Configura CMEK per Cloud Logging

Questo documento descrive come configurare e gestire le chiavi di crittografia gestite dal cliente (CMEK) per Cloud Logging in modo da soddisfare le esigenze di conformità della tua organizzazione. Per organizzazioni e cartelle, puoi forzare l'utilizzo di CMEK per i nuovi bucket configurando le impostazioni predefinite delle risorse per Cloud Logging. Una volta configurato, Cloud Logging garantisce che tutti i nuovi bucket di log nell'organizzazione o nella cartella siano criptati con una chiave gestita dal cliente.

Per le organizzazioni e le cartelle, puoi configurare le impostazioni predefinite delle risorse per Cloud Logging. Quando crei nuove risorse, queste ereditano le impostazioni dell'elemento principale. Ad esempio, supponiamo di configurare le impostazioni delle risorse predefinite della tua organizzazione per Cloud Logging in modo che abbiano un'impostazione CMEK. Con questa configurazione, tutti i nuovi bucket di log _Default e _Required creati in progetti, cartelle o account di fatturazione della tua organizzazione vengono criptati con la chiave predefinita. Inoltre, se crei un bucket di log personalizzato in una risorsa secondaria della tua organizzazione, viene utilizzata automaticamente la chiave predefinita, a meno che tu non fornisca una chiave diversa durante la creazione del bucket di log.

Le istruzioni di questa guida utilizzano Google Cloud CLI.

Le informazioni contenute in questo documento non si applicano ai bucket di osservabilità. Se ti interessano i bucket di osservabilità, consulta Impostare i valori predefiniti per i bucket di osservabilità.

Panoramica

Per impostazione predefinita, Cloud Logging cripta i contenuti inattivi dei clienti. La registrazione gestisce la crittografia per te senza ulteriori azioni da parte tua. Questa opzione è denominata crittografia predefinita di Google.

Se vuoi controllare le tue chiavi di crittografia, puoi utilizzare le chiavi di crittografia gestite dal cliente (CMEK) in Cloud KMS con servizi integrati con CMEK, tra cui Logging. L'utilizzo delle chiavi Cloud KMS ti consente di controllare il livello di protezione, la località, la pianificazione della rotazione, le autorizzazioni di utilizzo e di accesso e i limiti crittografici. Con Cloud KMS puoi inoltre visualizzare gli audit log e controllare i cicli di vita delle chiavi. Invece di Google, sei tu ad avere la proprietà e la gestione delle chiavi di crittografia della chiave (KEK) simmetriche che proteggono i tuoi dati. Puoi controllare e gestire queste chiavi in Cloud KMS.

Dopo aver configurato le risorse con le CMEK, l'esperienza di accesso alle risorse di logging è simile all'utilizzo della crittografia predefinita di Google. Per saperne di più sulle opzioni di crittografia, consulta Chiavi di crittografia gestite dal cliente (CMEK).

Quando le impostazioni predefinite delle risorse per Cloud Logging includono un'impostazione CMEK, si verifica quanto segue:

• I nuovi bucket di log nell'organizzazione o nella cartella vengono criptati automaticamente con la chiave configurata. Tuttavia, puoi modificare la chiave o creare bucket di log e specificare una chiave diversa. Per saperne di più, consulta Configura CMEK per i bucket di log.

• Se utilizzi Observability Analytics ed esegui query su più bucket log, la chiave predefinita potrebbe essere utilizzata per criptare i dati temporanei. Per saperne di più, consulta Limitazioni di Observability Analytics.

Prima di iniziare

Per iniziare, completa i seguenti passaggi:

1. Prima di creare un bucket di log con CMEK abilitata, consulta le limitazioni.

2. Nella console Google Cloud , attiva Cloud Shell.

   Attiva Cloud Shell

   Nella parte inferiore della console Google Cloud viene avviata una sessione di Cloud Shell e viene visualizzato un prompt della riga di comando. Cloud Shell è un ambiente shell con Google Cloud CLI già installata e con valori già impostati per il progetto corrente. L'inizializzazione della sessione può richiedere alcuni secondi.

