Mettre à jour les buckets d'observabilité

Vous pouvez mettre à jour le nom à afficher, la description ou la clé Cloud Key Management Service d'un bucket d'observabilité pour refléter les changements organisationnels ou effectuer une rotation des clés de chiffrement.

Vous ne pouvez pas utiliser ces opérations de mise à jour pour résoudre les problèmes de conformité. Par exemple, vous ne pouvez pas utiliser ces opérations pour modifier l'emplacement d'un bucket d'observabilité ni appliquer une clé Cloud KMS à un bucket qui utilise le chiffrement par défaut de Google.

Effets de la mise à jour d'une clé Cloud KMS

La mise à jour de la clé Cloud KMS d'un bucket d'observabilité n'affecte pas les données stockées. Autrement dit, avant la fin de la mise à jour, la clé d'origine chiffre les nouvelles données. Une fois la mise à jour terminée, la clé mise à jour chiffre les nouvelles données.

Vous pouvez continuer à accéder aux données stockées et à les afficher, à condition que la clé Cloud KMS d'origine reste activée et que le compte de service Google Cloud Observability conserve les autorisations de chiffrement/déchiffrement.

Si vous désactivez ou détruisez la clé Cloud KMS d'origine, toutes les données écrites pendant que cette clé était active deviennent immédiatement définitivement inaccessibles et illisibles.

Limites

Les restrictions suivantes s'appliquent :

• Vous ne pouvez pas modifier l'emplacement.
• Vous ne pouvez pas appliquer de clé Cloud KMS à un bucket d'observabilité qui utilise le chiffrement par défaut de Google.
• Le nom à afficher ne doit pas dépasser 100 octets encodés.
• La description ne doit pas dépasser 1 000 octets encodés.
• Les données sont stockées pendant 30 jours. Vous pouvez omettre la durée de conservation ou la définir sur 30.
• Si vous mettez à jour la clé Cloud KMS, son emplacement doit correspondre exactement à l'emplacement parent du bucket d'observabilité.

Avant de commencer

Configurez votre projet et vos rôles IAM, puis sélectionnez l'interface que vous prévoyez d'utiliser.

Configurer votre projet et vos rôles

Connectez-vous à votre compte Google Cloud . Si vous débutez sur Google Cloud, créez un compte pour évaluer les performances de nos produits en conditions réelles. Les nouveaux clients bénéficient également de 300 $ de crédits sans frais pour exécuter, tester et déployer des charges de travail.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Observability API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Observability API, if it is not already enabled.

Roles required to enable APIs

To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

Enable the API

1. Pour obtenir les autorisations nécessaires pour mettre à jour les buckets d'observabilité, demandez à votre administrateur de vous accorder le rôle IAM Éditeur d'observabilité (roles/observability.editor) sur votre projet. Pour en savoir plus sur l'attribution de rôles, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.

   Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis.

Configurer des interfaces

gcloud

Remarque : Vous devez utiliser la version 586.0.0 ou ultérieure de la gcloud CLI.

Dans la console Google Cloud , activez Cloud Shell.

Activer Cloud Shell

En bas de la console Google Cloud , une session Cloud Shell démarre et affiche une invite de ligne de commande. Cloud Shell est un environnement de shell dans lequel la Google Cloud CLI est déjà installée, et dans lequel des valeurs sont déjà définies pour votre projet actuel. L'initialisation de la session peut prendre quelques secondes.

Terraform

Pour utiliser les exemples Terraform de cette page dans un environnement de développement local, installez et initialisez la gcloud CLI, puis configurez les Identifiants par défaut de l'application avec vos identifiants utilisateur.

1. Installez la Google Cloud CLI.

2. Si vous utilisez un fournisseur d'identité (IdP) externe, vous devez d'abord vous connecter à la gcloud CLI avec votre identité fédérée.

3. Si vous utilisez un shell local, créez des identifiants d'authentification locaux pour votre compte utilisateur :

   gcloud auth application-default login

   Vous n'avez pas besoin de le faire si vous utilisez Cloud Shell.

