Cloud KMS Autokey vereinfacht das Erstellen und Verwenden von vom Kunden verwalteten Verschlüsselungsschlüsseln (CMEKs) durch die Automatisierung der Bereitstellung und Zuweisung. Mit Autokey werden Schlüsselbunde und Schlüssel bei Bedarf generiert. Dienstkonten, die die Schlüssel zum Verschlüsseln und Entschlüsseln von Ressourcen verwenden, werden erstellt und erhalten bei Bedarf IAM-Rollen (Identity and Access Management). Cloud KMS-Administratoren behalten die volle Kontrolle und Übersicht über die von Autokey erstellten Schlüssel, ohne jede Ressource im Voraus planen und erstellen zu müssen. Die Verwendung von Autokey ist einfacher als die manuelle Bereitstellung von Schlüsseln und wird empfohlen, wenn die von Autokey erstellten Schlüssel alle Ihre Anforderungen erfüllen.
Mit von Autokey generierten Schlüsseln können Sie Branchenstandards und empfohlene Praktiken für die Datensicherheit einhalten, einschließlich des HSM-Schutzniveaus für mehrere Mandanten, der Aufgabentrennung, der Schlüsselrotation, des Standorts und der Schlüsselspezifität. Autokey erstellt Schlüssel, die sowohl den allgemeinen Richtlinien als auch den Richtlinien für den Ressourcentyp fürGoogle Cloud -Dienste entsprechen, die in Cloud KMS Autokey eingebunden sind. Nachdem sie erstellt wurden, funktionieren die mit Autokey angeforderten Schlüssel genauso wie andere Cloud HSM-Schlüssel mit denselben Einstellungen.
Wenn Sie Autokey verwenden, sind die Berechtigungen, die zum Anfordern eines neuen Schlüssels erforderlich sind, minimal und in den Standardrollen enthalten, die Berechtigungen zum Erstellen von Ressourcen gewähren. Das bedeutet, dass Ihre Entwickler und IaC-Pipelines (Infrastructure as Code) keine erhöhten Berechtigungen benötigen. Autokey vereinfacht die Verwendung von Terraform für die Schlüsselverwaltung und unterstützt das Prinzip der geringsten Berechtigung.
Sie können Autokey mit einem Schlüsselspeicher in einem dedizierten Projekt (früher als zentrale Schlüsselverwaltung bezeichnet) oder mit einem Schlüsselspeicher im selben Projekt (früher als delegierte Schlüsselverwaltung bezeichnet) verwenden. Wenn Sie Autokey mit dediziertem Projektschlüsselspeicher verwenden möchten, benötigen Sie eine Organisationsressource, die eine Ordnerressource enthält. Wenn Sie den Schlüsselspeicher für dedizierte Projekte verwenden, aktivieren Sie Autokey für Projekte in einem Ordner. Von Autokey erstellte Schlüssel werden im dafür vorgesehenen Schlüsselprojekt für diesen Ordner erstellt. Wenn Sie den Schlüsselspeicher im selben Projekt verwenden, aktivieren Sie Autokey für einen Ordner oder ein Projekt, damit Autokey Schlüssel im selben Projekt wie die Ressourcen erstellen kann, die durch die Schlüssel geschützt werden.
Weitere Informationen zu Organisations- und Ordnerressourcen finden Sie unter Ressourcenhierarchie.
Cloud KMS Autokey ist an allen Google Cloud -Standorten verfügbar, an denen Cloud HSM verfügbar ist. Weitere Informationen zu Cloud KMS-Standorten finden Sie unter Cloud KMS-Standorte. Für die Verwendung von Cloud KMS Autokey fallen keine zusätzlichen Kosten an. Die Preise für mit Autokey erstellte Schlüssel sind mit denen für andere Cloud HSM-Schlüssel identisch. Weitere Informationen zu den Preisen finden Sie unter Cloud Key Management Service – Preise.
Weitere Informationen zu Autokey finden Sie unter Übersicht: Autokey.
