CMEK für Looker (Google Cloud Core) aktivieren

Standardmäßig Google Cloud automatisch verschlüsselt Daten im inaktiven Zustand mit von Google verwalteten Verschlüsselungsschlüsseln. Wenn Sie bestimmte Compliance- oder behördliche Anforderungen in Bezug auf die Schlüssel zum Schutz Ihrer Daten haben, können Sie vom Kunden verwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK) für die Verschlüsselung auf Anwendungsebene von Looker (Google Cloud Core) verwenden.

Weitere allgemeine Informationen zu CMEK einschließlich ihrer Aktivierung finden Sie in der Dokumentation zum Cloud Key Management Service.

Auf dieser Seite wird beschrieben, wie Sie eine Looker (Google Cloud Core)-Instanz für die Verwendung von CMEK konfigurieren.

Wie interagiert Looker (Google Cloud Core) mit CMEK?

In Looker (Google Cloud Core) wird ein einzelner CMEK-Schlüssel (über eine Hierarchie von sekundären Schlüsseln) verwendet, um die sensiblen Daten zu schützen, die von der Looker (Google Cloud Core)-Instanz verwaltet werden. Beim Start ruft jeder Prozess in der Looker-Instanz einmal den Cloud Key Management Service (KMS) auf, um den Schlüssel zu entschlüsseln. Im Normalbetrieb (nach dem Start) führt die gesamte Looker-Instanz etwa alle fünf Minuten einen einzelnen Aufruf an KMS aus, um zu prüfen, ob der Schlüssel noch gültig ist.

Welche Arten von Looker (Google Cloud Core)-Instanzen unterstützen CMEK?

Looker (Google Cloud Core)-Instanzen unterstützen CMEK, wenn zwei Kriterien erfüllt sind:

• Die auf dieser Seite beschriebenen CMEK-Konfigurationsschritte werden vor dem Erstellen der Looker (Google Cloud Core)-Instanz ausgeführt. Vom Kunden verwaltete Verschlüsselungsschlüssel können nicht für vorhandene Instanzen aktiviert werden.
• Instanzversionen müssen Enterprise oder Embed sein.

Workflow zum Erstellen einer Looker (Google Cloud Core)-Instanz mit CMEK

Auf dieser Seite werden Sie durch die folgenden Schritte geführt, um CMEK für eine Looker (Google Cloud Core)-Instanz einzurichten.

1. Richten Sie Ihre Umgebung ein.
2. Nur gcloud-, Terraform- und API-Nutzer:Erstellen Sie ein Dienstkonto für jedes Projekt, für das vom Kunden verwaltete Verschlüsselungsschlüssel erforderlich sind, sofern für das Projekt nicht bereits ein Looker-Dienstkonto eingerichtet wurde.
3. Erstellen Sie einen Schlüsselbund und einen Schlüssel und legen Sie den Speicherort für den Schlüssel fest. Der Standort ist die Google Cloud-Region, in der Sie die Looker (Google Cloud Core)-Instanz erstellen möchten.
4. Nur für Google Cloud CLI-, Terraform- und API-Nutzer:Kopieren oder notieren Sie die Schlüssel-ID (KMS_KEY_ID) und den Speicherort für den Schlüssel sowie die ID (KMS_KEYRING_ID) für den Schlüsselbund. Sie benötigen diese Informationen, wenn Sie dem Dienstkonto Zugriff auf den Schlüssel gewähren.
5. Nur Nutzer der Google Cloud CLI, von Terraform und der API:Gewähren Sie dem Dienstkonto Zugriff auf den Schlüssel.
6. Rufen Sie Ihr Projekt auf und erstellen Sie eine Looker (Google Cloud Core)-Instanz mit den folgenden Optionen:
   1. Wählen Sie denselben Speicherort aus, der für den vom Kunden verwalteten Verschlüsselungsschlüssel verwendet wird.
   2. Legen Sie die Version auf Enterprise oder Embed fest.
   3. Aktivieren Sie die Konfiguration Vom Kunden verwalteter Schlüssel.
   4. Fügen Sie den vom Kunden verwalteten Verschlüsselungsschlüssel entweder nach Name oder nach ID hinzu.

Sobald alle diese Schritte abgeschlossen sind, ist CMEK für Ihre Looker (Google Cloud Core)-Instanz aktiviert.

