CMEK のサポート

デフォルトでは、Google Cloud Observability はお客様のコンテンツを保存時に暗号化します。暗号化は Google Cloud Observability が行うため、ユーザー側での操作は必要ありません。このオプションは、Google のデフォルトの暗号化と呼ばれます。

暗号鍵を管理する場合は、Cloud KMS の顧客管理の暗号鍵（CMEK）を、Google Cloud Observability などの CMEK 統合サービスで使用できます。Cloud KMS 鍵を使用すると、保護レベル、ロケーション、ローテーション スケジュール、使用とアクセスの権限、暗号境界を制御できます。Cloud KMS を使用すると、監査ログを表示し、鍵のライフサイクルを管理することもできます。データを保護する対称鍵暗号鍵（KEK）は Google が所有して管理するのではなく、ユーザーが Cloud KMS でこれらの鍵の制御と管理を行います。

CMEK を使用してリソースを設定した後は、Google Cloud Observability リソースへのアクセスは、Google のデフォルトの暗号化を使用する場合と同様です。暗号化オプションの詳細については、顧客管理の暗号鍵（CMEK）をご覧ください。

Google Cloud Observability は、顧客管理の暗号鍵（CMEK）を使用して、オブザーバビリティ データセットに保存されているデータを暗号化できます。これらのデータセットにはトレースデータが保存されます。このドキュメントでは、サポートされている組織のポリシーの一覧、オブザーバビリティ バケットのデフォルト設定の概要、組織のポリシーとデフォルト設定の相互作用について説明します。

このドキュメントは、ログバケットに保存されているデータを CMEK で暗号化できる Cloud Logging には適用されません。詳細については、Cloud Logging の CMEK を構成するをご覧ください。

サポートされている組織のポリシーの制約

オブザーバビリティ バケットの作成場所と、それらのバケットの暗号鍵を管理するユーザーを制御するには、次の組織のポリシーを構成します。

組織レベル、フォルダレベル、プロジェクト レベルで適用される組織のポリシーを作成できます。詳細については、ポリシーの作成と編集をご覧ください。

オブザーバビリティ バケットのデフォルト設定について

Google Cloud Observability には、オブザーバビリティ バケットのデフォルト設定が用意されています。この設定は、プロジェクト、フォルダ、組織に適用されます。これらのデフォルト設定は、組織のポリシーと連携して、新しいオブザーバビリティ バケットが指定した場所で作成され、指定した暗号化モデルを使用するようにします。

組織、フォルダ、プロジェクトの場合、オブザーバビリティ バケットのデフォルト設定を使用すると、次の構成を行うことができます。

  • デフォルトの保存場所。
  • 各ロケーションのデフォルトの Cloud Key Management Service 鍵。

システムがデフォルト設定を使用する方法は次の 2 つです。

  • システムがオブザーバビリティ バケットを自動的に作成するときに、デフォルト設定を使用してバケットのロケーションと暗号鍵を決定します。デフォルト設定を定義していない場合、システムはロケーションを選択し、バケットは Google のデフォルトの暗号化を使用します。

  • API リクエストを発行してオブザーバビリティ バケットの作成を開始するときに、ロケーションを指定します。ただし、API リクエストの引数で鍵が指定されていない限り、システムはデフォルト設定で定義された Cloud KMS 鍵を自動的に使用してデータを暗号化します。

オブザーバビリティ バケットの親は常にプロジェクトであるため、バケットを作成すると、システムはまずプロジェクト レベルのデフォルト設定を検索します。存在しない場合は、親の祖先からデフォルト設定を検索します。たとえば、フォルダのデフォルト設定を定義すると、その設定は、デフォルト設定が構成されている子孫を除き、フォルダの子孫に適用されます。

詳細については、オブザーバビリティ バケットのデフォルトを設定するをご覧ください。

組織のポリシーとデフォルト設定の相互作用

オブザーバビリティ バケットの親はプロジェクトである必要があります。つまり、フォルダや組織にオブザーバビリティ バケットを作成することはできません。ただし、組織またはフォルダのオブザーバビリティ バケットのデフォルト設定を構成すると、そのデフォルト設定は、その組織またはフォルダの子孫であるすべてのプロジェクトに適用されます。

