הגדרת ברירות מחדל לקטגוריות של נתונים שניתנים לצפייה

אם אתם כפופים לדרישות תאימות או לדרישות רגולטוריות לאחסון הנתונים במיקומים ספציפיים או לשימוש במפתחות הצפנה בניהול הלקוח (CMEK), מומלץ להגדיר גם את מדיניות הארגון וגם את הגדרות ברירת המחדל של קטגוריות התצפית. באמצעות מדיניות הארגון והגדרות ברירת המחדל של מאגרי נתונים של נתוני תצפית, אפשר לציין את מיקום האחסון ולקבוע אם במאגרים האלה נעשה שימוש בהצפנה שמוגדרת כברירת מחדל ב-Google או במפתחות הצפנה בניהול הלקוח (CMEK).

בארגונים, בתיקיות ובפרויקטים, הגדרות ברירת המחדל של קטגוריות הנתונים של יכולת הצפייה מאפשרות לכם להגדיר את הפרטים הבאים:

  • מיקום האחסון שהוגדר כברירת מחדל.
  • לכל מיקום, מפתח ברירת מחדל של Cloud Key Management Service.

יש שתי דרכים שונות שבהן המערכת משתמשת בהגדרות ברירת מחדל:

  • כשהמערכת יוצרת באופן אוטומטי קטגוריית ניראות, היא משתמשת בהגדרות ברירת המחדל כדי לקבוע את המיקום ואת מפתח ההצפנה של הקטגוריה. אם לא הגדרתם הגדרות ברירת מחדל, המערכת בוחרת את המיקום והקטגוריה משתמשת בהצפנה שמוגדרת כברירת מחדל ב-Google.

  • כשמפעילים יצירה של מאגר נתונים של יכולת תצפית באמצעות שליחת בקשת API, צריך לציין את המיקום. עם זאת, המערכת משתמשת אוטומטית במפתח Cloud KMS שמוגדר בהגדרות ברירת המחדל כדי להצפין את הנתונים, אלא אם המפתח מצוין בארגומנטים של בקשת ה-API.

ההורה של קטגוריית תצפית הוא תמיד פרויקט, ולכן כשיוצרים קטגוריה, המערכת מחפשת קודם את הגדרות ברירת המחדל ברמת הפרויקט. אם הן לא קיימות, המערכת מחפשת את ההגדרות שמוגדרות כברירת מחדל בצאצאים של ההורה. לדוגמה, אם מגדירים הגדרות ברירת מחדל לתיקייה, ההגדרות האלה חלות על הצאצאים של התיקייה, חוץ מאלה שהוגדרו להם הגדרות ברירת מחדל.

אפשר גם להשתמש במדיניות הארגון כדי להגביל את המיקומים של קטגוריות חדשות של נתונים למעקב, כדי לדרוש שימוש ב-CMEK או כדי להגביל את המפתחות של Cloud KMS שאפשר להשתמש בהם להצפנה. אם אתם מגדירים מדיניות ארגון שמחייבת שימוש במפתחות CMEK, אתם צריכים להגדיר הגדרות ברירת מחדל למאגרי נתונים של נתוני Observability. אם לא, הקצאת משאבים לקטגוריות של נתוני תצפית שנוצרו על ידי המערכת תיכשל.

המסמך הזה לא רלוונטי למאגרי יומנים, שבהם מאוחסנים נתוני יומנים. מידע על הגדרת מיקום ברירת מחדל או על דרישת CMEK עבור מאגרי יומנים זמין במאמר הגדרת הגדרות ברירת מחדל למשאבים ב-Cloud Logging.

כללי מדיניות רלוונטיים של הארגון

כדי לקבוע איפה נוצרים הקטגוריות של הניטור ומי מנהל את מפתחות ההצפנה של הקטגוריות האלה, אפשר להגדיר את כללי מדיניות הארגון הבאים:

אפשר ליצור מדיניות ארגונית שחלה ברמת הארגון, התיקייה או הפרויקט. מידע נוסף זמין במאמר בנושא יצירה ועריכה של כללי מדיניות.

איך מדיניות הארגון משפיעה על הגדרת מיקום ברירת מחדל

כשמפעילים פקודה להגדרת מיקום ברירת מחדל, Google Cloud Observability מאמתת שהמיקום שצוין מותר לפי מדיניות הארגון, ושהוא מיקום נתמך לקטגוריות של ניראות. אם אחד מהאימותים נכשל, גם הפקודה להגדרת מיקום ברירת המחדל נכשלת.

אם משנים את רשימת המיקומים שמותרים לפי מדיניות הארגון כך שמיקום האחסון שהוגדר כברירת מחדל לא מופיע יותר ברשימה, צריך לעדכן את ההגדרה הזו בנפרד. יכול להיות שתצטרכו גם להגדיר מפתח Cloud KMS שיהיה מוגדר כברירת מחדל למיקום ברירת המחדל המעודכן.

איך כללי מדיניות של הארגון והגדרות ברירת מחדל פועלים יחד

ההורה של מאגר נתונים של יכולת תצפית חייב להיות פרויקט. כלומר, המערכת לא יכולה ליצור קטגוריית תצפית בתיקייה או בארגון. עם זאת, אם מגדירים הגדרות ברירת מחדל לקטגוריות של יכולת תצפית בארגון או בתיקייה, הגדרות ברירת המחדל האלה חלות על כל הפרויקטים שהם צאצאים של אותו ארגון או אותה תיקייה.

בטבלה הבאה מפורטים הכללים שלפיהם המערכת קובעת את המיקום של קטגוריית ניראות (observability) חדשה:

שימוש במדיניות הארגון
כדי להגביל את המיקום		 לפרויקט (או לישות האב) יש
מיקום אחסון שהוגדר כברירת מחדל		 איך המערכת קובעת את המיקום של קטגוריית ניראות (observability) חדשה
לא לא

המערכת בוחרת את המיקום מתוך המיקומים הנתמכים של קטגוריות התצפית.
כן לא

המערכת בוחרת את המיקום מתוך החיתוך של המיקומים שמדיניות הארגון מאפשרת והמיקומים שקטגוריות הנתונים של יכולת התצפית תומכות בהם.

