Übersicht über den Datenstandort

Übersicht

Auf dieser Seite wird erläutert, wie Sie mit Cloud SQL Datenstandort-anforderungen erzwingen.

Datenstandort bezieht sich auf den physischen Speicherort von Daten und die lokalen Vorschriften, die festlegen, wie Sie diese Daten speichern, verschlüsseln und darauf zugreifen. Wenn sich die Datenschutzbestimmungen der Länder weiterentwickeln, wird es immer wichtiger, dass Sie wissen, wie Sie die lokalen Anforderungen an den Datenstandort erfüllen und die Daten Ihrer Nutzer schützen.

In einer traditionellen lokalen Umgebung wird der Datenstandort von verschiedenen Komponenten integriert und verarbeitet. So kann ein Unternehmen beispielsweise ein Tokenisierungs-Gateway als Cloud Access Security Broker (CASB) hosten, um Anwendungsdaten vor der Übertragung ins Ausland zu sichern.

Google Cloud und seine Dienste, einschließlich Cloud SQL, lassen sich einbinden, um Ihnen den Umgang mit Datenstandorten zu erleichtern. Zu diesem Zweck steuern Sie den Speicherort Ihrer Daten und den Zugriff auf diese Daten – von Google oder von jemand anderem.

Datenstandort im Cloud-Computing

Im Folgenden sind einige Probleme mit dem Datenstandort aufgeführt, die Sie kennen sollten:

  • Wenn die Cloud-Administratoren eines Unternehmens den physischen Standort der Daten nicht kennen, kennen sie die lokalen Vorschriften nicht. Damit Nutzer sich über die Datenstandortrichtlinien für jeden Standort informieren können, müssen Administratoren wissen, wo sich die Rechenzentren befinden.
  • Die Cloud-Administratoren des Unternehmens und dessen Anbieter können Service Level Agreements (SLAs) verwenden, um zulässige Standorte festzulegen. Was geschieht aber, wenn Ihre Daten in einer Region gespeichert werden müssen, die von den Bedingungen des SLA abweicht?
  • Nutzer müssen dafür sorgen, dass ihre Daten und alle Dienste und Ressourcen, die sie in ihren Cloud-Projekten verwenden, den Vorschriften des Datenstandorts des Hostlandes entsprechen.
    • Wie können Sie entscheiden, wo Ihre Daten und Verschlüsselungsschlüssel gespeichert werden sollen?
    • Was passiert, wenn Sie die Standorte ermitteln möchten, an denen Nutzer auf Ihre Daten zugreifen können?

Google Cloud-Dienste, einschließlich Cloud SQL, beheben einige dieser Probleme. Sie ermöglichen Ihnen Folgendes:

  • Sie können den Speicherort für Ihre Daten festlegen. Sie können die Region auswählen, wenn Sie die Cloud SQL-Instanz erstellen, oder die Region durch Bearbeiten einer vorhandenen Instanz bearbeiten.
  • Mit dem Feature zum regionenübergreifenden Lesereplikat für Cloud SQL können Sie gewährleisten, dass die Anforderungen an den Datenstandort für eine bestimmte Region erfüllt sind.
  • Sie können die Netzwerkstandorte steuern, an denen Nutzer auf Daten zugreifen können, sowie den Zugriff der Cloud-Administratoren auf diese Daten.

Es gibt drei Bereiche, in denen Cloud SQL Sie bei der Bewältigung der Herausforderungen des Datenstandorts unterstützen kann:

Daten speichern

Der Datenstandort umfasst die Speicherung personenidentifizierbarer Informationen innerhalb einer bestimmten Region, in der diese Daten gemäß den Vorschriften der Region verarbeitet werden.

Zum Speichern von Daten müssen Sie die rechtlichen und behördlichen Anforderungen eines Landes erfüllen, z. B. die Gesetze zur Datenlokalität. So kann beispielsweise in einem Land gesetzlich vorgeschrieben sein, dass alle zugehörigen Daten in diesem Land gespeichert werden. Oder ein Unternehmen ist möglicherweise vertraglich verpflichtet, Daten für einige seiner Kunden in einem anderen Land zu speichern. Daher muss ein Unternehmen die Anforderungen an den Datenstandort des Landes erfüllen, in dem die Daten gespeichert sind.

Mit Google Cloud können Sie konfigurieren, wo Ihre Daten gespeichert werden, auch in Sicherungen. Unter anderem können Sie die Regionen auswählen, in denen Sie Ihre Daten speichern möchten. Wenn Sie Ressourcen in diesen Regionen für Cloud SQL konfigurieren, speichert Google Ihre inaktiven Daten gemäß unseren dienstspezifischen Nutzungsbedingungen nur in diesen Regionen. Sie können die Region auswählen, wenn Sie Ihre Instanz erstellen, oder Sie können die Region durch Bearbeiten einer vorhandenen Instanz bearbeiten.

Weitere Informationen zu Sicherungsspeicherorten finden Sie unter Benutzerdefinierte Speicherorte für Sicherungen.

Mit Einschränkungen für Organisationsrichtlinien können Sie Anforderungen an den Datenstandort auf Organisations-, Projekt- oder Ordnerebene erzwingen. Mit diesen Einschränkungen können Sie die zulässigen Google Cloud-Standorte definieren, an denen Nutzer Ressourcen für unterstützte Dienste erstellen können. Für den Datenstandort können Sie den physischen Standort einer neuen Ressource mithilfe der Beschränkung für Ressourcenstandorte begrenzen. Sie können Richtlinien für eine Einschränkung auch optimieren, um Mehrfachregionen wie asia und europe oder Regionen wie us-east1 oder europe-west1 als zulässige oder abgelehnte Standorte anzugeben.

