Einführung in CMEK

Auf dieser Seite wird die Verwendung von CMEK mit Apigee beschrieben. Best Practices finden Sie unter Best Practices für Apigee-CMEK.

Übersicht

Standardmäßig verschlüsselt Google Cloud Daten im inaktiven Zustand automatisch mit von Google verwalteten Verschlüsselungsschlüsseln. Wenn Sie bestimmte Compliance- oder regulatorische Vorgaben in Bezug auf die Schlüssel zum Schutz Ihrer Daten haben, können Sie kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK) verwenden.

Weitere Informationen zur Verwendung von CMEK für Apigee finden Sie unter CMEK mit Apigee verwenden. Weitere allgemeine Informationen zu CMEK einschließlich ihrer Aktivierung finden Sie in der Dokumentation zum Cloud Key Management Service.

Die Verwendung von kundenverwalteten Verschlüsselungsschlüsseln (CMEK) bietet nicht unbedingt mehr Sicherheit als die Standardverschlüsselungsmechanismen von Google. Sie haben jedoch die Kontrolle über mehr Aspekte des Lebenszyklus und der Verwaltung Ihrer Schlüssel, um Sicherheits- und Compliance-Anforderungen zu erfüllen.

Wenn Sie mehr Kontrolle über Schlüsselvorgänge benötigen, als die von , von Google verwalteten Verschlüsselungsschlüssel zulassen, können Sie kundenverwaltete Verschlüsselungsschlüssel verwenden. Diese Schlüssel werden mit Cloud Key Management Service (Cloud KMS) erstellt und verwaltet und Sie speichern die Schlüssel als Softwareschlüssel in einem HSM-Cluster oder extern.

Die Schlüsselverwaltungsfunktionen werden vom Cloud KMS-Dienst bereitgestellt.

CMEK-Anwendungsfälle

In diesem Abschnitt werden typische Anwendungsfälle für die Verwendung von CMEK mit Apigee beschrieben.

Schlüsselrotation

Schlüssel automatisch oder manuell rotieren Beachten Sie, dass bei einer Rotation des Schlüssels zuvor in Apigee gespeicherte Daten nicht automatisch mit der neuen Schlüsselversion verschlüsselt werden, sondern weiterhin zugänglich sind, solange die vorher zum Verschlüsseln der Daten verwendete Schlüsselversion nicht deaktiviert oder gelöscht wird.

Der Hauptzweck der Schlüsselrotation besteht darin, die Datenexposition auf einen einzigen Schlüssel zu beschränken, und nicht darin, die alte Schlüsselversion vollständig zu ersetzen. Apigee unterstützt derzeit keine erneute Verschlüsselung bei der Schlüsselrotation. Speziell für Apigee gilt: Wenn Sie einen Schlüssel rotieren, wird nur eine begrenzte Anzahl neuer Daten (z. B. eine neue Proxy-Überarbeitung) mit der neuen Primärschlüsselversion verschlüsselt. Die meisten Daten, z. B. Analysedaten, Laufzeitlaufwerk und alte Proxy-Überarbeitung, verwenden weiterhin die alte Schlüsselversion. Wenn Sie die vorherige Schlüsselversion vollständig entfernen möchten, müssen Sie die apigee-Organisation neu erstellen. Wenn Sie die vorherige Schlüsselversion für Laufzeitverschlüsselungsschlüssel vollständig entfernen möchten, müssen Sie die Laufzeitinstanzen neu erstellen. Weitere Informationen finden Sie unter Best Practices für Apigee CMEK.

Siehe auch: Schlüssel rotieren

Schlüssel löschen und deaktivieren

Wenn eine Schlüsselversion deaktiviert ist, kann nicht mehr auf Apigee-Daten zugegriffen werden, die mit dieser Schlüsselversion verschlüsselt sind. Wenn Sie den Zugriff auf die Daten wiederherstellen möchten, können Sie den Schlüssel wieder aktivieren.

Wenn Sie Ihren CMEK-Schlüssel löschen oder deaktivieren, auch nur für frühere Versionen, funktioniert Ihre apigee-Organisation je nach der für die Verschlüsselung verwendeten Schlüsselversion nicht mehr richtig. Bestimmte APIs funktionieren sofort nicht mehr, da sie einen CMEK-Schlüssel zum Entschlüsseln von Daten benötigen. Bestimmte Funktionen funktionieren nur dann nicht mehr, wenn eine Systemaktion ausgelöst wird, z. B. das erneute Bereitstellen von nichtflüchtigen Compute Engine-Speichern. Weitere Informationen finden Sie unter Schlüssel deaktivieren.

