Menetapkan default untuk bucket kemampuan observasi

Jika Anda memiliki persyaratan kepatuhan atau peraturan untuk menyimpan data di lokasi tertentu atau menggunakan kunci enkripsi yang dikelola pelanggan (CMEK), sebaiknya konfigurasikan kebijakan organisasi dan setelan default untuk bucket kemampuan observasi. Kebijakan organisasi dan setelan default untuk bucket kemampuan observasi memungkinkan Anda menentukan lokasi penyimpanan dan model enkripsi untuk bucket tersebut. Bucket ini dapat menggunakan enkripsi default Google atau kunci enkripsi yang dikelola pelanggan (CMEK).

Untuk organisasi, folder, dan project, setelan default untuk bucket kemampuan observasi memungkinkan Anda mengonfigurasi hal berikut:

  • Lokasi penyimpanan default.
  • Untuk setiap lokasi, kunci Cloud Key Management Service default.

Ada dua cara berbeda yang digunakan sistem untuk menerapkan setelan default:

  • Saat sistem otomatis membuat bucket kemampuan observasi, sistem akan menggunakan setelan default untuk menentukan lokasi dan kunci enkripsi bucket. Jika Anda belum menentukan setelan default, sistem akan memilih lokasi dan bucket akan menggunakan enkripsi berstandar Google.

  • Saat memulai pembuatan bucket kemampuan observasi dengan mengeluarkan permintaan API, Anda memberikan lokasi. Namun, sistem akan otomatis menggunakan kunci Cloud KMS yang ditentukan oleh setelan default untuk mengenkripsi data, kecuali jika argumen untuk permintaan API menentukan kunci tersebut.

Karena induk bucket kemampuan observasi selalu berupa project, saat Anda membuat bucket, sistem akan terlebih dahulu menelusuri setelan default level project. Jika tidak ada, sistem akan menelusuri ancestor induk untuk menemukan setelan default. Misalnya, jika Anda menentukan setelan default untuk folder, setelan tersebut akan berlaku untuk turunan folder, kecuali turunan yang telah dikonfigurasi setelan defaultnya.

Anda juga dapat menggunakan kebijakan organisasi untuk membatasi lokasi bucket observabilitas baru, mewajibkan penggunaan CMEK, atau membatasi kunci Cloud KMS yang dapat digunakan untuk enkripsi. Jika Anda mengonfigurasi kebijakan organisasi yang memerlukan penggunaan CMEK, Anda harus mengonfigurasi setelan default untuk bucket kemampuan observasi. Jika tidak, penyediaan untuk bucket kemampuan observasi yang dibuat sistem akan gagal.

Dokumen ini tidak berlaku untuk bucket log, yang menyimpan data log. Untuk mengetahui informasi tentang cara menetapkan lokasi default atau mewajibkan CMEK untuk bucket log, lihat Mengonfigurasi setelan resource default untuk Cloud Logging.

Kebijakan organisasi yang berlaku

Untuk mengontrol tempat bucket kemampuan observasi dibuat dan siapa yang mengelola kunci enkripsi untuk bucket tersebut, Anda mungkin perlu mengonfigurasi kebijakan organisasi berikut:

  • Kebijakan dengan ID batasan constraints/gcp.resourceLocations. Kebijakan ini menentukan kumpulan lokasi tempat resource baru dapat dibuat. Untuk menggunakan bucket kemampuan observasi, kumpulan lokasi ini harus menyertakan setidaknya satu lokasi bucket kemampuan observasi yang didukung.

  • Kebijakan Deny dengan ID batasan constraints/gcp.restrictNonCmekServices. Kebijakan ini mewajibkan resource baru dienkripsi dengan CMEK.

  • Kebijakan dengan ID batasan constraints/gcp.restrictCmekCryptoKeyProjects. Kebijakan ini membatasi kunci Cloud Key Management Service yang digunakan untuk enkripsi.

Anda dapat membuat kebijakan organisasi yang berlaku di level organisasi, folder, atau project. Untuk mengetahui informasi selengkapnya, lihat Membuat dan mengedit kebijakan.

Pengaruh kebijakan organisasi terhadap konfigurasi lokasi default

Saat Anda mengeluarkan perintah untuk menetapkan lokasi default, Google Cloud Observability akan memverifikasi bahwa lokasi yang ditentukan diizinkan oleh kebijakan organisasi Anda dan merupakan lokasi bucket kemampuan observasi yang didukung. Jika salah satu verifikasi gagal, perintah untuk menetapkan lokasi default juga akan gagal.

Jika Anda mengubah daftar lokasi yang diizinkan oleh kebijakan organisasi sehingga lokasi penyimpanan default tidak lagi diizinkan, Anda harus memperbarui setelan tersebut secara terpisah. Anda mungkin juga perlu mengonfigurasi kunci Cloud KMS default untuk lokasi default yang diperbarui.