3. Configura il progetto Google Cloud in cui prevedi di creare le chiavi:

   1. Per ottenere le autorizzazioni necessarie per creare chiavi, chiedi all'amministratore di concederti il ruolo IAM Cloud KMS Admin (roles/cloudkms.admin) nel progetto. Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

      Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

   2. Abilita l'API Cloud KMS.

   3. Crea chiavi automatizzate e chiavi.

      Cloud Logging ti consente di utilizzare una chiave di qualsiasi regione. Tuttavia, quando crei un bucket di log, la posizione del bucket di log deve corrispondere a quella della chiave. Per informazioni sulle regioni supportate, consulta quanto segue:

      • Località di Cloud KMS
      • Regioni supportate per la registrazione

      Se le impostazioni predefinite delle risorse per Cloud Logging includono un'impostazione CMEK, i nuovi bucket di log creati nell'organizzazione o nella cartella vengono configurati automaticamente per CMEK. Inoltre, poiché la località di un bucket log deve corrispondere a quella della chiave, se le impostazioni predefinite delle risorse per Cloud Logging includono un'impostazione CMEK, non puoi creare bucket log nella regione global.

4. Assicurati che il tuo ruolo IAM nell'organizzazione o nella cartella di cui vuoi configurare le impostazioni predefinite delle risorse per Cloud Logging includa le seguenti autorizzazioni Cloud Logging:

   • logging.settings.get
   • logging.settings.update

Abilitare CMEK per un'organizzazione o una cartella

Segui queste istruzioni per attivare CMEK per la tua organizzazione o cartellaGoogle Cloud .

Determinare l'ID account di servizio

Per determinare l'ID service account associato all'organizzazione o alla cartella a cui verrà applicata CMEK, esegui questo comando gcloud logging settings describe:

FOLDER

 gcloud logging settings describe --folder=FOLDER_ID

Prima di eseguire il comando precedente, effettua la seguente sostituzione:

• FOLDER_ID: l'identificatore numerico univoco della cartella. Per informazioni sull'utilizzo delle cartelle, consulta Creare e gestire le cartelle.

ORGANIZZAZIONE

gcloud logging settings describe --organization=ORGANIZATION_ID

Prima di eseguire il comando precedente, effettua la seguente sostituzione:

• ORGANIZATION_ID: l'identificatore numerico univoco dell'organizzazione. Per informazioni su come ottenere questo identificatore, vedi Recuperare l'ID organizzazione.

Il comando precedente genera service account per l'organizzazione o la cartella, se non esistono. Il comando restituisce anche gli ID di due service account, uno nel campo kmsServiceAccountId e l'altro nel campo loggingServiceAccountId. Per configurare le impostazioni predefinite delle risorse per Cloud Logging in modo che abbiano un'impostazione CMEK, utilizza il valore nel campo kmsServiceAccountId.

Di seguito è illustrato un esempio di risposta al comando precedente quando viene specificata un'organizzazione:

kmsServiceAccountId: [e-mail]
loggingServiceAccountId: [e-mail]
name: organizations/ORGANIZATION_ID/settings

Esegui il processo di provisioning una volta per risorsa. L'esecuzione del comando describe più volte restituisce lo stesso valore per il campo kmsServiceAccountId.

Se non puoi utilizzare Google Cloud CLI, esegui il metodo dell'API Cloud Logging getSettings.

