Correggi i requisiti di residenza dei dati e CMEK

Puoi eseguire nuovamente il provisioning di un bucket di osservabilità per soddisfare i requisiti normativi di residenza dei dati e crittografia. Dopo il nuovo provisioning, la località di archiviazione e la configurazione della crittografia del bucket _Trace corrispondono alle impostazioni predefinite per i bucket di osservabilità.

Per eseguire il reprovisioning di un bucket, configura le impostazioni predefinite e poi chiama il metodo di reprovisioning. L'operazione di nuovo provisioning può eseguire una delle seguenti operazioni:

  • Applica retroattivamente una chiave Cloud Key Management Service a un bucket di osservabilità senza modificare la relativa località di archiviazione.
  • Modifica la località di archiviazione di un bucket di osservabilità e utilizza la crittografia predefinita di Google.
  • Modifica la località di archiviazione di un bucket di osservabilità e utilizza una chiave Cloud KMS per criptare i dati archiviati.

Non eseguire nuovamente il provisioning di un bucket di osservabilità se vuoi modificarne il nome visualizzato, la descrizione o la chiave Cloud KMS. In questi casi, aggiorna il bucket di osservabilità.

Come funziona il nuovo provisioning

Quando avvii un'operazione di nuovo provisioning, il sistema esegue i seguenti passaggi:

  1. Il sistema determina se il bucket di osservabilità è idoneo per il reprovisioning. Un bucket di osservabilità è idoneo quando vengono superati tutti i seguenti controlli:

    • Il bucket di osservabilità è denominato _Trace.
    • Il provisioning del bucket non è stato eseguito nuovamente.
    • Vengono trovate le impostazioni predefinite per i bucket di osservabilità.
    • Per essere in linea con le impostazioni predefinite, la posizione del bucket di osservabilità deve cambiare o la crittografia deve passare da quella predefinita di Google a CMEK.

  2. Il sistema aggiorna la configurazione del bucket. Questa procedura richiede da quattro a cinque ore.

Limitazioni

Si applicano le seguenti limitazioni:

  • Il sistema consente al massimo un'operazione di nuovo provisioning per bucket di osservabilità. Le richieste successive non vanno a buon fine e viene visualizzato un errore FAILED_PRECONDITION.

  • Puoi eseguire il reprovisioning solo dei bucket denominati _Trace.

  • Non puoi accedere ai dati archiviati prima dell'avvio del nuovo provisioning. Questi dati sono stati eliminati e non sono recuperabili.

  • Se la località del bucket cambia, i link e i set di dati BigQuery collegati vengono eliminati. Dovrai ricreare i link.

  • Se la località del bucket cambia, devi aggiornare manualmente le viste di analisi esistenti.

  • Non puoi annullare o annullare un'operazione di nuovo provisioning. I tentativi di annullare l'operazione vengono ignorati.

  • Il comportamento delle query durante un'operazione di nuovo provisioning non è definito.

Controllo

Per determinare la cronologia di nuovo provisioning di un bucket di osservabilità, puoi utilizzare gli audit log. I log delle attività di amministrazione registrano chi ha effettuato una richiesta di nuovo provisioning, il bucket di osservabilità interessato e la risposta iniziale.

Per trovare questi record, applica i seguenti filtri in Esplora log:

logName="projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity" AND
resource.type="audited_resource" AND
resource.labels.service="observability.googleapis.com" AND
resource.labels.method="google.cloud.observability.v1.Observability.ReprovisionBucket"

L'esempio parziale seguente mostra un audit log delle attività di amministrazione:

  {
    "logName": "projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity",
    "resource": {
      "type": "audited_resource",
      "labels": {
        "project_id": "PROJECT_ID",
        "service": "observability.googleapis.com",
        "method": "google.cloud.observability.v1.Observability.ReprovisionBucket"
      }
    },
    "protoPayload": {
      "@type": "type.googleapis.com/google.cloud.audit.AuditLog",
      "status": {
        "code": 0,
        "message": "OK"
      },
      ...
      "serviceName": "observability.googleapis.com",
      "methodName": "google.cloud.observability.v1.Observability.ReprovisionBucket",
      "authorizationInfo": [...]
      "resourceName": "projects/PROJECT_ID/locations/us/buckets/_Trace",
      "request": {
        "@type": "type.googleapis.com/google.cloud.observability.v1.ReprovisionBucketRequest",
        "name": "projects/PROJECT_ID/locations/us/buckets/_Trace"
      },
      "response": {
        "@type": "type.googleapis.com/google.longrunning.Operation",
        "name": "projects/PROJECT_ID/locations/us/operations/reprovision-123456789-0",
        "done": false,
        "metadata": {
          "@type": "type.googleapis.com/google.cloud.observability.v1.OperationMetadata",
          "target": "projects/PROJECT_ID/locations/us/buckets/_Trace",
          "verb": "reprovision",
          "apiVersion": "v1"
        }
      }
    },
    "severity": "NOTICE",
    "timestamp": "2026-06-30T16:54:02.123456Z"
  }

