管理区域

Application Integration 是区域级的，这意味着运行您的集成的基础设施位于特定区域并由 Google 代管，以使其在该区域内的所有可用区以冗余方式提供。除了在设置过程中为 Application Integration 选择初始预配区域之外，您还可以启用或预配新区域，以便在同一 Google Cloud 项目中创建和管理集成。

本页面介绍了在 Google Cloud 项目中成功预配新的 Application Integration 区域以及修改现有区域所需的步骤。

准备工作

启用以下 API：

• Application Integration API (integrations.googleapis.com)
• Connectors API (connectors.googleapis.com)

配置新区域

如需在 Google Cloud 项目中为 Application Integration 预配新区域，请选择以下选项之一：

控制台

1. 前往 Application Integration 页面。

   转到 Application Integration

2. 在导航菜单中，点击区域

   系统会显示区域页面，其中列出了项目中预配的所有区域。

3. 点击预配新区域。
4. 在预配新区域页面中配置以下字段：
   1. 区域：选择要预配的新区域位置。

      如需了解支持的 Application Integration 区域，请参阅 Application Integration 位置。

   2. 高级设置：您可以选择展开此部分，为集成启用或停用 HTTP 访问，并为所选区域配置加密方法。
      • HTTP：点击启用 HTTP 切换开关，为所选区域内的集成启用 HTTP 访问。启用后，可以通过 HTTP 访问此区域中的集成。
        注意：HTTP 切换开关默认处于停用状态，以确保所有集成都通过 HTTPS 安全调用。
      • AI 功能：点击启用 AI 功能切换开关，即可在所选区域启用 AI 功能。如需详细了解如何使用 Gemini AI 排查问题，请参阅使用 AI 排查失败的执行日志。
      • 加密：为所选区域选择加密方法。有两种选择：
        • Google-owned and Google-managed encryption key：这是默认加密方法。如果您希望由 Google 管理用于保护所选区域中数据的加密密钥，请使用此方法。
        • 客户管理的加密密钥 (CMEK)：如果您想管理用于保护所选区域中数据的加密密钥，请使用此方法。
          注意：为 Application Integration 区域启用 CMEK 加密后，便无法撤消。这也意味着，一旦启用 CMEK，您就无法更改/切换某个区域的加密方法。

          配置加密设置时，您可以通过以下两种方式管理 CMEK：Application Integration 和 Connectors (CMEK)，以及为 Integration Connectors 使用不同的 CMEK，具体如下：

          • Application Integration 和连接器 - CMEK：这是默认选项，如果您想为 Application Integration 和 Integration Connectors 使用相同的加密密钥，则适合使用此选项。如需使用此选项，请执行以下步骤：
            1. 点击选择 Cloud KMS 密钥，然后选择所选区域中可用的现有 CMEK 密钥。您也可以创建新密钥，或使用现有密钥的 KMS 资源 ID。
            2. 点击验证，检查您的默认服务账号是否具有对所选 CMEK 密钥的 CryptoKey 访问权限。
            3. 如果验证失败，请点击授予，将 CryptoKey Encrypter/Decrypter IAM 角色分配给默认服务账号。
            提示：授予 CryptoKey 访问权限是一个可选步骤，这意味着您可以直接点击“完成”来完成 Application Integration 设置流程。不过，如果您不授予 CryptoKey 访问权限，则不会配置 Application Integration 的身份验证配置文件，并且您必须在创建新的身份验证配置文件时手动授予此访问权限。
          • 为 Integration Connectors 使用不同的 CMEK：如果您希望为 Application Integration 和 Integration Connectors 使用不同的加密密钥，请选中此复选框。如果选中，系统会显示以下选项：
            • Application Integration - CMEK
              1. 点击选择 Cloud KMS 密钥，然后为所选区域中的 Application Integration 选择一个现有 CMEK 密钥。或者，您也可以创建新密钥，或使用现有密钥的密钥资源 ID。
              2. 点击验证，完成 Application Integration 的 CMEK 设置。
            • Integration Connectors - CMEK
              1. 点击选择 Cloud KMS 密钥，然后为所选区域中的 Integration Connectors 选择一个现有 CMEK 密钥。或者，您也可以创建新密钥，或使用现有密钥的密钥资源 ID。
              2. 点击验证，检查您的默认服务账号是否具有对所选 CMEK 的 CryptoKey 访问权限。
              3. 如果所选 CMEK 密钥的验证失败，请点击授予，将 CryptoKey Encrypter/Decrypter IAM 角色分配给默认服务账号。
            注意：如果启用了 Integration Connectors CMEK，Application Integration 会自动检查您的默认服务账号是否具有对所选 CMEK 的 CryptoKey 访问权限。如果验证失败，您必须手动授予此访问权限。

