
Before you begin
- Labs create a Google Cloud project and resources for a fixed time
- Labs have a time limit and no pause feature. If you end the lab, you'll have to restart from the beginning.
- On the top left of your screen, click Start lab to begin
Create a Cloud Storage bucket.
/ 25
Create a Keyring and Crypto key.
/ 25
Encrypt Your Data with the Cloud KMS key and upload it on the storage bucket.
/ 25
Encrypt multiple files using KMS API and upload to cloud storage.
/ 25
In diesem Lab lernen Sie, wie Sie einige der erweiterten Funktionen der Sicherheits- und Datenschutz-APIs von Google Cloud verwenden. Sie erledigen folgende Aufgaben:
Sie verwenden dazu gekürzte Daten aus dem Enron Corpus, verschlüsseln sie und laden sie in Cloud Storage.
Lesen Sie diese Anleitung. Labs sind zeitlich begrenzt und können nicht pausiert werden. Der Timer beginnt zu laufen, wenn Sie auf Lab starten klicken, und zeigt Ihnen, wie lange die Ressourcen für das Lab verfügbar sind.
In diesem praxisorientierten Lab können Sie die Lab-Aktivitäten in einer echten Cloud-Umgebung selbst durchführen – nicht in einer Simulations- oder Demo-Umgebung. Dazu erhalten Sie neue, temporäre Anmeldedaten, mit denen Sie für die Dauer des Labs auf Google Cloud zugreifen können.
Für dieses Lab benötigen Sie Folgendes:
Klicken Sie auf Lab starten. Wenn Sie für das Lab bezahlen müssen, wird ein Pop-up-Fenster geöffnet, in dem Sie Ihre Zahlungsmethode auswählen können. Auf der linken Seite befindet sich der Bereich Details zum Lab mit diesen Informationen:
Klicken Sie auf Google Cloud Console öffnen (oder klicken Sie mit der rechten Maustaste und wählen Sie Link in Inkognitofenster öffnen aus, wenn Sie Chrome verwenden).
Im Lab werden Ressourcen aktiviert. Anschließend wird ein weiterer Tab mit der Seite Anmelden geöffnet.
Tipp: Ordnen Sie die Tabs nebeneinander in separaten Fenstern an.
Kopieren Sie bei Bedarf den folgenden Nutzernamen und fügen Sie ihn in das Dialogfeld Anmelden ein.
Sie finden den Nutzernamen auch im Bereich Details zum Lab.
Klicken Sie auf Weiter.
Kopieren Sie das folgende Passwort und fügen Sie es in das Dialogfeld Willkommen ein.
Sie finden das Passwort auch im Bereich Details zum Lab.
Klicken Sie auf Weiter.
Klicken Sie sich durch die nachfolgenden Seiten:
Nach wenigen Augenblicken wird die Google Cloud Console in diesem Tab geöffnet.
Cloud Shell ist eine virtuelle Maschine, auf der Entwicklertools installiert sind. Sie bietet ein Basisverzeichnis mit 5 GB nichtflüchtigem Speicher und läuft auf Google Cloud. Mit Cloud Shell erhalten Sie Befehlszeilenzugriff auf Ihre Google Cloud-Ressourcen.
Wenn Sie verbunden sind, sind Sie bereits authentifiziert und das Projekt ist auf Ihre Project_ID,
gcloud
ist das Befehlszeilentool für Google Cloud. Das Tool ist in Cloud Shell vorinstalliert und unterstützt die Tab-Vervollständigung.
Ausgabe:
Ausgabe:
gcloud
finden Sie in Google Cloud in der Übersicht zur gcloud CLI.
Sie benötigen einen eigenen Cloud Storage-Bucket, in dem die Daten dieses Labs gespeichert werden.
Mit diesem Befehl können Sie auch überprüfen, ob Sie den Client für das Befehlszeilentool gsutil
korrekt eingerichtet haben, ob die Authentifizierung funktioniert und ob Sie Schreibzugriff auf das Cloud-Projekt haben.
Klicken Sie auf Fortschritt prüfen.