אם החיתוך ריק, המערכת לא יוצרת את קטגוריית הנתונים של יכולת התצפית.
לא כן

המערכת מגדירה את המיקום למיקום האחסון שמוגדר כברירת מחדל בהגדרות ברירת המחדל של הפרויקט. אם לא מוגדר לפרויקט מיקום אחסון כברירת מחדל, המערכת משתמשת במיקום האחסון שהוגדר כברירת מחדל לאב קדמון.
כן כן

המערכת מגדירה את המיקום למיקום האחסון שמוגדר כברירת מחדל בהגדרות ברירת המחדל של הפרויקט. אם לא מוגדר בפרויקט מיקום אחסון כברירת מחדל, המערכת משתמשת במיקום האחסון שהוגדר כברירת מחדל ברמת האב.

אם מדיניות הארגון לא מאפשרת את מיקום האחסון שמוגדר כברירת מחדל, המערכת לא יוצרת את קטגוריית האחסון של נתוני התצפית.

בטבלה הבאה מפורטים הכללים שבהם המערכת משתמשת כדי לקבוע אם משתמשים ב-CMEK בדלי חדש של נתוני יכולת צפייה, ואם כן, מה הערך של מפתח Cloud KMS. כדי להצפין קטגוריה של נתוני Observability, צריך שמפתח Cloud KMS יהיה במיקום של הקטגוריה ושהוא יהיה מורשה על ידי מדיניות הארגון. אם לא תגדירו מדיניות ארגונית עם האילוץ gcp.restrictCmekCryptoKeyProjects, כל המפתחות יהיו מותרים:

שימוש במדיניות הארגון
כדי לדרוש שימוש ב-CMEK		 לפרויקט (או לאב הקדמון) יש
מפתח Cloud KMS שמוגדר כברירת מחדל		 איך המערכת קובעת באיזה מפתח Cloud KMS להשתמש.
לא לא

הקטגוריה של נתוני הניטור לא משתמשת במפתחות CMEK.
כן לא

המערכת לא יוצרת קטגוריות חדשות של נתוני Observability כי מדיניות הארגון מחייבת שימוש במפתחות CMEK, אבל לא מוגדר מפתח ברירת מחדל של Cloud KMS.
לא כן

כדי לזהות מפתח להצפנה, המערכת קובעת קודם אם הוגדר מיקום האחסון שהוגדר כברירת מחדל לפרויקט או לאחת מהישויות האם שלו. אם לא, המערכת בוחרת מיקום ויוצרת את קטגוריית הניראות. לא נעשה שימוש ב-CMEK בקטגוריה.

אם נמצא מיקום אחסון שמוגדר כברירת מחדל, המערכת מחפשת בהגדרות ברירת המחדל של הפרויקט מפתח Cloud KMS שמוגדר כברירת מחדל. אם בהגדרות ברירת המחדל של הפרויקט לא מצוין מפתח מתאים, המערכת מחפשת בהגדרות ברירת המחדל של הפרויקט ברמת האב מפתח ברירת מחדל שנמצא במיקום של הקטגוריה החדשה.

אחת מהאפשרויות הבאות מתרחשת:

  • לא נמצא מפתח: הקטגוריה החדשה של הניטור לא משתמשת ב-CMEK.
  • נמצא מפתח והוא מותר: המערכת יוצרת את קטגוריית הנתונים לצורך יכולת התבוננות.
  • נמצא מפתח אבל הוא לא מורשה: המערכת לא יוצרת את מאגר התצפיות החדש.
כן כן

כדי לזהות מפתח להצפנה, המערכת קובעת קודם אם הוגדר מיקום האחסון שהוגדר כברירת מחדל לפרויקט או לאחת מהישויות האם שלו. אם לא מוגדר מיקום אחסון כברירת מחדל, המערכת לא יוצרת את קטגוריית הנתונים החדשה של יכולת התצפית.

אם נמצא מיקום אחסון שמוגדר כברירת מחדל, המערכת מחפשת בהגדרות ברירת המחדל של הפרויקט מפתח Cloud KMS שמוגדר כברירת מחדל. אם בהגדרות ברירת המחדל של הפרויקט לא מצוין מפתח מתאים, המערכת מחפשת בהגדרות ברירת המחדל של הפרויקט ברמת האב מפתח ברירת מחדל שנמצא במיקום של הקטגוריה החדשה.

אחת מהאפשרויות הבאות מתרחשת:

  • המפתח לא נמצא: הקטגוריה החדשה של הניראות לא נוצרת.
  • נמצא מפתח והוא מותר: המערכת יוצרת את קטגוריית הנתונים לצורך יכולת התבוננות.
  • נמצא מפתח אבל הוא לא מורשה: המערכת לא יוצרת את מאגר התצפיות החדש.

הצגת הגדרות ברירת המחדל של קטגוריות של נתונים שניתן לצפות בהם

בקטע הזה מוסבר איך אפשר לראות את הגדרות ברירת המחדל של מאגרי נתונים של יכולת צפייה עבור משאב, שהוא ארגון, תיקייה או פרויקט.

כדי לאחזר את הגדרות ברירת המחדל של קטגוריות של נתונים שניתן לצפות בהם, צריך להנפיק כמה פקודות. הפקודה הראשונה מחזירה את מיקום האחסון שמוגדר כברירת מחדל. הפקודה השנייה מחזירה את מפתח Cloud KMS למיקום הזה.

הפקודות שמתוארות בקטע הזה מיועדות למשאב ספציפי. התשובות של הפקודות האלה מוגבלות לערכים שהמשתמש הגדיר למשאב הזה. הפקודות האלה לא מחזירות הגדרות שהמשאב עשוי להשתמש בהן, אבל הן מוגדרות עבור משאב אב.

לפני שמתחילים

מגדירים את הפרויקט ואת תפקידי ה-IAM, ובוחרים את הממשק שמתכננים להשתמש בו.

הגדרת הפרויקט והתפקידים

  1. נכנסים לחשבון Google Cloud . אנחנו ממליצים למשתמשים חדשים ב- Google Cloud ליצור חשבון כדי שיוכלו להעריך את הביצועים של המוצרים שלנו בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300$ להרצה, לבדיקה ולפריסה של עומסי העבודה.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  5. Verify that billing is enabled for your Google Cloud project.