Wenn eine Schlüsselversion gelöscht wird, werden alle Apigee-Daten, die mit dieser Schlüsselversion verschlüsselt sind, unlesbar und können nicht wiederhergestellt werden. Dieser Vorgang ist endgültig und kann nicht rückgängig gemacht werden.

Weitere Informationen

• Schlüsselversionen aktivieren und deaktivieren
• Schlüsselversionen löschen und wiederherstellen

Schlüsselwiederherstellung

Wenn Sie versehentlich einen Schlüssel oder eine vorherige Schlüsselversion löschen oder deaktivieren, sollten Sie versuchen, sie so schnell wie möglich wiederherzustellen. Beachten Sie, dass CMEK eine Funktion ist, die bei Nichtverfügbarkeit des Schlüssels zu Datenverlust führt. Nachdem Sie den Schlüssel wiederhergestellt haben, ist die Wiederherstellung Ihrer apigee-Organisation nicht garantiert und es kann zu Datenverlusten kommen. Weitere Informationen finden Sie unter Schlüssel wieder aktivieren. Wenden Sie sich an den Google Cloud Customer Care, um die nächsten Schritte zu besprechen.

Siehe auch: Schlüsselversionen löschen und wiederherstellen

Schlüsselzugriff widerrufen

Wenn Sie den Zugriff des Apigee-Dienst-Agents auf den Schlüssel mithilfe von IAM widerrufen, kann Apigee nicht mehr auf Daten der Steuerungsebene zugreifen, die mit einer Schlüsselversion verschlüsselt wurden. Apigee API-Vorgänge, die von der Entschlüsselung der Daten abhängen, schlagen fehl. Der Zugriff auf die Daten kann wiederhergestellt werden, indem der Zugriff auf den Schlüssel und die Apigee API-Vorgänge, die die Daten entschlüsseln, wiederhergestellt wird.

Siehe auch: Zugriff auf Projekte, Ordner und Organisationen verwalten

Hinweis: Die Apigee-Steuerungsebene und die Laufzeit werden mit separaten Schlüsseln verschlüsselt. Sie müssen beide Schlüsselsätze widerrufen, um den Zugriff auf Ihre Daten vollständig zu entfernen.

EKM

Apigee unterstützt Cloud External Key Manager (Cloud EKM) für CMEK. Mit der EKM-Unterstützung können Sie den EKM-Zustand überwachen und Benachrichtigungen für EKM-bezogene Probleme einrichten. Weitere Informationen finden Sie unter EKM-Statusüberwachung.

Hinweis: Die Cloud EKM-Unterstützung gilt nur für Apigee-Organisationen, die bei der Erstellung der Organisation für die Verwendung von CMEK mit Cloud EKM konfiguriert wurden. Sie können Cloud EKM nicht für vorhandene Organisationen aktivieren.

Schlüssel-Tracking

Apigee unterstützt das Tracking der Schlüsselnutzung. Auf dem Tab Nutzungstracking eines Schlüssels im Cloud Key Management Service werden die Apigee-Ressourcen aufgeführt, die der Schlüssel für die folgenden Ressourcentypen schützt:

• apigee.googleapis.com/Organization, der den Verschlüsselungsschlüssel für die Steuerungsebene, den Verschlüsselungsschlüssel für API-Nutzerdaten und den Verschlüsselungsschlüssel für die Laufzeitdatenbank abdeckt.
• apigee.googleapis.com/Instance, der den Laufwerkverschlüsselungsschlüssel abdeckt.

Eine Beschreibung dieser Schlüssel finden Sie unter Informationen zu den Apigee-Verschlüsselungsschlüsseln.

Hinweis: Das Tracking der Schlüsselnutzung dient nur zu Informationszwecken. Die Daten können nach dem Erstellen oder Aktualisieren einer Ressource verzögert sein. Deaktivieren oder löschen Sie eine Schlüsselversion nicht nur anhand des Trackings der Schlüsselnutzung. Eine vollständige Liste der Einschränkungen finden Sie unter Einschränkungen.

Kontingente

Die Verwendung von CMEK kann zur Nutzung des Cloud KMS-Kontingents führen. Aktuelle Informationen zu Cloud KMS-Kontingenten finden Sie unter Kontingente.

