EKM-Statusüberwachung

Diese Seite gilt für Apigee, aber nicht für Apigee Hybrid.

Apigee Edge-Dokumentation aufrufen

In diesem Dokument wird beschrieben, wie Sie den Zustand des Cloud External Key Manager (Cloud EKM) überwachen, der mit Apigee verwendet wird, und wie Sie Benachrichtigungen für Cloud EKM-bezogene Probleme mit Cloud Logging konfigurieren.

Apigee kann für CMEK auf Cloud EKM zurückgreifen. Wenn Cloud EKM aufgrund von Netzwerkproblemen nicht verfügbar ist oder Schlüssel deaktiviert oder nicht erreichbar sind, können Apigee-Dienste, die auf Verschlüsselung angewiesen sind, beeinträchtigt werden.

Hinweis: Das EKM-Monitoring-Feature ist nur für Apigee-Organisationen verfügbar, die bei der Erstellung der Organisation für die Verwendung von CMEK mit EKM konfiguriert wurden. Es ist nicht möglich, diese Funktion für bestehende Organisationen zu aktivieren.

Cloud EKM-Probleme in Cloud Logging überwachen

Wenn Apigee ein Problem mit einem Cloud EKM feststellt, z. B. eine Statusänderung zu „Abgelehnt“, „Schlüssel deaktiviert“, „Abrechnung deaktiviert“ oder „Schlüssel nicht erreichbar“, wird ein Logeintrag in Cloud Logging generiert. Sie können diese Logs im Log-Explorer aufrufen und logbasierte Benachrichtigungen konfigurieren, um über solche Ereignisse informiert zu werden.

Der Logeintrag enthält Details zur Organisation und Instanz, bei der das Problem auftritt, lässt aber aus Sicherheitsgründen den Schlüsselnamen weg.

So finden Sie Cloud EKM-bezogene Logeinträge im Log-Explorer:

1. Rufen Sie in der Google Cloud Console die Seite Log-Explorer auf:

   Zum Log-Explorer

2. Geben Sie die folgende Abfrage in das Feld des Abfrageeditors ein und klicken Sie auf Abfrage ausführen:

   Apigee EKM key health issue detected

3. Wenn Cloud EKM-Probleme aufgetreten sind, werden in den Abfrageergebnissen Logeinträge mit Details zum Ereignis angezeigt.

Logbasierte Benachrichtigungen für Cloud EKM-Probleme konfigurieren

Sie können eine logbasierte Benachrichtigungsrichtlinie erstellen, damit Sie benachrichtigt werden, wenn Apigee einen Cloud EKM-bezogenen Fehler protokolliert. Mithilfe dieser Benachrichtigungen können Sie Probleme mit Ihrem Cloud EKM proaktiv erkennen und beheben.

Informationen zum Konfigurieren einer logbasierten Benachrichtigung basierend auf dem String der Cloud EKM-Fehlermeldung finden Sie in der Cloud Logging-Dokumentation unter Logbasierte Benachrichtigungsrichtlinien konfigurieren.

Verwenden Sie beim Erstellen der Benachrichtigung denselben Abfragefilter wie unter Cloud EKM-Probleme in Cloud Logging überwachen beschrieben, um die spezifischen Cloud EKM-Logeinträge abzugleichen.

Einschränkungen und Wiederherstellung von Benachrichtigungen

Beachten Sie die folgenden Einschränkungen, wenn Sie Cloud EKM-Integritätswarnungen konfigurieren und darauf reagieren:

• Wiederkehrende Benachrichtigungen: Solange ein Schlüssel nicht erreichbar ist, generiert Apigee etwa einmal pro Stunde einen Logeintrag. Wenn Sie eine logbasierte Benachrichtigung konfigurieren, erhalten Sie in diesem Intervall eine Benachrichtigung, bis das zugrunde liegende Problem behoben ist.
• Keine Wiederherstellungsbenachrichtigung: Apigee generiert keinen Logeintrag und sendet keine Benachrichtigung, wenn der Cloud EKM wieder erreichbar ist. Eine logbasierte Benachrichtigung wird automatisch geschlossen, nachdem Apigee keine Fehlerlogeinträge mehr generiert. Dies basiert auf der Konfiguration für das automatische Schließen Ihrer Benachrichtigungsrichtlinie.
• Wiederherstellung prüfen: Da kein Logeintrag für die Wiederherstellung generiert wird, müssen Sie prüfen, ob Ihr Cloud EKM wieder erreichbar ist. Führen Sie dazu einen Vorgang aus, für den der Schlüssel erforderlich ist, z. B. die Bereitstellung eines API-Proxy, und prüfen Sie, ob er erfolgreich ist.

Einschränkungen bei der Fehlerbehebung

Das Apigee-Logging zeigt an, wenn ein Problem mit der Cloud EKM-Verbindung oder dem Schlüsselstatus vorliegt. Eine detaillierte Fehlerbehebung für Cloud EKM selbst (z.B. die Diagnose von Netzwerkverbindungsproblemen oder Problemen auf der Seite des externen Schlüsselmanagers) ist jedoch nicht im Rahmen des Apigee-Monitorings enthalten. Wenn Sie Benachrichtigungen zu Cloud EKM-Problemen erhalten, sollten Sie den Zustand und die Konfiguration Ihres Cloud EKM-Dienstes prüfen.