Standardeinstellungen für Beobachtbarkeits-Buckets festlegen

Wenn Sie Compliance- oder regulatorische Anforderungen erfüllen müssen, um Ihre Daten an bestimmten Standorten zu speichern oder kundenverwaltete Verschlüsselungsschlüssel (CMEKs) zu verwenden, empfehlen wir, sowohl Organisationsrichtlinien als auch Standardeinstellungen für Observability-Buckets zu konfigurieren. Mit Organisationsrichtlinien und Standardeinstellungen für Beobachtbarkeits-Buckets können Sie den Speicherort und das Verschlüsselungsmodell für diese Buckets festlegen. Diese Buckets können die standardmäßige Google-Verschlüsselung oder kundenverwaltete Verschlüsselungsschlüssel (CMEKs) verwenden.

Für Organisationen, Ordner und Projekte können Sie mit den Standardeinstellungen für Beobachtbarkeits-Buckets Folgendes konfigurieren:

  • Einen Standardspeicherort.
  • Für jeden Standort einen Standard-Cloud Key Management Service-Schlüssel.

Das System verwendet Standardeinstellungen auf zwei verschiedene Arten:

  • Wenn das System automatisch einen Beobachtbarkeits-Bucket erstellt, werden die Standardeinstellungen verwendet, um den Standort und den Verschlüsselungsschlüssel des Buckets zu bestimmen. Wenn Sie keine Standardeinstellungen definiert haben, wählt das System den Standort aus und der Bucket verwendet die standardmäßige Google-Verschlüsselung.

  • Wenn Sie die Erstellung eines Observability-Buckets über eine API-Anfrage initiieren, geben Sie den Standort an. Das System verwendet jedoch automatisch den durch die Standardeinstellungen definierten Cloud KMS-Schlüssel, um die Daten zu verschlüsseln, sofern der Schlüssel nicht in den Argumenten der API-Anfrage angegeben ist.

Da das übergeordnete Element eines Observability-Buckets immer ein Projekt ist, sucht das System beim Erstellen eines Buckets zuerst nach Standardeinstellungen auf Projektebene. Wenn diese nicht vorhanden sind, sucht das System in den übergeordneten Elementen nach Standardeinstellungen. Wenn Sie beispielsweise Standardeinstellungen für einen Ordner definieren, gelten diese Einstellungen für die untergeordneten Elemente des Ordners, mit Ausnahme der untergeordneten Elemente, für die Standardeinstellungen konfiguriert sind.

Sie können auch Organisationsrichtlinien verwenden, um die Standorte neuer Observability-Buckets einzuschränken, die Verwendung von CMEKs vorzuschreiben oder einzuschränken, welche Cloud KMS-Schlüssel für die Verschlüsselung verwendet werden können. Wenn Sie Organisationsrichtlinien konfigurieren, die die Verwendung von CMEKs erfordern, müssen Sie Standardeinstellungen für Beobachtbarkeits-Buckets konfigurieren. Andernfalls schlägt die Bereitstellung für vom System erstellte Beobachtbarkeits-Buckets fehl.

Dieses Dokument gilt nicht für Log-Buckets, in denen Logdaten gespeichert werden. Informationen zum Festlegen eines Standardstandorts oder zum Erfordern von CMEKs für Log-Buckets finden Sie unter Standardressourceneinstellungen für Cloud Logging konfigurieren.

Anwendbare Organisationsrichtlinien

Wenn Sie festlegen möchten, wo Ihre Beobachtbarkeits-Buckets erstellt werden und wer die Verschlüsselungsschlüssel für diese Buckets verwaltet, können Sie die folgenden Organisationsrichtlinien konfigurieren:

  • Eine Richtlinie mit der Einschränkungs-ID constraints/gcp.resourceLocations. Diese Richtlinie definiert die Standorte, an denen neue Ressourcen erstellt werden können. Wenn Sie Beobachtbarkeits-Buckets verwenden möchten, muss diese Gruppe von Standorten mindestens einen unterstützten Standort für Beobachtbarkeits-Buckets enthalten.

  • Eine Deny-Richtlinie mit der Einschränkungs-ID constraints/gcp.restrictNonCmekServices. Diese Richtlinie erfordert, dass neue Ressourcen mit CMEKs verschlüsselt werden.

  • Eine Richtlinie mit der Einschränkungs-ID constraints/gcp.restrictCmekCryptoKeyProjects. Diese Richtlinie schränkt ein, welche Cloud Key Management Service-Schlüssel für die Verschlüsselung verwendet werden.

Sie können Organisationsrichtlinien erstellen, die auf Organisations-, Ordner- oder Projektebene gelten. Weitere Informationen finden Sie unter Richtlinien erstellen und bearbeiten.

Auswirkungen von Organisationsrichtlinien auf die Konfiguration eines Standardstandorts

Wenn Sie einen Befehl zum Festlegen eines Standardstandorts ausführen, prüft Google Cloud Observability, ob der angegebene Standort gemäß Ihren Organisationsrichtlinien zulässig ist und ob es sich um einen unterstützten Standort für Observability-Buckets handelt. Wenn eine der beiden Überprüfungen fehlschlägt, schlägt auch der Befehl zum Festlegen des Standardstandorts fehl.

Wenn Sie die Liste der in Ihren Organisationsrichtlinien zulässigen Speicherorte so ändern, dass der Standardspeicherort nicht mehr zulässig ist, müssen Sie diese Einstellung separat aktualisieren. Möglicherweise müssen Sie auch einen Cloud KMS-Standardschlüssel für den aktualisierten Standardspeicherort konfigurieren.

Zusammenspiel von Organisationsrichtlinien und Standardeinstellungen

Das übergeordnete Element eines Beobachtbarkeits-Buckets muss ein Projekt sein. Das System kann also keinen Beobachtbarkeits-Bucket in einem Ordner oder einer Organisation erstellen. Wenn Sie jedoch Standardeinstellungen für Beobachtbarkeits-Buckets für eine Organisation oder einen Ordner konfigurieren, gelten diese Standardeinstellungen für alle Projekte, die Nachfolger dieser Organisation oder dieses Ordners sind.