Verschlüsselungsschlüssel widerrufen

Wenn Sie der Meinung sind, dass Ihre Daten in Apigee in Google Cloud kompromittiert wurden, können Sie Ihre Verschlüsselungsschlüssel widerrufen. Widerrufen Sie den Laufzeit-CMEK, damit die Laufzeitinstanz fehlschlägt und nicht auf Ihre Gateway-Daten zugreifen kann. Widerrufen Sie den CMEK der Steuerungsebene, damit Apigee keine Analysen ausführen oder neue Proxys bereitstellen kann.

CMEK mit Apigee verwenden

Apigee-Verschlüsselungsschlüssel werden für Laufzeitdaten und Daten der Steuerungsebene verwendet und während des Bereitstellungsvorgangs erstellt.

Daten der Apigee-Steuerungsebene werden mit einem anderen Verschlüsselungsschlüssel als Laufzeitdaten verschlüsselt und können in anderen Regionen gespeichert werden. Gemäß der CMEK-Dokumentation gilt diese Verschlüsselung nur für inaktive Daten, d. h. Daten, die letztendlich auf einem Laufwerk gespeichert werden.

Zu den Daten der Apigee-Steuerungsebene gehören Proxy-Konfigurationen (Bundles), einige Umgebungskonfigurationsdaten und Analysedaten. Apigee-Laufzeitdaten umfassen Anwendungsdaten wie KVMs, Cache und Clientschlüssel, die dann in der Laufzeitdatenbank gespeichert werden.

Eine Beschreibung der Arten von Verschlüsselungsschlüsseln finden Sie unter Informationen zu den Apigee-Verschlüsselungsschlüsseln.

Sie können Verschlüsselungsschlüssel nur beim Erstellen der Apigee-Organisation hinzufügen. Sobald ein CMEK zugewiesen wurde, können Sie nach dem Erstellen der Organisation nicht mehr zu einem anderen CMEK wechseln.

CMEK-Regionen für die Datenstandort-Steuerungsebene

In der regionalisierten Apigee-Steuerungsebene wählen Sie zwei Verschlüsselungsschlüssel für Ihre Steuerungsebene aus. Das liegt daran, dass sich einige der Komponenten, die der Apigee-Steuerungsebene zugrunde liegen, immer in einer einzigen Region innerhalb des Standorts der Steuerungsebene befinden. Weitere Informationen finden Sie unter Datenstandortregionen.

Details

Erforderliche Schlüssel

Die Region der Steuerungsebene ist die Region, in der die Steuerungsebene ausgeführt wird. Die Steuerungsebene in Apigee ist ein abstraktes Konzept, bei dem mehrere zugrunde liegende Komponenten zusammen die Apigee-Steuerungsebene bilden. Daten der Steuerungsebene sind Proxy-Konfiguration und Analysespeicher. Andere Daten der Steuerungsebene (z.B. Analyseverarbeitung, Portale) befinden sich in einer Unterregion der Steuerungsebene. Alle Komponenten der Unterregionen befinden sich in derselben Region.

Ein Schlüssel für Daten der Steuerungsebene. Ein Schlüssel für Daten der Steuerungsebene in einer Unterregion.

Einschränkungen für Organisationsrichtlinien

Wenn für Ihr Google Cloud-Projekt Einschränkungen der CMEK-Organisationsrichtlinie gelten, erzwingt Apigee die Einhaltung dieser Einschränkungen. Wenn Sie Apigee über die Google Cloud -Benutzeroberfläche, die Befehlszeile oder direkt über Apigee APIs verwenden, wird die Durchsetzung von CMEK-Richtlinien garantiert. Wenn Sie die Google Cloud Apigee-Benutzeroberfläche verwenden, werden die CMEK-Organisationsrichtlinieneinschränkungen vorab validiert, sodass Sie in der Benutzeroberfläche eine gültige, konforme Konfiguration auswählen können.

Es können CMEK-Organisationsrichtlinieneinschränkungen erstellt werden, die Folgendes erfordern:

• Kundenverwaltete Verschlüsselungsschlüssel werden immer verwendet
• Kundenverwaltete Verschlüsselungsschlüssel sind nur aus bestimmten Projekten zulässig, die in einer Zulassungsliste angegeben sind

Nicht jede Funktion in Apigee ist derzeit CMEK-konform. Damit in Projekten, für die CMEK erforderlich ist, nicht unwissentlich Funktionen verwendet werden, die nicht durch CMEK geschützt sind, werden diese Funktionen für Projekte mit CMEK-Einschränkungen deaktiviert, bis sie konform sind. Nur neue Verwendungen der Funktionen werden deaktiviert (Erstellen neuer Ressourcen oder Aktivieren eines Add-ons). Bereits verwendete Funktionen und Ressourcen bleiben verfügbar und bearbeitbar, sind aber nicht CMEK-konform. Die folgenden Features werden deaktiviert:

• Apigee Shadow API Discovery unterliegt nicht der CMEK-Organisationsrichtlinie und ist nicht CMEK-konform.