   Si une erreur d'authentification est renvoyée et que vous utilisez un fournisseur d'identité (IdP) externe, vérifiez que vous vous êtes connecté à la gcloud CLI avec votre identité fédérée.

Pour en savoir plus, consultez la section Configurer les ADC pour un environnement de développement local dans la documentation sur l'authentification Google Cloud .

REST

Pour utiliser les exemples API REST de cette page dans un environnement de développement local, vous devez utiliser les identifiants que vous fournissez à la gcloud CLI.

Installez la Google Cloud CLI.

Si vous utilisez un fournisseur d'identité (IdP) externe, vous devez d'abord vous connecter à la gcloud CLI avec votre identité fédérée.

Pour en savoir plus, consultez la section S'authentifier pour utiliser REST dans la documentation sur l'authentification Google Cloud .

Configurer une clé Cloud KMS

Facultatif. Si vous prévoyez de mettre à jour la clé Cloud KMS utilisée par le bucket d'observabilité, procédez comme suit :

1. Activez l'API Cloud Key Management Service, si ce n'est pas déjà fait.

   Rôles requis pour activer les API

   Pour activer des API, vous devez disposer de l'autorisation serviceusage.services.enable. Si vous avez créé le projet, vous disposez probablement déjà de cette autorisation via le rôle Propriétaire (roles/owner). Sinon, vous pouvez l'obtenir via le rôle Administrateur Service Usage (roles/serviceusage.serviceUsageAdmin). Découvrez comment attribuer des rôles.

   Activer l'API

2. Créez un trousseau de clés et une clé.

   L'emplacement du bucket d'observabilité doit correspondre à l'emplacement de la clé.

3. Remplacez PROJECT_ID par l'ID de votre projet, puis exécutez la commande suivante :

   gcloud observability settings describe \
   --location=global --project=PROJECT_ID
   

   La réponse à la commande précédente liste l'ID du compte de service Google Cloud Observability.

4. Attribuez le rôle Chiffreur/Déchiffreur de CryptoKeys Cloud KMS au compte de service Google Cloud Observability.

   gcloud kms keys add-iam-policy-binding \
   --project=KMS_PROJECT_ID \
   --member=serviceAccount:[e-mail] \
   --role=roles/cloudkms.cryptoKeyEncrypterDecrypter \
   --location=KMS_KEY_LOCATION \
   --keyring=KMS_KEY_RING \
   KMS_KEY_NAME
   

   Avant d'exécuter la commande précédente, effectuez les remplacements suivants :

   • KMS_PROJECT_ID : identifiant alphanumérique unique, composé du nom de votre projet Google Cloud et d'un numéro attribué de manière aléatoire, du projet Google Cloud exécutant Cloud KMS. Pour savoir comment obtenir cet identifiant, consultez Identifier des projets.
   • service-PROJECT_NUMBER : nom du compte de service Google Cloud Observability listé à l'étape précédente.
   • KMS_KEY_LOCATION : région de la clé Cloud KMS.
   • KMS_KEY_RING : nom du trousseau de clés Cloud KMS.
   • KMS_KEY_NAME : nom de la clé Cloud KMS. Il est formaté comme suit : projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY.

Mettre à jour un bucket d'observabilité

gcloud

Remarque : Vous devez utiliser la version 586.0.0 ou ultérieure de la gcloud CLI.

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

• BUCKET_ID : ID du bucket d'observabilité. Par exemple, cet ID peut être _Trace.
• LOCATION : emplacement du bucket d'observabilité.
• DESCRIPTION : une description Ce champ est facultatif.
• DISPLAY_NAME : nom à afficher Ce champ est facultatif.
• PROJECT_ID : identifiant du projet.

La commande gcloud CLI fournit également des options permettant de mettre à jour la clé Cloud KMS. Pour en savoir plus, consultez la page gcloud observability buckets update.