In der folgenden Tabelle sind die Regeln aufgeführt, die das System verwendet, um den Standort eines neuen Observability-Buckets zu bestimmen:

Organisationsrichtlinie
verwenden, um den Standort einzuschränken		 Projekt (oder Ancestor) hat einen
Standardspeicherort		 So bestimmt das System den Standort für einen neuen Beobachtbarkeits-Bucket
Nein Nein

Das System wählt den Standort aus den unterstützten Standorten für Beobachtbarkeits-Buckets aus.
Ja Nein

Das System wählt den Standort aus der Schnittmenge der Standorte aus, die von den Organisationsrichtlinien zugelassen und von den Beobachtbarkeits-Buckets unterstützt werden.

Wenn die Schnittmenge leer ist, erstellt das System den Beobachtbarkeits-Bucket nicht.
Nein Ja

Das System legt den Speicherort auf den Standardspeicherort fest, der in den Standardeinstellungen des Projekts definiert ist. Wenn für das Projekt kein Standardspeicherort definiert ist, verwendet das System den für einen Ancestor definierten Standardspeicherort.
Ja Ja

Das System legt den Speicherort auf den Standardspeicherort fest, der in den Standardeinstellungen des Projekts definiert ist. Wenn für das Projekt kein Standardspeicherort definiert ist, verwendet das System den Standardspeicherort des Ancestors.

Wenn der Standardspeicherort durch die Organisationsrichtlinien nicht zulässig ist, erstellt das System den Beobachtbarkeits-Bucket nicht.

In der folgenden Tabelle sind die Regeln aufgeführt, anhand derer das System bestimmt, ob ein neuer Beobachtbarkeits-Bucket CMEKs verwendet, und wenn ja, den Wert des Cloud KMS-Schlüssels. Zum Verschlüsseln eines Beobachtbarkeits-Buckets muss sich ein Cloud KMS-Schlüssel am Standort des Buckets befinden und von Organisationsrichtlinien zugelassen sein. Wenn Sie keine Organisationsrichtlinie mit der Einschränkung gcp.restrictCmekCryptoKeyProjects angeben, sind alle Schlüssel zulässig:

Organisationsrichtlinie
verwenden, um CMEKs zu erzwingen		 Projekt (oder Ancestor) hat einen Cloud KMS-Standardschlüssel von
 Wie das System bestimmt, welcher Cloud KMS-Schlüssel verwendet werden soll.
Nein Nein

Der Observability-Bucket verwendet keine CMEKs.
Ja Nein

Das System erstellt keine neuen Beobachtbarkeits-Buckets, da die Organisationsrichtlinie CMEKs erfordert, aber kein Cloud KMS-Standardschlüssel definiert ist.
Nein Ja

Um einen Schlüssel für die Verschlüsselung zu identifizieren, ermittelt das System zuerst, ob ein Standardspeicherort für das Projekt oder für einen seiner Ancestors festgelegt ist. Andernfalls wählt das System einen Standort aus und erstellt den Beobachtbarkeits-Bucket. Der Bucket verwendet keinen CMEK.

Wenn ein Standardspeicherort gefunden wird, sucht das System in den Standardeinstellungen des Projekts nach einem Cloud KMS-Standardschlüssel. Wenn in den Standardeinstellungen des Projekts kein geeigneter Schlüssel angegeben ist, sucht das System in den Standardeinstellungen des Ancestors nach einem Standardschlüssel, der sich am Standort des neuen Buckets befindet.

Eines der folgenden Ereignisse tritt ein:

  • Ein Schlüssel wird nicht gefunden: Der neue Beobachtbarkeits-Bucket verwendet keinen CMEK.
  • Ein Schlüssel wird gefunden und ist zulässig: Das System erstellt den Beobachtbarkeits-Bucket.
  • Ein Schlüssel wird gefunden, ist aber nicht zulässig: Das System erstellt den neuen Beobachtbarkeits-Bucket nicht.
Ja Ja

Um einen Schlüssel für die Verschlüsselung zu identifizieren, ermittelt das System zuerst, ob ein Standardspeicherort für das Projekt oder für einen seiner Ancestors festgelegt ist. Wenn kein Standardspeicherort festgelegt ist, erstellt das System den neuen Beobachtbarkeits-Bucket nicht.

Wenn ein Standardspeicherort gefunden wird, sucht das System in den Standardeinstellungen des Projekts nach einem Cloud KMS-Standardschlüssel. Wenn in den Standardeinstellungen des Projekts kein geeigneter Schlüssel angegeben ist, sucht das System in den Standardeinstellungen des Ancestors nach einem Standardschlüssel, der sich am Standort des neuen Buckets befindet.

Eines der folgenden Ereignisse tritt ein:

  • Ein Schlüssel wird nicht gefunden: Der neue Beobachtbarkeits-Bucket wird nicht erstellt.
  • Ein Schlüssel wird gefunden und ist zulässig: Das System erstellt den Beobachtbarkeits-Bucket.
  • Ein Schlüssel wird gefunden, ist aber nicht zulässig: Das System erstellt den neuen Beobachtbarkeits-Bucket nicht.

Standardeinstellungen für Beobachtbarkeits-Buckets ansehen

In diesem Abschnitt wird beschrieben, wie Sie die Standardeinstellungen für Beobachtbarkeits-Buckets für eine Ressource aufrufen, d. h. für eine Organisation, einen Ordner oder ein Projekt.

Wenn Sie die Standardeinstellungen für Beobachtbarkeits-Buckets abrufen möchten, müssen Sie mehrere Befehle ausführen. Der erste Befehl gibt den Standardspeicherort zurück. Der zweite Befehl gibt den Cloud KMS-Schlüssel für diesen Standort zurück.

Die in diesem Abschnitt beschriebenen Befehle gelten für eine bestimmte Ressource. Die Antworten dieser Befehle sind auf die vom Nutzer konfigurierten Werte für diese Ressource beschränkt. Diese Befehle geben keine Einstellungen zurück, die die Ressource möglicherweise verwendet, die aber für einen Ancestor konfiguriert sind.

Hinweis

Konfigurieren Sie Ihr Projekt und Ihre IAM-Rollen und wählen Sie die Schnittstelle aus, die Sie verwenden möchten.