• Die Erstellung von Evaluierungsorganisationen wird sowohl durch die CreateOrganization-Evaluierungs-API als auch durch den Bereitstellungsassistenten für Evaluierungen blockiert.

• Gemini Code Assist ist nicht verfügbar.

• Die Erstellung globaler Organisationen wird durch die Eval-Org-API CreateOrganization und den Eval-Bereitstellungsassistenten blockiert.
• Das Erstellen von Hybridinstanzen ist für die Erzwingung nicht verfügbar.
• Der Button Data Studio zum Öffnen von Data Studio mit Daten aus Apigee wird deaktiviert, wenn CMEK erforderlich ist.
• Eine rückwirkende Durchsetzung der Compliance für vorhandene Ressourcen ist nicht möglich. Wenn Sie eine vorhandene Ressource benötigen, die konform ist, müssen Sie sie löschen und neu erstellen.

Weitere Informationen zur Verwendung von Einschränkungen für Organisationsrichtlinien mit Apigee finden Sie unter Einschränkungen für Organisationsrichtlinien in Apigee verwenden.

Verschlüsselungsschlüssel erstellen

Standardmäßig verwaltet Google die Erstellung von Verschlüsselungsschlüsseln während des Bereitstellungsprozesses. Sie können sie jedoch auch selbst erstellen. Weitere Informationen finden Sie unter Apigee-Verschlüsselungsschlüssel.

Risiken und Risikominderungen

In diesem Abschnitt werden mögliche Bedrohungen beschrieben sowie Maßnahmen, die Sie vornehmen können.

• Risiken:
  • Schlüssel-Hacking: Tritt auf, wenn ein Angreifer Zugriff auf den Verschlüsselungsschlüssel erhält, möglicherweise durch Sicherheitslücken im KMS oder durch Angriffe auf Schlüsseladministratoren.
  • Denial of Service: Ein Angreifer könnte den Zugriff auf Verschlüsselungsschlüssel oder Daten durch Angriffe auf das KMS- oder Speichersystem stören.
  • Verlust des Schlüssels: Versehentliches Löschen oder Verlieren von Schlüsseln kann zu Daten- oder Zugangsverlust führen.
• Risikominderungen:
  • Implementieren Sie strenge Richtlinien für die Zugriffssteuerung und Schlüsselverwaltung.
  • Überwachen Sie KMS-Logs und ‑Aktivitäten auf verdächtiges Verhalten.

Fehlerbehebung

In der folgenden Tabelle werden einige gängige Fehlerbedingungen, die bei CMEK-verschlüsselten Configstore-Daten auftreten können, die von der Apigee API zurückgegebene ungefähre Fehlermeldung und die empfohlenen Schritte zur Fehlerbehebung beschrieben.