  6. כדי לקבל את ההרשאה שדרושה לצפייה בהגדרות ברירת המחדל של קטגוריות הניראות של ארגון, תיקייה או פרויקט, בקשו מהאדמין לתת לכם את התפקיד צפייה בניראות (roles/observability.viewer) ב-IAM ברמת הארגון, התיקייה או הפרויקט. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

    התפקיד המוגדר מראש הזה מכיל את ההרשאה observability.settings.get, שנדרשת כדי לצפות בהגדרות ברירת המחדל של קטגוריות של נתונים שניתנים לצפייה בארגון, בתיקייה או בפרויקט.

    יכול להיות שתוכלו לקבל את ההרשאה הזו גם בתפקידים בהתאמה אישית או בתפקידים מוגדרים מראש.

בחירת הממשק שבו רוצים להשתמש

gcloud

מפעילים את Cloud Shell במסוף Google Cloud .

הפעלת Cloud Shell

בחלק התחתון של מסוף Google Cloud יתחיל סשן של Cloud Shell ותופיע הודעה של שורת הפקודה. Cloud Shell היא סביבת מעטפת שבה ה-CLI של Google Cloud מותקן ומוגדרים ערכים לפרויקט הקיים. הסשן יופעל תוך כמה שניות.

Terraform

כדי להשתמש בסביבת פיתוח מקומית בדוגמאות של Terraform שבדף הזה, מתקינים ומפעילים את ה-CLI של gcloud, ואז מגדירים את Application Default Credentials באמצעות פרטי הכניסה של המשתמש.

  1. התקינו את ה-CLI של Google Cloud.

  2. אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.

  3. אם אתם משתמשים במעטפת מקומית, צריך ליצור פרטי כניסה לאימות מקומי עבור חשבון המשתמש: 

    gcloud auth application-default login

    אם אתם משתמשים ב-Cloud Shell, אתם לא צריכים לעשות את זה.

    אם מוחזרת שגיאת אימות ואתם משתמשים בספק זהויות חיצוני (IdP), ודאו ש נכנסתם ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.

למידע נוסף, ראו הגדרת ADC לסביבת פיתוח מקומית במאמרי העזרה בנושא אימות Google Cloud .

REST

כדי להשתמש בסביבת פיתוח מקומית בדוגמאות של API בארכיטקטורת REST שבדף הזה, צריך להשתמש בפרטי הכניסה שאתם נותנים ל-CLI של gcloud.

    התקינו את ה-CLI של Google Cloud.

    אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.

מידע נוסף מופיע במאמר אימות לשימוש ב-REST במסמכי האימות של Google Cloud .

איך בודקים מה מיקום האחסון שמוגדר כברירת מחדל למשאב

כדי לקבל את מיקום האחסון שמוגדר כברירת מחדל למשאב, שולחים פקודה לנקודת קצה ספציפית למשאב, ומגדירים את המיקום של הפקודה הזו ל-global. נתוני התגובה כוללים את מיקום האחסון שמוגדר כברירת מחדל ואת השם של חשבון שירות. אם נדרש CMEK למשאב, חשבון השירות הזה משמש לאחזור מפתחות Cloud KMS.

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

כדי להעביר לפקודה את המזהה של הפרויקט, התיקייה או הארגון שרוצים לשלוח לגביהם שאילתה, משתמשים באחת מהאפשרויות הבאות:
  • ‫--project=PROJECT_ID, כאשר PROJECT_ID מכיל את מזהה הפרויקט.
  • ‫--folder=FOLDER_ID, כאשר FOLDER_ID מכיל את מזהה התיקייה.
  • ‫--organization=ORGANIZATION_ID, כאשר ORGANIZATION_ID מכיל את המזהה של הארגון.
מגדירים את default_storage_location ל[מיקום נתמך](/stackdriver/docs/observability/observability-bucket-locations)

מריצים את הפקודה gcloud observability settings describe:

‫Linux,‏ macOS או Cloud Shell

gcloud observability settings describe \
 --location=global --project=PROJECT_ID

‏Windows (PowerShell)

gcloud observability settings describe `
 --location=global --project=PROJECT_ID

Windows‏ (cmd.exe)

gcloud observability settings describe ^
 --location=global --project=PROJECT_ID

בדוגמה הבאה מוצגת התגובה של הפקודה: 

Parsed [location] resource: projects/my-project/locations/global
defaultStorageLocation: eu
name: projects/my-project/locations/global/settings
serviceAccountId: service-12345@gcp-sa-observability.iam.gserviceaccount.com

Terraform

אתם יכולים להשתמש ב-Terraform כדי להגדיר מיקום אחסון שמוגדר כברירת מחדל למשאב, שהוא פרויקט, תיקייה או ארגון. אי אפשר להשתמש ב-Terraform כדי לדווח על מיקום האחסון שמוגדר כברירת מחדל למשאב.

REST

  1. בוחרים את נקודת הקצה המתאימה למשאב שהגדרות ברירת המחדל שלו רוצים להציג, ואז מציינים את פרמטר הנתיב ב-APIs Explorer:

    ארגון:

    תיקייה:

    פרויקט:

    המשמעות של המשתנים בביטויים הקודמים היא:

  2. לוחצים על Execute.

    אם הפעולה בוצעה ללא שגיאות, התגובה היא אובייקט Settings. אם השדה default_storage_location ריק, לא מוגדר מיקום אחסון כברירת מחדל.

    לדוגמה, אם מריצים את הפקודה getSettings ומגדירים את פרמטר הנתיב לארגון, התשובה תהיה דומה לאחת מהאפשרויות הבאות:

    • מיקום האחסון שהוגדר כברירת מחדל הוא "us":

      default_storage_location: "us"
service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.iam.gserviceaccount.com

    • לא הוגדר מיקום אחסון שמוגדר כברירת מחדל:

      service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.iam.gserviceaccount.com

קבלת מפתח ברירת המחדל של Cloud KMS למשאב ולמיקום

מפתחות Cloud KMS הם משאבים אזוריים. אפשר להשתמש בהם רק כדי להצפין או לפענח נתונים שמאוחסנים באותו מיקום שבו נמצא המפתח. לכל מיקום שנתמך על ידי קטגוריות של נתוני Observability, ולכל ארגון, תיקייה או פרויקט, אפשר להגדיר את הגדרות ברירת המחדל של קטגוריות של נתוני Observability באמצעות מפתח Cloud KMS.