Projekt und Rollen konfigurieren

  1. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  2. Verify that billing is enabled for your Google Cloud project.

  3. Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle Observability Viewer (roles/observability.viewer) für die Organisation, den Ordner oder das Projekt zuzuweisen, um die Berechtigung zu erhalten, die Sie zum Aufrufen der Standardeinstellungen für Observability-Buckets für eine Organisation, einen Ordner oder ein Projekt benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

    Diese vordefinierte Rolle enthält die Berechtigung observability.settings.get, die zum Aufrufen der Standardeinstellungen für Observability-Buckets für eine Organisation, einen Ordner oder ein Projekt erforderlich ist.

    Sie können diese Berechtigung auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Wählen Sie die Oberfläche aus, die Sie verwenden möchten.

gcloud

Installieren Sie die Google Cloud CLI und melden Sie sich dann mit Ihrer föderierten Identität in der gcloud CLI an. Nach der Anmeldung initialisieren Sie die Google Cloud CLI mit dem folgenden Befehl: 

gcloud init

Terraform

Wenn Sie die Terraform-Beispiele auf dieser Seite in einer lokalen Entwicklungsumgebung verwenden möchten, installieren und initialisieren Sie die gcloud CLI und richten Sie dann die Standardanmeldedaten für Anwendungen mit Ihren Nutzeranmeldedaten ein.

  1. Installieren Sie die Google Cloud CLI.

  2. Konfigurieren Sie die gcloud CLI für die Verwendung Ihrer föderierten Identität.

    Weitere Informationen finden Sie unter Mit Ihrer föderierten Identität in der gcloud CLI anmelden.

  3. Erstellen Sie lokale Authentifizierungsdaten für Ihr Nutzerkonto: 

    gcloud auth application-default login

    Wenn ein Authentifizierungsfehler zurückgegeben wird, prüfen Sie, ob Sie sich mit Ihrer föderierten Identität in der gcloud CLI angemeldet haben.

Weitere Informationen finden Sie in der Dokumentation zur Google Cloud -Authentifizierung unter ADC für eine lokale Entwicklungsumgebung einrichten.

REST

Wenn Sie die REST API-Beispiele auf dieser Seite in einer lokalen Entwicklungsumgebung verwenden möchten, verwenden Sie die Anmeldedaten, die Sie der gcloud CLI bereitstellen.

    Installieren Sie die Google Cloud CLI und melden Sie sich dann mit Ihrer föderierten Identität in der gcloud CLI an.

Weitere Informationen finden Sie in der Dokumentation zur Google Cloud -Authentifizierung unter Für die Verwendung von REST authentifizieren.

Standardspeicherort für eine Ressource abrufen

Wenn Sie den Standardspeicherort für eine Ressource abrufen möchten, senden Sie einen Befehl an einen ressourcenspezifischen Endpunkt und legen den Standort dieses Befehls auf global fest. Die Antwortdaten enthalten den Standardspeicherort und den Namen eines Dienstkontos. Wenn Sie CMEK für die Ressource benötigen, wird dieses Dienstkonto zum Abrufen von Cloud KMS-Schlüsseln verwendet.

gcloud

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:

Verwenden Sie eine der folgenden Optionen, um die ID des Projekts, Ordners oder der Organisation, die Sie abfragen möchten, an den Befehl zu übergeben:
  • --project=PROJECT_ID, wobei PROJECT_ID die ID Ihres Projekts enthält.
  • --folder=FOLDER_ID, wobei FOLDER_ID die ID Ihres Ordners enthält.
  • --organization=ORGANIZATION_ID, wobei ORGANIZATION_ID die ID Ihrer Organisation enthält.
Legen Sie den `default_storage_location` auf einen [unterstützten Standort](/stackdriver/docs/observability/observability-bucket-locations) fest.

Führen Sie den Befehl gcloud observability settings describe aus:

Linux, macOS oder Cloud Shell

gcloud observability settings describe \
 --location=global --project=PROJECT_ID

Windows (PowerShell)

gcloud observability settings describe `
 --location=global --project=PROJECT_ID

Windows (cmd.exe)

gcloud observability settings describe ^
 --location=global --project=PROJECT_ID

Im Folgenden wird die Antwort des Befehls dargestellt: 

Parsed [location] resource: projects/my-project/locations/global
defaultStorageLocation: eu
name: projects/my-project/locations/global/settings
serviceAccountId: service-12345@gcp-sa-observability.

Terraform

Mit Terraform können Sie einen Standardspeicherort für eine Ressource festlegen, d. h. für ein Projekt, einen Ordner oder eine Organisation. Sie können Terraform nicht verwenden, um den Standardspeicherort für eine Ressource zu melden.

REST

  1. Wählen Sie für die Ressource, deren Standardeinstellungen Sie anzeigen möchten, den entsprechenden Endpunkt aus und geben Sie dann im APIs Explorer den Pfadparameter an:

    Organisation:

    Ordner:

    Projekt:

    Die Variablen in den vorherigen Ausdrücken haben die folgende Bedeutung:

    • ORGANIZATION_ID: Die eindeutige numerische Kennung der Organisation. Informationen zum Abrufen dieser Kennung finden Sie unter Organisations-ID abrufen.
    • FOLDER_ID: Die eindeutige numerische Kennung des Ordners. Informationen zur Verwendung von Ordnern finden Sie unter Ordner erstellen und verwalten.
    • PROJECT_ID: Die Kennung des Projekts.

  2. Klicken Sie auf Ausführen.

    Wenn der Vorgang erfolgreich ist, ist die Antwort ein Settings-Objekt. Wenn das Feld default_storage_location leer ist, ist kein Standardspeicherort festgelegt.

    Wenn Sie beispielsweise einen getSettings-Befehl ausgeben und den Pfadparameter auf eine Organisation festlegen, sieht die Antwort in etwa so aus:

    • Standardspeicherort auf "us" festgelegt:

      default_storage_location: "us"
service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.

    • Kein Standardspeicherort festgelegt:

      service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.