Prima di iniziare

  1. Esamina le limitazioni.

  2. Per ottenere le autorizzazioni necessarie per eseguire nuovamente il provisioning di un bucket di osservabilità, chiedi all'amministratore di concederti il ruolo IAM Observability Editor (roles/observability.editor) nel progetto che ospita il bucket di osservabilità. Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

    Il ruolo Observability Editor fornisce le autorizzazioni per creare ed eliminare bucket di osservabilità, set di dati di osservabilità e link sui set di dati. Devi disporre di queste autorizzazioni perché l'operazione di nuovo provisioning genera comandi sia di creazione sia di eliminazione.

    Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Esegui il reprovisioning di un bucket di osservabilità

Per eseguire nuovamente il provisioning di un bucket di osservabilità, segui questi passaggi:

  1. Configura le impostazioni predefinite per i bucket di osservabilità
  2. Esegui nuovamente il provisioning del bucket
  3. Monitora i progressi
  4. Crea manualmente i link e aggiorna le viste di analisi

Configura le impostazioni predefinite per i bucket di osservabilità

Imposta una posizione di archiviazione predefinita e, facoltativamente, una chiave Cloud KMS predefinita. Puoi impostarli a livello di progetto, cartella o organizzazione. Ad esempio, se configuri le impostazioni predefinite per una cartella, i discendenti di quella cartella utilizzano queste impostazioni, a meno che non siano state configurate impostazioni predefinite anche per un discendente.

Per saperne di più su come visualizzare e configurare le impostazioni predefinite, consulta Imposta i valori predefiniti per i bucket di osservabilità.

Esegui nuovamente il provisioning del bucket

Utilizza script che inviano la richiesta di nuovo provisioning in modo asincrono ed eseguono il polling per determinare quando l'operazione di nuovo provisioning viene completata. Per eseguire nuovamente il provisioning di un bucket di osservabilità, utilizza il metodo projects.locations.buckets.reprovision.

Devi specificare il nome del bucket di osservabilità, che ha il seguente formato:

projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_ID

I campi nell'espressione precedente hanno i seguenti significati:

La risposta è un oggetto Operation. Il campo Operation.done fornisce informazioni sullo stato di avanzamento:

  • done è false: l'operazione è in corso. Per informazioni sul polling dell'operazione, consulta Monitora l'avanzamento.

  • done è true: l'operazione è completata e viene impostato il campo error o response:

    • response è impostato: indica il completamento dell'operazione asincrona. Il valore riflette lo stato più recente del bucket di osservabilità che era il target di nuovo provisioning.

    • error è impostato: indica che l'operazione asincrona non è riuscita. Il valore di questo campo è un oggetto Status che contiene un codice di errore gRPC e un messaggio di errore. Per informazioni sui messaggi di errore comuni, consulta Messaggi di errore.

In genere, il nuovo provisioning richiede dalle quattro alle cinque ore.

Monitora l'avanzamento

L'oggetto Operation contiene informazioni sull'avanzamento. Esegui il polling dell'operazione finché il valore del campo Operation.done non è true. Puoi quindi utilizzare i campi Operation.response e Operation.error per determinare se il nuovo provisioning è riuscito o meno.

Per eseguire il polling di Operation, utilizza il metodo folders.locations.operations.get.

Imposta il parametro di percorso sul nome dell'operazione:

operations/UNIQUE_ID

Il campo UNIQUE_ID è l'identificatore univoco dell'operazione.

La risposta è un oggetto Operation aggiornato.

Se la tua applicazione riceve una risposta HTTP 503 / UNAVAILABLE durante il polling, implementa un backoff esponenziale e riprova a inviare la richiesta. Questo errore indica che la richiesta non è riuscita a livello di trasporto o di rete.

Crea manualmente i link e aggiorna le viste di analisi

Al termine dell'operazione di nuovo provisioning, ricrea i link e aggiorna le viste di analisi.

Ad esempio, potresti:

  1. Elenca i link nel set di dati di osservabilità. In alcuni scenari, l'operazione di nuovo provisioning conserva i link. Per informazioni su questo passaggio, consulta Elenca i link di un set di dati.

  2. Ricrea il set di dati BigQuery collegato. Per informazioni su questo passaggio, consulta Crea un link su un set di dati.