Cara kebijakan organisasi dan setelan default berinteraksi

Induk bucket kemampuan observasi harus berupa project. Artinya, sistem tidak dapat membuat bucket kemampuan observasi di folder atau di organisasi. Namun, jika Anda mengonfigurasi setelan default untuk bucket kemampuan observasi untuk organisasi atau folder, setelan default tersebut akan berlaku untuk semua project yang merupakan turunan dari organisasi atau folder tersebut.

Tabel berikut mencantumkan aturan yang digunakan sistem untuk menentukan lokasi bucket kemampuan observasi baru:

Menggunakan kebijakan organisasi
untuk membatasi lokasi		 Project (atau ancestor) memiliki
lokasi penyimpanan default		 Cara sistem menentukan lokasi untuk bucket kemampuan observasi baru
Tidak Tidak

Sistem akan memilih lokasi dari lokasi yang didukung untuk bucket kemampuan observasi.
Ya Tidak

Sistem memilih lokasi dari persimpangan lokasi yang diizinkan oleh kebijakan organisasi dan yang didukung oleh bucket kemampuan observasi.

Jika persimpangan kosong, sistem tidak akan membuat bucket kemampuan observasi.
Tidak Ya

Sistem akan menetapkan lokasi ke lokasi penyimpanan default yang ditentukan dalam setelan default project. Jika project tidak menentukan lokasi penyimpanan default, sistem akan menggunakan lokasi penyimpanan default yang ditentukan untuk ancestor.
Ya Ya

Sistem akan menetapkan lokasi ke lokasi penyimpanan default yang ditentukan dalam setelan default project. Jika project tidak menentukan lokasi penyimpanan default, sistem akan menggunakan lokasi penyimpanan default ancestor.

Jika lokasi penyimpanan default tidak diizinkan oleh kebijakan organisasi, sistem tidak akan membuat bucket kemampuan observasi.

Tabel berikut mencantumkan aturan yang digunakan sistem untuk menentukan apakah bucket kemampuan observasi baru menggunakan CMEK, dan jika ya, nilai kunci Cloud KMS. Untuk mengenkripsi bucket kemampuan observasi, kunci Cloud KMS harus berada di lokasi bucket dan diizinkan oleh kebijakan organisasi. Jika Anda tidak menentukan kebijakan organisasi dengan batasan gcp.restrictCmekCryptoKeyProjects, semua kunci akan diizinkan:

Menggunakan kebijakan organisasi
untuk mewajibkan CMEK		 Project (atau ancestor) memiliki
kunci Cloud KMS default		 Cara sistem menentukan kunci Cloud KMS yang akan digunakan.
Tidak Tidak

Bucket kemampuan observasi tidak menggunakan CMEK.
Ya Tidak

Sistem tidak membuat bucket kemampuan observasi baru karena kebijakan organisasi memerlukan CMEK, tetapi kunci Cloud KMS default tidak ditentukan.
Tidak Ya

Untuk mengidentifikasi kunci enkripsi, sistem akan menentukan terlebih dahulu apakah lokasi penyimpanan default ditetapkan untuk project atau untuk salah satu ancestor-nya. Jika tidak, sistem akan memilih lokasi dan membuat bucket kemampuan observasi. Bucket tidak menggunakan CMEK.

Jika lokasi penyimpanan default ditemukan, sistem akan menelusuri setelan default project untuk menemukan kunci Cloud KMS default. Jika setelan default project tidak menentukan kunci yang sesuai, sistem akan menelusuri setelan default ancestor untuk menemukan kunci default yang berada di lokasi bucket baru.

Salah satu hal berikut terjadi:

  • Kunci tidak ditemukan: Bucket kemampuan observasi baru tidak menggunakan CMEK.
  • Kunci ditemukan dan diizinkan: Sistem membuat bucket kemampuan observasi.
  • Kunci ditemukan, tetapi tidak diizinkan: Sistem tidak akan membuat bucket kemampuan observasi baru.
Ya Ya

Untuk mengidentifikasi kunci enkripsi, sistem akan menentukan terlebih dahulu apakah lokasi penyimpanan default ditetapkan untuk project atau untuk salah satu ancestor-nya. Jika lokasi penyimpanan default tidak ditetapkan, sistem tidak akan membuat bucket kemampuan observasi baru.

Jika lokasi penyimpanan default ditemukan, sistem akan menelusuri setelan default project untuk menemukan kunci Cloud KMS default. Jika setelan default project tidak menentukan kunci yang sesuai, sistem akan menelusuri setelan default ancestor untuk menemukan kunci default yang berada di lokasi bucket baru.

Salah satu hal berikut terjadi:

  • Kunci tidak ditemukan: Bucket kemampuan observasi baru tidak dibuat.
  • Kunci ditemukan dan diizinkan: Sistem membuat bucket kemampuan observasi.
  • Kunci ditemukan, tetapi tidak diizinkan: Sistem tidak akan membuat bucket kemampuan observasi baru.

Melihat setelan default untuk bucket kemampuan observasi

Bagian ini menjelaskan cara melihat setelan default bucket kemampuan observasi untuk resource, yang merupakan organisasi, folder, atau project.

Untuk mengambil setelan default bucket kemampuan observasi, Anda harus mengeluarkan beberapa perintah. Perintah pertama menampilkan lokasi penyimpanan default. Perintah kedua menampilkan kunci Cloud KMS untuk lokasi tersebut.

