Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
Die Aufgabentrennung ist ein Konzept, mit dem verhindert werden soll, dass eine Person allein über alle Berechtigungen verfügt, die notwendig sind, um bösartige Aktionen ausführen zu können. Im Cloud Key Management Service könnte eine solche Aktion z. B. darin bestehen, dass ein Nutzer mit einem Schlüssel auf Daten zugreift und sie entschlüsselt, obwohl er eigentlich keinen Zugriff haben sollte.
Die Aufgabentrennung ist eine Form der Unternehmenssteuerung, die in der Regel in größeren Organisationen umgesetzt wird. Sie dient dazu, Sicherheits- und Datenschutzvorfälle sowie Fehler zu vermeiden und
gilt als Best Practice.
Cloud KMS kann in einem bereits vorhandenen Projekt ausgeführt werden, z. B. your-project. Dies ist sinnvoll, wenn die mit Cloud KMS-Schlüsseln verschlüsselten Daten im selben Projekt gespeichert sind.
Jeder Nutzer mit owner-Zugriff auf das Projekt kann dann jedoch in diesem Projekt ebenfalls Schlüssel in Cloud KMS verwalten und kryptografische Vorgänge ausführen. Das liegt daran, dass die Schlüssel zu dem Projekt gehören, dessen owner der Nutzer ist.
Um hier eine Aufgabentrennung zu ermöglichen, können Sie Cloud KMS in einem eigenen Projekt ausführen, beispielsweise your-key-project. Je nachdem, wie strikt die Aufgabentrennung durchgesetzt werden muss, können Sie so vorgehen:
(Empfohlen) Erstellen Sie your-key-project ohne owner auf Projektebene und legen Sie einen Organisationsadministrator auf Organisationsebene fest.
Im Gegensatz zu einem owner kann ein Organisationsadministrator Schlüssel nicht direkt verwalten oder verwenden.
Sie sind auf das Festlegen von IAM-Richtlinien beschränkt, die festlegen, wer Schlüssel verwalten und verwenden kann. Mit einem Knoten auf Organisationsebene können Sie Berechtigungen für Projekte in Ihrer Organisation weiter einschränken.
(Nicht empfohlen) Wenn Sie die owner-Rolle weiter benutzen müssen, sollten Sie diese einem anderen Hauptkonto in your-key-project als dem Hauptkonto zuordnen, das derowner von your-project ist. Der owner kann weiterhin Schlüssel verwenden, jedoch nur in einem einzelnen Projekt.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-08-18 (UTC)."],[],[],null,["# Separation of duties\n\n*Separation of duties* is the concept of ensuring that one individual does not\nhave all necessary permissions to be able to complete a malicious action. In\nCloud Key Management Service, this could be an action such as using a key to access and decrypt\ndata which that user should not normally have access to.\n\nSeparation of duties is a business control typically used in larger\norganizations, meant to help avoid security or privacy incidents and errors.\nIt is considered best practice.\n\nFor further guidance, see our [documentation on using Identity and Access Management securely](/iam/docs/using-iam-securely).\n\nSetting up Cloud KMS in a separate project\n------------------------------------------\n\nCloud KMS could be run in an existing project, for example `your-project`, and\nthis might be sensible if the data being encrypted with keys in Cloud KMS is\nstored in the same project.\n\nHowever, any user with `owner` access on that project is then also able to\nmanage (and perform cryptographic operations with)\nkeys in Cloud KMS in that project. This is because the keys themselves are owned\nby the\nproject, of which the user is an `owner`.\n\nInstead, to allow for a separation of duties, you could run Cloud KMS in its\nown project, for example `your-key-project`. Then, depending on the strictness\nof your separation requirements, you could either:\n\n- (**recommended** ) Create `your-key-project` without an `owner` at the project level, and designate an Organization Admin [granted at the organization-level](/resource-manager/docs/quickstart#grant_roles_at_the_organization_level). Unlike an `owner`, an Organization Admin can't manage or use keys directly. They are restricted to setting IAM policies, which restrict who can manage and use keys. Using an organization-level node, you can further restrict permissions for projects in your organization.\n- (not recommended) If you must continue to use the `owner` role, ensure that it is granted to a different principal in `your-key-project` than the principal who is the `owner` of `your-project`. The `owner` can still use keys, but only in a single project."]]
