Vom Kunden verwaltete Verschlüsselungsschlüssel (Customer Managed Encryption Keys, CMEK) verwenden

Console

Sie können keinen Dienst-Agent in der Google Cloud Console erstellen. Wenn Sie jedoch Ihren Schlüssel in der Google Cloud Console erstellen, werden Sie aufgefordert, die Rolle Cloud KMS-Verschlüsseler/Entschlüsseler zu gewähren. Der Dienst-Agent wird jetzt erstellt, wenn er noch nicht vorhanden ist.

gcloud

1. Führen Sie den Befehl gcloud services identity create aus, um den Dienst-Agent aufzurufen, den Bigtable für den Zugriff auf den CMEK-Schlüssel in Ihrem Namen verwendet. Mit diesem Befehl wird das Dienstkonto erstellt, falls es noch nicht vorhanden ist, und es wird angezeigt.

   gcloud beta services identity create \
       --service=bigtableadmin.googleapis.com \
       --project CBT_PROJECT
   

   Ersetzen Sie CBT_PROJECT durch das Projekt, das Ihre Bigtable-Ressourcen enthält.

   Der Befehl zeigt die Dienst-Agent-ID an, die wie eine E-Mail-Adresse formatiert ist. Zeichnen Sie den Ausgabe-E-Mail-String auf, da Sie ihn in einem späteren Schritt benötigen.

   Service identity created:
   service-xxx@gcp-sa-bigtable.iam.gserviceaccount.com
   

Console

So weisen Sie Ihrem Dienst-Agent eine Cloud KMS-Rolle zu. Sie können auch eine Berechtigung auf Schlüssel- oder Schlüsselbundebene gewähren, wenn Sie einen niedrigeren Detaillierungsgrad benötigen.

1. Öffnen Sie in der Google Cloud Console die Seite IAM.

   Zur Seite "IAM"

2. Klicken Sie auf Add.

3. Geben Sie die wie eine E-Mail-Adresse formatierte ID für den Bigtable-Dienst-Agent ein.

4. Wählen Sie die Rolle Cloud KMS CryptoKey-Verschlüsseler/Entschlüsseler aus.

5. Klicken Sie auf Speichern.

gcloud

1. Weisen Sie Ihrem Dienst-Agent die Rolle cloudkms.cryptoKeyEncrypterDecrypter zu:

   gcloud kms keys add-iam-policy-binding KMS_KEY \
       --keyring KMS_KEYRING\
       --location KMS_LOCATION \
       --member serviceAccount:SERVICE_ACCOUNT_EMAIL \
       --role roles/cloudkms.cryptoKeyEncrypterDecrypter \
       --project KMS_PROJECT
   

   Machen Sie folgende Angaben:

   • KMS_KEY: Name, den Sie dem Schlüssel zugewiesen haben
   • KMS_KEYRING: Der KMS-Schlüsselbund, der den Schlüssel enthält
   • KMS_LOCATION: Region, die den Schlüsselbund enthält
   • SERVICE_ACCOUNT_EMAIL: die wie eine E-Mail-Adresse formatierte Kennzeichnung für den Dienst-Agent, dem Sie Zugriff gewähren
   • KMS_PROJECT: das Projekt, das den Schlüssel enthält

Console

1. Rufen Sie in der Google Cloud Console die Seite „Bigtable-Instanzen” auf.

   Liste der Instanzen öffnen

2. Klicken Sie auf den Namen der Instanz, die die Tabelle enthält, um die Seite Instanzdetails zu öffnen und die Liste der Cluster in der Instanz aufzurufen.

3. Klicken Sie neben einer Cluster-ID unter Verschlüsselungsschlüssel auf den Schlüsselnamen, um die Seite Versionen für den Schlüssel des Clusters aufzurufen.

gcloud

Sie können die CMEK-Konfiguration für jeden Cluster so prüfen:

    gcloud bigtable clusters describe CLUSTER_ID \
        --instance INSTANCE_ID --project CBT_PROJECT

Machen Sie folgende Angaben:

• CLUSTER_ID: Die permanente Kennzeichnung des Clusters
• INSTANCE_ID: Die permanente Kennzeichnung der Instanz
• CBT_PROJECT: Das Projekt, das Ihre Bigtable-Ressourcen enthält

Die Befehlsausgabe sollte in etwa so aussehen:

    defaultStorageType: SSD
    encryptionConfig:
      kmsKeyName: projects/cloud-kms-project/locations/us-central1/keyRings/cloud-bigtable-keys/cryptoKeys/my-cmek-key
    location: projects/cloud-bigtable-project/locations/us-central1-a
    name: projects/cloud-bigtable-project/instances/cmek-test-instance/clusters/my-cluster
    serveNodes: 1
    state: READY

Console

Dies ist die empfohlene Methode. Mit der Google Cloud Console können Sie alle Versionen eines Schlüssels gleichzeitig deaktivieren.