Assegna il ruolo Encrypter/Decrypter

Per utilizzare CMEK, concedi all'account di servizio l'autorizzazione a utilizzare Cloud KMS assegnando il ruolo Cloud KMS CryptoKey Encrypter/Decrypter all'account di servizio:

gcloud

gcloud kms keys add-iam-policy-binding \
--project=KMS_PROJECT_ID \
--member=serviceAccount:[e-mail] \
--role=roles/cloudkms.cryptoKeyEncrypterDecrypter \
--location=KMS_KEY_LOCATION \
--keyring=KMS_KEY_RING \
KMS_KEY_NAME

Prima di eseguire il comando precedente, effettua le seguenti sostituzioni:

• KMS_PROJECT_ID: l'identificatore alfanumerico univoco, composto dal nome del tuo progetto Google Cloud e da un numero assegnato in modo casuale, del progetto Google Cloud che esegue Cloud KMS. Per informazioni su come ottenere questo identificatore, consulta Identificazione dei progetti.
• KMS_SERVICE_ACCT_NAME: il nome del account di servizio mostrato nel campo kmsServiceAccountId della risposta del comando gcloud logging settings describe.
• KMS_KEY_LOCATION: la regione della chiave Cloud KMS.
• KMS_KEY_RING: il nome delle chiavi automatizzate Cloud KMS.
• KMS_KEY_NAME: Il nome della chiave Cloud KMS. È formattato nel seguente modo: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY.

Console

1. Nella console Google Cloud , vai alla pagina Gestione chiavi.

   Vai a Gestione delle chiavi

2. Seleziona il nome delle chiavi automatizzate contenenti la chiave.

3. Seleziona la casella di controllo relativa alla chiave.

   Viene visualizzata la scheda Autorizzazioni.

4. Nella finestra di dialogo Aggiungi membri, specifica l'indirizzo email del account di serviziot Logging a cui stai concedendo l'accesso.

5. Nel menu Seleziona un ruolo, seleziona Cloud KMS CryptoKey Encrypter/Decrypter.

6. Fai clic su Aggiungi.

Configura le policy dell'organizzazione

Nota :non è necessario configurare un criterio dell'organizzazione quando vuoi configurare le impostazioni predefinite delle risorse per Cloud Logging. Per informazioni sulle policy dell'organizzazione e su come configurarle, consulta la pagina Introduzione al servizio Policy dell'organizzazione.

Logging supporta i criteri dell'organizzazione che possono richiedere la protezione CMEK e possono limitare le CryptoKey Cloud KMS che possono essere utilizzate per la protezione CMEK:

• Quando logging.googleapis.com si trova nell'elenco dei servizi dei criteri Deny per il vincolo constraints/gcp.restrictNonCmekServices, Logging rifiuta di creare nuovi bucket definiti dall'utente che non sono protetti da CMEK. Tuttavia, questo vincolo non impedisce a Cloud Logging di creare i bucket di log _Required e _Default, che vengono creati quando viene creato un progetto Google Cloud .

• Quando constraints/gcp.restrictCmekCryptoKeyProjects viene applicato, Logging crea risorse protette da CMEK protette da una CryptoKey di un progetto, una cartella o un'organizzazione consentiti.

Per saperne di più su CMEK e sulle policy dell'organizzazione, consulta Policy dell'organizzazione CMEK.

Assicurati che le impostazioni delle risorse predefinite per Cloud Logging siano coerenti con le policy dell'organizzazione. Per le organizzazioni e le cartelle, se prevedi di modificare le impostazioni predefinite delle risorse per Cloud Logging, prima di aggiornarle, esamina e, se necessario, aggiorna le policy dell'organizzazione.

Per visualizzare o configurare le policy dell'organizzazione:

1. Nella console Google Cloud , vai alla pagina Policy dell'organizzazione:

   Vai a Policy dell'organizzazione

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo IAM e amministrazione.

2. Seleziona la tua organizzazione.

3. Verifica e, se necessario, aggiorna i vincoli specifici per CMEK.

   Per informazioni su come modificare una policy dell'organizzazione, consulta Creazione e modifica delle policy.