Fehlermeldung/Symptom	Ursache	Erforderliche Schritte
Constraint constraints/gcp.restrictNonCmekServices violated for projects/my-project attempting to create or enable trial org. CMEK is not supported for trial orgs. To use trial orgs, adjust the gcp.restrictNonCmekServices constraint for this project.	Sie haben versucht, eine Testorganisation bereitzustellen, für die eine Organisationsrichtlinieneinschränkung für das Projekt gilt.	CMEK wird für Test-/Evaluierungsorganisationen nicht unterstützt. Sie müssen die Einschränkung der Organisationsrichtlinie constraints/gcp.restrictNonCmekServices aktualisieren, um Apigee aus der Liste der abgelehnten Dienste zu entfernen, damit Sie eine Testorganisation bereitstellen können.
Constraint constraints/gcp.restrictCmekCryptoKeyProjects violated for projects/my-project attempting to use projects/my-project/locations/my-location/keyRings/kr-1/cryptoKeys/ck-1 key. Use a key from a project that is allowed by the gcp.restrictCmekCryptoKeyProjects constraint.	Sie haben versucht, eine Organisation bereitzustellen, für die eine Organisationsrichtlinieneinschränkung für das Projekt gilt, und einen KMS-CryptoKey angegeben, der nicht auf der Zulassungsliste steht.	Sie haben constraints/gcp.restrictCmekCryptoKeyProjects in Organisationsrichtlinien festgelegt, die erfordern, dass Sie einen CMEK-Schlüssel aus den von Ihnen aufgeführten zulässigen Projekten bereitstellen. Sie müssen den CMEK aus einem zulässigen Projekt angeben, um eine Organisation oder Instanzen erstellen zu können. Alternativ können Sie die Einschränkung der Organisationsrichtlinie constraints/gcp.restrictCmekCryptoKeyProjects aktualisieren, um Schlüssel aus dem gewünschten Google Cloud -Projekt zuzulassen.
Apigee does not have permission to access key "..."	Ein Nutzer hat den Zugriff von Apigee auf den bereitgestellten KMS-Schlüssel widerrufen, z. B. durch Entfernen der roles/cloudkms.cryptoKeyEncrypterDecrypter-Rolle.	Ein Nutzer sollte die konfigurierten Rollen für den KMS-Schlüssel prüfen und sicherstellen, dass der Apigee-Dienst-Agent die erforderlichen Berechtigungen hat.
Unable to encrypt/decrypt data. Cloud KMS Error: "..." is not enabled, current state is: DESTROYED.	Ein Nutzer hat die Schlüsselversion deaktiviert oder gelöscht, die zum Verschlüsseln/Entschlüsseln der angeforderten Daten verwendet wird.	Ein Nutzer sollte die Schlüsselversion nach Möglichkeit wieder aktivieren. Wenn der Schlüssel oder die Schlüsselversion gelöscht wurde, sind die Daten (absichtlich) nicht wiederherstellbar.
No new Analytics data for US/EU users	Eine der möglichen Ursachen für dieses Problem kann ein vom Nutzer widerrufener/deaktivierter/gelöschter Schlüssel für eine einzelne Region sein.	Ein Nutzer sollte den Zugriff auf Schlüssel in einer einzelnen Region wieder aktivieren/wiederherstellen.
Control plane key "..." in region "..." is not valid for this control plane instance. Supported region(s) are "…".	Ein Nutzer hat einen Schlüssel der Steuerungsebene einer einzigen Region in einer Region angegeben, die für die Region oder Multiregion, die von der Instanz der Steuerungsebene bereitgestellt wird, nicht gültig ist oder nicht unterstützt wird.	Ein Nutzer muss entweder einen Schlüssel in einer der unterstützten Regionen angeben oder eine andere Instanz der Steuerungsebene verwenden.
Multi-region control plane key is not valid for this control plane instance. Specify only the "apiConsumerDataEncryptionKeyName" field.	Ein Nutzer hat einen Schlüssel für eine multiregionale Steuerungsebene in einer Steuerungsebene angegeben, die nur in einer einzelnen Region vorhanden ist (d.h. keine multiregionale Steuerungsebene ist).	Ein Nutzer muss entweder das Feld für den multiregionalen Schlüssel weglassen oder eine multiregionale Steuerungsebeneninstanz verwenden.
Multi-region control plane key is not valid for this control plane instance. Specify a multi-region key with region "..."	Ein Nutzer hat einen Schlüssel für eine multiregionale Steuerungsebene auf der falschen multiregionalen Steuerungsebeneninstanz angegeben (z. B. einen "us"-Schlüssel für die "eu"-Steuerungsebeneninstanz).	Ein Nutzer muss entweder einen multiregionalen Schlüssel in der richtigen Multiregion verwenden oder eine andere multiregionale Steuerungsebeneninstanz auswählen.

FAQ

Wie ändere ich aktuelle Schlüssel, um Cloud EKM zu verwenden?

Das ist nicht möglich. Cloud EKM kann nur beim Erstellen der Apigee-Organisation konfiguriert werden. Danach können keine Verschlüsselungsschlüssel mehr hinzugefügt oder geändert werden. Es ist nicht möglich, eine vorhandene Organisation oder die bereits verwendeten Schlüssel in Cloud EKM zu konvertieren.

Wenn Sie Cloud EKM verwenden möchten, erstellen Sie eine neue Apigee-Organisation, die für die Verwendung von CMEK mit Cloud EKM konfiguriert ist, und migrieren Sie dann Ihre Ressourcen in die neue Organisation. Weitere Informationen finden Sie unter EKM.