Perintah yang dijelaskan di bagian ini ditujukan untuk resource tertentu. Respons perintah ini dibatasi pada nilai yang dikonfigurasi pengguna untuk resource tersebut. Perintah ini tidak menampilkan setelan yang mungkin digunakan resource, tetapi dikonfigurasi untuk ancestor.

Sebelum memulai

Konfigurasikan project, peran IAM, dan pilih antarmuka yang ingin Anda gunakan.

Mengonfigurasi project dan peran Anda

  1. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  2. Verify that billing is enabled for your Google Cloud project.

  3. Guna mendapatkan izin yang diperlukan untuk melihat setelan default bucket kemampuan observasi untuk organisasi, folder, atau project, minta administrator untuk memberi Anda peran IAM Observability Viewer (roles/observability.viewer) di organisasi, folder, atau project. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

    Peran bawaan ini berisi izin observability.settings.get, yang diperlukan untuk melihat setelan default bucket kemampuan observasi untuk organisasi, folder, atau project.

    Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Pilih antarmuka yang ingin Anda gunakan

gcloud

Instal Google Cloud CLI, lalu login ke gcloud CLI dengan identitas gabungan Anda. Setelah login, inisialisasi Google Cloud CLI dengan menjalankan perintah berikut: 

gcloud init

Terraform

Untuk menggunakan contoh Terraform di halaman ini dalam lingkungan pengembangan lokal, instal dan lakukan inisialisasi gcloud CLI, lalu siapkan Kredensial Default Aplikasi dengan kredensial pengguna Anda.

  1. Instal Google Cloud CLI.

  2. Konfigurasi gcloud CLI agar menggunakan identitas gabungan Anda.

    Untuk mengetahui informasi selengkapnya, lihat Login ke gcloud CLI dengan identitas gabungan Anda.

  3. Buat kredensial autentikasi lokal untuk akun pengguna Anda: 

    gcloud auth application-default login

    Jika error autentikasi ditampilkan, pastikan Anda telah login ke gcloud CLI dengan identitas gabungan Anda.

Untuk mengetahui informasi selengkapnya, lihat Menyiapkan ADC untuk lingkungan pengembangan lokal dalam dokumentasi autentikasi Google Cloud .

REST

Untuk menggunakan contoh REST API di halaman ini dalam lingkungan pengembangan lokal, gunakan kredensial yang Anda berikan ke gcloud CLI.

    Instal Google Cloud CLI, lalu login ke gcloud CLI dengan identitas gabungan Anda.

Untuk mengetahui informasi selengkapnya, lihat Melakukan autentikasi untuk menggunakan REST dalam dokumentasi autentikasi Google Cloud .

Mendapatkan lokasi penyimpanan default untuk resource

Untuk mendapatkan lokasi penyimpanan default untuk resource, Anda mengirim perintah ke endpoint khusus resource, dan menetapkan lokasi perintah tersebut ke global. Data respons mencakup lokasi penyimpanan default dan nama akun layanan. Jika Anda memerlukan CMEK untuk resource, akun layanan ini akan digunakan untuk mengambil kunci Cloud KMS.

gcloud

Sebelum menggunakan salah satu data perintah di bawah, lakukan penggantian berikut:

Gunakan salah satu dari berikut ini untuk meneruskan ID project, folder, atau organisasi yang ingin Anda kueri ke perintah:
  • --project=PROJECT_ID, dengan PROJECT_ID berisi ID project Anda.
  • --folder=FOLDER_ID, dengan FOLDER_ID berisi ID folder Anda.
  • --organization=ORGANIZATION_ID, dengan ORGANIZATION_ID berisi ID organisasi Anda.
Tetapkan `default_storage_location` ke [lokasi yang didukung](/stackdriver/docs/observability/observability-bucket-locations)

Jalankan perintah gcloud observability settings describe :

Linux, macOS, atau Cloud Shell

gcloud observability settings describe \
 --location=global --project=PROJECT_ID

Windows (PowerShell)

gcloud observability settings describe `
 --location=global --project=PROJECT_ID

Windows (cmd.exe)

gcloud observability settings describe ^
 --location=global --project=PROJECT_ID

Berikut adalah ilustrasi respons perintah: 

Parsed [location] resource: projects/my-project/locations/global
defaultStorageLocation: eu
name: projects/my-project/locations/global/settings
serviceAccountId: service-12345@gcp-sa-observability.

Terraform

Anda dapat menggunakan Terraform untuk menetapkan lokasi penyimpanan default untuk resource, yang merupakan project, folder, atau organisasi. Anda tidak dapat menggunakan Terraform untuk melaporkan lokasi penyimpanan default untuk resource.