Configura Cloud Logging con la chiave Cloud KMS

Per aggiornare le impostazioni predefinite delle risorse per Cloud Logging in modo che abbiano un'impostazione CMEK, esegui questo comando gcloud logging settings update:

FOLDER

gcloud logging settings update \
    --folder=FOLDER_ID \
    --kms-location=KMS_KEY_LOCATION \
    --kms-key-name=KMS_KEY_NAME \
    --kms-keyring=KMS_KEY_RING \
    --kms-project=KMS_PROJECT_ID

Prima di eseguire il comando precedente, effettua le seguenti sostituzioni:

• FOLDER_ID: l'identificatore numerico univoco della cartella. Per informazioni sull'utilizzo delle cartelle, consulta Creare e gestire le cartelle.
• KMS_KEY_LOCATION: la regione della chiave Cloud KMS.
• KMS_KEY_NAME: Il nome della chiave Cloud KMS. È formattato nel seguente modo: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY.
• KMS_KEY_RING: il nome delle chiavi automatizzate Cloud KMS.
• KMS_PROJECT_ID: l'identificatore alfanumerico univoco, composto dal nome del tuo progetto Google Cloud e da un numero assegnato in modo casuale, del progetto Google Cloud che esegue Cloud KMS. Per informazioni su come ottenere questo identificatore, consulta Identificazione dei progetti.

Il comando precedente aggiorna le impostazioni predefinite delle risorse per Cloud Logging in modo da archiviare le informazioni sulla chiave Cloud KMS. Devi assicurarti che la posizione di archiviazione predefinita per la cartella sia impostata sul valore di KMS_KEY_LOCATION. Se non hai impostato la posizione di archiviazione predefinita o se il valore di questa posizione non corrisponde al valore di KMS_KEY_LOCATION, aggiungi quanto segue al comando precedente:

--storage-location=KMS_KEY_LOCATION

Il flag --storage-location consente di impostare o aggiornare la posizione di archiviazione predefinita per la cartella.

ORGANIZZAZIONE

gcloud logging settings update \
    --organization=ORGANIZATION_ID \
    --kms-location=KMS_KEY_LOCATION \
    --kms-key-name=KMS_KEY_NAME \
    --kms-keyring=KMS_KEY_RING \
    --kms-project=KMS_PROJECT_ID

Prima di eseguire il comando precedente, effettua le seguenti sostituzioni:

• ORGANIZATION_ID: l'identificatore numerico univoco dell'organizzazione. Per informazioni su come ottenere questo identificatore, vedi Recuperare l'ID organizzazione.
• KMS_KEY_LOCATION: la regione della chiave Cloud KMS.
• KMS_KEY_NAME: Il nome della chiave Cloud KMS. È formattato nel seguente modo: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY.
• KMS_KEY_RING: il nome delle chiavi automatizzate Cloud KMS.
• KMS_PROJECT_ID: l'identificatore alfanumerico univoco, composto dal nome del tuo progetto Google Cloud e da un numero assegnato in modo casuale, del progetto Google Cloud che esegue Cloud KMS. Per informazioni su come ottenere questo identificatore, consulta Identificazione dei progetti.

Il comando precedente aggiorna le impostazioni predefinite delle risorse per Cloud Logging in modo da archiviare le informazioni sulla chiave Cloud KMS. Devi assicurarti che la posizione di archiviazione predefinita per l'organizzazione sia impostata sul valore di KMS_KEY_LOCATION. Se non hai impostato la posizione di archiviazione predefinita o se il valore di questa posizione non corrisponde al valore di KMS_KEY_LOCATION, aggiungi quanto segue al comando precedente:

--storage-location=KMS_KEY_LOCATION

Il flag --storage-location consente di impostare o aggiornare la posizione di archiviazione predefinita per l'organizzazione.

Una volta applicata la chiave, i nuovi bucket di log nell'organizzazione o nella cartella vengono configurati per criptare i dati inattivi utilizzando questa chiave. Puoi anche modificare le chiavi per i singoli bucket di log. Non puoi creare bucket log nella regione global perché devi utilizzare una chiave la cui regione corrisponda all'ambito regionale dei tuoi dati.