Standardmäßigen Cloud KMS-Schlüssel für eine Ressource und einen Standort abrufen

Cloud KMS-Schlüssel sind regionale Ressourcen. Sie können nur zum Verschlüsseln oder Entschlüsseln von Daten verwendet werden, die am selben Standort wie der Schlüssel gespeichert sind. Für jeden Standort, der von Beobachtbarkeits-Buckets unterstützt wird, und für jede Organisation, jeden Ordner oder jedes Projekt können Sie die Standardeinstellungen für Beobachtbarkeits-Buckets mit einem Cloud KMS-Schlüssel konfigurieren.

In diesem Abschnitt wird beschrieben, wie Sie den Cloud KMS-Standardschlüssel für eine Ressource und einen Standort abrufen.

gcloud

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:

  • LOCATION: Der Speicherort des Cloud KMS-Schlüssels für Ihre Ressource. Die Ressource ist ein Projekt, ein Ordner oder eine Organisation. Wenn Sie den Standort auf global festlegen, gibt der Befehl den Standardspeicherort für die Ressource zurück.
  • Verwenden Sie eine der folgenden Optionen, um die ID des Projekts, Ordners oder der Organisation, die Sie abfragen möchten, an den Befehl zu übergeben:
    • --project=PROJECT_ID, wobei PROJECT_ID die ID Ihres Projekts enthält.
    • --folder=FOLDER_ID, wobei FOLDER_ID die ID Ihres Ordners enthält.
    • --organization=ORGANIZATION_ID, wobei ORGANIZATION_ID die ID Ihrer Organisation enthält.

Führen Sie den Befehl gcloud observability settings describe aus:

Linux, macOS oder Cloud Shell

gcloud observability settings describe \
 --location=LOCATION --project=PROJECT_ID

Windows (PowerShell)

gcloud observability settings describe `
 --location=LOCATION --project=PROJECT_ID

Windows (cmd.exe)

gcloud observability settings describe ^
 --location=LOCATION --project=PROJECT_ID

Im Folgenden wird die Antwort des Befehls dargestellt: 

Parsed [location] resource: projects/my-project/locations/us
kmsKeyName: projects/my-project/locations/us/keyRings/test/cryptoKeys/test-key
name: projects/my-project/locations/us/settings
serviceAccountId: service-12345@gcp-sa-observability.

Terraform

Sie können Terraform verwenden, um einen Cloud Key Management Service-Standardschlüssel für einen Standort und eine Ressource (Projekt, Ordner oder Organisation) festzulegen. Sie können Terraform nicht verwenden, um den Standardspeicherort für eine Ressource zu melden.

REST

  1. Wählen Sie für die Ressource, deren Standardeinstellungen Sie anzeigen möchten, den entsprechenden Endpunkt aus und geben Sie dann im APIs Explorer den Pfadparameter an:

    Organisation:

    Ordner:

    Projekt:

    Die Variablen in den vorherigen Ausdrücken haben die folgende Bedeutung:

    • ORGANIZATION_ID: Die eindeutige numerische Kennung der Organisation. Informationen zum Abrufen dieser Kennung finden Sie unter Organisations-ID abrufen.
    • FOLDER_ID: Die eindeutige numerische Kennung des Ordners. Informationen zur Verwendung von Ordnern finden Sie unter Ordner erstellen und verwalten.
    • PROJECT_ID: Die Kennung des Projekts.
    • LOCATION_ID: Der Standort, dessen CMEK-Konfiguration Sie aufrufen möchten.

  2. Klicken Sie auf Ausführen.

    Wenn der Vorgang erfolgreich ist, ist die Antwort ein Settings-Objekt.

    Angenommen, Sie führen den Befehl getSettings aus und legen den Pfadparameter auf organizations/ORGANIZATION_ID/locations/LOCATION_ID/settings fest. Die Antwort sieht dann in etwa so aus:

    • Wenn für die Organisation und den Standort kein Cloud KMS-Schlüssel festgelegt ist, wird in der Antwort nur ein Dienstkonto aufgeführt:

      service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.

    • Wenn der Cloud KMS-Schlüssel für die Organisation und den Standort festgelegt ist, enthält die Antwort ein Dienstkonto und den Cloud KMS-Schlüsselnamen:

      name: "organizations/ORGANIZATION_ID/locations/LOCATION_ID/settings"
service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.
kms_key_name: "projects/my-kms-project/locations/LOCATION_ID/keyRings/my-key-ring/cryptoKeys/my-key"

Standardeinstellungen für Beobachtbarkeits-Buckets festlegen

In diesem Abschnitt wird beschrieben, wie Sie Standardeinstellungen für Beobachtbarkeits-Buckets für eine Ressource konfigurieren, d. h. für eine Organisation, einen Ordner oder ein Projekt.

Wenn Sie CMEK für eine Ressource und einen Standort benötigen, konfigurieren Sie die Standardeinstellungen für Beobachtbarkeits-Buckets für dieses Paar, bevor Sie den Standardspeicherort festlegen. Wenn Sie Standardeinstellungen für eine Ressource und einen Standort konfigurieren, geben Sie den zu verwendenden Cloud KMS-Schlüssel an.

Diese Anleitung bezieht sich auf den APIs Explorer, mit dem Sie API-Befehle von einer Dokumentationsseite aus ausführen können. Sie können aber auch einen curl-Befehl ausgeben.

Beispielkonfigurationen

In diesem Abschnitt werden häufige Anwendungsfälle aufgeführt.

Neue Buckets müssen sich an einem bestimmten Standort befinden

Wenn Sie festlegen möchten, dass neue vom System erstellte Beobachtbarkeits-Buckets in Ihrer Organisation am Standort us gespeichert werden, legen Sie den Standardspeicherort für Ihre Organisation auf us fest.

Wenn Sie die Einstellungen auf Organisationsebene überschreiben und festlegen möchten, dass neue vom System erstellte Beobachtbarkeits-Buckets im untergeordneten Ordner my-eu-projects in der Region eu liegen, legen Sie den Standardspeicherort für den Ordner my-eu-projects auf eu fest.

Neue Buckets müssen sich an einem bestimmten Standort befinden und CMEK verwenden

So legen Sie fest, dass sich alle neuen, vom System erstellten Beobachtbarkeits-Buckets in Ihrer Organisation am Standort us befinden und CMEK verwenden müssen:

  1. Konfigurieren Sie die Standardeinstellungen für Beobachtbarkeits-Buckets für Ihre Organisation und den Standort us, um einen Cloud KMS-Schlüssel anzugeben.