          如需详细了解 CMEK，请参阅客户管理的加密密钥。

5. 点击完成。

Terraform

使用 google_integrations_client 资源。 以下示例预配了 us-east1 区域：

resource "random_id" "default" {
  byte_length = 8
}

resource "google_kms_key_ring" "default" {
  name     = "${random_id.default.hex}-example-keyring"
  location = "us-east1"
}

resource "google_kms_crypto_key" "default" {
  name            = "crypto-key-example"
  key_ring        = google_kms_key_ring.default.id
  rotation_period = "7776000s"
}

resource "google_kms_crypto_key_version" "default" {
  crypto_key = google_kms_crypto_key.default.id
}

resource "google_service_account" "default" {
  account_id   = "service-account-id"
  display_name = "Service Account"
}

resource "google_integrations_client" "example" {
  location                   = "us-east1"
  create_sample_integrations = true
  run_as_service_account     = google_service_account.default.email
  cloud_kms_config {
    kms_location   = "us-east1"
    kms_ring       = basename(google_kms_key_ring.default.id)
    key            = basename(google_kms_crypto_key.default.id)
    key_version    = basename(google_kms_crypto_key_version.default.id)
    kms_project_id = data.google_project.default.project_id
  }
}

修改区域

您可以修改现有区域，以启用或停用集成治理，并更新该区域的数据加密方法。

注意：为 Application Integration 区域启用 CMEK 加密后，便无法撤消。这也意味着，如果已启用 CMEK，您将无法更改某个区域的加密方法。

如需在 Application Integration 中修改现有区域，请执行以下步骤：

1. 在 Google Cloud 控制台中，前往 Application Integration 页面。

   前往 Application Integration

2. 在导航菜单中，点击区域。

系统会显示区域页面，其中列出了 Application Integration 中已预配的区域。

3. 对于要修改的现有区域，在操作列中，点击 区域操作，然后选择修改。

   系统会显示修改区域窗格。

4. 展开高级设置。
5. 如需为所选区域启用或停用集成治理，请点击启用治理切换开关。
   注意：

   • 启用治理后，此区域将强制执行服务账号身份验证。启用治理后，您必须手动将服务账号添加到此区域中创建的所有新集成和集成版本。您可以随时通过集成工具栏中的 集成设置窗格更改或更新集成的服务账号详细信息。

     如果启用了治理，则只有在集成关联了服务账号的情况下，您才能发布或测试该集成。

   • 如果您为所选区域停用治理，则所有现有已发布的集成都会继续使用其各自附加的服务账号，直到创建新版本的集成为止。
6. 如需为所选区域中的集成启用或停用 HTTP 访问权限，请点击启用 HTTP 切换开关。启用后，可以通过 HTTP 访问此区域中的集成。
7. 如需为所选区域中的集成启用或停用 AI 功能，请点击启用 AI 功能切换开关。启用后，您可以在所选区域中使用 AI 功能，例如使用 Gemini AI 进行问题排查。
8. 如需为变量启用遮盖，请在变量遮盖部分中，点击在日志中启用变量遮盖切换开关。

   如需了解遮盖，请参阅遮盖日志中的敏感数据。

9. 如需为所选区域启用 CMEK 加密，请选择客户管理的加密密钥 (CMEK)，然后执行以下操作：
   1. 从可用的下拉列表中选择一个 CMEK。下拉列表中列出的 CMEK 基于预配的区域。如需创建新密钥，请参阅创建新的 CMEK。
   2. 点击验证，检查您的默认服务账号是否具有对所选 CMEK 的 CryptoKey 访问权限。
   3. 如果所选 CMEK 的验证失败，请点击授予，将 CryptoKey Encrypter/Decrypter IAM 角色分配给默认服务账号。
10. 如需为 Integration Connectors 启用 CMEK 加密，请选择为 Integration Connectors 使用不同的 CMEK，然后执行以下操作：
    1. 从可用的下拉列表中选择一个 CMEK。下拉列表中列出的 CMEK 基于预配的区域。如需创建新密钥，请参阅创建新的 CMEK。
    2. 点击验证，完成 Integration Connectors CMEK 的设置。
11. 点击完成，完成区域的修改。