REST

  1. Untuk resource yang setelan defaultnya ingin Anda tampilkan, pilih endpoint yang sesuai, lalu di APIs Explorer, tentukan parameter jalur:

    Organisasi:

    Folder:

    Project:

    Variabel dalam ekspresi sebelumnya memiliki arti berikut:

    • ORGANIZATION_ID: ID numerik unik organisasi. Untuk mengetahui informasi tentang cara mendapatkan ID ini, lihat Mendapatkan ID organisasi.
    • FOLDER_ID: ID numerik unik folder. Untuk mengetahui informasi tentang cara menggunakan folder, lihat Membuat dan mengelola folder.
    • PROJECT_ID: ID project.

  2. Klik Jalankan.

    Jika berhasil, responsnya adalah objek Settings. Jika kolom default_storage_location kosong, lokasi penyimpanan default tidak ditetapkan.

    Misalnya, jika Anda mengeluarkan perintah getSettings dan menetapkan parameter jalur ke organisasi, responsnya akan mirip dengan salah satu dari berikut ini:

    • Lokasi penyimpanan default ditetapkan ke "us":

      default_storage_location: "us"
service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.

    • Tidak ada lokasi penyimpanan default yang ditetapkan:

      service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.

Mendapatkan kunci Cloud KMS default untuk resource dan lokasi

Kunci Cloud KMS adalah resource regional. Kunci ini hanya dapat digunakan untuk mengenkripsi atau mendekripsi data yang disimpan di lokasi yang sama dengan kunci. Untuk setiap lokasi yang didukung oleh bucket kemampuan observasi, dan untuk setiap organisasi, folder, atau project, Anda dapat mengonfigurasi setelan default untuk bucket kemampuan observasi dengan kunci Cloud KMS.

Bagian ini menjelaskan cara mendapatkan kunci Cloud KMS default untuk resource dan lokasi.

gcloud

Sebelum menggunakan salah satu data perintah di bawah, lakukan penggantian berikut:

  • LOCATION: Lokasi kunci Cloud KMS untuk resource Anda. Resource ini berupa project, folder, atau organisasi. Jika Anda menetapkan lokasi ke global, perintah akan menampilkan lokasi penyimpanan default untuk resource.
  • Gunakan salah satu dari berikut ini untuk meneruskan ID project, folder, atau organisasi yang ingin Anda kueri ke perintah:
    • --project=PROJECT_ID, dengan PROJECT_ID berisi ID project Anda.
    • --folder=FOLDER_ID, dengan FOLDER_ID berisi ID folder Anda.
    • --organization=ORGANIZATION_ID, dengan ORGANIZATION_ID berisi ID organisasi Anda.

Jalankan perintah gcloud observability settings describe :

Linux, macOS, atau Cloud Shell

gcloud observability settings describe \
 --location=LOCATION --project=PROJECT_ID

Windows (PowerShell)

gcloud observability settings describe `
 --location=LOCATION --project=PROJECT_ID

Windows (cmd.exe)

gcloud observability settings describe ^
 --location=LOCATION --project=PROJECT_ID

Berikut adalah ilustrasi respons perintah: 

Parsed [location] resource: projects/my-project/locations/us
kmsKeyName: projects/my-project/locations/us/keyRings/test/cryptoKeys/test-key
name: projects/my-project/locations/us/settings
serviceAccountId: service-12345@gcp-sa-observability.

Terraform

Anda dapat menggunakan Terraform untuk menetapkan kunci Cloud Key Management Service default untuk lokasi dan resource, yang merupakan project, folder, atau organisasi. Anda tidak dapat menggunakan Terraform untuk melaporkan lokasi penyimpanan default untuk resource.

REST

  1. Untuk resource yang setelan defaultnya ingin Anda tampilkan, pilih endpoint yang sesuai, lalu di APIs Explorer, tentukan parameter jalur:

    Organisasi:

    Folder:

    Project:

    Variabel dalam ekspresi sebelumnya memiliki arti berikut:

    • ORGANIZATION_ID: ID numerik unik organisasi. Untuk mengetahui informasi tentang cara mendapatkan ID ini, lihat Mendapatkan ID organisasi.
    • FOLDER_ID: ID numerik unik folder. Untuk mengetahui informasi tentang cara menggunakan folder, lihat Membuat dan mengelola folder.
    • PROJECT_ID: ID project.
    • LOCATION_ID: Lokasi yang konfigurasi CMEK-nya ingin Anda lihat.

  2. Klik Jalankan.

    Jika berhasil, responsnya adalah objek Settings.

    Misalnya, Anda mengeluarkan perintah getSettings dan menetapkan parameter jalur ke organizations/ORGANIZATION_ID/locations/LOCATION_ID/settings, maka responsnya akan mirip dengan salah satu dari berikut ini:

    • Jika kunci Cloud KMS tidak ditetapkan untuk organisasi dan lokasi, respons hanya akan mencantumkan akun layanan:

      service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.

    • Saat kunci Cloud KMS ditetapkan untuk organisasi dan lokasi, responsnya akan menyertakan akun layanan dan nama kunci Cloud KMS:

      name: "organizations/ORGANIZATION_ID/locations/LOCATION_ID/settings"
service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.
kms_key_name: "projects/my-kms-project/locations/LOCATION_ID/keyRings/my-key-ring/cryptoKeys/my-key"

Menetapkan setelan default untuk bucket kemampuan observasi

Bagian ini menjelaskan cara mengonfigurasi setelan default bucket kemampuan observasi untuk resource, yang merupakan organisasi, folder, atau project.