Se non puoi utilizzare Google Cloud CLI, esegui il metodo dell'API Cloud Logging updateSettings.

Verifica l'abilitazione della chiave

Per verificare di aver abilitato correttamente CMEK per un'organizzazione o una cartella, esegui questo comando gcloud logging settings describe:

FOLDER

gcloud logging settings describe --folder=FOLDER_ID

Prima di eseguire il comando precedente, effettua la seguente sostituzione:

• FOLDER_ID: l'identificatore numerico univoco della cartella. Per informazioni sull'utilizzo delle cartelle, consulta Creare e gestire le cartelle.

ORGANIZZAZIONE

gcloud logging settings describe --organization=ORGANIZATION_ID

Prima di eseguire il comando precedente, effettua la seguente sostituzione:

• ORGANIZATION_ID: l'identificatore numerico univoco dell'organizzazione. Per informazioni su come ottenere questo identificatore, vedi Recuperare l'ID organizzazione.

Quando il comando precedente restituisce il nome della chiave Cloud KMS nel campo kmsKeyName, CMEK è abilitata per l'organizzazione o la cartella:

kmsKeyName: KMS_KEY_NAME
kmsServiceAccountId: [e-mail]
loggingServiceAccountId: [e-mail]

Instrada i log verso destinazioni supportate

• I bucket log di Cloud Logging possono essere configurati per criptare i dati con CMEK. Per le organizzazioni e le cartelle, se configuri le impostazioni predefinite delle risorse per Cloud Logging con un'impostazione CMEK, i nuovi bucket log nell'organizzazione o nella cartella utilizzano automaticamente CMEK. Puoi modificare la chiave di questi bucket di log e puoi creare bucket di log che utilizzano una chiave KMS diversa da quella specificata dalle impostazioni predefinite delle risorse per Cloud Logging.

  Per informazioni su CMEK applicata ai bucket log, incluso come modificare le chiavi e le limitazioni quando abiliti CMEK su un bucket log, consulta Configurare CMEK per i bucket log.

• Cloud Storage supporta CMEK per i log di routing. Per istruzioni su come configurare CMEK per Cloud Storage, consulta Utilizzo delle chiavi di crittografia gestite dal cliente.

  Se i dati vengono persi a causa della mancata disponibilità della chiave durante il routing dei dati di log a Cloud Storage, puoi copiare in blocco i log in modo retroattivo in Cloud Storage quando questi log vengono archiviati anche in un bucket di log. Per maggiori dettagli, vedi Copiare le voci di log.

• Per impostazione predefinita, BigQuery cripta i contenuti inattivi dei clienti. Per i dettagli, consulta Proteggere i dati con le chiavi di Cloud Key Management Service.

• Per impostazione predefinita, Pub/Sub cripta i contenuti inattivi dei clienti. Per maggiori dettagli, consulta Configurazione della crittografia dei messaggi.

Gestire la chiave Cloud KMS

Le sezioni seguenti spiegano come modificare, revocare l'accesso o disattivare la chiave Cloud KMS.

Nota :se Logging perde l'accesso alla chiave Cloud KMS, si verificano implicazioni per la perdita di dati e per gli utenti. Per saperne di più, consulta la sezione Limitazioni di questa pagina.

