Neste documento, descrevemos como encontrar e mitigar erros comuns de configuração do CMEK. Também descreve como identificar erros que ocorrem ao configurar as configurações de recursos padrão do Cloud Logging. Essas configurações podem ser definidas para organizações e pastas.
Resolver problemas ao definir o local para novos buckets de registros criados pelo sistema
Para uma organização ou pasta, você tenta atualizar as configurações de recursos padrão do Cloud Logging. Sua atualização é para definir ou modificar a configuração de local. No entanto, o comando falha com um erro semelhante a este:
ERROR: (gcloud.logging.settings.update) INVALID_ARGUMENT: The KMS key location must match the storage location. Received KMS key location: us-central1, storage location: us-west1
- '@type': type.googleapis.com/google.rpc.DebugInfo
detail: '[ORIGINAL ERROR] generic::invalid_argument: The KMS key location must match
the storage location. Received KMS key location: us-central1, storage location:
us-west1 [google.rpc.error_details_ext] { message: "The KMS key location must
match the storage location. Received KMS key location: us-central1, storage location:
us-west1" }'
Para resolver esse erro, defina o local nas configurações de recursos padrão como o local da chave de serviço do Cloud Key Management Service.
Resolver problemas da CMEK
Conforme você configura a CMEK, o projeto Cloud de Confiance que contém a chave do Cloud KMS é notificado sobre problemas relacionados. Por exemplo, as atualizações falham quando o KMS_KEY_NAME é inválido, quando a conta de serviço associada não tem o papel Criptografador/descriptografador de CryptoKey do Cloud Key Management Service necessário ou quando o acesso à chave está desativado.
Depois de configurar a CMEK, pelo menos uma das seguintes situações vai ocorrer:
Você recebeu uma notificação do Cloud Logging sobre problemas de acesso à CMEK.
Você percebe que a CMEK não está ativada para os buckets de registros
_Defaulte_Requiredao criar novos projetos Cloud de Confiance na sua organização ou em uma pasta.Você recebe erros ao ler de buckets de registros com a CMEK ativada ou ao tentar criar ou atualizar buckets de registros.
A notificação fornece informações sobre a falha e contém que você pode tomar para minimizar o problema:
| Erro | Recomendação |
|---|---|
| Permissão de chave criptográfica negada | A conta de serviço do Logging associada ao seu Cloud de Confiance projeto não tem permissões do IAM suficientes para operar na chave do Cloud KMS especificada. Siga as instruções no erro ou consulte os seguintes documentos: |
| A chave criptográfica está desativada | A chave do Cloud KMS especificada foi desativada. Siga as instruções no erro para reativar a chave. |
| A chave criptográfica foi destruída | A chave do Cloud KMS especificada foi destruída. Siga as instruções ou consulte os seguintes documentos: |
Identificar o projeto que contém a chave do Cloud KMS
Para identificar o ID do projeto Cloud de Confiance que contém a chave de criptografia usada por um bucket de registros, uma pasta ou uma organização, faça o seguinte:
PROJETO
gcloud logging settings describe --project=PROJECT_ID
Antes de executar o comando, substitua PROJECT_ID pelo ID do projeto que contém o bucket de registros.
FOLDER
gcloud logging settings describe --folder=FOLDER_ID
Antes de executar o comando, substitua FOLDER_ID pelo ID da pasta.
ORGANIZAÇÃO
gcloud logging settings describe --organization=ORGANIZATION_ID
Antes de executar o comando, substitua ORGANIZATION_ID pelo ID da organização.
O comando anterior retorna informações semelhantes às seguintes:
kmsServiceAccountId: KMS_SERVICE_ACCT_NAME@gcp-sa-logging.s3ns-system.iam.gserviceaccount.com loggingServiceAccountId: SERVICE_ACCT_NAME@gcp-sa-logging.s3ns-system.iam.gserviceaccount.com
Para organizações e pastas, o seguinte campo também é retornado:
kmsKeyName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY
O valor do campo kmsKeyName inclui o projeto Cloud de Confiance que armazena a chave.
Verificar a usabilidade de chaves
Para verificar a usabilidade da chave, execute o seguinte comando para listar todas as chaves:
gcloud kms keys list \ --location=KMS_KEY_LOCATION \ --keyring=KMS_KEY_RING
Esse comando retorna informações sobre cada chave em formato tabular. A primeira linha de saída é uma lista de nomes de coluna:
NAME PURPOSE ...
Verifique se a chave do Cloud KMS está listada na saída do comando como
ENABLED, e se a finalidade da chave é a criptografia simétrica: a coluna
PURPOSE precisa conter ENCRYPT_DECRYPT e a coluna PRIMARY_STATE precisa conter ENABLED.
Se necessário, crie uma nova chave.
Verificar a configuração das permissões
As contas de serviço associadas às configurações da CMEK da organização precisam ter o papel Criptografador/Descriptografador de CryptoKey do Cloud KMS para a chave configurada.
Para listar a política do IAM da chave, execute o seguinte comando :
gcloud kms keys get-iam-policy KMS_KEY_NAME
Se necessário, adicione à conta de serviço que contém o papel Criptografador/Descriptografador de CryptoKey do Cloud KMS para a chave.