Kundenverwaltete Verschlüsselungsschlüssel für Managed Lustre

Google Cloud Managed Lustre verschlüsselt ruhende Kundeninhalte standardmäßig. Die Verschlüsselung wird von Managed Lustre übernommen. Weitere Maßnahmen Ihrerseits sind nicht erforderlich. Diese Option heißt Google-Standardverschlüsselung.

Wenn Sie Ihre Verschlüsselungsschlüssel selbst verwalten möchten, können Sie kundenverwaltete Verschlüsselungsschlüssel (CMEKs, Customer-Managed Encryption Keys) in Cloud KMS mit CMEK-integrierten Diensten wie Managed Lustre verwenden. Mit Cloud KMS-Schlüsseln haben Sie die Kontrolle über Schutzlevel, Speicherort, Rotationszeitplan, Nutzungs- und Zugriffsberechtigungen sowie über kryptografische Grenzen. Mit Cloud KMS können Sie außerdem Audit-Logs aufrufen und den Lebenszyklus von Schlüsseln steuern. Statt es Google zu überlassen, die symmetrischen Schlüsselverschlüsselungsschlüssel (Key Encryption Keys, KEKs) zum Schutz Ihrer Daten zu besitzen und zu verwalten, können Sie diese auch über Cloud KMS steuern und verwalten.

Nachdem Sie Ihre Ressourcen mit CMEKs eingerichtet haben, ähnelt der Zugriff auf Ihre Managed Lustre-Ressourcen der Verwendung der standardmäßigen Google-Verschlüsselung. Weitere Informationen zu Ihren Verschlüsselungsoptionen finden Sie unter Kundenverwaltete Verschlüsselungsschlüssel (CMEK).

Die folgenden Managed Lustre-Daten werden durch CMEK geschützt:

  • Dateidaten
  • Dateisystem-Metadaten wie Dateinamen

Wenn Sie CMEK in Managed Lustre verwenden, können Ihre Projekte Kontingente für kryptografische Cloud KMS-Anfragen verbrauchen. CMEK-verschlüsselte Instanzen verbrauchen Kontingente, wenn Daten in Managed Lustre gelesen oder geschrieben werden. Ver- und Entschlüsselungsvorgänge über CMEK-Schlüssel wirken sich nur dann auf Cloud KMS-Kontingente aus, wenn Sie externe Schlüssel (Cloud EKM) verwenden. Weitere Informationen finden Sie unter Cloud KMS-Kontingente.

Beschränkungen

Es gelten folgende Einschränkungen:

  • Die dynamische Bereitstellung von CMEK-geschützten Managed Lustre-Instanzen wird in Google Kubernetes Engine nicht unterstützt, die statische Bereitstellung jedoch schon.

  • Wenn Sie eine CMEK-geschützte Managed Lustre-Instanz innerhalb eines VPC Service Controls-Perimeters erstellen, muss Ihr Cloud KMS-Schlüssel entweder:

Cloud KMS-Schlüssel erstellen

Bevor Sie eine CMEK-fähige Lustre-Instanz erstellen, benötigen Sie einen Cloud KMS-Schlüsselbund und einen Cloud KMS-Schlüssel.

Managed Lustre unterstützt drei Schutzstufen:

  • Software (SOFTWARE)
  • Hardware (HSM)
  • Extern über das Internet (EXTERNAL)

Wir empfehlen, den Cloud KMS-Schlüssel in einem anderen Projekt als dem Projekt zu erstellen, das Ihre Managed Lustre-Instanz enthält. Weitere Informationen finden Sie unter Aufgabentrennung.

Der Cloud KMS-Schlüssel muss in derselben Region wie die von Ihnen erstellte Managed Lustre-Instanz erstellt werden.

So erstellen Sie einen Schlüssel:

  1. Erstellen Sie einen Schlüsselbund, falls Sie noch keinen haben.
  2. Cloud KMS-Schlüssel erstellen

Dem Managed Lustre-Dienst-Agent IAM-Berechtigungen gewähren

Managed Lustre verwendet einen Dienst-Agenten, um auf Ihre Ressourcen zuzugreifen und Aktionen in Ihrem Namen auszuführen. Wenn Sie CMEK verwenden möchten, müssen Sie dem Dienst-Agenten die IAM-Rolle roles/cloudkms.cryptoKeyEncrypterDecrypter für Ihren Cloud KMS-Schlüssel zuweisen.