בקטע הזה מוסבר איך מקבלים את מפתח ברירת המחדל של Cloud KMS עבור משאב ומיקום.

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

  • ‫LOCATION: המיקום של מפתח Cloud KMS של המשאב. המשאב הוא פרויקט, תיקייה או ארגון. אם מגדירים את המיקום ל-global, הפקודה מחזירה את מיקום האחסון שמוגדר כברירת מחדל למשאב.
  • כדי להעביר לפקודה את המזהה של הפרויקט, התיקייה או הארגון שרוצים לשלוח להם שאילתה, משתמשים באחת מהאפשרויות הבאות:
    • ‫--project=PROJECT_ID, כאשר PROJECT_ID מכיל את מזהה הפרויקט.
    • --folder=FOLDER_ID, כאשר FOLDER_ID מכיל את מזהה התיקייה.
    • ‫--organization=ORGANIZATION_ID, כאשר ORGANIZATION_ID מכיל את המזהה של הארגון.

מריצים את הפקודה gcloud observability settings describe:

‫Linux,‏ macOS או Cloud Shell

gcloud observability settings describe \
 --location=LOCATION --project=PROJECT_ID

‏Windows (PowerShell)

gcloud observability settings describe `
 --location=LOCATION --project=PROJECT_ID

Windows‏ (cmd.exe)

gcloud observability settings describe ^
 --location=LOCATION --project=PROJECT_ID

בדוגמה הבאה מוצגת התגובה של הפקודה: 

Parsed [location] resource: projects/my-project/locations/us
kmsKeyName: projects/my-project/locations/us/keyRings/test/cryptoKeys/test-key
name: projects/my-project/locations/us/settings
serviceAccountId: service-12345@gcp-sa-observability.iam.gserviceaccount.com

Terraform

אתם יכולים להשתמש ב-Terraform כדי להגדיר מפתח ברירת מחדל של Cloud Key Management Service למיקום ולמשאב, שהוא פרויקט, תיקייה או ארגון. אי אפשר להשתמש ב-Terraform כדי לדווח על מיקום האחסון שמוגדר כברירת מחדל למשאב.

REST

  1. בוחרים את נקודת הקצה המתאימה למשאב שהגדרות ברירת המחדל שלו רוצים להציג, ואז מציינים את פרמטר הנתיב ב-APIs Explorer:

    ארגון:

    תיקייה:

    פרויקט:

    המשמעות של המשתנים בביטויים הקודמים היא:

    • ‫ORGANIZATION_ID: המזהה המספרי הייחודי של הארגון. מידע על קבלת המזהה הזה זמין במאמר איך מוצאים את מזהה הארגון.
    • ‫FOLDER_ID: המזהה המספרי הייחודי של התיקייה. מידע על השימוש בתיקיות זמין במאמר יצירה וניהול של תיקיות.
    • ‫PROJECT_ID: מזהה הפרויקט.
    • ‫LOCATION_ID: המיקום שרוצים לראות את הגדרות ה-CMEK שלו.

  2. לוחצים על Execute.

    אם הפעולה בוצעה ללא שגיאות, התגובה היא אובייקט Settings.

    לדוגמה, נניח שאתם מפעילים את הפקודה getSettings ומגדירים את הפרמטר של הנתיב לערך organizations/ORGANIZATION_ID/locations/LOCATION_ID/settings. התגובה תהיה דומה לאחת מהאפשרויות הבאות:

    • אם לא מוגדר מפתח Cloud KMS לארגון ולמיקום, בתגובה מופיע רק חשבון שירות:

      service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.iam.gserviceaccount.com

    • כשמגדירים את מפתח Cloud KMS לארגון ולמיקום, התשובה כוללת חשבון שירות ואת שם מפתח Cloud KMS:

      name: "organizations/ORGANIZATION_ID/locations/LOCATION_ID/settings"
service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.iam.gserviceaccount.com
kms_key_name: "projects/my-kms-project/locations/LOCATION_ID/keyRings/my-key-ring/cryptoKeys/my-key"

הגדרת ברירת המחדל של קטגוריות התצפית

בקטע הזה מוסבר איך להגדיר את הגדרות ברירת המחדל של קטגוריות הניראות של משאב, שהוא ארגון, תיקייה או פרויקט.

אם אתם מתכננים לדרוש CMEK למשאב ולמיקום, אתם צריכים להגדיר את הגדרות ברירת המחדל של קטגוריות הנתונים של יכולת הצפייה עבור הצמד הזה לפני שתגדירו את מיקום האחסון שמוגדר כברירת מחדל. כשמגדירים את הגדרות ברירת המחדל למשאב ולמיקום, מציינים את מפתח Cloud KMS שבו רוצים להשתמש.

ההוראות האלה מיועדות ל-APIs Explorer, שמאפשר להנפיק פקודות API מדף תיעוד. אבל אפשר גם להשתמש בפקודה curl.

הגדרות לדוגמה

בקטע הזה מפורטים תרחישים נפוצים לדוגמה.

דרישה שקטגוריות חדשות יהיו במיקום ספציפי

כדי לדרוש שקטגוריות חדשות של נתונים שנוצרו על ידי המערכת בארגון שלכם יהיו במיקום us, צריך להגדיר את מיקום האחסון שמוגדר כברירת מחדל בארגון ל-us.

כדי לבטל את ההגדרות ברמת הארגון ולדרוש שמאגרי נתונים חדשים של נתוני תצפית שנוצרו על ידי המערכת בתיקיית הצאצא שנקראת my-eu-projects יהיו באזור eu, צריך להגדיר את מיקום האחסון שמוגדר כברירת מחדל לתיקייה my-eu-projects ל-eu.