Exécutez la commande gcloud observability buckets update  :

Linux, macOS ou Cloud Shell

gcloud observability buckets update BUCKET_ID \
 --location=LOCATION \
 --description="DESCRIPTION" \
 --display-name="DISPLAY_NAME" \
 --project=PROJECT_ID

Windows (PowerShell)

gcloud observability buckets update BUCKET_ID `
 --location=LOCATION `
 --description="DESCRIPTION" `
 --display-name="DISPLAY_NAME" `
 --project=PROJECT_ID

Windows (cmd.exe)

gcloud observability buckets update BUCKET_ID ^
 --location=LOCATION ^
 --description="DESCRIPTION" ^
 --display-name="DISPLAY_NAME" ^
 --project=PROJECT_ID

La commande de mise à jour lance une opération de longue durée et bloque jusqu'à ce que l'opération se termine. Voici un exemple de réponse lorsque la commande aboutit :

Request issued for: [_Trace]
Waiting for operation [projects/my-project/locations/us/operations/operation-1790096940299-65c156c3d730f-5fbc9362-10d93b76] to complete...done.
Updated bucket [_Trace].
createTime: '2026-09-09T21:06:30.590367694Z'
description: Updated bucket for storing trace data
displayName: Updated display name
name: projects/my-project/locations/us/buckets/_Trace
updateTime: '2026-09-22T17:09:00.301850190Z'

Terraform

Pour mettre à jour le nom à afficher, la description ou la CMEK, utilisez la ressource Terraform google_observability_bucket et définissez les champs suivants :

• project : ID de votre projet.
• location : emplacement du bucket d'observabilité. Pour plus d'informations, consultez la section Emplacements.
• bucket_id : ID du bucket d'observabilité. Ce champ doit être défini sur _Trace.

Vous ne pouvez modifier que la description, le nom à afficher et la clé CMEK. Pour en savoir plus, consultez la documentation de la ressource.

REST

Pour mettre à jour un bucket d'observabilité, envoyez une requête à projects.locations.buckets.patch.

Vous devez spécifier le paramètre parent, qui identifie le bucket à mettre à jour. Ce paramètre a le format suivant :

projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_ID

Les champs de l'expression précédente ont la signification suivante :

• PROJECT_ID : identifiant du projet.
• LOCATION : emplacement du bucket d'observabilité.
• BUCKET_ID : ID du bucket d'observabilité. Par exemple, cet ID peut être _Trace.

Le paramètre de requête doit spécifier un champ updateMask, qui identifie les champs à modifier. Exemple :

• Pour mettre à jour la description, utilisez updateMask=description.
• Pour mettre à jour la clé Cloud KMS et la description, utilisez updateMask=description,cmekSettings.kmsKey.

Le corps de la requête est un objet Bucket. Vous devez renseigner tous les champs spécifiés par le masque de mise à jour. Ne renseignez pas les champs que vous ne mettez pas à jour.

Par exemple, pour ne mettre à jour que le champ description, vous pouvez utiliser l'objet Bucket suivant :

{
    "description": "Updated description for my observability bucket."
}

La réponse est un objet Operation. En général, cette méthode prend moins d'une minute.

En règle générale, pour déterminer si une méthode qui renvoie un objet Operation est terminée, vous interrogez l'objet en appelant projects.locations.operations.get jusqu'à ce que le champ Operation.done soit défini sur true. Vous pouvez ensuite utiliser d'autres champs de la structure Operation pour déterminer si la méthode a réussi ou échoué.

Cependant, la méthode patch se termine rapidement. Par conséquent, vous pouvez attendre une minute, puis vérifier la mise à jour en listant vos buckets d'observabilité.

Étapes suivantes

• Afficher et analyser la télémétrie
• Définir les valeurs par défaut pour les buckets d'observabilité : configurez un emplacement de stockage par défaut et une clé de chiffrement gérée par le client (CMEK) par défaut pour vos buckets d'observabilité.