Zwischen Autokey und anderen Verschlüsselungsoptionen wählen
Cloud KMS mit Autokey ist wie ein Autopilot für kundenverwaltete Verschlüsselungsschlüssel: Es erledigt die Arbeit bei Bedarf für Sie. Sie müssen Schlüssel nicht im Voraus planen oder Schlüssel erstellen, die möglicherweise nie benötigt werden. Schlüssel und Schlüsselnutzung sind konsistent. Sie können festlegen, wo Autokey verwendet werden soll, und steuern, wer es verwenden darf. Sie behalten die volle Kontrolle über die von Autokey erstellten Schlüssel. Sie können manuell erstellte Cloud KMS-Schlüssel zusammen mit Schlüsseln verwenden, die mit Autokey erstellt wurden. Sie können Autokey deaktivieren und die damit erstellten Schlüssel wie jeden anderen Cloud KMS-Schlüssel verwenden.
Cloud KMS Autokey ist eine gute Wahl, wenn Sie eine einheitliche Schlüsselnutzung über Projekte hinweg mit geringem Betriebsaufwand wünschen und die Empfehlungen von Google für Schlüssel befolgen möchten.
| Funktion oder Fähigkeit | Standardmäßige Google-Verschlüsselung | Cloud KMS | Cloud KMS Autokey |
|---|---|---|---|
| Kryptografische Isolation: Schlüssel sind exklusiv für das Konto eines Kunden | Nein | Ja | Ja |
| Kunde besitzt und kontrolliert Schlüssel | Nein | Ja | Ja |
| Entwickler löst Schlüsselbereitstellung und -zuweisung aus | Ja | Nein | Ja |
| Spezifität: Schlüssel werden automatisch mit der empfohlenen Schlüsselgranularität erstellt. | Nein | Nein | Ja |
| Ermöglicht das Crypto-Shredding Ihrer Daten | Nein | Ja | Ja |
| Automatische Ausrichtung an empfohlenen Praktiken für die Schlüsselverwaltung | Nein | Nein | Ja |
| Verwendet HSM-gestützte Schlüssel, die FIPS 140-2 Level 3-konform sind | Nein | Optional | Ja |
Wenn Sie eine andere Schutzstufe als HSM oder einen benutzerdefinierten Rotationszeitraum verwenden müssen, können Sie CMEK ohne Autokey verwenden.
Kompatible Dienste
In der folgenden Tabelle sind Dienste aufgeführt, die mit Cloud KMS Autokey kompatibel sind:
| Dienst | Geschützte Ressourcen | Detaillierungsgrad des Schlüssels |
|---|---|---|
| AlloyDB for PostgreSQL |
Die Integration von AlloyDB for PostgreSQL und Cloud KMS Autokey ist nur für Ressourcen verfügbar, die mit Terraform oder der REST API erstellt werden. |
Ein Schlüssel pro Ressource |
| Apigee |
Die Integration von Apigee und Cloud KMS Autokey ist nur für Ressourcen verfügbar, die mit Terraform oder der REST API erstellt wurden. |
Ein Schlüssel pro Ressource |
| Apigee API-Hub |
Die Integration zwischen Apigee API-Hub und Cloud KMS Autokey ist nur für Ressourcen verfügbar, die mit Terraform oder der REST API erstellt wurden. |
Ein Schlüssel pro Ressource |
| Artifact Registry |
Autokey erstellt Schlüssel während der Repository-Erstellung, die für alle gespeicherten Artefakte verwendet werden. |
Ein Schlüssel pro Ressource |
| Backup- und DR-Dienst |
|
Ein Schlüssel pro Ressource |
| Backup for GKE |
Die Integration von Sicherung für GKE und Cloud KMS Autokey ist nur für Ressourcen verfügbar, die mit Terraform oder der REST API erstellt wurden. |
Ein Schlüssel pro Ressource |
| BigQuery |
Autokey erstellt Standardschlüssel für Datasets. Tabellen, Modelle, Abfragen und temporäre Tabellen in einem Dataset verwenden den Standardschlüssel des Datasets. Mit Autokey werden keine Schlüssel für andere BigQuery-Ressourcen als Datasets erstellt. Wenn Sie Ressourcen schützen möchten, die nicht Teil eines Datasets sind, müssen Sie eigene Standardschlüssel auf Projekt- oder Organisationsebene erstellen. |
Ein Schlüssel pro Ressource |
| Bigtable |
Autokey erstellt Schlüssel für Cluster. Mit Autokey werden keine Schlüssel für andere Bigtable-Ressourcen als Cluster erstellt. Die Integration von Bigtable und Cloud KMS Autokey ist nur für Ressourcen verfügbar, die mit Terraform oder dem Google Cloud SDK erstellt wurden. |
Ein Schlüssel pro Cluster |
| Cloud Run |
|
Ein Schlüssel pro Standort innerhalb eines Projekts |
| Cloud SQL |
Mit Autokey werden keine Schlüssel für Cloud SQL- Die Integration von Cloud SQL und Cloud KMS Autokey ist nur für Ressourcen verfügbar, die mit Terraform oder der REST API erstellt werden. |
Ein Schlüssel pro Ressource |
| Cloud Storage |
Objekte in einem Storage-Bucket verwenden den Standardschlüssel des Buckets. Mit Autokey werden keine Schlüssel für |
Ein Schlüssel pro Bucket |
| Compute Engine |
Snapshots verwenden den Schlüssel für das Laufwerk, von dem Sie einen Snapshot erstellen.