Jika Anda berencana mewajibkan CMEK untuk resource dan lokasi, konfigurasikan setelan default untuk bucket kemampuan observasi untuk pasangan tersebut sebelum Anda menetapkan lokasi penyimpanan default. Saat mengonfigurasi setelan default untuk resource dan lokasi, Anda menentukan kunci Cloud KMS yang akan digunakan.

Petunjuk ini ditujukan untuk APIs Explorer, yang memungkinkan Anda mengeluarkan perintah API dari halaman dokumentasi. Namun, Anda juga dapat mengeluarkan perintah curl.

Contoh konfigurasi

Bagian ini mencantumkan kasus penggunaan umum.

Mewajibkan bucket baru berada di lokasi tertentu

Agar bucket kemampuan observasi baru yang dibuat sistem di organisasi Anda berada di lokasi us, tetapkan lokasi penyimpanan default untuk organisasi Anda ke us.

Untuk mengganti setelan tingkat organisasi dan mewajibkan bucket kemampuan observasi baru yang dibuat sistem di folder turunan bernama my-eu-projects berada di region eu, tetapkan lokasi penyimpanan default untuk folder my-eu-projects ke eu.

Mewajibkan bucket baru berada di lokasi tertentu dan menggunakan CMEK

Untuk mewajibkan semua bucket kemampuan observasi baru yang dibuat sistem di organisasi Anda berada di lokasi us dan menggunakan CMEK, lakukan hal berikut:

  1. Konfigurasi setelan default untuk bucket kemampuan observasi bagi organisasi Anda dan lokasi us untuk menentukan kunci Cloud KMS.

  2. Tetapkan lokasi penyimpanan default untuk organisasi Anda ke us.

Sebelum memulai

Jika Anda hanya berencana menetapkan lokasi penyimpanan default, Anda tidak memerlukan peran Cloud KMS.

  1. Selesaikan penyiapan yang diperlukan untuk melihat setelan default bucket kemampuan observasi.

  2. Untuk mendapatkan izin yang Anda perlukan guna menetapkan setelan default bucket kemampuan observasi untuk organisasi, folder, atau project, minta administrator untuk memberi Anda peran IAM berikut pada organisasi, folder, atau project:

    Untuk mengetahui informasi selengkapnya tentang pemberian peran, lihat Mengelola akses ke project, folder, dan organisasi.

    Peran bawaan ini berisi izin yang diperlukan untuk menetapkan setelan default bucket kemampuan observasi untuk organisasi, folder, atau project. Untuk melihat izin yang benar-benar diperlukan, perluas bagian Izin yang diperlukan:

    Izin yang diperlukan

    Izin berikut diperlukan untuk menetapkan setelan default bucket kemampuan observasi untuk organisasi, folder, atau project:

    • observability.settings.get
    • observability.settings.update
    • cloudkms.cryptoKeys.getIamPolicy
    • cloudkms.cryptoKeys.setIamPolicy

    Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

  3. Jika Anda berencana mewajibkan penggunaan CMEK, pastikan Anda memiliki kunci Cloud KMS di lokasi yang diperlukan. Jika perlu, buat key ring Cloud KMS dan kunci Cloud KMS.

  4. Tentukan resource yang setelan defaultnya untuk bucket kemampuan observasi ingin Anda perbarui. Resource ini dapat berupa organisasi, folder, atau project.

    Jika Anda mengonfigurasi setelan default untuk organisasi atau folder, setelan tersebut akan berlaku untuk semua turunan organisasi atau folder tersebut. Jika Anda mengonfigurasi setelan default untuk bucket kemampuan observasi untuk sebuah project, setelan tersebut hanya berlaku untuk project tersebut.

Memberikan akses akun layanan resource ke kunci

Untuk resource yang setelan defaultnya ingin Anda konfigurasi, berikan peran ke akun layanannya:

  1. Identifikasi kunci Cloud KMS yang ingin Anda gunakan untuk enkripsi dan dekripsi.

    Kunci Cloud KMS bersifat regional. Misalnya, jika Anda berencana mewajibkan bucket kemampuan observasi baru yang dibuat sistem berada di lokasi us, Anda memerlukan kunci Cloud KMS di lokasi us.

  2. Identifikasi akun layanan untuk resource Anda.

    Misalnya, jika Anda ingin semua bucket kemampuan observasi baru yang dibuat sistem di organisasi Anda berada di lokasi us dan menggunakan CMEK, lakukan panggilan getSettings ke lokasi global dan tetapkan parameter jalur ke organisasi. Data respons mencantumkan akun layanan organisasi:

    service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.

  3. Berikan peran Cloud KMS CryptoKey Encrypter/Decrypter (roles.cloudkms.cryptoKeyEncrypterDecrypter kepada akun layanan yang Anda identifikasi di langkah sebelumnya untuk kunci Cloud KMS yang ingin Anda gunakan untuk mengenkripsi dan mendekripsi data.