  2. Legen Sie den Standardspeicherort für Ihre Organisation auf us fest.

Hinweis

Wenn Sie nur den Standardspeicherort festlegen möchten, benötigen Sie keine Cloud KMS-Rollen.

  1. Führen Sie die erforderliche Einrichtung aus, um die Standardeinstellungen für Beobachtbarkeits-Buckets aufzurufen.

  2. Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für die Organisation, den Ordner oder das Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Festlegen der Standardeinstellungen für Observability-Buckets für eine Organisation, einen Ordner oder ein Projekt benötigen:

    Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

    Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Festlegen der Standardeinstellungen für Beobachtbarkeits-Buckets für eine Organisation, einen Ordner oder ein Projekt erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen, um die notwendigen Berechtigungen anzuzeigen:

    Erforderliche Berechtigungen

    Die folgenden Berechtigungen sind erforderlich, um die Standardeinstellungen für Observability-Buckets für eine Organisation, einen Ordner oder ein Projekt festzulegen:

    • observability.settings.get
    • observability.settings.update
    • cloudkms.cryptoKeys.getIamPolicy
    • cloudkms.cryptoKeys.setIamPolicy

    Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

  3. Wenn Sie die Verwendung von CMEK vorschreiben möchten, müssen Sie einen Cloud KMS-Schlüssel am erforderlichen Standort haben. Erstellen Sie bei Bedarf einen Cloud KMS-Schlüsselbund und einen Cloud KMS-Schlüssel.

  4. Bestimmen Sie die Ressource, deren Standardeinstellungen für Beobachtbarkeits-Buckets Sie aktualisieren möchten. Diese Ressource kann eine Organisation, ein Ordner oder ein Projekt sein.

    Wenn Sie Standardeinstellungen für eine Organisation oder einen Ordner konfigurieren, gelten diese für alle untergeordneten Elemente dieser Organisation oder dieses Ordners. Wenn Sie Standardeinstellungen für Beobachtbarkeits-Buckets für ein Projekt konfigurieren, gelten diese nur für dieses Projekt.

Dem Dienstkonto der Ressource Zugriff auf einen Schlüssel gewähren

Weisen Sie dem Dienstkonto der Ressource, deren Standardeinstellungen Sie konfigurieren möchten, eine Rolle zu:

  1. Ermitteln Sie den Cloud KMS-Schlüssel, den Sie für die Verschlüsselung und Entschlüsselung verwenden möchten.

    Cloud KMS-Schlüssel sind regional. Wenn Sie beispielsweise festlegen möchten, dass neue vom System erstellte Beobachtbarkeits-Buckets am Standort us gespeichert werden, benötigen Sie einen Cloud KMS-Schlüssel am Standort us.

  2. Identifizieren Sie das Dienstkonto für Ihre Ressource.

    Wenn Sie beispielsweise möchten, dass alle neuen vom System erstellten Beobachtbarkeits-Buckets in Ihrer Organisation am Standort us gespeichert werden und CMEK verwenden, führen Sie einen getSettings-Aufruf am Standort global aus und legen Sie den Pfadparameter auf eine Organisation fest. In den Antwortdaten wird das Dienstkonto der Organisation aufgeführt:

    service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.

  3. Weisen Sie dem Dienstkonto, das Sie im vorherigen Schritt identifiziert haben, die Rolle Cloud KMS CryptoKey Encrypter/Decrypter (roles.cloudkms.cryptoKeyEncrypterDecrypter für den Cloud KMS-Schlüssel zu, den Sie zum Verschlüsseln und Entschlüsseln von Daten verwenden möchten.

    Diese Rollenbindung gilt für einen bestimmten Cloud KMS-Schlüssel.

    gcloud

    Zum Abrufen der aktuellen Richtlinie führen Sie den Befehl gcloud kms keys add-iam-policy-binding aus:

    gcloud kms keys add-iam-policy-binding KMS_KEY_NAME \
--project=KMS_PROJECT_ID \
--member=serviceAccount:SERVICE_ACCT_NAME@gcp-sa-observability. \
--role=roles/cloudkms.cryptoKeyEncrypterDecrypter \
--location=LOCATION_ID \
--keyring=KMS_KEY_RING

    Ersetzen Sie vor dem Ausführen des vorherigen Befehls Folgendes:

    • KMS_KEY_NAME: der Name des Schlüssels
    • KMS_PROJECT_ID: Die eindeutige alphanumerische Kennung, die sich aus dem Namen Ihres Projekts von Google Cloud und einer zufällig zugewiesenen Nummer des Projekts von Google Cloud zusammensetzt, in dem Cloud KMS ausgeführt wird. Informationen zum Abrufen dieser Kennung finden Sie unter Projekte identifizieren.
    • SERVICE_ACCT_NAME: Der Name des Dienstkontos Ihrer Ressource, das Sie im vorherigen Schritt identifiziert haben.
    • LOCATION_ID: Der Speicherort Ihres Cloud KMS-Schlüssels.
    • KMS_KEY_RING: Der Name des Cloud KMS-Schlüsselbunds.

    Console

    1. Rufen Sie in der Google Cloud Console die Seite Schlüsselverwaltung auf.

      Zu „Schlüsselverwaltung“

    2. Wählen Sie den Namen des Schlüsselbunds aus, der den Schlüssel enthält.

    3. Klicken Sie das Kästchen für den Schlüssel an.

      Der Tab Berechtigungen wird verfügbar.

    4. Geben Sie im Dialogfeld Mitglieder hinzufügen die E-Mail-Adresse des Google Cloud Observability-Dienstkontos an, dem Sie Zugriff gewähren.

    5. Wählen Sie im Menü Rolle auswählen die Option Cloud KMS CryptoKey Verschlüsseler/Entschlüsseler aus.

    6. Klicken Sie auf Hinzufügen.

Standardmäßigen Cloud KMS-Schlüssel für eine Ressource und einen Standort festlegen

Im vorherigen Schritt haben Sie dem Dienstkonto einer Ressource die Berechtigungen zum Verschlüsseln und Entschlüsseln von Daten für einen bestimmten Cloud KMS-Schlüssel gewährt. Beispielsweise haben Sie dem Dienstkonto einer Organisation möglicherweise eine IAM-Rolle zugewiesen, mit der es auf einen Cloud KMS-Schlüssel am Standort us zugreifen kann.

