Referencia de error de Cloud EKM

Este tema te ayuda a interpretar y solucionar errores que pueden ocurrir cuando usas Cloud External Key Manager (Cloud EKM).

Estructura de un error

La estructura de los mensajes de error proporciona el mayor nivel de detalle posible para ayudarte a diagnosticar y solucionar el problema. Los errores se muestran en una estructura google.rpc.Status. Dentro de esa estructura, sucede lo siguiente:

  • El campo google.rpc.Status.code muestra la categoría amplia del error.
  • El campo google.rpc.Status.message muestra un mensaje legible por humanos, incluidos detalles sobre la acción específica que se intentó y sugerencias dependientes del contexto para solucionar el error.

  • Si google.rpc.Status.code es FAILED_PRECONDITION, la estructura google.rpc.PreconditionFailure es legible por máquina. Contiene dos estructuras violation.

    • violation[0] contiene información sobre el estado de la clave de Cloud EKM.

    • violation[1] contiene información sobre el intento de contactar al sistema de administración de claves externas.

      El campo violation[1].type contiene información sobre el tipo de error. Cloud EKM hace referencia a esta información como el “dominio de error”.

      Si estos errores persisten, comunícate con el equipo de asistencia del socio de administración de claves externas.

En esta referencia, los mensajes de google.rpc.Status.message se truncan para facilitar la lectura. La parte truncada incluye información como el URI de la clave externa o la ruta de acceso a la clave.

Soluciona problemas

Los errores que ocurren cuando se usa Cloud EKM pueden deberse a problemas con errores de entrada, Cloud EKM, el sistema de socios de administración de claves externas, las comunicaciones entre ellos o algún otro factor. Puedes leer información específica sobre la solución de problemas en la sección para cada tipo de error.

Según el tipo de error, es posible que debas comunicarte con la asistencia de Cloud EKM o la asistencia para el sistema de administración de claves externas.

Si el error no aparece en las siguientes tablas, consulta Soluciona problemas de EKM a través de errores de VPC.

Errores de entrada

Sigue las sugerencias para solucionar problemas en el campo google.rpc.Status.message del error. Si el problema persiste, comunícate con el Cloud de Confiance equipo de asistencia.

A menos que se indique lo contrario, los errores de esta sección tienen google.rpc.Status.code de FAILED_PRECONDITION.

google.rpc.Status.message violation[1].type
(Dominio de error)		 Soluciona problemas
Permission was denied when accessing the EKM_ELEMENT. EXTERNAL_PERMISSION_DENIED Cuando EKM_ELEMENT es key, Cloud EKM también inhabilita la versión de la clave. Otorga los permisos adecuados en tu administrador de claves externas y, luego, vuelve a rotar la clave de Cloud EKM para intentarlo nuevamente.
Cuando EKM_ELEMENT es crypto space o EKM host, otorga el rol o los permisos adecuados a la cuenta de servicio y, luego, vuelve a intentarlo.
Could not find a EKM_ELEMENT o Could not query EKM host. EXTERNAL_NOT_FOUND Cuando EKM_ELEMENT es key, verifica que el URI de la clave externa o la ruta de acceso a la clave sean correctos.
Cuando EKM_ELEMENT es crypto space, verifica que la ruta del espacio criptográfico sea correcta.
Cuando no se puede consultar un EKM host, verifica que el nombre de host del EKM sea correcto.
Si están escritas correctamente, comunícate con el equipo de asistencia del sistema de administración de claves externas.
Key URI has invalid format. EXTERNAL_KEY_URI_INVALID Comprueba que el URI de la clave en esta solicitud sea correcto y vuelve a rotar la clave de Cloud EKM.
Key URI host is not supported. EXTERNAL_KEY_HOST_NOT_WHITELISTED Verifica que el URI de la clave sea correcto. Si operas tu propia implementación del sistema de administración de claves externas, comunícate con el Cloud de Confiance equipo de asistencia. De lo contrario, comunícate con el equipo de asistencia del sistema de administración de claves externas.
Could not resolve the domain name for EKM_ELEMENT. DNS Verifica que el URI de la clave, la ruta de la clave, el espacio criptográfico o el nombre de host del EKM sean correctos. Si es así, comunícate con el equipo de asistencia del sistema de administración de claves externas.

Errores que se pueden reintentar

Sigue las sugerencias para solucionar problemas en el campo google.rpc.Status.message del error. Si observas tiempos de espera agotados frecuentes o errores de red, asegúrate de que la ubicación geográfica de tus claves de Cloud EKM sea lo más cercana posible a la región que usas para las claves externas. Si el problema persiste, comunícate con el equipo de asistencia del socio de administración de claves externas.

A menos que se indique lo contrario, los errores de esta sección tienen google.rpc.Status.code de FAILED_PRECONDITION. EKM_ELEMENT puede ser uno de estos valores: key, crypto space o EKM host.

google.rpc.Status.message violation[1].type
(Dominio de error)
Throttled when trying to access key URI. EXTERNAL_RESOURCE_EXHAUSTED
Could not reach the EKM_ELEMENT due to an external networking error. UNREACHABLE_NETWORK
Could not reach the EKM_ELEMENT because the external key manager reports that it is overloaded. OVERLOADED_EKM
Timed out when trying to access the EKM_ELEMENT. TIMEOUT
Este error suele ocurrir cuando el EKM es demasiado lento para responder. La lentitud puede deberse a que el EKM recibe más solicitudes de las que puede controlar o a que la latencia de la red es demasiado alta. REQUEST_CANCELLED

Errores del sistema de administración de claves externas

Si encuentras estos errores y persisten, comunícate con el equipo de asistencia del socio de administración de claves externas.

A menos que se indique lo contrario, los errores de esta sección tienen google.rpc.Status.code de FAILED_PRECONDITION. EKM_ELEMENT puede ser uno de estos valores: key, crypto space o EKM host.

google.rpc.Status.message violation[1].type
(Dominio de error)
Could not validate the TLS server certificate for the EKM_ELEMENT. TLS_CERT
Got garbled or unusable response when trying to access the EKM_ELEMENT. UNEXPECTED_RESPONSE
External server error when trying to access the EKM_ELEMENT. EXTERNAL_SERVER_ERROR
The external key manager indicated they have not implemented the appropriate method to support Cloud KMS's EKM_API.
 EKM_API puede ser uno de los siguientes: AsymmetricSign, CheckCryptoSpacePermissions, CreateKey, Decrypt, DestroyKey, Encrypt, GetInfo o GetPublicKey. 		EXTERNAL_NOT_IMPLEMENTED
Got unexpected error when trying to access the EKM_ELEMENT. UNEXPECTED_ERROR
Decryption failed: The EKM reports that decryption failed.
Esto significa que el URI de la clave es válido, pero el sistema externo de administración de claves del socio no pudo desencriptar el BLOB empaquetado ni los datos autenticados adicionales (AAD).
google.rpc.Status.code es INVALID_ARGUMENT.		 DECRYPTION_FAILED

Obtén asistencia

Si tienes un error que no aparece en esta referencia, comunícate con elCloud de Confiance equipo de asistencia.