    Binding peran ini ditujukan untuk kunci Cloud KMS tertentu.

    gcloud

    Jalankan perintah gcloud kms keys add-iam-policy-binding:

    gcloud kms keys add-iam-policy-binding KMS_KEY_NAME \
--project=KMS_PROJECT_ID \
--member=serviceAccount:SERVICE_ACCT_NAME@gcp-sa-observability. \
--role=roles/cloudkms.cryptoKeyEncrypterDecrypter \
--location=LOCATION_ID \
--keyring=KMS_KEY_RING

    Sebelum menjalankan perintah sebelumnya, buat pengganti berikut:

    • KMS_KEY_NAME: Nama kunci.
    • KMS_PROJECT_ID: ID alfanumerik unik, yang terdiri dari nama project Google Cloud Anda dan nomor yang ditetapkan secara acak, dari project Google Cloud yang menjalankan Cloud KMS. Untuk mengetahui informasi tentang cara mendapatkan ID ini, lihat Mengidentifikasi project.
    • SERVICE_ACCT_NAME: Nama akun layanan resource Anda, yang Anda identifikasi di langkah sebelumnya.
    • LOCATION_ID: Lokasi kunci Cloud KMS Anda.
    • KMS_KEY_RING: Nama key ring Cloud KMS.

    Konsol

    1. Di konsol Google Cloud , buka halaman Key management.

      Buka Key management

    2. Pilih nama key ring yang berisi kunci.

    3. Centang kotak untuk kunci.

      Tab Permissions akan tersedia.

    4. Dalam dialog Add members, tentukan alamat email akun layanan Google Cloud Observability yang Anda beri akses.

    5. Di menu Select a role, pilih Cloud KMS CryptoKey Encrypter/Decrypter.

    6. Klik Tambahkan.

Menetapkan kunci Cloud KMS default untuk resource dan lokasi

Pada langkah sebelumnya, Anda telah memberi akun layanan resource izin untuk mengenkripsi dan mendekripsi data untuk kunci Cloud KMS tertentu. Misalnya, Anda mungkin telah memberikan peran IAM ke akun layanan organisasi yang memungkinkannya mengakses kunci Cloud KMS yang berada di lokasi us.

Pada langkah ini, untuk resource tersebut dan untuk lokasi kunci Cloud KMS, Anda akan mengupdate setelan default untuk bucket kemampuan observasi dengan informasi kunci. Misalnya, pada langkah ini, Anda dapat mengonfigurasi setelan default untuk bucket kemampuan observasi bagi organisasi Anda dan untuk lokasi us, ke kunci Cloud KMS yang juga berada di lokasi us.

Sebagai langkah lanjutan, tetapkan lokasi penyimpanan default. Jika Anda tidak menetapkan lokasi penyimpanan default, bucket kemampuan observasi Anda tidak akan dienkripsi dengan kunci Cloud KMS default, meskipun bucket tersebut berada di lokasi tempat kunci ditentukan.

gcloud

Sebelum menggunakan salah satu data perintah di bawah, lakukan penggantian berikut:

  • KMS_KEY_NAME: Nama kunci Cloud KMS.
  • LOCATION: Lokasi kunci Cloud KMS untuk resource Anda. Resource ini berupa project, folder, atau organisasi. Jika Anda menetapkan lokasi ke global, perintah akan menampilkan lokasi penyimpanan default untuk resource.
  • Gunakan salah satu dari berikut ini untuk meneruskan ID project, folder, atau organisasi yang ingin Anda kueri ke perintah:
    • --project=PROJECT_ID, dengan PROJECT_ID berisi ID project Anda.
    • --folder=FOLDER_ID, dengan FOLDER_ID berisi ID folder Anda.
    • --organization=ORGANIZATION_ID, dengan ORGANIZATION_ID berisi ID organisasi Anda.

Jalankan perintah gcloud observability settings update :

Linux, macOS, atau Cloud Shell

gcloud observability settings update \
 --kms-key-name=KMS_KEY_NAME \
 --update-mask=kmsKeyName \
 --location=LOCATION --project=PROJECT_ID

Windows (PowerShell)

gcloud observability settings update `
 --kms-key-name=KMS_KEY_NAME `
 --update-mask=kmsKeyName `
 --location=LOCATION --project=PROJECT_ID

Windows (cmd.exe)

gcloud observability settings update ^
 --kms-key-name=KMS_KEY_NAME ^
 --update-mask=kmsKeyName ^
 --location=LOCATION --project=PROJECT_ID

Perintah update memulai operasi yang berjalan lama. Berikut adalah ilustrasi respons perintah: 

Parsed [location] resource: projects/my-project/locations/us
Request issued for: [us]
Waiting for operation [projects/my-project/locations/us/operations/operation-1775247021184-64e93e8161585-1a55612f-73382a5a] to complete...done.
Updated location [us].
'@type': type.googleapis.com/google.cloud.observability.v1.Settings
kmsKeyName: projects/my-project/locations/us/keyRings/test/cryptoKeys/test-key
name: projects/my-project/locations/us/settings
serviceAccountId: service-12345@gcp-sa-observability.