  3. Esamina le viste di analisi e aggiorna il percorso del bucket di osservabilità, se necessario.

Messaggi di errore

Questa sezione elenca i codici di errore comuni e, se applicabile, le azioni di recupero.

FAILED_PRECONDITION

Il messaggio di errore FAILED_PRECONDITION indica che il bucket di osservabilità non è idoneo per il nuovo provisioning.

Esempio di messaggio di errore:

{
    "error":{
        "code": 400,
        "message": "Only _Trace buckets can be reprovisioned.",
        "status": "FAILED_PRECONDITION",
        "details": [ ... ]
    }
}

Non puoi eseguire alcuna azione per rendere il bucket di osservabilità idoneo per il nuovo provisioning.

INVALID_ARGUMENT

Il messaggio di errore INVALID_ARGUMENT indica che la località del bucket di osservabilità e la configurazione CMEK sono coerenti con le impostazioni predefinite per i bucket di osservabilità.

Per risolvere questo errore, aggiorna le impostazioni predefinite per i bucket di osservabilità per il progetto, la cartella o l'organizzazione, quindi riprova a eseguire il nuovo provisioning del bucket di osservabilità.

PERMISSION_DENIED

Il messaggio di errore PERMISSION_DENIED indica che non disponi dei ruoli IAM richiesti per eseguire nuovamente il provisioning di un bucket di osservabilità.

Per risolvere questo errore, chiedi a un amministratore di concederti i ruoli IAM elencati nella sezione Prima di iniziare di questo documento.

Risoluzione dei problemi

Questa sezione descrive come risolvere i problemi comuni e rispondere alle domande che potrebbero sorgere dopo il nuovo provisioning di un bucket di osservabilità.

Come faccio a sapere se è stato eseguito il reprovisioning di un bucket?

Eseguire query sugli audit log e filtrare le voci di log in base al nome del log, al servizio e al metodo. Per saperne di più, consulta la sezione di questo documento intitolata Controllo.

Perché nel mio progetto sono elencati due bucket per i dati di traccia?

Durante un nuovo provisioning del bucket di osservabilità _Trace, il sistema potrebbe dover creare un nuovo bucket. Se è impostato su true, il progetto conterrà due bucket di osservabilità denominati _Trace durante l'operazione di nuovo provisioning.

Non devi intraprendere alcuna azione.

Se il sistema ha creato un bucket di osservabilità nell'ambito di un'operazione di nuovo provisioning, al completamento dell'operazione, il bucket scelto come target dall'operazione viene eliminato. Se l'operazione di nuovo provisioning non va a buon fine, il nuovo bucket viene eliminato.

Perché i dati delle mie query sono diversi dopo il nuovo provisioning?

Un'operazione di nuovo provisioning elimina tutti i dati archiviati prima dell'avvio dell'operazione. Questi dati non sono recuperabili.

Perché Esplora tracce non mostra dati dopo il nuovo provisioning?

Esplora tracce utilizza la cache per migliorare le prestazioni. La cache è associata al bucket di osservabilità su cui viene eseguita la query e, soprattutto, se il bucket non è disponibile al momento di una query, questa non va a buon fine.

Durante un'operazione di nuovo provisioning, è possibile che il tuo progetto Google Cloud contenga due bucket di osservabilità denominati _Trace. Inoltre, al termine dell'operazione, uno di questi bucket viene eliminato. In questo scenario, è possibile che la cache utilizzata da Esplora tracce sia associata a un bucket che non esiste più.

Questo errore si corregge automaticamente dopo il timeout della cache, che richiede circa 10 minuti.

Perché non è possibile eseguire nuovamente il provisioning del mio bucket di osservabilità?

Se un'operazione di nuovo provisioning non va a buon fine con uno stato FAILED_PRECONDITION, il bucket di osservabilità di destinazione non è idoneo per il nuovo provisioning. Di seguito sono elencati alcuni motivi per cui un bucket non è idoneo per il nuovo provisioning:

  • Il bucket di osservabilità non è denominato _Trace.
  • Il numero di volte in cui è stato eseguito il provisioning del bucket di osservabilità è superiore a uno. Puoi eseguire query sugli audit log per determinare se è stato eseguito il provisioning del bucket.
  • Le impostazioni predefinite per i bucket di osservabilità non sono state trovate. Per risolvere questo errore, configura le impostazioni predefinite per i bucket di osservabilità, quindi riprova a eseguire il comando.
  • La configurazione del bucket di osservabilità è conforme alle impostazioni predefinite. Ciò significa che l'operazione di nuovo provisioning non modificherà la configurazione del bucket di osservabilità.
  • Per essere in linea con le impostazioni predefinite, il sistema dovrebbe sostituire CMEK con la crittografia gestita da Google. Questa azione non è supportata.