Folgen Sie dieser Anleitung für jede Schlüsselversion.

gcloud

Wir empfehlen die Verwendung der Google Cloud Console zum Deaktivieren von Schlüsseln. Wenn Sie stattdessen die Google Cloud CLI verwenden möchten, führen Sie die folgenden Befehle aus.

1. Listen Sie alle Versionen des CMEK-Schlüssels auf:

   gcloud kms keys versions list --key KMS_KEY \
       --keyring KMS_KEYRING --location KMS_LOCATION \
       --project KMS_PROJECT
   

   Machen Sie folgende Angaben:

   • KMS_KEY: Name des CMEK-Schlüssels
   • KMS_KEYRING: Der KMS-Schlüsselbund, der den Schlüssel enthält
   • KMS_LOCATION: Region, die den Schlüsselbund enthält
   • KMS_PROJECT: das Projekt, das den Schlüssel enthält

   Die Ausgabe sieht etwa so aus:

   NAME                                  STATE
   KMS_KEY_NAME/cryptoKeyVersions/1      ENABLED
   KMS_KEY_NAME/cryptoKeyVersions/2      ENABLED
   KMS_KEY_NAME/cryptoKeyVersions/3      ENABLED
   KMS_KEY_NAME/cryptoKeyVersions/4      ENABLED
   

2. Alle Versionen deaktivieren:

   for $KV in 1 2 3 4;
   do
   gcloud kms keys versions disable KV --key KMS_KEY \
       --keyring KMS_KEYRING --location KMS_LOCATION \
       --project KMS_PROJECT;
   done
   

   Machen Sie folgende Angaben:

   • 1 2 3 4: Die Versionen, die Sie deaktivieren
   • KMS_KEY: Name des CMEK-Schlüssels
   • KMS_KEYRING: Der KMS-Schlüsselbund, der den Schlüssel enthält
   • KMS_LOCATION: Region, die den Schlüsselbund enthält
   • KMS_PROJECT: das Projekt, das den Schlüssel enthält

   Wenn Sie alle Schlüsselversionen noch einmal auflisten, wird ihr Status nun als DISABLED angezeigt. Es kann jedoch bis zu vier Stunden dauern, bis Bigtable auf diese Statusänderung reagiert.

3. [Optional] Führen Sie den folgenden Befehl aus, um den Status eines deaktivierten CMEK nach einer Wartezeit von 4 Stunden zu bestätigen:

    gcloud bigtable instances tables describe TABLE_ID \
        --instance INSTANCE_ID --view ENCRYPTION \
        --project CBT_PROJECT
   

   Machen Sie folgende Angaben:

   • TABLE_ID: Die permanente Kennzeichnung der Tabelle
   • INSTANCE_ID: Die permanente Kennzeichnung der Instanz
   • CBT_PROJECT: Das Projekt, das Ihre Bigtable-Ressourcen enthält

   Die Befehlsausgabe sollte in etwa so aussehen:

   clusterStates:
     CLUSTER:
       encryptionInfo:
       - encryptionStatus:
           code: 9
           details:
           - '@type': type.googleapis.com/google.rpc.PreconditionFailure
             violations:
             - subject: KMS_KEY_NAME/cryptoKeyVersions/<int>
               type: KEY_DISABLED
           message: KMS_KEY_NAME is not enabled, current state is: DISABLED.
         encryptionType: CUSTOMER_MANAGED_ENCRYPTION
         kmsKeyVersion: KMS_KEY_NAME/cryptoKeyVersions/<int>
   name: projects/CBT_PROJECT/instances/INSTANCE/tables/TABLE
   

4. [Optional] Führen Sie den folgenden Befehl aus, um zu überprüfen, ob die Cluster in der Instanz deaktiviert sind:

   gcloud bigtable clusters list --instances INSTANCE_ID
       --project CBT_PROJECT
   

   Machen Sie folgende Angaben:

   • INSTANCE_ID: Die permanente Kennzeichnung der Instanz
   • CBT_PROJECT: Das Projekt, das Ihre Bigtable-Ressourcen enthält

   Die Befehlsausgabe sollte in etwa so aussehen:

   NAME              ZONE           NODES  STORAGE    STATE
   my-cluster        us-central1-a  1      SSD        DISABLED
   my-other-cluster  us-central1-b  1      SSD        DISABLED
   

Console

Dies ist die empfohlene Methode. Mit der Google Cloud Console können Sie alle Versionen eines Schlüssels auf einmal aktivieren.

Folgen Sie dieser Anleitung für jede Schlüsselversion.

gcloud

Wir empfehlen die Verwendung der Google Cloud Console zum Aktivieren von Schlüsseln. Wenn Sie stattdessen die Google Cloud CLI verwenden möchten, führen Sie die folgenden Befehle aus.