דרישה ליצירת דליים חדשים במיקום ספציפי ושימוש ב-CMEK

כדי לדרוש שכל הקטגוריות החדשות של נתוני תצפית שנוצרו על ידי המערכת בארגון יהיו במיקום us וישתמשו ב-CMEK, צריך לבצע את הפעולות הבאות:

  1. כדי לציין מפתח Cloud KMS, צריך להגדיר את ברירות המחדל של קטגוריות הניראות בארגון ובמיקום us.

  2. הגדרת מיקום האחסון שמוגדר כברירת מחדל בארגון ל-us.

לפני שמתחילים

אם אתם מתכננים להגדיר רק את מיקום האחסון שמוגדר כברירת מחדל, אתם לא צריכים תפקידים ב-Cloud KMS.

  1. צריך להשלים את ההגדרה הנדרשת כדי לראות את הגדרות ברירת המחדל של מאגרי נתונים של יכולת תצפית.

  2. כדי לקבל את ההרשאות שדרושות להגדרת ברירות המחדל של קטגוריות של נתונים שניתן לצפות בהם בארגון, בתיקייה או בפרויקט, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים בארגון, בתיקייה או בפרויקט:

    להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

    התפקידים המוגדרים מראש האלה מכילים את ההרשאות שנדרשות להגדרת ברירת המחדל של קטגוריות של נתונים שניתן לצפות בהם בארגון, בתיקייה או בפרויקט. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

    ההרשאות הנדרשות

    כדי לקבוע את הגדרות ברירת המחדל של קטגוריות התצפית בארגון, בתיקייה או בפרויקט, נדרשות ההרשאות הבאות:

    • observability.settings.get
    • observability.settings.update
    • cloudkms.cryptoKeys.getIamPolicy
    • cloudkms.cryptoKeys.setIamPolicy

    יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

  3. אם אתם מתכננים לדרוש שימוש ב-CMEK, אתם צריכים לוודא שיש לכם מפתח Cloud KMS במיקום הנדרש. אם צריך, יוצרים אוסף מפתחות של Cloud KMS ומפתח של Cloud KMS.

  4. בוחרים את המשאב שרוצים לעדכן את הגדרות ברירת המחדל של קטגוריות התצפית שלו. המשאב הזה יכול להיות ארגון, תיקייה או פרויקט.

    אם מגדירים את הגדרות ברירת המחדל לארגון או לתיקייה, הן חלות על כל הצאצאים של אותו ארגון או אותה תיקייה. אם מגדירים הגדרות ברירת מחדל למאגרי נתונים של יכולת צפייה בפרויקט, הן חלות רק על הפרויקט הזה.

מתן גישה למפתח לחשבון השירות של המשאב

למשאב שאתם מתכננים להגדיר את הגדרות ברירת המחדל שלו, מקצים תפקיד לחשבון השירות שלו:

  1. מזהים את מפתח Cloud KMS שבו רוצים להשתמש להצפנה ולפענוח.

    מפתחות Cloud KMS הם אזוריים. לדוגמה, אם אתם מתכננים לדרוש שקטגוריות חדשות של יכולת תצפית שנוצרו על ידי המערכת יהיו במיקום us, אתם צריכים מפתח Cloud KMS במיקום us.

  2. מזהים את חשבון השירות של המשאב.

    לדוגמה, אם רוצים שכל קטגוריות הנתונים החדשות של מערכת ה-Observability בארגון יהיו במיקום us וישתמשו ב-CMEK, צריך להוציא קריאת getSettings למיקום global ולהגדיר את פרמטר הנתיב לארגון. נתוני התגובה מפרטים את חשבון השירות של הארגון:

    service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.iam.gserviceaccount.com

  3. נותנים לחשבון השירות שזיהיתם בשלב הקודם את התפקיד Cloud KMS CryptoKey Encrypter/Decrypter (roles.cloudkms.cryptoKeyEncrypterDecrypter) עבור מפתח Cloud KMS שבו רוצים להשתמש להצפנה ולפענוח של נתונים.

    קישור התפקיד הזה הוא למפתח Cloud KMS ספציפי.

    gcloud

    מריצים את הפקודה gcloud kms keys add-iam-policy-binding:

    gcloud kms keys add-iam-policy-binding KMS_KEY_NAME \
--project=KMS_PROJECT_ID \
--member=serviceAccount:SERVICE_ACCT_NAME@gcp-sa-observability.iam.gserviceaccount.com \
--role=roles/cloudkms.cryptoKeyEncrypterDecrypter \
--location=LOCATION_ID \
--keyring=KMS_KEY_RING

    לפני שמריצים את הפקודה הקודמת, מחליפים את המשתנים הבאים בערכים:

    • ‫KMS_KEY_NAME: השם של המפתח.
    • ‫KMS_PROJECT_ID: המזהה האלפאנומרי הייחודי, שמורכב מ Google Cloud שם הפרויקט וממספר שהוקצה באופן אקראי, של הפרויקט Google Cloud שמריץ את Cloud KMS. במאמר זיהוי פרויקטים מוסבר איך מקבלים את המזהה הזה.
    • ‫SERVICE_ACCT_NAME: השם של חשבון השירות של המשאב, שזיהיתם בשלב הקודם.
    • ‫LOCATION_ID: המיקום של מפתח Cloud KMS.
    • ‫KMS_KEY_RING: השם של אוסף המפתחות ב-Cloud KMS.

    המסוף

    1. נכנסים לדף Key management במסוף Google Cloud .

      לניהול המפתחות

    2. בוחרים את השם של אוסף המפתחות שמכיל את המפתח.

    3. מסמנים את התיבה של המפתח.

      הכרטיסייה Permissions (הרשאות) מופיעה.

    4. בתיבת הדו-שיח Add members, מציינים את כתובת האימייל של חשבון השירות של Google Cloud Observability שרוצים להעניק לו גישה.

    5. בתפריט Select a role, בוחרים באפשרות Cloud KMS CryptoKey Encrypter/Decrypter.

    6. לוחצים על הוספה.