In diesem Schritt aktualisieren Sie für diese Ressource und für den Standort des Cloud KMS-Schlüssels die Standardeinstellungen für Beobachtbarkeits-Buckets mit den Schlüsselinformationen. In diesem Schritt können Sie beispielsweise die Standardeinstellungen für Beobachtbarkeits-Buckets für Ihre Organisation und für den Standort us auf den Cloud KMS-Schlüssel konfigurieren, der sich ebenfalls am Standort us befindet.

Legen Sie im nächsten Schritt den Standardspeicherort fest. Wenn Sie keinen Standardspeicherort festlegen, werden Ihre Beobachtbarkeits-Buckets nicht mit Ihrem Standard-Cloud KMS-Schlüssel verschlüsselt, auch wenn sich diese Buckets an dem Standort befinden, an dem der Schlüssel definiert ist.

gcloud

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:

  • KMS_KEY_NAME: Der Name des Cloud KMS-Schlüssels.
  • LOCATION: Der Speicherort des Cloud KMS-Schlüssels für Ihre Ressource. Die Ressource ist ein Projekt, ein Ordner oder eine Organisation. Wenn Sie den Standort auf global festlegen, gibt der Befehl den Standardspeicherort für die Ressource zurück.
  • Verwenden Sie eine der folgenden Optionen, um die ID des Projekts, Ordners oder der Organisation, die Sie abfragen möchten, an den Befehl zu übergeben:
    • --project=PROJECT_ID, wobei PROJECT_ID die ID Ihres Projekts enthält.
    • --folder=FOLDER_ID, wobei FOLDER_ID die ID Ihres Ordners enthält.
    • --organization=ORGANIZATION_ID, wobei ORGANIZATION_ID die ID Ihrer Organisation enthält.

Führen Sie den Befehl gcloud observability settings update aus:

Linux, macOS oder Cloud Shell

gcloud observability settings update \
 --kms-key-name=KMS_KEY_NAME \
 --update-mask=kmsKeyName \
 --location=LOCATION --project=PROJECT_ID

Windows (PowerShell)

gcloud observability settings update `
 --kms-key-name=KMS_KEY_NAME `
 --update-mask=kmsKeyName `
 --location=LOCATION --project=PROJECT_ID

Windows (cmd.exe)

gcloud observability settings update ^
 --kms-key-name=KMS_KEY_NAME ^
 --update-mask=kmsKeyName ^
 --location=LOCATION --project=PROJECT_ID

Der Aktualisierungsbefehl initiiert einen Vorgang mit langer Ausführungszeit. Im Folgenden wird die Antwort des Befehls dargestellt: 

Parsed [location] resource: projects/my-project/locations/us
Request issued for: [us]
Waiting for operation [projects/my-project/locations/us/operations/operation-1775247021184-64e93e8161585-1a55612f-73382a5a] to complete...done.
Updated location [us].
'@type': type.googleapis.com/google.cloud.observability.v1.Settings
kmsKeyName: projects/my-project/locations/us/keyRings/test/cryptoKeys/test-key
name: projects/my-project/locations/us/settings
serviceAccountId: service-12345@gcp-sa-observability.

Terraform

So legen Sie einen Cloud Key Management Service-Standardschlüssel für einen Standort und eine Ressource fest:

  1. Wählen Sie die entsprechende Terraform-Ressource basierend auf der Google Cloud-Ressource aus, die Sie konfigurieren möchten:

    Organisation:

    Ordner:

    Projekt:

  2. Legen Sie die Werte für die folgenden Felder fest:

    1. Legen Sie im Feld location den Speicherort für den Cloud KMS-Standardschlüssel fest.
    2. Legen Sie für das Feld kms_key_name den Cloud KMS-Schlüssel fest.

REST

  1. Wählen Sie für die Ressource, deren Standardeinstellungen Sie festlegen möchten, den entsprechenden Endpunkt aus und geben Sie dann im APIs Explorer den Pfadparameter an:

    Organisation:

    Ordner:

    Projekt:

    Die Variablen in den vorherigen Ausdrücken haben die folgenden Bedeutungen:

    • ORGANIZATION_ID: Die eindeutige numerische Kennung der Organisation. Informationen zum Abrufen dieser Kennung finden Sie unter Organisations-ID abrufen.
    • FOLDER_ID: Die eindeutige numerische Kennung des Ordners. Informationen zur Verwendung von Ordnern finden Sie unter Ordner erstellen und verwalten.
    • PROJECT_ID: Die Kennung des Projekts.
    • LOCATION_ID: Der Speicherort Ihres Cloud KMS-Schlüssels.

  2. Legen Sie das Feld updateMask so fest:

    updateMask=kmsKeyName

  3. Konfigurieren Sie den Anfragetext so:

    {
  "kmsKeyName":"projects/KMS_PROJECT_ID/locations/LOCATION_ID/keyRings/KMS_KEY_RING/cryptoKeys/KMS_KEY_NAME"
}

    Ersetzen Sie vor der Eingabe der Werte die folgenden Werte:

    • KMS_PROJECT_ID: Die eindeutige alphanumerische Kennung, die sich aus dem Namen Ihres Projekts von Google Cloud und einer zufällig zugewiesenen Nummer des Projekts von Google Cloud zusammensetzt, in dem Cloud KMS ausgeführt wird. Informationen zum Abrufen dieser Kennung finden Sie unter Projekte identifizieren.
    • LOCATION_ID: Der Speicherort Ihres Cloud KMS-Schlüssels.
    • KMS_KEY_RING: Der Name des Cloud KMS-Schlüsselbunds.
    • KMS_KEY_NAME: der Name des Schlüssels

    Der Wert von "kmsKeyName" ist der vollständig qualifizierte Name Ihres Schlüssels.

  4. Klicken Sie auf Ausführen.

    Wenn der Vorgang erfolgreich ist, ist die Antwort ein Settings-Objekt.

