支援 CMEK

根據預設，Google Cloud Observability 會加密靜態的客戶內容。Google Cloud Observability 會為您處理加密作業，您不必採取其他動作。這項做法稱為「Google 預設加密機制」。

如要控管加密金鑰，您可以在 Cloud KMS 中使用客戶自行管理的加密金鑰 (CMEK)，搭配整合 CMEK 的服務 (包括 Google Cloud Observability)。使用 Cloud KMS 金鑰可讓您控管防護等級、位置、輪替時間表、使用權限和存取權，以及加密範圍。使用 Cloud KMS 也能查看稽核記錄，以及控管金鑰生命週期。您可以在 Cloud KMS 中控制及管理這些金鑰，而不是由 Google 擁有及管理用來保護您資料的對稱金鑰加密金鑰 (KEK)。

使用 CMEK 設定資源後，存取 Google Cloud Observability 資源的體驗與使用 Google 預設加密機制類似。如要進一步瞭解加密選項，請參閱「客戶自行管理的加密金鑰 (CMEK)」。

Google Cloud Observability 可使用客戶管理的加密金鑰 (CMEK)，將儲存在可觀測性資料集中的資料加密。這些資料集會儲存追蹤資料。本文列出支援的組織政策，介紹觀測能力儲存區的預設設定，並說明組織政策和預設設定的互動方式。

本文不適用於 Cloud Logging，因為這項服務可使用 CMEK 加密儲存在記錄值區中的資料。詳情請參閱「為 Cloud Logging 設定 CMEK」。

支援的機構政策限制

如要控管觀測能力 bucket 的建立位置，以及管理這些 bucket 加密金鑰的對象，建議您設定下列組織政策：

  • 限制 ID 為 constraints/gcp.resourceLocations 的政策。這項政策定義了一組位置，可在其中建立新資源。如要使用可觀測性 bucket，這組位置必須至少包含一個支援的可觀測性 bucket 位置。

  • 限制 ID 為 constraints/gcp.restrictNonCmekServices 的 Deny 政策。這項政策規定新建資源必須使用 CMEK 加密。

  • 政策的限制條件 ID 為 constraints/gcp.restrictCmekCryptoKeyProjects。這項政策會限制用於加密的 Cloud Key Management Service 金鑰。

您可以建立組織政策，並在機構、資料夾或專案層級套用。詳情請參閱「建立及編輯政策」。

觀測功能儲存區的預設設定

Google Cloud Observability 提供可套用至專案、資料夾或機構的預設可觀測性 bucket 設定。這些預設設定會與貴機構的政策搭配運作，確保新的可觀測性值區位於您偏好的位置，並使用您指定的加密模型。

對於機構、資料夾和專案，可觀測性 bucket 的預設設定可讓您設定下列項目：

  • 預設儲存位置。
  • 每個位置的預設 Cloud Key Management Service 金鑰。

系統使用預設設定的方式有兩種：

  • 系統自動建立可觀測性 bucket 時，會使用預設設定來決定 bucket 的位置和加密金鑰。如果尚未定義預設設定，系統會選取位置，且 bucket 會使用 Google 預設加密機制。

  • 發出 API 要求來啟動可觀測性 bucket 的建立作業時，您會提供位置。不過，除非 API 要求的引數指定金鑰，否則系統會自動使用預設設定定義的 Cloud KMS 金鑰加密資料。

由於可觀測性 bucket 的上層一律為專案，因此建立 bucket 時，系統會先搜尋專案層級的預設設定。如果沒有，系統會搜尋父項的祖先，找出預設設定。舉例來說，如果您為資料夾定義預設設定，這些設定會套用至該資料夾的後代，但已設定預設設定的後代除外。

詳情請參閱「設定可觀測性 bucket 的預設值」。

機構政策和預設設定的互動方式

可觀測性 bucket 的上層必須是專案。也就是說，系統無法在資料夾或機構中建立可觀測性 bucket。不過，如果您為機構或資料夾設定可觀測性儲存空間的預設設定，這些預設設定會套用至該機構或資料夾的所有子系專案。

下表列出系統用來判斷新可觀測性 bucket 位置的規則：

使用機構政策
限制位置		 專案 (或上層) 具有
預設儲存空間位置		 系統如何判斷新可觀測性 bucket 的位置
否 否

系統會從支援的位置中，為可觀測性 bucket 選取位置。
是 否

系統會從組織政策允許的位置，以及可觀測性儲存區支援的位置，選取兩者交集的位置。

如果交集為空，系統就不會建立可觀測性值區。
否 是

系統會將位置設為專案預設設定中定義的預設儲存位置。如果專案未定義預設儲存位置，系統會使用為祖系定義的預設儲存位置。
是 是

系統會將位置設為專案預設設定中定義的預設儲存位置。如果專案未定義預設儲存空間位置，系統會使用上層的預設儲存空間位置。

如果預設儲存位置不符合機構政策規定，系統就不會建立可觀測性值區。

下表列出系統用來判斷新可觀測性 bucket 是否使用 CMEK 的規則，以及 Cloud KMS 金鑰的值 (如果使用 CMEK)。如要加密可觀測性 bucket，Cloud KMS 金鑰必須位於 bucket 的位置，且組織政策允許使用。如未指定具有 gcp.restrictCmekCryptoKeyProjects 限制的機構政策，則允許所有金鑰：

使用組織政策
要求使用 CMEK		 專案 (或上層) 具有
預設 Cloud KMS 金鑰		 系統如何決定要使用的 Cloud KMS 金鑰。
否 否

可觀測性 bucket 未使用 CMEK。
是 否

系統不會建立新的觀測能力 bucket，因為組織政策要求使用 CMEK，但未定義預設 Cloud KMS 金鑰。
否 是

如要找出加密金鑰，系統會先判斷專案或其任一上層是否已設定預設儲存位置。如果沒有，系統會選取位置並建立可觀測性值區。值區未使用 CMEK。

如果找到預設儲存位置，系統會搜尋專案的預設設定，找出預設 Cloud KMS 金鑰。如果專案的預設設定未指定適當的金鑰，系統就會在祖先的預設設定中，搜尋新值區位置的預設金鑰。

發生下列其中一種情況：

  • 找不到金鑰： 新的可觀測性值區不會使用 CMEK。
  • 找到並允許金鑰：系統會建立可觀測性 bucket。
  • 找到金鑰，但系統不允許使用： 系統不會建立新的可觀測性值區。
是 是

如要找出加密金鑰，系統會先判斷專案或其任一上層是否已設定預設儲存位置。如果未設定預設儲存位置，系統就不會建立新的可觀測性值區。

如果找到預設儲存位置，系統會搜尋專案的預設設定，找出預設 Cloud KMS 金鑰。如果專案的預設設定未指定適當的金鑰，系統就會在祖先的預設設定中，搜尋新值區位置的預設金鑰。

發生下列其中一種情況：

  • 找不到金鑰： 系統不會建立新的可觀測性值區。
  • 找到並允許金鑰：系統會建立可觀測性 bucket。
  • 找到金鑰，但系統不允許使用： 系統不會建立新的可觀測性值區。

限制

系統建立可觀測性 bucket 時，會使用 Google 預設加密機制，或以 CMEK 加密資料。bucket 存在後，您就可以更新 CMEK。詳情請參閱「更新觀測能力值區」。

後續步驟