הגדרת מפתח Cloud KMS שמשמש כברירת מחדל למשאב ולמיקום

בשלב הקודם, הענקתם לחשבון השירות של משאב הרשאות להצפנה ולפענוח של נתונים עבור מפתח Cloud KMS ספציפי. לדוגמה, יכול להיות שהקציתם לחשבון שירות של ארגון תפקיד IAM שמאפשר לו לגשת למפתח Cloud KMS שנמצא במיקום us.

בשלב הזה, מעדכנים את הגדרות ברירת המחדל של קטגוריות הנתונים של יכולת הצפייה במידע, עם פרטי המפתח של המשאב ושל המיקום של מפתח Cloud KMS. לדוגמה, בשלב הזה אפשר להגדיר את הגדרות ברירת המחדל של קטגוריות של נתונים שניתנים לצפייה בארגון ובמיקום us, למפתח Cloud KMS שגם הוא נמצא במיקום us.

בשלב הבא, מגדירים את מיקום האחסון שמוגדר כברירת מחדל. אם לא מגדירים מיקום אחסון כברירת מחדל, הקטגוריות של נתוני ה-Observability לא מוצפנות באמצעות מפתח Cloud KMS שמוגדר כברירת מחדל, גם אם הקטגוריות האלה נמצאות במיקום שבו המפתח מוגדר.

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

  • ‫KMS_KEY_NAME: השם של מפתח Cloud KMS.
  • ‫LOCATION: המיקום של מפתח Cloud KMS של המשאב. המשאב הוא פרויקט, תיקייה או ארגון. אם מגדירים את המיקום ל-global, הפקודה מחזירה את מיקום האחסון שמוגדר כברירת מחדל למשאב.
  • כדי להעביר לפקודה את המזהה של הפרויקט, התיקייה או הארגון שרוצים לשלוח להם שאילתה, משתמשים באחת מהאפשרויות הבאות:
    • ‫--project=PROJECT_ID, כאשר PROJECT_ID מכיל את מזהה הפרויקט.
    • --folder=FOLDER_ID, כאשר FOLDER_ID מכיל את מזהה התיקייה.
    • ‫--organization=ORGANIZATION_ID, כאשר ORGANIZATION_ID מכיל את המזהה של הארגון.

מריצים את הפקודה gcloud observability settings update:

‫Linux,‏ macOS או Cloud Shell

gcloud observability settings update \
 --kms-key-name=KMS_KEY_NAME \
 --update-mask=kmsKeyName \
 --location=LOCATION --project=PROJECT_ID

‏Windows (PowerShell)

gcloud observability settings update `
 --kms-key-name=KMS_KEY_NAME `
 --update-mask=kmsKeyName `
 --location=LOCATION --project=PROJECT_ID

Windows‏ (cmd.exe)

gcloud observability settings update ^
 --kms-key-name=KMS_KEY_NAME ^
 --update-mask=kmsKeyName ^
 --location=LOCATION --project=PROJECT_ID

פקודת העדכון מפעילה פעולה ממושכת. בדוגמה הבאה מוצגת התגובה של הפקודה: 

Parsed [location] resource: projects/my-project/locations/us
Request issued for: [us]
Waiting for operation [projects/my-project/locations/us/operations/operation-1775247021184-64e93e8161585-1a55612f-73382a5a] to complete...done.
Updated location [us].
'@type': type.googleapis.com/google.cloud.observability.v1.Settings
kmsKeyName: projects/my-project/locations/us/keyRings/test/cryptoKeys/test-key
name: projects/my-project/locations/us/settings
serviceAccountId: service-12345@gcp-sa-observability.iam.gserviceaccount.com

Terraform

כדי להגדיר מפתח ברירת מחדל של Cloud Key Management Service למיקום ולמשאב:

  1. בוחרים את משאב Terraform המתאים על סמך המשאב שרוצים להגדיר: Google Cloud

    ארגון:

    תיקייה:

    פרויקט:

  2. מגדירים את השדות הבאים:

    1. מגדירים בשדה location את המיקום של מפתח ברירת המחדל של Cloud KMS.
    2. מגדירים את השדה kms_key_name למפתח Cloud KMS.

REST

  1. בוחרים את נקודת הקצה המתאימה למשאב שרוצים להגדיר לו הגדרות ברירת מחדל, ואז מציינים את פרמטר הנתיב ב-APIs Explorer:

    ארגון:

    תיקייה:

    פרויקט:

    המשמעויות של המשתנים בביטויים שלמעלה הן:

    • ‫ORGANIZATION_ID: המזהה המספרי הייחודי של הארגון. מידע על קבלת המזהה הזה זמין במאמר איך מוצאים את מזהה הארגון.
    • ‫FOLDER_ID: המזהה המספרי הייחודי של התיקייה. מידע על השימוש בתיקיות זמין במאמר יצירה וניהול של תיקיות.
    • ‫PROJECT_ID: המזהה של הפרויקט.
    • ‫LOCATION_ID: המיקום של מפתח Cloud KMS.

  2. מגדירים את השדה updateMask באופן הבא:

    updateMask=kmsKeyName

  3. מגדירים את גוף הבקשה באופן הבא:

    {
  "kmsKeyName":"projects/KMS_PROJECT_ID/locations/LOCATION_ID/keyRings/KMS_KEY_RING/cryptoKeys/KMS_KEY_NAME"
}

    לפני שמזינים את הערכים, מבצעים את ההחלפות הבאות:

    • ‫KMS_PROJECT_ID: המזהה האלפאנומרי הייחודי, שמורכב מ Google Cloud שם הפרויקט וממספר שהוקצה באופן אקראי, של הפרויקט Google Cloud שמריץ את Cloud KMS. במאמר זיהוי פרויקטים מוסבר איך מקבלים את המזהה הזה.
    • ‫LOCATION_ID: המיקום של מפתח Cloud KMS.
    • ‫KMS_KEY_RING: השם של אוסף המפתחות ב-Cloud KMS.
    • ‫KMS_KEY_NAME: השם של המפתח.

    הערך של "kmsKeyName" הוא השם המלא של המפתח.

  4. לוחצים על Execute.

    אם הפעולה בוצעה ללא שגיאות, התגובה היא אובייקט Settings.