Bei einem Ausfall in einer Google Cloud-Region können Sie die Auswirkungen mithilfe des regionenübergreifenden Lesereplikats für Cloud SQL vermeiden. Beim Erstellen eines Lesereplikats müssen Sie die Region für das Replikat auswählen. Es muss eine Region ausgewählt werden, die den Vorschriften zum Datenstandort entspricht. Dadurch wird gewährleistet, dass die Standards für den Datenstandort in der ausgewählten Region erfüllt sind.

Beim Erstellen des Replikats erstellen Sie eine Kopie Ihrer primären Datenbankinstanz, die Änderungen der primären Datenbank nahezu in Echtzeit abbildet. Wenn ein Fehler auftritt, können Sie das Lesereplikat auf eine primäre Instanz hochstufen.

Mit VPC Service Controls können Sie den Datenstandort erzwingen, indem Sie die Verwendung von Cloud SQL APIs zum Importieren und Exportieren von Daten mit der Cloud SQL Admin API oder der Cloud Storage API einschränken. Mit dieser Einschränkung wird sichergestellt, dass die Daten innerhalb der von Ihnen ausgewählten Netzwerkstandorte verbleiben. Mit VPC Service Controls erstellen Sie einen Dienstperimeter, der die virtuellen Grenzen definiert, von denen auf einen Dienst zugegriffen werden kann, um zu verhindern, dass Daten außerhalb dieser Grenzen verschoben werden. Sie können diese Einschränkung auch dann erzwingen, wenn der Nutzer gemäß Ihrer Google Cloud IAM-Richtlinie autorisiert ist.

Daten verschlüsseln

Google Cloud-Dienste, einschließlich Cloud SQL, verschlüsseln inaktive Inhalte und Übertragungen von Kundeninhalten mit einer Vielzahl von Verschlüsselungsmethoden. Die Verschlüsselung erfolgt automatisch und erfordert keinen Eingriff durch den Kunden.

Mit Cloud SQL können Sie den Daten auch mithilfe von vom Kunden verwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEK) eine weitere Verschlüsselungsebene hinzufügen. CMEK ist für Organisationen mit vertraulichen oder regulierten Daten gedacht, für die eigene Verschlüsselungsschlüssel verwaltet werden müssen. Mit dem CMEK-Feature für vom Kunden verwaltete Verschlüsselungsschlüssel können Sie für inaktive Daten in Cloud SQL Ihre eigenen kryptografischen Schlüssel verwenden. Nachdem Sie CMEK hinzugefügt haben, verwendet Cloud SQL bei jedem API-Aufruf Ihre Schlüssel für den Datenzugriff.

Wenn Sie Ihren CMEK in den Regionen speichern möchten, in denen Sie Ihre Dienste bereitstellen, können Sie Cloud Key Management Service (Cloud KMS) verwenden. Sie legen den Speicherort des Schlüssels fest, wenn Sie den Schlüssel erstellen. Oder verwenden Sie Cloud HSM, um diese Schlüssel in einem physischen Hardware Security Module (HSM) zu speichern, das sich in der von Ihnen ausgewählten Region befindet.

Eine weitere Möglichkeit zum Auswählen des Speicherorts für Ihren CMEK ist die Verwendung eines Drittanbieterprodukts. Sie können Cloud External Key Manager (Cloud EKM) dazu verwenden, Schlüssel in einem Drittanbieterprodukt zur Schlüsselverwaltung, das außerhalb der Google-Infrastruktur bereitgestellt wird, zu speichern und zu verwalten.

Auf Daten zugreifen

Mit Cloud SQL können Sie steuern, welche Nutzer auf Ihre Daten zugreifen können.

Um den Zugriff von Google auf Support und technisches Personal zu steuern, verwenden Sie die Zugriffsgenehmigung. Mit der Zugriffsgenehmigung können Google-Mitarbeiter eine ausdrückliche Genehmigung einholen, bevor sie auf Ihre Daten oder Konfigurationen in Google Cloud zugreifen. Informationen zu Ausschlüssen finden Sie unter Ausschlüsse von Access Approval.

Die Zugriffsgenehmigung ergänzt die Sichtbarkeit von Access Transparency, die Audit-Logs nahezu in Echtzeit generiert, wenn Google-Administratoren mit Ihren Daten interagieren. Audit-Logs enthalten den Bürostandort des Administrators und den Grund für den Zugriff. Sie haben auch die Möglichkeit, spezifische Attribute für Administratoren zu erzwingen, die auf Ihre Daten oder Konfigurationen zugreifen dürfen. Dazu gehören auch die geografische Region sowie andere Compliance-relevante Attribute.

Key Access Justifications können in Cloud KMS und Cloud EKM eingebunden werden. Jedes Mal wenn einer Ihrer Schlüssel zum Verschlüsseln oder Entschlüsseln von Daten angefragt wird, stellt Key Access Justification eine detaillierte Begründung sowie einen Mechanismus bereit, mit dem Sie den Schlüsselzugriff mithilfe einer von Ihnen festgelegten automatisierten Richtlinie genehmigen oder ablehnen können.

Mithilfe der Zugriffsgenehmigung, Access Transparency und Key Access Justifications mit Cloud KMS und Cloud EKM können Sie Google die Verschlüsselung Ihrer Daten verweigern. Dadurch haben Sie die Kontrolle über Zugriff auf Ihre Daten.

Nächste Schritte