Google Cloud Console-Nutzer

Wenn Sie Ihre CMEK-geschützte Managed Lustre-Instanz mit der Google Cloud Console erstellen, können Sie diesen Abschnitt überspringen. In der Google Cloud Console werden die erforderlichen Berechtigungen im Rahmen der Instanzerstellung gewährt.

Springen Sie zu CMEK-fähige Managed Lustre-Instanz erstellen.

Wenn Sie die Dienst-Agent-Identität Ihres Projekts nicht kennen, lesen Sie den Abschnitt Dienst-Agent-Identität erstellen oder abrufen.

Berechtigungen für den Dienst-Agent erteilen

Verwenden Sie den Befehl gcloud kms keys add-iam-policy-binding, um dem Dienst-Agent die Rolle zuzuweisen:

gcloud kms keys add-iam-policy-binding KEY_NAME \
  --keyring=KEY_RING \
  --location=REGION \
  --project=KMS_PROJECT_ID \
  --member=serviceAccount:SERVICE_AGENT_IDENTITY \
  --role=roles/cloudkms.cryptoKeyEncrypterDecrypter

Ersetzen Sie die folgenden Variablen:

  • KEY_NAME: Der Name Ihres Cloud KMS-Schlüssels.
  • KEY_RING: Der Name des Schlüsselbunds, der den Schlüssel enthält.
  • REGION: Die Region, in der sich Ihr Schlüsselbund befindet.
  • KMS_PROJECT_ID: Die ID des Projekts, das Ihren Cloud KMS-Schlüssel enthält.
  • SERVICE_AGENT_IDENTITY: Die Identität des Managed Lustre-Dienst-Agents (service-<var>PROJECT_NUMBER</var>@gcp-sa-lustre.).

CMEK-fähige Managed Lustre-Instanz erstellen

Verwenden Sie eine der folgenden Schnittstellen, um eine durch CMEK geschützte Managed Lustre-Instanz zu erstellen. Informationen zum Konfigurieren von CMEK in einem Cluster Toolkit-Blueprint finden Sie in der Cluster Toolkit-Dokumentation unter Kundenverwaltete Verschlüsselungsschlüssel (CMEK) verwenden.

gcloud

Wenn Sie eine CMEK-geschützte Instanz mit gcloud erstellen möchten, folgen Sie der Anleitung unter Instanz erstellen. Geben Sie die Schlüssel-ID als Wert von --kms-key-name an, wie unten gezeigt:

gcloud lustre instance create INSTANCE_ID \
  --filesystem=FILESYSTEM_NAME \
  --per-unit-storage-throughput=PERF_TIER \
  --capacity-gib=CAPACITY_GIB \
  --location=ZONE \
  --network=NETWORK_NAME \
  --project=PROJECT_ID \
  --kms-key-name=projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY_NAME

Der Cloud KMS-Schlüssel muss sich in derselben Region wie die Managed Lustre-Instanz befinden, die Sie erstellen.

REST

Wenn Sie eine CMEK-geschützte Instanz mit der REST API erstellen möchten, folgen Sie der Anleitung unter Instanz erstellen. Geben Sie die Schlüssel-ID als Wert von kmsKey an, wie unten gezeigt:

POST https://lustre.googleapis.com/v1/projects/PROJECT_ID/locations/ZONE/instances?instanceId=INSTANCE_NAME
Authorization: Bearer AUTH_TOKEN
{
  "filesystem": "FILESYSTEM_NAME",
  "perUnitStorageThroughput": PERF_TIER,
  "capacityGib": CAPACITY_GIB,
  "network": "NETWORK_NAME",
  "kmsKey": "projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY_NAME"
}

Der Cloud KMS-Schlüssel muss sich in derselben Region wie die von Ihnen erstellte Managed Lustre-Instanz befinden.

Eine vollständige Liste der Felder und ihrer Beschreibungen finden Sie in der Referenzdokumentation zur Ressource Instance.

Google Cloud Console

Wenn Sie eine CMEK-geschützte Instanz mit der Google Cloud Console erstellen möchten, folgen Sie der Anleitung unter Instanz erstellen. Auf der Seite Instanz erstellen der Google Cloud Console:

  1. Wählen Sie im Abschnitt Verschlüsselung die Option Cloud KMS-Schlüssel aus.

  2. Wählen Sie Cloud KMS als Schlüsselverwaltungstyp und dann Ihren Schlüssel aus. Wenn sich Ihr Schlüssel in einem anderen Projekt befindet (empfohlen), klicken Sie auf Projekt wechseln, wählen Sie das Schlüsselprojekt und dann Ihren Schlüssel aus. Der Cloud KMS-Schlüssel muss sich in derselben Region wie die von Ihnen erstellte Managed Lustre-Instanz befinden.