Terraform

Untuk menetapkan kunci Cloud Key Management Service default untuk lokasi dan resource, lakukan hal berikut:

  1. Pilih resource Terraform yang sesuai berdasarkan resource Google Cloud yang ingin Anda konfigurasi:

    Organisasi:

    Folder:

    Project:

  2. Tetapkan kolom berikut:

    1. Tetapkan kolom location ke lokasi untuk kunci Cloud KMS default.
    2. Tetapkan kolom kms_key_name ke kunci Cloud KMS.

REST

  1. Untuk resource yang setelan defaultnya ingin Anda tetapkan, pilih endpoint yang sesuai, lalu di APIs Explorer, tentukan parameter jalur:

    Organisasi:

    Folder:

    Project:

    Variabel dalam ekspresi sebelumnya memiliki arti berikut:

    • ORGANIZATION_ID: ID numerik unik organisasi. Untuk mengetahui informasi tentang cara mendapatkan ID ini, lihat Mendapatkan ID organisasi.
    • FOLDER_ID: ID numerik unik folder. Untuk mengetahui informasi tentang cara menggunakan folder, lihat Membuat dan mengelola folder.
    • PROJECT_ID: ID project.
    • LOCATION_ID: Lokasi kunci Cloud KMS Anda.

  2. Tetapkan kolom updateMask sebagai berikut:

    updateMask=kmsKeyName

  3. Konfigurasikan Request body sebagai berikut:

    {
  "kmsKeyName":"projects/KMS_PROJECT_ID/locations/LOCATION_ID/keyRings/KMS_KEY_RING/cryptoKeys/KMS_KEY_NAME"
}

    Sebelum memasukkan nilai, lakukan penggantian berikut:

    • KMS_PROJECT_ID: ID alfanumerik unik, yang terdiri dari nama project Google Cloud Anda dan nomor yang ditetapkan secara acak, dari project Google Cloud yang menjalankan Cloud KMS. Untuk mengetahui informasi tentang cara mendapatkan ID ini, lihat Mengidentifikasi project.
    • LOCATION_ID: Lokasi kunci Cloud KMS Anda.
    • KMS_KEY_RING: Nama key ring Cloud KMS.
    • KMS_KEY_NAME: Nama kunci.

    Nilai "kmsKeyName" adalah nama kunci Anda yang sepenuhnya memenuhi syarat.

  4. Klik Jalankan.

    Jika berhasil, responsnya adalah objek Settings.

    Misalnya, Anda mengeluarkan perintah updateSettings untuk menetapkan kunci Cloud KMS dan menetapkan parameter jalur ke organizations/ORGANIZATION_ID/locations/LOCATION_ID/settings, maka responsnya akan mirip dengan berikut ini:

    name: "organizations/ORGANIZATION_ID/locations/LOCATION_ID/settings"
service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.
kms_key_name: "projects/KMS_PROJECT_ID/locations/LOCATION_ID/keyRings/KMS_KEY_RING/cryptoKeys/KMS_KEY_NAME"

Menetapkan lokasi penyimpanan default untuk resource

Langkah ini menjelaskan cara menetapkan lokasi penyimpanan default untuk resource, yang merupakan organisasi, folder, atau project. Semua turunan dalam hierarki resource otomatis menggunakan lokasi penyimpanan default, kecuali untuk turunan yang telah Anda konfigurasi lokasi penyimpanan default-nya.

Misalnya, jika Anda menetapkan lokasi penyimpanan default untuk organisasi ke lokasi us, bucket kemampuan observasi baru yang dibuat sistem di organisasi tersebut akan berada di lokasi us. Jika Anda ingin folder atau project memiliki lokasi penyimpanan default yang berbeda, konfigurasikan setelan default untuk bucket kemampuan observasi untuk folder atau project tersebut.

Jika Anda ingin bucket kemampuan observasi yang dibuat sistem dalam resource menggunakan CMEK, selesaikan langkah-langkah berikut sebelum menetapkan lokasi penyimpanan default untuk resource:

  1. Berikan peran IAM ke akun layanan resource yang memungkinkan akun layanan mengenkripsi dan mendekripsi data. Peran ini ditujukan untuk kunci Cloud KMS tertentu, dan kunci tersebut berada di lokasi tertentu.
  2. Konfigurasikan setelan default untuk bucket kemampuan observasi untuk resource dan lokasi kunci dengan informasi kunci Cloud KMS.

gcloud

Sebelum menggunakan salah satu data perintah di bawah, lakukan penggantian berikut:

  • DEFAULT_STORAGE_LOCATION: Lokasi penyimpanan default untuk project, folder, atau organisasi Anda. Lokasi ini berlaku untuk bucket kemampuan observasi baru. Anda harus memasukkan lokasi bucket kemampuan observasi yang didukung.
  • Gunakan salah satu dari berikut ini untuk meneruskan ID project, folder, atau organisasi yang ingin Anda kueri ke perintah:
    • --project=PROJECT_ID, dengan PROJECT_ID berisi ID project Anda.
    • --folder=FOLDER_ID, dengan FOLDER_ID berisi ID folder Anda.
    • --organization=ORGANIZATION_ID, dengan ORGANIZATION_ID berisi ID organisasi Anda.