次の表に、新しいオブザーバビリティ バケットの場所を特定するためにシステムが使用するルールを示します。

組織のポリシー
を使用してロケーションを制限する		 プロジェクト（または祖先）に
デフォルトのストレージ ロケーションがある		 システムが新しいオブザーバビリティ バケットのロケーションを決定する方法
× ×

システムは、オブザーバビリティ バケットでサポートされているロケーションからロケーションを選択します。
○ ×

システムは、組織のポリシーで許可されているロケーションと、オブザーバビリティ バケットでサポートされているロケーションの共通部分からロケーションを選択します。

交差が空の場合、システムはオブザーバビリティ バケットを作成しません。
× ○

ロケーションは、プロジェクトのデフォルト設定で定義されたデフォルトのストレージ ロケーションに設定されます。プロジェクトでデフォルトの保存場所が定義されていない場合、システムは祖先に対して定義されたデフォルトの保存場所を使用します。
○ ○

ロケーションは、プロジェクトのデフォルト設定で定義されたデフォルトのストレージ ロケーションに設定されます。プロジェクトでデフォルトのストレージ ロケーションが定義されていない場合、システムは祖先のデフォルトのストレージ ロケーションを使用します。

デフォルトのストレージ ロケーションが組織のポリシーで許可されていない場合、システムはオブザーバビリティ バケットを作成しません。

次の表に、新しいオブザーバビリティ バケットが CMEK を使用するかどうか、使用する場合は Cloud KMS 鍵の値を判断するためにシステムが使用するルールを示します。オブザーバビリティ バケットを暗号化するには、Cloud KMS 鍵がバケットのロケーションにあり、組織のポリシーで許可されている必要があります。gcp.restrictCmekCryptoKeyProjects 制約で組織のポリシーを指定しない場合、すべての鍵が許可されます。

組織のポリシー
を使用して CMEK を必須にする		 プロジェクト（または祖先）に
デフォルトの Cloud KMS 鍵がある		 システムが使用する Cloud KMS 鍵を決定する方法。
× ×

オブザーバビリティ バケットが CMEK を使用していない。
○ ×

組織のポリシーで CMEK が必要ですが、デフォルトの Cloud KMS 鍵が定義されていないため、システムは新しいオブザーバビリティ バケットを作成しません。
× ○

暗号鍵を特定するために、システムはまず、プロジェクトまたはその祖先のいずれかにデフォルトの保存場所が設定されているかどうかを判断します。存在しない場合、システムはロケーションを選択してオブザーバビリティ バケットを作成します。バケットが CMEK を使用していない。

デフォルトのストレージ ロケーションが見つかった場合、システムはプロジェクトのデフォルト設定でデフォルトの Cloud KMS 鍵を検索します。プロジェクトのデフォルト設定で適切な鍵が指定されていない場合、システムは新しいバケットのロケーションにあるデフォルト鍵を祖先のデフォルト設定で検索します。

次のいずれかが発生します。

  • 鍵が見つからない: 新しいオブザーバビリティ バケットは CMEK を使用していません。
  • 鍵が見つかり、許可されている場合: システムはオブザーバビリティ バケットを作成します。
  • キーが見つかったが許可されていない場合: システムは新しいオブザーバビリティ バケットを作成しません。
○ ○

暗号鍵を特定するために、システムはまず、プロジェクトまたはその祖先のいずれかにデフォルトの保存場所が設定されているかどうかを判断します。デフォルトのストレージ ロケーションが設定されていない場合、システムは新しいオブザーバビリティ バケットを作成しません。

デフォルトのストレージ ロケーションが見つかった場合、システムはプロジェクトのデフォルト設定でデフォルトの Cloud KMS 鍵を検索します。プロジェクトのデフォルト設定で適切な鍵が指定されていない場合、システムは新しいバケットのロケーションにあるデフォルト鍵を祖先のデフォルト設定で検索します。

次のいずれかが発生します。

  • キーが見つからない場合: 新しいオブザーバビリティ バケットは作成されません。
  • 鍵が見つかり、許可されている場合: システムはオブザーバビリティ バケットを作成します。
  • キーが見つかったが許可されていない場合: システムは新しいオブザーバビリティ バケットを作成しません。

制限事項

システムがオブザーバビリティ バケットを作成するときに、Google のデフォルトの暗号化を使用するか、CMEK でデータを暗号化します。バケットが存在する場合は、CMEK を更新できます。詳細については、オブザーバビリティ バケットを更新するをご覧ください。

次のステップ