    Angenommen, Sie führen den Befehl updateSettings aus, um einen Cloud KMS-Schlüssel festzulegen, und legen den Pfadparameter auf organizations/ORGANIZATION_ID/locations/LOCATION_ID/settings fest. Die Antwort sieht dann in etwa so aus:

    name: "organizations/ORGANIZATION_ID/locations/LOCATION_ID/settings"
service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.
kms_key_name: "projects/KMS_PROJECT_ID/locations/LOCATION_ID/keyRings/KMS_KEY_RING/cryptoKeys/KMS_KEY_NAME"

Standardspeicherort für eine Ressource festlegen

In diesem Schritt wird beschrieben, wie Sie einen Standardspeicherort für eine Ressource festlegen, die eine Organisation, ein Ordner oder ein Projekt ist. Alle untergeordneten Elemente in der Ressourcenhierarchie verwenden automatisch den Standardspeicherort, mit Ausnahme der untergeordneten Elemente, für die Sie einen Standardspeicherort konfiguriert haben.

Wenn Sie beispielsweise den Standardspeicherort für eine Organisation auf den Standort us festlegen, befinden sich neue vom System erstellte Beobachtbarkeits-Buckets in dieser Organisation am Standort us. Wenn Sie für einen Ordner oder ein Projekt einen anderen Standardspeicherort festlegen möchten, konfigurieren Sie die Standardeinstellungen für Observability-Buckets für den Ordner oder das Projekt.

Wenn Sie möchten, dass die vom System erstellten Beobachtbarkeits-Buckets in einer Ressource CMEK verwenden, führen Sie die folgenden Schritte aus, bevor Sie den Standardspeicherort für die Ressource festlegen:

  1. Weisen Sie dem Dienstkonto der Ressource die IAM-Rolle zu, mit der das Dienstkonto Daten verschlüsseln und entschlüsseln kann. Diese Rolle gilt für einen bestimmten Cloud KMS-Schlüssel, der sich an einem bestimmten Standort befindet.
  2. Konfigurieren Sie die Standardeinstellungen für Beobachtbarkeits-Buckets für die Ressource und den Schlüsselspeicherort mit den Cloud KMS-Schlüsselinformationen.

gcloud

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:

  • DEFAULT_STORAGE_LOCATION: Der Standardspeicherort für Ihr Projekt, Ihren Ordner oder Ihre Organisation. Dieser Standort gilt für neue Beobachtbarkeits-Buckets. Sie müssen einen unterstützten Speicherort für den Beobachtbarkeits-Bucket eingeben.
  • Verwenden Sie eine der folgenden Optionen, um die ID des Projekts, Ordners oder der Organisation, die Sie abfragen möchten, an den Befehl zu übergeben:
    • --project=PROJECT_ID, wobei PROJECT_ID die ID Ihres Projekts enthält.
    • --folder=FOLDER_ID, wobei FOLDER_ID die ID Ihres Ordners enthält.
    • --organization=ORGANIZATION_ID, wobei ORGANIZATION_ID die ID Ihrer Organisation enthält.

Führen Sie den Befehl gcloud observability settings update aus:

Linux, macOS oder Cloud Shell

gcloud observability settings update \
 --default-storage-location=DEFAULT_STORAGE_LOCATION \
 --update-mask=defaultStorageLocation \
 --location=global --project=PROJECT_ID

Windows (PowerShell)

gcloud observability settings update `
 --default-storage-location=DEFAULT_STORAGE_LOCATION `
 --update-mask=defaultStorageLocation `
 --location=global --project=PROJECT_ID

Windows (cmd.exe)

gcloud observability settings update ^
 --default-storage-location=DEFAULT_STORAGE_LOCATION ^
 --update-mask=defaultStorageLocation ^
 --location=global --project=PROJECT_ID

Der Aktualisierungsbefehl initiiert einen Vorgang mit langer Ausführungszeit. Im Folgenden wird die Antwort des Befehls dargestellt: 

Parsed [location] resource: projects/my-project/locations/global
Request issued for: [global]
Waiting for operation [projects/my-project/locations/global/operations/operation-1775247065869-64e93eabfee29-f7d39a96-5e23c6c7] to complete...done.
Updated location [global].
'@type': type.googleapis.com/google.cloud.observability.v1.Settings
defaultStorageLocation: us
name: projects/my-project/locations/global/settings
serviceAccountId: service-12345@gcp-sa-observability.

Terraform

So legen Sie einen Standardstandort fest:

  1. Wählen Sie die entsprechende Terraform-Ressource basierend auf der Google Cloud-Ressource aus, die Sie konfigurieren möchten:

    Organisation:

    Ordner:

    Projekt:

  2. Legen Sie die Werte für die folgenden Felder fest:

    1. Setzen Sie das Feld location auf global.
    2. Legen Sie für das Feld default_storage_location einen unterstützten Standort fest.

REST

So legen Sie den Standardspeicherort für Ihre Organisation, Ihren Ordner oder Ihr Projekt fest:

  1. Wählen Sie für die Ressource, deren Standardeinstellungen Sie festlegen möchten, den entsprechenden Endpunkt aus und geben Sie dann im APIs Explorer den Pfadparameter an:

    Organisation:

    Ordner:

    Projekt:

    Die Variablen in den vorherigen Ausdrücken haben die folgenden Bedeutungen:

    • ORGANIZATION_ID: Die eindeutige numerische Kennung der Organisation. Informationen zum Abrufen dieser Kennung finden Sie unter Organisations-ID abrufen.
    • FOLDER_ID: Die eindeutige numerische Kennung des Ordners. Informationen zur Verwendung von Ordnern finden Sie unter Ordner erstellen und verwalten.
    • PROJECT_ID: Die Kennung des Projekts.

  2. Legen Sie das Feld updateMask so fest:

    updateMask=defaultStorageLocation

  3. Konfigurieren Sie den Anfragetext so:

    {
  "defaultStorageLocation":"DEFAULT_STORAGE_LOCATION"
}

    Ersetzen Sie DEFAULT_STORAGE_LOCATION durch einen unterstützten Speicherort für Observability-Buckets.