1. Sehen Sie sich die Versionsliste an, um alle Versionen des Schlüssels zu ermitteln:

   gcloud kms keys versions list --key KMS_KEY \
       --keyring KMS_KEYRING --location KMS_LOCATION \
       --project KMS_PROJECT
   

   Machen Sie folgende Angaben:

   • KMS_KEY: Name des CMEK-Schlüssels
   • KMS_KEYRING: Der KMS-Schlüsselbund, der den Schlüssel enthält
   • KMS_LOCATION: Region, die den Schlüsselbund enthält
   • KMS_PROJECT: das Projekt, das den Schlüssel enthält

   Die Befehlsausgabe sollte in etwa so aussehen:

   NAME                                  STATE
   KMS_KEY_NAME/cryptoKeyVersions/1      DISABLED
   KMS_KEY_NAME/cryptoKeyVersions/2      DISABLED
   KMS_KEY_NAME/cryptoKeyVersions/3      DISABLED
   KMS_KEY_NAME/cryptoKeyVersions/4      DISABLED
   

   Führen Sie den Befehl kms keys versions enable aus, wodurch alle Versionen bereitgestellt werden, die aufgelistet sind. In der Beispielausgabe sieht der Befehl in etwa so aus:

   for $KV in 1 2 3 4;
   do
   gcloud kms keys versions enable KV --key KMS_KEY \
       --keyring KMS_KEYRING --location KMS_LOCATION \
       --project KMS_PROJECT;
   done
   

   Machen Sie folgende Angaben:

   • 1 2 3 4: Die Versionen, die Sie deaktivieren
   • KMS_KEY: Name des CMEK-Schlüssels
   • KMS_KEYRING: Der KMS-Schlüsselbund, der den Schlüssel enthält
   • KMS_LOCATION: Region, die den Schlüsselbund enthält
   • KMS_PROJECT: das Projekt, das den Schlüssel enthält

   Wenn Sie die Schlüsselversionen noch einmal auflisten, ist der Status wieder auf ENABLED gesetzt.

Console

Sie können den Verschlüsselungsstatus einer Tabelle nicht in der Google Cloud Console aufrufen.

gcloud

Wenn Sie die CMEK-Details in einer Tabelle ansehen möchten, setzen Sie view auf ENCRYPTION oder FULL. Die Antwort enthält die verwendete Schlüsselversion und deren Status, wie sie von Bigtable erkannt wird.

    gcloud alpha bigtable instances tables describe TABLE_ID \
        --instance INSTANCE_ID --view ENCRYPTION \
        --project CBT_PROJECT

Machen Sie folgende Angaben:

• TABLE_ID: Die permanente Kennzeichnung des Clusters
• INSTANCE_ID: die permanente Kennung der Instanz, die die Sicherung enthält
• CBT_PROJECT: Das Projekt, das Ihre Bigtable-Ressourcen enthält

Die Befehlsausgabe sollte in etwa so aussehen:

    clusterStates:
      my-cluster:
        encryptionInfo:
        - encryptionStatus: {}
          encryptionType: CUSTOMER_MANAGED_ENCRYPTION
          kmsKeyVersion: KMS_KEY_NAME/cryptoKeyVersions/4
      my-other-cluster:
        encryptionInfo:
        - encryptionStatus: {}
          encryptionType: CUSTOMER_MANAGED_ENCRYPTION
          kmsKeyVersion: KMS_KEY_NAME/cryptoKeyVersions/4
      name: projects/cloud-bigtable-project/instances/cmek-test-instance/tables/my-table

Console

1. Rufen Sie in der Google Cloud Console die Seite „Bigtable-Instanzen” auf.

   Liste der Instanzen öffnen

2. Klicken Sie auf den Instanznamen, um die Seite Instanzdetails zu öffnen.

3. Klicken Sie im linken Navigationsbereich auf Sicherungen.

Der Schlüsselname und die Schlüsselversion für jede Sicherung werden unter Vom Kunden verwalteter Schlüssel aufgeführt.

gcloud

Führen Sie den folgenden Befehl aus, um sich Verschlüsselungsinformationen für eine Sicherung anzeigen zu lassen.

    gcloud alpha bigtable backups describe BACKUP_ID \
        --instance INSTANCE_ID --cluster CLUSTER_ID \
        --project CBT_PROJECT

Machen Sie folgende Angaben:

• BACKUP_ID: die der Sicherung zugewiesene ID
• CLUSTER_ID: Die permanente Kennzeichnung des Clusters
• INSTANCE_ID: die permanente Kennung der Instanz, die die Sicherung enthält
• CBT_PROJECT: Das Projekt, das Ihre Bigtable-Ressourcen enthält

Die Ausgabe des Befehls sieht in etwa so aus. kmsKeyVersion ist die CMEK-Schlüsselversion, an die die Sicherung angepinnt ist. Der Status der Schlüsselversion wird nicht gemeldet.

    encryptionInfo:
      encryptionStatus:
        code: 2
        message: Status of the associated key version is not tracked.
      encryptionType: CUSTOMER_MANAGED_ENCRYPTION
      kmsKeyVersion: KMS_KEY_NAME/cryptoKeyVersions/3
    endTime: '2020-09-01T00:03:26.568600Z'
    expireTime: '2020-09-02T00:03:25.436473Z'
    name: projects/cloud-bigtable-project/instances/cmek-test-instance/clusters/my-cluster/backups/my-backup
    sizeBytes: '3780'