Vom Kunden verwaltete Verschlüsselungsschlüssel

In Vertex AI Workbench werden inaktive Kundeninhalte standardmäßig verschlüsselt. Die Verschlüsselung wird von Vertex AI Workbench durchgeführt. Sie müssen nichts weiter tun. Diese Option wird Google-Standardverschlüsselung genannt.

Wenn Sie Ihre Verschlüsselungsschlüssel selbst verwalten möchten, können Sie vom Kunden verwaltete Verschlüsselungsschlüssel (CMEKs, Customer-Managed Encryption Keys) in Cloud KMS mit CMEK-integrierten Diensten wie Vertex AI Workbench verwenden. Mit Cloud KMS-Schlüsseln haben Sie die Kontrolle über Schutzlevel, Speicherort, Rotationszeitplan, Nutzungs- und Zugriffsberechtigungen sowie über kryptografische Grenzen. Mit Cloud KMS können Sie außerdem Audit-Logs aufrufen und den Lebenszyklus von Schlüsseln steuern. Statt es Google zu überlassen, die symmetrischen Schlüsselverschlüsselungsschlüssel (Key Encryption Keys, KEKs) zum Schutz Ihrer Daten zu steuern und zu verwalten, können Sie diese auch über Cloud KMS steuern und verwalten.

Nachdem Sie Ihre Ressourcen mit CMEKs eingerichtet haben, ähnelt der Zugriff auf Ihre Vertex AI Workbench-Ressourcen der Verwendung der Google-Standardverschlüsselung. Weitere Informationen zu den Verschlüsselungsoptionen finden Sie unter Vom Kunden verwaltete Verschlüsselungsschlüssel (CMEK).

Auf dieser Seite werden einige spezifische Vorteile und Einschränkungen der Verwendung von CMEK mit nutzerverwalteten Notebooks beschrieben. Außerdem erfahren Sie, wie Sie eine neue nutzerverwaltete Notebookinstanz für die Verwendung von CMEK konfigurieren.

Vorteile von CMEK

Im Allgemeinen sind CMEK am nützlichsten, wenn Sie vollständige Kontrolle über die Schlüssel benötigen, die zum Verschlüsseln Ihrer Daten verwendet werden. Mit CMEKs können Sie Ihre Schlüssel im Cloud Key Management Service verwalten. Sie haben beispielsweise die Möglichkeit, einen Schlüssel zu rotieren oder zu deaktivieren oder einen Rotationsplan mit der Cloud KMS API einzurichten.

Wenn Sie eine nutzerverwaltete Notebookinstanz ausführen, wird Ihre Instanz auf einer virtuellen Maschine (VM) ausgeführt, die von Vertex AI Workbench verwaltet wird. Wenn Sie CMEK für eine vom Nutzer verwaltete Notebookinstanz aktivieren, verwendet Vertex AI Workbench den von Ihnen angegebenen Schlüssel statt eines von Google verwalteten Schlüssels, um Daten auf den Bootlaufwerken der VM zu verschlüsseln.

Der CMEK-Schlüssel verschlüsselt Metadaten wie den Namen und die Region der Instanz, die mit Ihrer nutzerverwalteten Notebooks-Instanz verknüpft sind, nicht . Metadaten, die mit nutzerverwalteten Notebookinstanzen verknüpft sind, werden immer mit dem Standardverschlüsselungsmechanismus von Google verschlüsselt.

Einschränkungen von CMEK

Google empfiehlt, regionale nutzerverwaltete Notebookinstanzen mit Schlüsseln an deren Standort zu schützen, um die Latenz zu verringern und um Fälle zu vermeiden, bei denen Ressourcen von Diensten abhängen, die über mehrere fehlerhafte Domains verteilt sind.

• Um regionale nutzerverwaltete Notebookinstanzen zu verschlüsseln, können Sie Schlüssel am selben Standort oder an einem globalen Speicherort verwenden. Beispiel: Um Daten auf einem Laufwerk in der Zone us-west1-a zu verschlüsseln, nutzen Sie einen Schlüssel in us-west1 oder global.
• Sie können globale Instanzen mit an einem beliebigen Standort gespeicherten Schlüsseln verschlüsseln.
• Konfigurieren Sie CMEK für nutzerverwaltete Notebooks nicht automatisch für andere von Ihnen verwendete Google Cloud-Produkte. Wenn Sie CMEK zum Verschlüsseln von Daten in anderen Google Cloud-Produkten verwenden möchten, müssen Sie eine zusätzliche Konfiguration vornehmen.

CMEK für die nutzerverwaltete Notebookinstanzen konfigurieren

In den folgenden Abschnitten wird gezeigt, wie Sie einen Schlüsselbund und einen Schlüssel in Cloud Key Management Service erstellen, dem Dienstkonto-Verschlüsseler und -Entschlüsseler Berechtigungen für Ihren Schlüssel gewähren und eine nutzerverwaltete Notebookinstanz erstellen, die CMEK verwendet.

