählen und wählen Sie in der Drop-down-Liste die Rolle Cloud KMS CryptoKey-Verschlüsseler/Entschlüsseler aus.
  5. Klicken Sie auf Speichern.

CMEK-Verschlüsselung für eine Region für die Anwendungsintegration aktivieren

Mit CMEK können auf PDs gespeicherte Daten im Bereich der bereitgestellten Region verschlüsselt und entschlüsselt werden.

So aktivieren Sie die CMEK-Verschlüsselung für eine Region der Anwendungsintegration in Ihrem Google Cloud-Projekt:
  1. Rufen Sie in der Google Cloud Console die Seite Application Integration auf.

    Gehen Sie zu „Application Integration“ (Anwendungsintegration).

  2. Klicken Sie im Navigationsmenü auf Regionen.

    Die Seite Regionen wird angezeigt. Dort sind die bereitgestellten Regionen für Application Integration aufgeführt.

  3. Klicken Sie für die vorhandene Integration, für die Sie CMEK verwenden möchten, auf Aktionen und wählen Sie Verschlüsselung bearbeiten aus.
  4. Maximieren Sie im Bereich Verschlüsselung bearbeiten den Abschnitt Erweiterte Einstellungen.
  5. Wählen Sie Vom Kunden verwalteten Verschlüsselungsschlüssel (CMEK) verwenden aus und gehen Sie so vor:
    1. Wählen Sie einen CMEK-Schlüssel aus der Drop-down-Liste aus. Die im Drop-down-Menü aufgeführten CMEK-Schlüssel basieren auf der bereitgestellten Region. Informationen zum Erstellen eines neuen Schlüssels finden Sie unter Neuen CMEK-Schlüssel erstellen.
    2. Klicken Sie auf Überprüfen, um zu prüfen, ob Ihr Standarddienstkonto Kryptoschlüsselzugriff auf den ausgewählten CMEK-Schlüssel hat.
    3. Wenn die Überprüfung für den ausgewählten CMEK-Schlüssel fehlschlägt, klicken Sie auf Zuweisen, um dem Standarddienstkonto die IAM-Rolle CryptoKey-Verschlüsseler/Entschlüsseler zuzuweisen.
  6. Klicken Sie auf Fertig.

Neuen CMEK erstellen

Sie können einen neuen CMEK-Schlüssel erstellen, wenn Sie den vorhandenen Schlüssel nicht verwenden möchten oder keinen Schlüssel in der angegebenen Region haben.

Führen Sie im Dialogfeld Neuen Schlüssel erstellen die folgenden Schritte aus, um einen neuen symmetrischen Verschlüsselungsschlüssel zu erstellen:
  1. Wählen Sie „Schlüsselbund“ aus:
    1. Klicken Sie auf Schlüsselbund und wählen Sie einen vorhandenen Schlüsselbund in der angegebenen Region aus.
    2. Wenn Sie einen neuen Schlüsselbund für Ihren Schlüssel erstellen möchten, klicken Sie auf die Ein/Aus-Schaltfläche Schlüsselbund erstellen und führen Sie die folgenden Schritte aus:
      1. Klicken Sie auf Schlüsselbundname und geben Sie einen Namen für den Schlüsselbund ein.
      2. Klicken Sie auf Ort für den Schlüsselbund und wählen Sie den regionalen Standort Ihres Schlüsselbunds aus.
    3. Klicken Sie auf Weiter.
  2. Schlüssel erstellen:
    1. Klicken Sie auf Schlüsselname und geben Sie einen Namen für den neuen Schlüssel ein.
    2. Klicken Sie auf Schutzniveau und wählen Sie entweder Software oder HSM aus.

      Informationen zu den Schutzniveaus finden Sie unter Cloud KMS-Schutzniveaus.

  3. Überprüfen Sie die Details zum Schlüssel und Schlüsselring und klicken Sie auf Weiter.
  4. Klicken Sie auf Erstellen.

Verschlüsselte Daten

In der folgenden Tabelle sind die Daten aufgeführt, die in der Anwendungsintegration verschlüsselt werden:

Ressource Verschlüsselte Daten
Integrationsdetails
  • Parameter für die Aufgabenkonfiguration
  • Beschreibungen der Aufgabenkonfiguration
Informationen zur Ausführung der Integration
  • Anfrageparameter
  • Antwortparameter
  • Details zur Aufgabenausführung
Anmeldedaten für das Authentifizierungsprofil
Details zur Genehmigungs-/Sperrungsaufgabe Konfigurationen für Genehmigungen oder Sperrungen

Cloud KMS-Kontingente und Anwendungsintegration

Wenn Sie CMEK in der Anwendungsintegration verwenden, können Ihre Projekte Kontingente für kryptografische Cloud KMS-Anfragen verbrauchen. CMEK-Schlüssel können diese Kontingente beispielsweise pro Verschlüsselungs- und Entschlüsselungsaufruf verbrauchen.

Ver- und Entschlüsselungsvorgänge über CMEK-Schlüssel wirken sich auf die Cloud KMS-Kontingente so aus:

  • Für in Cloud KMS generierte Software-CMEK-Schlüssel wird kein Cloud KMS-Kontingent verbraucht.
  • Bei Hardware-CMEK-Schlüsseln (manchmal auch Cloud HSM-Schlüssel genannt) werden Verschlüsselungs- und Entschlüsselungsvorgänge auf Cloud HSM-Kontingente in dem Projekt angerechnet, das den Schlüssel enthält.
  • Bei externen CMEK-Schlüsseln (manchmal auch Cloud EKM-Schlüssel genannt) werden Verschlüsselungs- und Entschlüsselungsvorgänge auf Cloud EKM-Kontingente in dem Projekt angerechnet, das den Schlüssel enthält.

Weitere Informationen finden Sie unter Cloud KMS-Kontingente.