このページでは、ディスクの暗号化に関する問題を解決する方法について説明します。
鍵のローテーション エラー
このセクションでは、顧客管理の暗号鍵（CMEK）のローテーション時に発生する可能性のあるエラーと、その解決方法について説明します。
CMEK で保護されていないディスクでは CMEK ローテーションは対象外です
サポートされていないリソースで CMEK をローテーション しようとすると、次のエラーが発生します。
CMEK rotation is not supported for non-CMEK protected disks
この問題を解決するには、リソースが Cloud Key Management Serviceを使用して保護されていることを確認します。
一部の Google Cloud Hyperdisk 構成では CMEK ローテーションはサポートされていません
CMEK Rotation is not supported for (confidential) Hyperdisk attached to machine type TYPE_X
この問題を回避するには、次の操作を行います。
- ディスクの切断
compute.disks.updateKmsKeyメソッドを使用して CMEK をローテーションまたは変更する- ディスクを再アタッチする
ディスクですでに主キーのバージョンが使用されている
ディスクまたは標準スナップショットですでに主キーのバージョンが使用されている場合、次の警告メッセージが表示されます。
WARNING: Some requests generated warnings: - Disk DISK_NAME is already using the primary kms key version KEY_VERSION.
このシナリオでは、API 呼び出しは成功しますが、鍵バージョンは更新されません。
この問題は、KMS からのバージョン管理の更新の遅延が原因で発生する可能性があります。 この問題を解決するには、しばらくしてから鍵のローテーションを再度試してください。
タスクが失敗しても上記のエラー メッセージが表示されない場合は、次の手順で Cloud KMS を手動でローテーションできます。
- Cloud KMS 鍵をローテーションします。
- 暗号化されたディスクのスナップショットを作成します。
- 新しいスナップショットを使用して、前の手順でローテーションした鍵で新しいディスクを作成します。
- 古い暗号鍵を使用している VM にアタッチされているディスクを交換します。
新しいディスクを作成すると、新しい鍵バージョンが暗号化に使用されます。そのディスクから作成するスナップショットでは、最新の主キーのバージョンが使用されます。
Cloud Key Management Service を使用して鍵をローテーションする場合、以前の鍵バージョンで暗号化されたデータは自動的に再暗号化されません。詳細については、 データの再暗号化をご覧ください。鍵をローテーションしても、既存の鍵バージョンが自動的に無効化または破棄されることはありません。