Hinweis

Wir empfehlen die Einrichtung einer Aufgabentrennung. Zum Konfigurieren von CMEK für von Nutzern verwaltete Notebooks können Sie zwei separate Google Cloud-Projekte verwenden:

• Ein Cloud KMS-Projekt: ein Projekt zur Verwaltung Ihres Verschlüsselungsschlüssels
• Ein nutzerverwaltetes Notebook-Projekt: ein Projekt für den Zugriff auf nutzerverwaltete Notebookinstanzen und zur Interaktion mit anderen Google Cloud-Produkten, die Sie für Ihren Anwendungsfall benötigen

Alternativ können Sie ein einzelnes Google Cloud-Projekt verwenden. Verwenden Sie dazu dasselbe Projekt für alle folgenden Aufgaben.

Cloud KMS-Projekt einrichten

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Go to project selector

3. Make sure that billing is enabled for your Google Cloud project.

4. Enable the Cloud KMS API.

   Enable the API

5. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Go to project selector

6. Make sure that billing is enabled for your Google Cloud project.

7. Enable the Cloud KMS API.

   Enable the API

Nutzerverwaltetes Notebookprojekt einrichten

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Go to project selector

3. Make sure that billing is enabled for your Google Cloud project.

4. Enable the Notebooks API.

   Enable the API

5. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Go to project selector

6. Make sure that billing is enabled for your Google Cloud project.

7. Enable the Notebooks API.

   Enable the API

Google Cloud CLI einrichten

Install the Google Cloud CLI, then initialize it by running the following command:

gcloud init

Schlüsselbund und Schlüssel erstellen

Beachten Sie beim Erstellen von Schlüsselbund und Schlüssel folgende Anforderungen:

• Für den Standort Ihres Schlüsselbunds wählen Sie entweder global oder den Standort aus, an dem sich Ihre nutzerverwaltete Notebookinstanz befindet.

• Achten Sie darauf, Schlüsselbund und Schlüssel in Ihrem Cloud KMS-Projekt zu erstellen.

Informationen zum Erstellen eines Schlüsselbunds und eines Schlüssels finden Sie unter Symmetrische Verschlüsselungsschlüssel erstellen.

Berechtigungen für nutzerverwaltete Notebooks erteilen

Um CMEK für Ihre nutzerverwaltete Notebookinstanz zu verwenden, müssen Sie Ihrer nutzerverwalteten Notebookinstanz die Berechtigung zum Verschlüsseln und Entschlüsseln von Daten mit Ihrem Schlüssel erteilen.

Das zu verwendende Dienstkonto bestimmen

Nutzerverwaltete Notebooks verwenden ein Dienstkonto, um Ihre nutzerverwaltete Notebooks-Instanz auszuführen. Dieses Dienstkonto ist entweder das Compute Engine-Standarddienstkonto oder ein Dienstkonto, das Sie beim Erstellen der Instanz angeben.

Wenn das Dienstkonto das Compute Engine-Standarddienstkonto ist, führen Sie die folgenden Schritte aus, um die E-Mail-Adresse des Dienstkontos zu ermitteln:

1. Öffnen Sie in der Google Cloud Console die Seite IAM.

   IAM aufrufen

2. Suchen Sie das Hauptkonto mit dem Namen Compute Engine default service account.

   Notieren Sie sich die E-Mail-Adresse für dieses Dienstkonto und erteilen Sie ihm in den folgenden Schritten die Berechtigung, Daten mit Ihrem Schlüssel zu verschlüsseln und zu entschlüsseln.

Dienstkontoberechtigung gewähren

Gewähren Sie die Berechtigung mithilfe der Google Cloud Console oder der Google Cloud CLI.

gcloud kms keys add-iam-policy-binding KEY_NAME \
    --keyring=KEY_RING_NAME \
    --location=REGION \
    --project=KMS_PROJECT_ID \
    --member=serviceAccount:SERVICE_ACCOUNT \
    --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

Nutzerverwaltete Notebookinstanz mit CMEK erstellen

Nachdem Sie Ihrer nutzerverwalteten Notebookinstanz die Berechtigung zum Verschlüsseln und Entschlüsseln von Daten mit Ihrem Schlüssel gewährt haben, können Sie eine nutzerverwaltete Notebookinstanz erstellen, die Daten mit diesem Schlüssel verschlüsselt.

Folgende Beispiele zeigen, wie Daten mit Ihrem Schlüssel über die Google Cloud Console oder die gcloud CLI verschlüsselt und entschlüsselt werden.

gcloud notebooks instances create notebook-vm-cmek \
    --location=REGION \
    --vm-image-family=IMAGE_FAMILY \
    --vm-image-project=deeplearning-platform-release \
    --machine-type="n1-standard-1" \
    --boot-disk-type="PD_STANDARD" \
    --boot-disk-size=100 \
    --kms-key=KEY_NAME \
    --kms-project=KMS_PROJECT_ID \
    --kms-location=REGION \
    --kms-keyring=KEY_RING_NAME \
    --disk-encryption=CMEK \
    --metadata='proxy-mode=project_editors'

Nächste Schritte

• Erfahren Sie mehr über CMEKS auf Google Cloud
• Erfahren Sie, wie Sie CMEK mit anderen Google Cloud-Produkten verwenden