    לדוגמה, נניח שאתם מריצים את הפקודה updateSettings כדי להגדיר מפתח Cloud KMS, ומגדירים את פרמטר הנתיב ל-organizations/ORGANIZATION_ID/locations/LOCATION_ID/settings. התשובה תהיה דומה לתשובה הבאה:

    name: "organizations/ORGANIZATION_ID/locations/LOCATION_ID/settings"
service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.iam.gserviceaccount.com
kms_key_name: "projects/KMS_PROJECT_ID/locations/LOCATION_ID/keyRings/KMS_KEY_RING/cryptoKeys/KMS_KEY_NAME"

הגדרת מיקום האחסון שמוגדר כברירת מחדל למשאב

בשלב הזה מוסבר איך להגדיר מיקום אחסון שמוגדר כברירת מחדל למשאב, שהוא ארגון, תיקייה או פרויקט. כל צאצא בהיררכיית המשאבים משתמש במיקום האחסון שמוגדר כברירת מחדל, למעט צאצאים שהגדרתם להם מיקום אחסון שמוגדר כברירת מחדל.

לדוגמה, אם מגדירים את מיקום האחסון שמוגדר כברירת מחדל לארגון במיקום us, קטגוריות חדשות של ניראות שנוצרו על ידי המערכת בארגון הזה נמצאות במיקום us. אם רוצים שמיקום האחסון שמוגדר כברירת מחדל בתיקייה או בפרויקט יהיה שונה, צריך להגדיר הגדרות ברירת מחדל לקטגוריות של נתונים שניתנים לצפייה בתיקייה או בפרויקט.

אם רוצים שקטגוריות הנתונים של יכולת התצפית שנוצרו על ידי המערכת במשאב ישתמשו ב-CMEK, צריך לבצע את השלבים הבאים לפני שמגדירים את מיקום האחסון שמוגדר כברירת מחדל למשאב:

  1. מקצים לחשבון השירות של המשאב את התפקיד ב-IAM שמאפשר לחשבון השירות להצפין ולפענח נתונים. ההרשאה הזו היא למפתח Cloud KMS ספציפי, והמפתח הזה נמצא במיקום ספציפי.
  2. מגדירים את הגדרות ברירת המחדל של קטגוריות של נתונים שניתנים לצפייה עבור המשאב ומיקום המפתח עם פרטי מפתח Cloud KMS.

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

  • ‫DEFAULT_STORAGE_LOCATION: מיקום האחסון שמוגדר כברירת מחדל לפרויקט, לתיקייה או לארגון. המיקום הזה חל על מאגרי נתונים חדשים של נתוני observability. צריך להזין מיקום קטגוריה נתמך של ניראות.
  • כדי להעביר לפקודה את המזהה של הפרויקט, התיקייה או הארגון שרוצים לשלוח להם שאילתה, משתמשים באחת מהאפשרויות הבאות:
    • ‫--project=PROJECT_ID, כאשר PROJECT_ID מכיל את מזהה הפרויקט.
    • --folder=FOLDER_ID, כאשר FOLDER_ID מכיל את מזהה התיקייה.
    • ‫--organization=ORGANIZATION_ID, כאשר ORGANIZATION_ID מכיל את המזהה של הארגון.

מריצים את הפקודה gcloud observability settings update:

‫Linux,‏ macOS או Cloud Shell

gcloud observability settings update \
 --default-storage-location=DEFAULT_STORAGE_LOCATION \
 --update-mask=defaultStorageLocation \
 --location=global --project=PROJECT_ID

‏Windows (PowerShell)

gcloud observability settings update `
 --default-storage-location=DEFAULT_STORAGE_LOCATION `
 --update-mask=defaultStorageLocation `
 --location=global --project=PROJECT_ID

Windows‏ (cmd.exe)

gcloud observability settings update ^
 --default-storage-location=DEFAULT_STORAGE_LOCATION ^
 --update-mask=defaultStorageLocation ^
 --location=global --project=PROJECT_ID

פקודת העדכון מפעילה פעולה ממושכת. בדוגמה הבאה מוצגת התגובה של הפקודה: 

Parsed [location] resource: projects/my-project/locations/global
Request issued for: [global]
Waiting for operation [projects/my-project/locations/global/operations/operation-1775247065869-64e93eabfee29-f7d39a96-5e23c6c7] to complete...done.
Updated location [global].
'@type': type.googleapis.com/google.cloud.observability.v1.Settings
defaultStorageLocation: us
name: projects/my-project/locations/global/settings
serviceAccountId: service-12345@gcp-sa-observability.iam.gserviceaccount.com

Terraform

כדי להגדיר מיקום ברירת מחדל:

  1. בוחרים את המשאב המתאים של Terraform על סמך המשאב של Google Cloudשרוצים להגדיר:

    ארגון:

    תיקייה:

    פרויקט:

  2. מגדירים את השדות הבאים:

    1. מגדירים את השדה location לערך global.
    2. מגדירים את השדה default_storage_location למיקום נתמך.

REST

כדי להגדיר את מיקום האחסון שמוגדר כברירת מחדל לארגון, לתיקייה או לפרויקט:

  1. בוחרים את נקודת הקצה המתאימה למשאב שרוצים להגדיר לו הגדרות ברירת מחדל, ואז מציינים את פרמטר הנתיב ב-APIs Explorer:

    ארגון:

    תיקייה:

    פרויקט:

    המשמעויות של המשתנים בביטויים שלמעלה הן:

    • ‫ORGANIZATION_ID: המזהה המספרי הייחודי של הארגון. במאמר מציאת המזהה של הארגון מוסבר איך למצוא את המזהה הזה.
    • ‫FOLDER_ID: המזהה המספרי הייחודי של התיקייה. מידע על השימוש בתיקיות זמין במאמר יצירה וניהול של תיקיות.
    • ‫PROJECT_ID: מזהה הפרויקט.

  2. מגדירים את השדה updateMask באופן הבא:

    updateMask=defaultStorageLocation

  3. מגדירים את גוף הבקשה באופן הבא:

    {
  "defaultStorageLocation":"DEFAULT_STORAGE_LOCATION"
}

    מחליפים את DEFAULT_STORAGE_LOCATION במיקום נתמך של קטגוריית נתונים לצורך ניטור.