Modificare la chiave Cloud KMS

Per modificare la chiave Cloud KMS associata a un'organizzazione o a una cartella, crea una chiave, quindi esegui il comando gcloud logging settings update e fornisci informazioni sulla nuova chiave Cloud KMS:

FOLDER

gcloud logging settings update \
    --folder=FOLDER_ID
    --kms-key-name=NEW_KMS_KEY_NAME
    --kms-location=NEW_KMS_KEY_LOCATION \
    --kms-keyring=NEW_KMS_KEY_RING \
    --kms-project=NEW_KMS_PROJECT_ID

Devi assicurarti che la posizione di archiviazione predefinita per la cartella sia impostata sul valore di KMS_KEY_LOCATION. Se non hai impostato la posizione di archiviazione predefinita o se il valore di questa posizione non corrisponde al valore di KMS_KEY_LOCATION, aggiungi quanto segue al comando precedente:

--storage-location=NEW_KMS_KEY_LOCATION

ORGANIZZAZIONE

gcloud logging settings update \
    --organization=ORGANIZATION_ID
    --kms-key-name=NEW_KMS_KEY_NAME
    --kms-location=NEW_KMS_KEY_LOCATION \
    --kms-keyring=NEW_KMS_KEY_RING \
    --kms-project=NEW_KMS_PROJECT_ID

Devi assicurarti che la posizione di archiviazione predefinita per l'organizzazione sia impostata sul valore di KMS_KEY_LOCATION. Se non hai impostato la posizione di archiviazione predefinita o se il valore di questa posizione non corrisponde al valore di KMS_KEY_LOCATION, aggiungi quanto segue al comando precedente:

--storage-location=NEW_KMS_KEY_LOCATION

Revocare l'accesso alla chiave Cloud KMS

Puoi revocare l'accesso di Logging alla chiave Cloud KMS rimuovendo l'autorizzazione IAM per la chiave del account di servizio configurato.

Se rimuovi l'accesso di Logging a una chiave, l'applicazione della modifica potrebbe richiedere fino a un'ora.

Per revocare l'accesso di Logging alla chiave Cloud KMS, esegui questo comando Google Cloud CLI:

gcloud kms keys remove-iam-policy-binding \
    --project=KMS_PROJECT_ID \
    --member=serviceAccount:[e-mail] \
    --role=roles/cloudkms.cryptoKeyEncrypterDecrypter \
    --location=KMS_KEY_LOCATION \
    --keyring=KMS_KEY_RING \
    KMS_KEY_NAME

Prima di eseguire il comando precedente, effettua le seguenti sostituzioni:

• KMS_PROJECT_ID: l'identificatore alfanumerico univoco, composto dal nome del tuo progetto Google Cloud e da un numero assegnato in modo casuale, del progetto Google Cloud che esegue Cloud KMS. Per informazioni su come ottenere questo identificatore, consulta Identificazione dei progetti.
• KMS_SERVICE_ACCT_NAME: il nome del account di servizio mostrato nel campo kmsServiceAccountId della risposta del comando gcloud logging settings describe.
• KMS_KEY_LOCATION: la regione della chiave Cloud KMS.
• KMS_KEY_RING: il nome delle chiavi automatizzate Cloud KMS.
• KMS_KEY_NAME: Il nome della chiave Cloud KMS. È formattato nel seguente modo: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY.

Disattivare CMEK

Nota :se per un'organizzazione configuri le impostazioni predefinite delle risorse per Cloud Logging, tutte le cartelle dell'organizzazione ereditano automaticamente queste impostazioni. Se vuoi che una cartella abbia impostazioni diverse, configura le impostazioni predefinite delle risorse per Cloud Logging per quella cartella. Ad esempio, per evitare un requisito CMEK per una cartella, non includere questa impostazione durante la configurazione delle impostazioni predefinite delle risorse per Cloud Logging.

La disattivazione di CMEK per un'organizzazione o una cartella rimuove l'applicazione della policy CMEK solo per le operazioni future; tutte le configurazioni applicate in precedenza rimangono intatte.

Per disattivare CMEK su una risorsa per cui è stata configurata CMEK nell'ambito delle impostazioni predefinite delle risorse per Cloud Logging, esegui il seguente comando Google Cloud CLI:

FOLDER

gcloud logging settings update --folder=FOLDER_ID --clear-kms-key

Prima di eseguire il comando precedente, effettua la seguente sostituzione:

• FOLDER_ID: l'identificatore numerico univoco della cartella. Per informazioni sull'utilizzo delle cartelle, consulta Creare e gestire le cartelle.