    Angenommen, Sie möchten, dass sich alle neuen vom System erstellten Beobachtbarkeits-Buckets in Ihrer Organisation am Standort us befinden und CMEK verwenden. In den vorherigen Schritten haben Sie dem Dienstkonto der Organisation eine IAM-Rolle zugewiesen, mit der es Daten mit einem Cloud KMS-Schlüssel am Standort us verschlüsseln und entschlüsseln kann. Sie schließen die Konfiguration ab, indem Sie DEFAULT_STORAGE_LOCATION auf us setzen.

  4. Klicken Sie auf Ausführen.

    Wenn der Vorgang erfolgreich ist, ist die Antwort ein Settings-Objekt.

    Wenn Sie beispielsweise einen updateSettings-Befehl ausgeben, den Pfadparameter auf eine Organisation und den Standardspeicherort auf us festlegen, sieht die Antwort in etwa so aus:

    default_storage_location: "us"
service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.

Standardspeicherort für eine Ressource aktualisieren

Wenn Sie den Standardspeicherort für eine Organisation, einen Ordner oder ein Projekt aktualisieren möchten, gehen Sie genauso vor wie beim Festlegen des Standardspeicherorts.

Cloud KMS-Schlüssel verwalten

In den folgenden Abschnitten wird beschrieben, wie Sie den Zugriff auf einen Cloud KMS-Schlüssel ändern, deaktivieren oder widerrufen.

Standardmäßigen Cloud KMS-Schlüssel für eine Ressource und einen Standort aktualisieren

Wenn Sie den Cloud KMS-Schlüssel für eine bestimmte Ressource und einen bestimmten Standort aktualisieren möchten, gehen Sie genauso vor wie beim Festlegen des Cloud KMS-Schlüssels.

Standardmäßigen Cloud KMS-Schlüssel für eine Ressource und einen Standort entfernen

Wenn Sie den Cloud KMS-Schlüssel für eine bestimmte Ressource und einen bestimmten Standort entfernen oder löschen möchten, gehen Sie wie unter Cloud KMS-Standardschlüssel für einen Standort festlegen beschrieben vor. Wenn Sie den Anfragetext konfigurieren, legen Sie den Wert des Schlüssels jedoch auf einen leeren String fest.

{
  "kmsKeyName"=""
}

Das System verwendet den folgenden Algorithmus, um zu bestimmen, ob ein neuer Beobachtbarkeits-Bucket in einer Ressource CMEK verwendet, und wenn ja, welcher Schlüssel verwendet werden soll:

  1. Das System sucht in den Standardeinstellungen der Ressource nach einem Cloud KMS-Schlüssel für den angegebenen Standort. Wenn die Ressource keinen Standard-Cloud KMS-Schlüssel hat, sucht das System in den Ancestors der Ressource nach einem Standard-Cloud KMS-Schlüssel:

  2. Nach Abschluss der Suche führt das System einen der folgenden Schritte aus:

    • Wenn ein Cloud KMS-Schlüssel gefunden wurde, wird dieser Schlüssel zum Verschlüsseln der im neuen Beobachtbarkeits-Bucket gespeicherten Daten verwendet.

    • Wenn kein Cloud KMS-Schlüssel gefunden wurde, tritt einer der folgenden Fälle ein:

      • Wenn Organisationsrichtlinien vorhanden sind, die CMEK erfordern, schlägt die Bereitstellung des neuen Beobachtbarkeits-Buckets fehl.

      • Wenn keine Organisationsrichtlinien vorhanden sind, wird für den neuen Beobachtbarkeits-Bucket kein CMEK verwendet.

Schlüsselzugriff für eine Ressource und einen Standort widerrufen

Wenn Sie die Standardeinstellungen für Beobachtbarkeits-Buckets für eine Ressource und einen Standort mit einem Cloud KMS-Schlüssel konfigurieren, müssen Sie dem Dienstkonto der Ressource die Rolle Cloud KMS CryptoKey-Verschlüsseler/Entschlüsseler (roles.cloudkms.cryptoKeyEncrypterDecrypter) für den Schlüssel zuweisen.

Wenn Sie nicht möchten, dass eine Ressource Zugriff auf einen Schlüssel hat, entfernen Sie die IAM-Bindung für diesen Schlüssel. Sie können diese Bindung mit dem Befehl gcloud kms keys remove-iam-policy-binding entfernen.

Es kann mehrere Stunden dauern, bis die Rollenänderung vollständig übernommen wurde.

Verhalten bei der Schlüsselrotation

Google Cloud Observability rotiert den Verschlüsselungsschlüssel für temporäre Notfallwiederherstellungsdateien nicht automatisch, wenn der mit der Organisation oder dem Ordner von Google Cloud verknüpfte Cloud KMS-Schlüssel rotiert wird. Vorhandene Wiederherstellungsdateien verwenden weiterhin die Schlüsselversion, mit der sie erstellt wurden. Neue Wiederherstellungsdateien verwenden die aktuelle Primärschlüsselversion.

Weitere Informationen finden Sie unter Schlüsselrotation.

Beschränkungen

Im Folgenden finden Sie bekannte Einschränkungen, wenn Sie die Standardeinstellungen für Observability-Buckets so konfigurieren, dass sie eine CMEK-Einstellung haben.

Leistungsminderung aufgrund der Nichtverfügbarkeit des Schlüssels

Google Cloud Observability verwendet die Cloud KMS API, um sowohl auf Cloud KMS-Schlüssel als auch auf Cloud EKM-Schlüssel zuzugreifen. Beide Arten von Schlüsseln sind möglicherweise nicht verfügbar.

Wenn ein Schlüssel nicht mehr verfügbar ist, geschieht Folgendes:

  • Sie können gespeicherte Daten nicht abfragen.
  • Google Cloud Observability puffert die Daten der letzten drei Stunden. Daten, die älter als dieses gleitende 3-Stunden-Fenster sind, werden möglicherweise verworfen.
  • Für die dauerhafte Datenspeicherung muss ein Cloud KMS-Schlüssel im 48-Stunden-Zeitraum nach dem Schreiben der Daten mindestens 24 Stunden lang verfügbar und zugänglich sein. Wenn der Cloud KMS-Schlüssel in diesem Zeitraum nicht verfügbar und zugänglich ist, werden die Daten möglicherweise nicht vollständig im Speicher beibehalten und können verworfen werden.

Nächste Schritte