    לדוגמה, נניח שאתם רוצים שכל הקטגוריות החדשות של נתוני יכולת הצפייה שנוצרו על ידי המערכת בארגון שלכם יהיו במיקום us וישתמשו ב-CMEK. בשלבים הקודמים הענקתם לחשבון השירות של הארגון תפקיד IAM שמאפשר לו להצפין ולפענח נתונים באמצעות מפתח Cloud KMS שנמצא במיקום us. כדי להשלים את ההגדרה, צריך להגדיר את DEFAULT_STORAGE_LOCATION לערך us.

  4. לוחצים על Execute.

    אם הפעולה בוצעה ללא שגיאות, התגובה היא אובייקט Settings.

    לדוגמה, אם מריצים את הפקודה updateSettings, מגדירים את פרמטר הנתיב לארגון ומגדירים את מיקום האחסון שמוגדר כברירת מחדל ל-us, התשובה תיראה בערך כך:

    default_storage_location: "us"
service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.iam.gserviceaccount.com

עדכון מיקום האחסון שמוגדר כברירת מחדל למשאב

כדי לעדכן את מיקום האחסון שמוגדר כברירת מחדל לארגון, לתיקייה או לפרויקט, פועלים לפי אותה פרוצדורה שבה מגדירים את מיקום האחסון שמוגדר כברירת מחדל.

ניהול מפתחות Cloud KMS

בקטעים הבאים מוסבר איך לשנות, להשבית או לבטל את הגישה למפתח Cloud KMS.

עדכון מפתח ברירת המחדל של Cloud KMS למשאב ולמיקום

כדי לעדכן את מפתח Cloud KMS למשאב ולמיקום ספציפיים, פועלים לפי אותה פרוצדורה שבה מגדירים את מפתח Cloud KMS.

ביטול ההגדרה של מפתח Cloud KMS שמשמש כברירת מחדל למשאב ולמיקום

כדי לבטל את ההגדרה של מפתח Cloud KMS למשאב ולמיקום ספציפיים, פועלים לפי אותה פרוצדורה שמתוארת במאמר הגדרת מפתח Cloud KMS שמשמש כברירת מחדל למיקום. עם זאת, כשמגדירים את גוף הבקשה, צריך להגדיר את הערך של המפתח כמחרוזת ריקה.

{
  "kmsKeyName"=""
}

המערכת משתמשת באלגוריתם הבא כדי לקבוע אם קטגוריית תצפית חדשה במשאב משתמשת ב-CMEK, ואם כן, באיזה מפתח להשתמש:

  1. המערכת מחפשת בהגדרות ברירת המחדל של המשאב מפתח Cloud KMS למיקום שצוין. אם למשאב אין מפתח ברירת מחדל של Cloud KMS, המערכת מחפשת מפתח ברירת מחדל של Cloud KMS בצאצאים של המשאב:

  2. אחרי שהחיפוש מסתיים, המערכת מבצעת אחת מהפעולות הבאות:

    • אם נמצא מפתח Cloud KMS, המפתח הזה משמש להצפנת הנתונים שמאוחסנים בקטגוריית התצפית החדשה.

    • אם לא נמצא מפתח Cloud KMS, אחת מהאפשרויות הבאות מתרחשת:

      • אם קיימות מדיניות ארגון שמחייבות שימוש ב-CMEK, הקצאת משאבים של מאגר התצפית החדש תיכשל.

      • אם מדיניות הארגון לא קיימת, מאגר התצפית החדש לא משתמש ב-CMEK.

ביטול גישה למפתח עבור משאב ומיקום

כשאתם מגדירים את הגדרות ברירת המחדל של קטגוריות התצפיתיות למשאב ולמיקום באמצעות מפתח Cloud KMS, אתם צריכים להקצות לחשבון השירות של המשאב את התפקיד Cloud KMS CryptoKey Encrypter/Decrypter (roles.cloudkms.cryptoKeyEncrypterDecrypter) למפתח.

אם אתם לא רוצים שלמשאב תהיה גישה למפתח, אתם צריכים להסיר את הקישור של IAM למפתח הזה. כדי להסיר את הקישור הזה, מריצים את הפקודה gcloud kms keys remove-iam-policy-binding.

יכול להיות שיעברו כמה שעות עד שהשינוי בתפקיד יתעדכן באופן מלא.

התנהגות של רוטציית מפתחות

‫Google Cloud Observability לא מבצע רוטציה אוטומטית של מפתח ההצפנה לקבצים זמניים של התאוששות מאסון, כשמתבצעת רוטציה של מפתח Cloud KMS שמשויך לארגון Google Cloud או לתיקייה. בקובצי השחזור הקיימים ממשיכים להשתמש בגרסת המפתח שבאמצעותה הם נוצרו. קובצי שחזור חדשים משתמשים בגרסת המפתח הראשי הנוכחית.

מידע נוסף זמין במאמר רוטציית מפתחות.

מגבלות

אלה המגבלות הידועות כשמגדירים את הגדרות ברירת המחדל של קטגוריות התצפיות כך שתהיה להן הגדרת CMEK.

ירידה ברמת השירות בגלל חוסר זמינות של מפתח

‫Google Cloud Observability משתמש ב-Cloud KMS API כדי לגשת למפתחות Cloud KMS ולמפתחות Cloud EKM. יכול להיות שאף אחד מהסוגים של המפתחות לא יהיה זמין.

אם מפתח מסוים לא זמין, קורים הדברים הבאים:

  • אי אפשר להריץ שאילתות על נתונים מאוחסנים.
  • ב-Google Cloud Observability, הנתונים מהשלוש שעות האחרונות נשמרים במאגר זמני. יכול להיות שנתונים ישנים יותר מחלון הזמן הזה של שלוש שעות יימחקו.
  • כדי לאחסן נתונים באופן קבוע, מפתח Cloud KMS צריך להיות זמין ונגיש למשך 24 שעות רצופות לפחות בפרק הזמן של 48 שעות אחרי כתיבת הנתונים. אם מפתח Cloud KMS לא זמין ולא נגיש בתקופה הזו, יכול להיות שהנתונים לא יישמרו באופן מלא באחסון ויימחקו.

המאמרים הבאים