Hinweise

Falls noch nicht geschehen, konfigurieren Sie Ihre Umgebung so, dass Sie der Anleitung auf dieser Seite folgen können. Folgen Sie der Anleitung in diesem Abschnitt, um sicherzustellen, dass Ihre Einrichtung korrekt ist.

1. Wählen Sie in der Google Cloud -Console auf der Seite für die Projektauswahl ein Google Cloud -Projekt aus oder erstellen Sie eines. Hinweis:Wenn Sie die Ressourcen, die Sie in diesem Verfahren erstellen, nicht behalten möchten, erstellen Sie ein Projekt, anstatt ein vorhandenes Projekt auszuwählen. Wenn Sie fertig sind, können Sie das Projekt löschen. Dadurch werden alle mit dem Projekt verknüpften Ressourcen entfernt.

   Zur Projektauswahl

2. Die Abrechnung für Ihr Google Cloud -Projekt muss aktiviert sein. So prüfen Sie, ob die Abrechnung für ein Projekt aktiviert ist.
3. Installieren Sie die Google Cloud CLI.

4. Führen Sie folgenden Befehl aus, um die gcloud CLI zu initialisieren:

   gcloud init
   

5. Aktivieren Sie die Cloud Key Management Service API.

   API aktivieren

6. Aktivieren Sie die Looker (Google Cloud Core) API.

   API aktivieren

Erforderliche Rollen

Informationen zu den erforderlichen Rollen für die Einrichtung von CMEK finden Sie in der Dokumentation zum Cloud Key Management Service auf der Seite Zugriffssteuerung mit IAM.

Wenn Sie eine Looker (Google Cloud Core)-Instanz erstellen möchten, benötigen Sie die IAM-Rolle Looker-Administrator für das Projekt, in dem die Looker (Google Cloud Core)-Instanz erstellt wird. Damit Sie CMEK für die Instanz in der Google Cloud -Konsole aktivieren können, müssen Sie die IAM-Rolle Cloud KMS CryptoKey-Verschlüsseler/Entschlüsseler für den Schlüssel haben, der für CMEK verwendet wird.

Wenn Sie dem Looker-Dienstkonto Zugriff auf einen Cloud KMS-Schlüssel gewähren müssen, benötigen Sie die IAM-Rolle Cloud KMS-Administrator für den verwendeten Schlüssel.

Dienstkonto erstellen

Wenn Sie die Google Cloud CLI, Terraform oder die API verwenden, um Ihre Looker (Google Cloud Core)-Instanz zu erstellen, und noch kein Looker-Dienstkonto für das Google Cloud Projekt erstellt wurde, in dem sich die Instanz befindet, müssen Sie ein Dienstkonto für dieses Projekt erstellen. Wenn Sie mehrere Looker (Google Cloud Core)-Instanzen im Projekt erstellen, gilt dasselbe Dienstkonto für alle Looker (Google Cloud Core)-Instanzen in diesem Projekt. Das Dienstkonto muss also nur einmal erstellt werden. Wenn Sie die Console zum Erstellen einer Instanz verwenden, erstellt Looker (Google Cloud Core) automatisch das Dienstkonto und gewährt ihm Zugriff auf den CMEK-Schlüssel, wenn Sie die Option Vom Kunden verwalteten Verschlüsselungsschlüssel verwenden konfigurieren.

Gewähren Sie eine der folgenden Rollen, um zuzulassen, dass ein Nutzer Dienstkonten verwalten kann:

• Dienstkontonutzer (roles/iam.serviceAccountUser): Umfasst Berechtigungen zum Auflisten von Dienstkonten, Abrufen von Details zu einem Dienstkonto und zum Übernehmen der Identität eines Dienstkontos.
• Dienstkontoadministrator (roles/iam.serviceAccountAdmin): Umfasst Berechtigungen zum Auflisten von Dienstkonten und zum Abrufen von Details zu einem Dienstkonto. Umfasst außerdem Berechtigungen zum Erstellen, Aktualisieren und Löschen von Dienstkonten.

Derzeit können Sie nur Google Cloud CLI-Befehle verwenden, um die Art von Dienstkonto zu erstellen, die Sie für vom Kunden verwaltete Verschlüsselungsschlüssel benötigen. Wenn Sie die Google Cloud -Konsole verwenden, wird dieses Dienstkonto automatisch für Sie erstellt.

gcloud beta services identity create \
--service=looker.googleapis.com \
--project=PROJECT_ID

Mit diesem Befehl wird das Dienstkonto erstellt und der Name des Dienstkontos zurückgegeben. Sie verwenden diesen Dienstkontonamen, während Sie dem Dienstkonto Zugriff auf den Schlüssel gewähren.