Der Enron Corpus ist eine riesige Datenbank mit über 600.000 E-Mails, die von 158 Mitarbeitern der Enron Corporation verfasst wurden. Diese Daten wurden in den Cloud Storage-Bucket gs://enron_emails/
kopiert.
tail
, um zu prüfen, ob der E-Mail-Text vorhanden ist:Sie sollten folgende Ausgabe erhalten:
Damit sollte der Inhalt der Klartext-E-Mail-Datei angezeigt werden. Sie arbeiten in diesem Lab mit folgenden zwei Dateitypen: Klartext-E-Mail-Dateien und Bilddateien. Wenn es Sie interessiert, sehen Sie sich mit dem gleichen Verfahren auch die anderen Dateien an.
Cloud KMS ist ein kryptografischer Key Management Service in Google Cloud. Bevor Sie KMS nutzen können, müssen Sie es in Ihrem Projekt aktivieren. Im Rahmen dieses Labs sollte die Aktivierung bereits vorgenommen worden sein. Sie können dies aber auch mithilfe eines der gcloud
-Befehle in der Befehlszeile prüfen.
Sie sollten keine Ausgabe erhalten. Cloud KMS ist jetzt in Ihrem Projekt aktiviert.
Zum Verschlüsseln der Daten müssen Sie einen KeyRing (Schlüsselbund) und einen CryptoKey (Kryptografischer Schlüssel) erstellen. KeyRings sind hilfreich, um Schlüssel zu gruppieren. Schlüssel können nach Umgebung (wie test, staging und prod) oder auch nach einem anderen Konzept gruppiert werden. Für dieses Lab heißt Ihr KeyRing test
und Ihr CryptoKey qwiklab
.
gcloud
-Befehl aus, um den KeyRing zu erstellen. Im Rahmen dieses Labs verwenden Sie einen globalen Standort. Es kann aber auch eine bestimmte Region festgelegt werden:qwiklab
:Sie sollten keine Ausgabe angezeigt bekommen. So einfach haben Sie nun einen KeyRing und einen CryptoKey erstellt.
Über die Web-UI von Key Management können Sie sich die CryptoKeys und KeyRings ansehen und sie verwalten. Später werden Sie über diese UI auch Berechtigungen verwalten.
Klicken Sie auf Fortschritt prüfen.
Jetzt widmen wir uns dem Verschlüsseln von Daten.
Base64
-Codierung der oben angegebenen E-Mail-Inhalte vor, indem Sie Folgendes ausführen:Mithilfe des Verschlüsselungsendpunkts können Sie den zu verschlüsselnden Base64-codierten Text an den angegebenen Schlüssel senden.
encrypt
gibt jedes Mal ein anderes Ergebnis zurück, selbst wenn derselbe Text und derselbe Schlüssel verwendet werden.
Die Antwort ist eine JSON-Nutzlast, die in dem Attribut ciphertext
den verschlüsselten Text enthält.
1.encrypted
mit der Eigenschaft ciphertext
geparst. Führen Sie den folgenden Befehl aus:decrypt
) auf. So können Sie prüfen, ob der entschlüsselte Text mit dem der Original-E-Mail übereinstimmt. Die verschlüsselten Daten enthalten Angaben über die CryptoKey-Version, die zum Verschlüsseln verwendet wurde. Die spezifische Version wird also niemals an den Entschlüsselungsendpunkt geliefert. Führen Sie den folgenden Befehl aus:Klicken Sie auf Fortschritt prüfen.
Für KMS gibt es zwei Berechtigungen, die es besonders zu beachten gilt. Mit der einen können von einem Nutzer- oder Dienstkonto aus KMS-Ressourcen verwaltet werden, während mit der anderen über ein Nutzer- oder Dienstkonto Daten verschlüsselt und entschlüsselt werden.
Die Berechtigung für die Verwaltung von Schlüsseln lautet cloudkms.admin
und ermöglicht jeder Person mit dieser Berechtigung das Erstellen von KeyRings sowie das Erstellen, Ändern, Deaktivieren und Vernichten von CryptoKeys. Die Berechtigung zum Ver- und Entschlüsseln lautet cloudkms.cryptoKeyEncrypterDecrypter
und wird zum Aufrufen der API-Endpunkte für Ver- und Entschlüsselung verwendet.