  3. Wenn Ihr Managed Lustre-Dienst-Agent nicht die erforderlichen Berechtigungen zur Verwendung von CMEK hat, werden Sie aufgefordert, die Rolle cloudkms.cryptoKeyEncrypterDecrypter zu gewähren. Klicken Sie auf Gewähren, um die Rolle zuzuweisen.

Wenn der Cloud KMS-Schlüssel nicht verfügbar ist oder beim Initiieren des Erstellungsvorgangs Berechtigungsprobleme auftreten, schlägt der Vorgang fehl und es wird ein FAILED_PRECONDITION-Fehler zurückgegeben.

Schlüsselverwaltung

Cloud Key Management Service-Schlüssel können rotiert, deaktiviert, wieder aktiviert oder gelöscht werden. Sie können aus verschiedenen Gründen nicht mehr verfügbar sein.

Schlüssel rotieren

Sie können Ihren Cloud KMS-Schlüssel rotieren. Durch das Rotieren eines Schlüssels wird eine neue Schlüsselversion erstellt.

  • Durch das Rotieren eines Schlüssels werden die Daten in Ihrer Managed Lustre-Instanz nicht neu verschlüsselt. Managed Lustre unterstützt das Entschlüsseln oder erneute Verschlüsseln von Daten nicht.

  • Die vorhandene Kapazität Ihrer Managed Lustre-Instanz wird weiterhin mit der Version des Schlüssels verschlüsselt, die beim Erstellen der Instanz verwendet wurde.

  • Wenn Sie die Speicherkapazität Ihrer Instanz erhöhen, wird die neue Kapazität durch die Schlüsselversion geschützt, die zum Zeitpunkt der Anfrage zur Kapazitätserhöhung primär ist. Alle Daten, die in diese Kapazität geschrieben werden, werden durch diese Schlüsselversion geschützt.

Das bedeutet, dass Sie mehrere Schlüsselversionen zum Verschlüsseln Ihrer Managed Lustre-Instanz haben können, wenn Sie die Kapazität der Instanz nach der Rotation der Schlüsselversion erhöht haben.

Schlüssel deaktivieren

Sie können eine Schlüsselversion deaktivieren. Während eine von Ihrer Managed Lustre-Instanz verwendete Schlüsselversion deaktiviert ist, wird die Instanz gesperrt. Wenn Sie die Instanz fortsetzen möchten, müssen Sie alle Schlüsselversionen, die Ihre Instanz schützen, in einen verfügbaren Zustand zurückversetzen. Informationen zu gesperrten Instanzen finden Sie unter Nicht verfügbare Schlüssel.

Weitere Informationen finden Sie unter Schlüsselversionen aktivieren und deaktivieren.

Schlüssel wieder aktivieren

Wenn eine Schlüsselversion deaktiviert ist, können Sie sie über die Cloud KMS API wieder aktivieren. Weitere Informationen finden Sie unter Schlüsselversionen aktivieren und deaktivieren.

Wenn Sie die Managed Lustre-Instanz fortsetzen möchten, müssen alle Versionen des Schlüssels, mit dem die Speicherkapazität verschlüsselt wird, aktiviert oder wiederhergestellt werden.

Nachdem alle erforderlichen Schlüssel wieder den Status ENABLED haben, erkennt Managed Lustre die Schlüsseländerungen automatisch und startet die Instanz neu. Der Instanzstatus wird zu ACTIVE und der Managed Lustre-Dienst nimmt den normalen Betrieb wieder auf. Sie können E/A- und alle anderen Vorgänge mit langer Ausführungszeit ausführen.

Schlüssel löschen

Cloud KMS-Schlüsselversionen können gelöscht werden. Das bedeutet, dass das Schlüsselmaterial endgültig gelöscht wird.

Cloud KMS-Schlüssel können nicht sofort gelöscht werden. Stattdessen müssen Sie das Löschen einer Schlüsselversion planen. Während der geplanten Dauer können Sie eine Schlüsselversion wiederherstellen, um das Löschen abzubrechen. Weitere Informationen finden Sie unter Schlüsselversionen löschen und wiederherstellen.