Warten Sie nach dem Erstellen des Dienstkontos einige Minuten, bis es übertragen wird.

Schlüsselbund und Schlüssel erstellen

Sie können den Schlüssel im selben Google Cloud -Projekt wie die Looker (Google Cloud Core)-Instanz oder in einem separaten Nutzerprojekt erstellen. Der Speicherort des Cloud KMS-Schlüsselbunds muss mit der Region übereinstimmen, in der Sie die Looker (Google Cloud Core)-Instanz erstellen möchten. Ein Schlüssel mit mehreren Regionen oder globaler Region funktioniert nicht. Die Erstellungsanfrage der Looker (Google Cloud Core)-Instanz schlägt fehl, wenn die Regionen nicht übereinstimmen.

Folgen Sie der Anleitung auf den Dokumentationsseiten Schlüsselbund erstellen und Schlüssel erstellen, um einen Schlüsselbund und einen Schlüssel zu erstellen, die die folgenden beiden Kriterien erfüllen:

• Das Feld Schlüsselbundspeicherort muss mit der Region übereinstimmen, die Sie für die Looker (Google Cloud Core)-Instanz festlegen.
• Das Feld Zweck des Schlüssels muss Symmetrisches Ver-/Entschlüsseln lauten.

Informationen zum Rotieren des Schlüssels und zum Erstellen neuer Schlüsselversionen finden Sie im Abschnitt Schlüssel rotieren.

Kopieren oder notieren Sie die KMS_KEY_ID und die KMS_KEYRING_ID.

Wenn Sie die Google Cloud CLI, Terraform oder die API zum Einrichten Ihrer Looker (Google Cloud Core)-Instanz verwenden, folgen Sie der Anleitung auf der Dokumentationsseite Cloud KMS-Ressourcen-ID abrufen, um die Ressourcen-IDs für den Schlüsselbund und den Schlüssel zu finden, die Sie gerade erstellt haben. Kopieren oder notieren Sie die Schlüssel-ID (KMS_KEY_ID) und den Speicherort für den Schlüssel sowie die ID (KMS_KEYRING_ID) für den Schlüsselbund. Sie benötigen diese Informationen, wenn Sie dem Dienstkonto Zugriff auf den Schlüssel gewähren.

Gewähren Sie dem Dienstkonto Zugriff auf den Schlüssel

Sie müssen diese Schritte nur ausführen, wenn beide der folgenden Bedingungen zutreffen:

• Sie verwenden die Google Cloud CLI, Terraform oder die API.
• Dem Dienstkonto wurde noch kein Zugriff auf den Schlüssel gewährt. Wenn es beispielsweise bereits eine Looker (Google Cloud Core)-Instanz im selben Projekt gibt, die denselben Schlüssel verwendet, müssen Sie keinen Zugriff gewähren. Wenn der Zugriff auf den Schlüssel bereits von einer anderen Person gewährt wurde, müssen Sie keinen Zugriff gewähren.

Sie benötigen die IAM-Rolle Cloud KMS-Administrator für den verwendeten Schlüssel, um dem Dienstkonto Zugriff zu gewähren.

So gewähren Sie dem Dienstkonto Zugriff:

gcloud kms keys add-iam-policy-binding KMS_KEY_ID \
--location=REGION \
--keyring=KMS_KEYRING_ID \
--member=serviceAccount:SERVICE_ACCOUNT_NAME \
--role=roles/cloudkms.cryptoKeyEncrypterDecrypter

Nachdem Sie dem Dienstkonto die IAM-Rolle zugewiesen haben, warten Sie einige Minuten, bis die Berechtigung übertragen wurde.

Looker (Google Cloud Core)-Instanz mit CMEK erstellen

Wenn Sie eine Instanz mit vom Kunden verwalteten Verschlüsselungsschlüsseln in der Google Cloud -Konsole erstellen möchten, folgen Sie zuerst der Anleitung im Abschnitt Schlüsselbund und Schlüssel erstellen, um einen Schlüsselbund und einen Schlüssel in derselben Region zu erstellen, die Sie für Ihre Looker (Google Cloud Core)-Instanz verwenden. Gehen Sie dann mit den folgenden Einstellungen der Anleitung zum Erstellen einer Looker (Google Cloud Core)-Instanz nach.