Für diese Übung verwenden Sie den aktuell autorisierten Nutzer, um IAM-Berechtigungen zuzuweisen.
gcloud
-Befehl aus, um dem Nutzer die IAM-Berechtigung zuzuweisen, mit der er den KeyRing verwalten kann, den Sie gerade erstellt haben:Da CryptoKeys zu KeyRings und KeyRings zu Projekten gehören, übernimmt ein Nutzer mit einer bestimmten Rolle oder Berechtigung auf höherer Ebene in dieser Hierarchie die gleichen Berechtigungen für die untergeordneten Ressourcen. Das bedeutet, dass ein Nutzer, der die Rolle „Inhaber“ für ein Projekt hat, auch ein Inhaber aller KeyRings und CryptoKeys in diesem Projekt ist. Wenn einem Nutzer die Rolle cloudkms.admin
für einen KeyRing zugewiesen ist, hat er auch die zugehörigen Berechtigungen für die CryptoKeys in diesem KeyRing.
Ohne die Berechtigung cloudkms.cryptoKeyEncrypterDecrypter
kann der autorisierte Nutzer die Schlüssel nicht verwenden, um Daten zu ver- oder entschlüsseln.
gcloud
-Befehl aus, um die IAM-Berechtigung zuzuweisen, mit der der Nutzer Daten für jeden CryptoKey an dem von Ihnen erstellten KeyRing ver- und entschlüsseln kann:Nun können Sie sich im Key Management im Bereich „Kryptografische Schlüssel“ die zugewiesenen Berechtigungen ansehen.
test
) und dann im Infofeld rechts auf Hauptkonten.Für den gerade hinzugefügten Schlüsselbund werden in einem Menü die Konten und Berechtigungen angezeigt.
Da Sie jetzt wissen, wie Sie eine einzelne Datei verschlüsseln und auch die Berechtigung dazu haben, können Sie ein Script ausführen, um alle Dateien in einem Verzeichnis zu sichern. Kopieren Sie dafür alle E-Mails für allen-p, verschlüsseln Sie sie und laden Sie sie in einen Cloud Storage-Bucket hoch.
Das Script lässt alle Dateien eines bestimmten Verzeichnisses eine Schleife durchlaufen, verschlüsselt sie mit der KMS API und lädt sie in Cloud Storage hoch.
Klicken Sie auf Fortschritt prüfen.
Nachdem das Script abgeschlossen ist, können Sie die verschlüsselten Dateien durch Klicken auf „Storage“ links im Console-Menü aufrufen.
Das Google Cloud-Audit-Logging besteht aus zwei Logstreams (Administratoraktivität und Datenzugriff), die von Google Cloud-Diensten generiert werden. Mit diesen Streams können Sie für Ihre Google Cloud-Projekte herausfinden, wer was wo und wann getan hat.
Ressourcentyp
aus. Dort sollten Sie die Erstellung des KeyRing sowie alle daran vorgenommenen Änderungen sehen können.Sie haben jetzt Daten mithilfe von KMS und Cloud Storage verschlüsselt und hochgeladen.
In diesem Quiz können Sie Ihr Wissen über Cloud KMS testen.
Sie haben gelernt, wie Sie mit dem Cloud Key Management Service (KMS) Daten verschlüsseln und Verschlüsselungsschlüssel verwalten.
Anleitung zuletzt am 15. April 2024 aktualisiert
Lab zuletzt am 31. August 2023 getestet
© 2025 Google LLC. Alle Rechte vorbehalten. Google und das Google-Logo sind Marken von Google LLC. Alle anderen Unternehmens- und Produktnamen können Marken der jeweils mit ihnen verbundenen Unternehmen sein.
Diese Inhalte sind derzeit nicht verfügbar
Bei Verfügbarkeit des Labs benachrichtigen wir Sie per E-Mail
Sehr gut!
Bei Verfügbarkeit kontaktieren wir Sie per E-Mail
One lab at a time
Confirm to end all existing labs and start this one