Eine Schlüsselversion, die zum Löschen vorgemerkt ist, ist nicht verfügbar. Alle Managed Lustre-Instanzen, die durch diese Schlüsselversion geschützt sind, werden gesperrt. Informationen zu gesperrten Instanzen finden Sie unter Nicht verfügbare Schlüssel.

Eine gelöschte Schlüsselversion kann nicht wiederhergestellt werden. Ihre Instanz bleibt dauerhaft gesperrt. Der einzige Vorgang, der für die Managed Lustre-Instanz verfügbar ist, ist das Löschen der Instanz.

Nicht verfügbare Schlüssel

Ein Schlüssel kann aus folgenden Gründen nicht verfügbar sein:

  • Der Schlüssel ist deaktiviert.
  • Der Schlüssel wurde gelöscht oder das Löschen ist geplant.
  • Die erforderlichen Berechtigungen werden vom Dienst-Agent entfernt.
  • Die Abrechnung ist für das Projekt des Cloud KMS-Schlüssels deaktiviert und bleibt länger als eine Stunde deaktiviert.
  • Ein externer Schlüssel ist länger als eine Stunde nicht erreichbar.

In diesen Fällen wird die Managed Lustre-Instanz innerhalb weniger Minuten nach dem Ereignis heruntergefahren und ihr Instanzstatus auf SUSPENDED gesetzt.

Eine SUSPENDED-Instanz kann wiederhergestellt werden, indem der Schlüssel wieder verfügbar gemacht wird.

Mögliche Gründe für eine Sperrung:

Aktion für Schlüssel Instanzstatus Grund für die Sperrung Kann wieder aktiviert werden
Deaktivieren SUSPENDED KEY_DISABLE Ja
Löschen planen SUSPENDED KEY_DESTROY_SCHEDULED Ja
Löschen SUSPENDED KEY_DESTROY Nein
Berechtigung entfernen SUSPENDED PERMISSION_DENIED Ja
Abrechnung für 1 Stunde deaktivieren SUSPENDED BILLING_DISABLED Ja
EKM-Schlüssel seit 1 Stunde nicht erreichbar SUSPENDED EKM_KEY_UNREACHABLE Ja

Wenn eine Instanz gesperrt wird, gilt Folgendes:

  • Vorgänge mit langer Ausführungszeit, z. B. Instanzaktualisierungen und Import-/Exportvorgänge, werden blockiert und geben den Fehler FAILED_PRECONDITION zurück.
  • E/A-Vorgänge reagieren nicht mehr, bis die Serverknoten heruntergefahren werden. Dies geschieht innerhalb von 30 Minuten.
  • Der einzige zulässige Vorgang mit langer Ausführungszeit ist DeleteInstance.

Instanzen, die länger als vier Monate gesperrt waren, können möglicherweise nicht fortgesetzt werden.

Abrechnung angehaltener Instanzen

Wenn eine Managed Lustre-Instanz aufgrund der Nichtverfügbarkeit des Schlüssels in den Status SUSPENDED wechselt, fallen weiterhin Gebühren für die Instanz an. Der Sperrstatus pausiert die Abrechnung nicht. Wenn Sie keine Kosten mehr für die Instanz verursachen möchten, müssen Sie sie löschen.

Außerdem werden Ihnen alle verwendeten Schlüsselversionen von Cloud KMS separat in Rechnung gestellt.

Schlüsselnutzung ansehen und Schlüsselversionen auflisten

Sie können die Google Cloud -Ressourcen in Ihrer Organisation aufrufen, die durch Ihre Cloud KMS-Schlüssel geschützt sind. Weitere Informationen finden Sie unter Schlüsselnutzung ansehen.

Verwenden Sie den Befehl gcloud kms inventory search-protected-resources, um die vollständige Liste der Schlüsselversionen aufzurufen, die von Ihrer Managed Lustre-Instanz verwendet werden:

gcloud kms inventory search-protected-resources \
  --keyname=projects/KMS_PROJECT_ID/locations/REGION/keyRings/KEY_RING/cryptoKeys/KEY_NAME \
  --scope=organizations/ORGANIZATION_ID \
  --filter="name:projects/PROJECT_ID/locations/REGION/instances/INSTANCE_ID" \
  --flatten="cryptoKeyVersions" \
  --format="value(cryptoKeyVersions)"

Wobei:

Sie können sich auch wichtige Informationen auf der Seite Schlüsselinventar ansehen.

Zu „Schlüsselinventar“