Wenn Sie eine Looker (Google Cloud Core)-Instanz mit CMEK-Einstellungen erstellen möchten, wählen Sie eine der folgenden Optionen aus:

gcloud looker instances create INSTANCE_NAME \
--project=PROJECT_ID \
--oauth-client-id=OAUTH_CLIENT_ID\
--oauth-client-secret=OAUTH_CLIENT_SECRET \
--kms-key=KMS_KEY_ID
--region=REGION \
--edition=EDITION
[--consumer-network=CONSUMER_NETWORK --private-ip-enabled --reserved-range=RESERVED_RANGE]
[--no-public-ip-enabled]
[--public-ip-enabled]

# Creates an Enterprise edition Looker (Google Cloud core) instance with full, Private IP functionality.
resource "google_looker_instance" "main" {
  name               = "my-instance"
  platform_edition   = "LOOKER_CORE_ENTERPRISE_ANNUAL"
  region             = "us-central1"
  private_ip_enabled = true
  public_ip_enabled  = false
  reserved_range     = google_compute_global_address.main.name
  consumer_network   = data.google_compute_network.main.id
  admin_settings {
    allowed_email_domains = ["google.com"]
  }
  encryption_config {
    kms_key_name = google_kms_crypto_key.main.id
  }
  maintenance_window {
    day_of_week = "THURSDAY"
    start_time {
      hours   = 22
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  deny_maintenance_period {
    start_date {
      year  = 2050
      month = 1
      day   = 1
    }
    end_date {
      year  = 2050
      month = 2
      day   = 1
    }
    time {
      hours   = 10
      minutes = 0
      seconds = 0
      nanos   = 0
    }
  }
  oauth_config {
    client_id     = "my-client-id"
    client_secret = "my-client-secret"
  }
  depends_on = [
    google_service_networking_connection.main,
    google_kms_crypto_key.main
  ]
}

resource "google_kms_key_ring" "main" {
  name     = "keyring-example"
  location = "us-central1"
}

resource "google_kms_crypto_key" "main" {
  name     = "crypto-key-example"
  key_ring = google_kms_key_ring.main.id
}

resource "google_service_networking_connection" "main" {
  network                 = data.google_compute_network.main.id
  service                 = "servicenetworking.googleapis.com"
  reserved_peering_ranges = [google_compute_global_address.main.name]
}

resource "google_compute_global_address" "main" {
  name          = "looker-range"
  purpose       = "VPC_PEERING"
  address_type  = "INTERNAL"
  prefix_length = 20
  network       = data.google_compute_network.main.id
}

data "google_project" "main" {}

data "google_compute_network" "main" {
  name = "default"
}

resource "google_kms_crypto_key_iam_member" "main" {
  crypto_key_id = google_kms_crypto_key.main.id
  role          = "roles/cloudkms.cryptoKeyEncrypterDecrypter"
  member        = "serviceAccount:service-${data.google_project.main.number}@gcp-sa-looker.iam.gserviceaccount.com"
}

Ihre Looker (Google Cloud Core)-Instanz ist jetzt mit CMEK aktiviert.

Wichtige Informationen für eine CMEK-fähige Instanz aufrufen

Nachdem Sie eine Looker (Google Cloud Core)-Instanz erstellt haben, können Sie prüfen, ob CMEK aktiviert ist.

Wählen Sie eine der folgenden Optionen aus, um zu prüfen, ob CMEK aktiviert ist:

gcloud looker instances describe INSTANCE_NAME --region=REGION --format config

Cloud External Key Manager (Cloud EKM) verwenden

Zum Schutz von Daten in Looker (Google Cloud Core)-Instanzen können Sie Schlüssel verwenden, die Sie mit einem unterstützten Partner für externe Schlüsselverwaltung verwalten. Weitere Informationen finden Sie auf der Dokumentationsseite Cloud External Key Manager, einschließlich des Abschnitts Hinweise.

Informationen zum Erstellen eines Cloud EKM-Schlüssels finden Sie im Abschnitt Funktionsweise auf der Dokumentationsseite Cloud External Key Manager. Nachdem ein Schlüssel erstellt wurde, geben Sie den Namen des Schlüssels an, wenn Sie eine Looker (Google Cloud Core)-Instanz erstellen.

Google hat keine Kontrolle über die Verfügbarkeit von Schlüsseln in einem Partnersystem für die externe Schlüsselverwaltung.