ORGANIZZAZIONE

gcloud logging settings update --organization=ORGANIZATION_ID --clear-kms-key

Prima di eseguire il comando precedente, effettua la seguente sostituzione:

• ORGANIZATION_ID: l'identificatore numerico univoco dell'organizzazione. Per informazioni su come ottenere questo identificatore, vedi Recuperare l'ID organizzazione.

Se vuoi eliminare la chiave, consulta Eliminazione e ripristino delle versioni delle chiavi.

Considerazioni rotazione della chiave Cloud KMS

Cloud Logging non ruota automaticamente la chiave di crittografia per i file temporanei di ripristino di emergenza quando la chiave Cloud KMS associata all' Google Cloud organizzazione o alla cartella ruota. I file di recupero esistenti continuano a utilizzare la versione della chiave con cui sono stati creati. I nuovi file di recupero utilizzano la versione corrente della chiave primaria.

Limitazioni

Di seguito sono riportate le limitazioni note quando configuri le impostazioni predefinite delle risorse per Cloud Logging in modo che abbiano un'impostazione CMEK.

Indisponibilità del file di disaster recovery

Una chiave Cloud KMS è considerata disponibile e accessibile da Logging quando sono vere entrambe le seguenti condizioni:

• La chiave è abilitata.
• Il account di servizio elencato nel campo kmsServiceAccountId della risposta del comando gcloud logging settings describe dispone delle autorizzazioni di crittografia e decrittografia sulla chiave.

Se Logging perde l'accesso alla chiave Cloud KMS, non è in grado di scrivere file temporanei di ripristino di emergenza e, per gli utenti, le query smettono di funzionare. Le prestazioni delle query potrebbero rimanere degradate anche dopo il ripristino dell'accesso alla chiave.

Anche il routing dei log a Cloud Storage potrebbe essere interessato perché Logging non è in grado di scrivere i file temporanei necessari per facilitare il routing. Se si verifica un errore durante la crittografia o la decrittografia dei dati, viene inviata una notifica al progetto Google Cloud che contiene la chiave Cloud KMS.

Disponibilità della libreria client

Le librerie client di Logging non forniscono metodi per configurare CMEK.

Degrado dovuto alla mancata disponibilità della chiave Cloud EKM

Quando utilizzi una chiave Cloud EKM, Google non ha alcun controllo sulla disponibilità della chiave gestita esternamente nel sistema del partner di gestione delle chiavi esterno.

Quando le impostazioni predefinite delle risorse per Cloud Logging includono un'impostazione CMEK, se la chiave gestita esternamente non è disponibile, Cloud Logging tenta continuamente di accedere alla chiave. Cloud Logging memorizza nel buffer anche i dati di log in entrata per un massimo di un'ora. Dopo un'ora, se Cloud Logging non riesce ancora ad accedere alla chiave gestita esternamente, inizia a eliminare i dati.

Se CMEK viene applicata a un bucket dei log e se una chiave gestita esternamente non è disponibile, allora Cloud Logging continua a memorizzare i log nei bucket dei log, ma gli utenti non potranno accedere a questi dati.

Per ulteriori considerazioni e potenziali alternative quando utilizzi chiavi esterne, consulta la documentazione di Cloud External Key Manager.

Limitazioni dei bucket di log

Per le limitazioni quando utilizzi CMEK con i bucket di log, consulta Limitazioni.

Quote

Per informazioni dettagliate sui limiti di utilizzo di Logging, consulta Quote e limiti.

Risolvere gli errori di configurazione

Per informazioni sulla risoluzione dei problemi relativi agli errori di configurazione di CMEK, consulta Risolvere i problemi relativi a CMEK e alle impostazioni predefinite delle risorse per Cloud Logging.