Mit Autokey werden keine Schlüssel für |
Ein Schlüssel pro Ressource |
| Google Kubernetes Engine |
Die Integration von Google Kubernetes Engine und Cloud KMS Autokey ist nur für Ressourcen verfügbar, die mit Terraform oder der REST API erstellt werden. |
Ein Schlüssel pro Cluster |
| Dataflow |
|
Ein Schlüssel pro Ressource |
| Datastream |
Die Integration von Datastream und Cloud KMS Autokey ist nur für Ressourcen verfügbar, die mit Terraform oder der REST API erstellt wurden. |
Ein Schlüssel pro Ressource |
| Document AI |
Der Schlüssel, der einen Prozessor schützt, muss sich am selben Standort wie der Prozessor befinden, mit Ausnahme von Multiregionen: |
Ein Schlüssel pro Ressource |
| Managed Service for Apache Airflow |
|
Ein Schlüssel pro Ressource |
| Managed Service for Apache Spark |
|
Für Cluster-, SessionTemplate- und WorkflowTemplate-Ressourcen: Ein Schlüssel pro Ressource Für Batch- und Sitzungsressourcen: Ein Schlüssel pro Standort innerhalb eines Projekts |
| Memorystore for Redis |
Die Integration von Memorystore for Redis und Cloud KMS Autokey ist nur für Ressourcen verfügbar, die mit Terraform oder der REST API erstellt wurden. |
Ein Schlüssel pro Ressource |
| Memorystore for Valkey |
Die Integration von Memorystore for Valkey und Cloud KMS Autokey ist nur für Ressourcen verfügbar, die mit Terraform oder der REST API erstellt wurden. |
Ein Schlüssel pro Ressource |
| Migrate to Virtual Machines |
Die Integration von Migrate to Virtual Machines und Cloud KMS Autokey ist nur für Ressourcen verfügbar, die mit Terraform oder der REST API erstellt wurden. |
Ein Schlüssel pro Ressource |
| Pub/Sub |
|
Ein Schlüssel pro Ressource |
| Secret Manager |
Die Integration von Secret Manager und Cloud KMS Autokey ist nur für Ressourcen verfügbar, die mit Terraform oder der REST API erstellt werden. |
Ein Schlüssel pro Standort innerhalb eines Projekts |
| Secure Source Manager |
|
Ein Schlüssel pro Ressource |
| Spanner |
Die Integration von Spanner und Cloud KMS Autokey ist nur für Ressourcen verfügbar, die mit Terraform oder der REST API erstellt werden. |
Ein Schlüssel pro Ressource |
| Filestore |
|
Ein Schlüssel pro Ressource |
| Workflows |
Die Integration von Workflows und Cloud KMS Autokey ist nur für Ressourcen verfügbar, die mit Terraform oder der REST API erstellt werden. |
Ein Schlüssel pro Ressource |
Nächste Schritte
- Weitere Informationen zur Funktionsweise von Cloud KMS Autokey finden Sie in der Übersicht zu Autokey.