Schlüssel rotieren

Sie sollten Ihren Schlüssel rotieren, um die Sicherheit zu erhöhen. Jedes Mal, wenn Ihr Schlüssel rotiert wird, wird eine neue Schlüsselversion erstellt. Weitere Informationen zur Schlüsselrotation finden Sie auf der Dokumentationsseite Schlüsselrotation.

Wenn Sie den Schlüssel rotieren, der zum Sichern Ihrer Looker (Google Cloud Core)-Instanz verwendet wird, ist die vorherige Schlüsselversion weiterhin erforderlich, um auf Sicherungen oder Exporte zuzugreifen, die erstellt wurden, als diese Schlüsselversion verwendet wurde. Aus diesem Grund empfiehlt Google, die vorherige Schlüsselversion nach der Rotation mindestens 45 Tage lang aktiviert zu lassen, damit diese Elemente weiterhin zugänglich sind. Schlüsselversionen werden standardmäßig so lange aufbewahrt, bis sie deaktiviert oder gelöscht werden.

Schlüsselversionen deaktivieren und reaktivieren

Weitere Informationen finden Sie auf den folgenden Dokumentationsseiten:

• Aktivierte Schlüsselversion deaktivieren
• Deaktivierte Schlüsselversion aktivieren

Wenn eine Schlüsselversion, die zum Schutz einer Looker (Google Cloud Core)-Instanz verwendet wird, deaktiviert wird, muss die Looker (Google Cloud Core)-Instanz den Betrieb einstellen, alle unverschlüsselten vertraulichen Daten löschen, die sich möglicherweise im Arbeitsspeicher befinden, und warten, bis der Schlüssel wieder verfügbar ist. So läuft der Vorgang ab:

1. Die Schlüsselversion, die zum Schutz einer Looker (Google Cloud Core)-Instanz verwendet wird, ist deaktiviert.
2. Innerhalb von etwa 15 Minuten erkennt die Looker (Google Cloud Core)-Instanz, dass die Schlüsselversion widerrufen wurde, stellt den Betrieb ein und löscht alle verschlüsselten Daten im Arbeitsspeicher.
3. Nachdem die Instanz nicht mehr funktioniert, wird bei Aufrufen von Looker-APIs eine Fehlermeldung zurückgegeben.
4. Nachdem die Instanz nicht mehr funktioniert, wird in der Looker (Google Cloud Core)-Benutzeroberfläche eine Fehlermeldung zurückgegeben.
5. Wenn Sie die Schlüsselversion wieder aktivieren, müssen Sie manuell einen Neustart der Instanz auslösen.

Wenn Sie eine Schlüsselversion deaktivieren und nicht warten möchten, bis die Looker (Google Cloud Core)-Instanz von selbst beendet wird, können Sie einen Neustart der Instanz manuell auslösen, damit die Looker (Google Cloud Core)-Instanz die widerrufene Schlüsselversion sofort erkennt.

Schlüsselversionen löschen

Weitere Informationen finden Sie auf der folgenden Dokumentationsseite:

• Schlüsselversionen löschen und wiederherstellen

Wenn eine Schlüsselversion, die zum Sichern einer Looker (Google Cloud Core)-Instanz verwendet wird, zerstört wird, ist die Looker-Instanz nicht mehr zugänglich. Die Instanz muss gelöscht werden und Sie können nicht mehr auf ihre Daten zugreifen.

Fehlerbehebung

In diesem Abschnitt wird beschrieben, welche Maßnahmen Sie ergreifen können, wenn Sie beim Einrichten oder Verwenden von CMEK-fähigen Instanzen eine Fehlermeldung erhalten.

Looker (Google Cloud Core)-Administratorvorgänge wie Erstellen oder Aktualisieren können aufgrund von Cloud KMS-Fehlern und fehlenden Rollen oder Berechtigungen fehlschlagen. Häufige Gründe für einen Fehler sind eine fehlende, deaktivierte oder gelöschte Cloud KMS-Schlüsselversion, unzureichende IAM-Berechtigungen für den Zugriff auf die Cloud KMS-Schlüsselversion oder wenn sich die Cloud KMS-Schlüsselversion in einer anderen Region als die Looker (Google Cloud Core)-Instanz befindet. Verwenden Sie die folgende Tabelle zur Fehlerbehebung, um häufige Probleme zu diagnostizieren und zu beheben.

Tabelle zur Fehlerbehebung für vom Kunden verwaltete Verschlüsselungsschlüssel

Nächste Schritte

• Looker (Google Cloud Core)-Instanz über die Google Cloud Console verwalten
• Looker (Google Cloud Core)-Administratoreinstellungen