Jalankan perintah gcloud observability settings update :

Linux, macOS, atau Cloud Shell

gcloud observability settings update \
 --default-storage-location=DEFAULT_STORAGE_LOCATION \
 --update-mask=defaultStorageLocation \
 --location=global --project=PROJECT_ID

Windows (PowerShell)

gcloud observability settings update `
 --default-storage-location=DEFAULT_STORAGE_LOCATION `
 --update-mask=defaultStorageLocation `
 --location=global --project=PROJECT_ID

Windows (cmd.exe)

gcloud observability settings update ^
 --default-storage-location=DEFAULT_STORAGE_LOCATION ^
 --update-mask=defaultStorageLocation ^
 --location=global --project=PROJECT_ID

Perintah update memulai operasi yang berjalan lama. Berikut adalah ilustrasi respons perintah: 

Parsed [location] resource: projects/my-project/locations/global
Request issued for: [global]
Waiting for operation [projects/my-project/locations/global/operations/operation-1775247065869-64e93eabfee29-f7d39a96-5e23c6c7] to complete...done.
Updated location [global].
'@type': type.googleapis.com/google.cloud.observability.v1.Settings
defaultStorageLocation: us
name: projects/my-project/locations/global/settings
serviceAccountId: service-12345@gcp-sa-observability.

Terraform

Untuk menetapkan lokasi default, lakukan hal berikut:

  1. Pilih resource Terraform yang sesuai berdasarkan resource Google Cloud yang ingin Anda konfigurasi:

    Organisasi:

    Folder:

    Project:

  2. Tetapkan kolom berikut:

    1. Tetapkan kolom location ke global.
    2. Tetapkan kolom default_storage_location ke lokasi yang didukung.

REST

Untuk menetapkan lokasi penyimpanan default bagi organisasi, folder, atau project Anda, lakukan hal berikut:

  1. Untuk resource yang setelan defaultnya ingin Anda tetapkan, pilih endpoint yang sesuai, lalu di APIs Explorer, tentukan parameter jalur:

    Organisasi:

    Folder:

    Project:

    Variabel dalam ekspresi sebelumnya memiliki arti berikut:

    • ORGANIZATION_ID: ID numerik unik organisasi. Untuk mengetahui informasi tentang cara mendapatkan ID ini, lihat Mendapatkan ID organisasi.
    • FOLDER_ID: ID numerik unik folder. Untuk mengetahui informasi tentang cara menggunakan folder, lihat Membuat dan mengelola folder.
    • PROJECT_ID: ID project.

  2. Tetapkan kolom updateMask sebagai berikut:

    updateMask=defaultStorageLocation

  3. Konfigurasikan Request body sebagai berikut:

    {
  "defaultStorageLocation":"DEFAULT_STORAGE_LOCATION"
}

    Ganti DEFAULT_STORAGE_LOCATION dengan lokasi bucket kemampuan observasi yang didukung.

    Misalnya, Anda ingin semua bucket kemampuan observasi baru yang dibuat sistem di organisasi Anda berada di lokasi us dan menggunakan CMEK. Pada langkah sebelumnya, Anda telah memberikan peran IAM kepada akun layanan organisasi yang memungkinkannya mengenkripsi dan mendekripsi data menggunakan kunci Cloud KMS yang berada di lokasi us. Selesaikan konfigurasi dengan menetapkan DEFAULT_STORAGE_LOCATION ke us.

  4. Klik Jalankan.

    Jika berhasil, responsnya adalah objek Settings.

    Misalnya, jika Anda mengeluarkan perintah updateSettings dan menetapkan parameter jalur ke organisasi dan menetapkan lokasi penyimpanan default ke us, responsnya akan mirip dengan berikut ini:

    default_storage_location: "us"
service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.

Memperbarui lokasi penyimpanan default untuk resource

Untuk memperbarui lokasi penyimpanan default untuk organisasi, folder, atau project, ikuti prosedur yang sama seperti saat Anda menetapkan lokasi penyimpanan default.

Mengelola kunci Cloud KMS Anda

Bagian berikut menjelaskan cara mengubah, menonaktifkan, atau mencabut akses ke kunci Cloud KMS.

Memperbarui kunci Cloud KMS default untuk resource dan lokasi

Untuk memperbarui kunci Cloud KMS untuk resource dan lokasi tertentu, ikuti prosedur yang sama seperti saat Anda menetapkan kunci Cloud KMS.

Membatalkan penetapan kunci Cloud KMS default untuk resource dan lokasi

Untuk membatalkan penetapan atau menghapus kunci Cloud KMS untuk resource dan lokasi tertentu, ikuti prosedur yang sama seperti yang dijelaskan dalam Menetapkan kunci Cloud KMS default untuk lokasi. Namun, saat Anda mengonfigurasi isi permintaan, tetapkan nilai kunci ke string kosong.

{
  "kmsKeyName"=""
}

Sistem menggunakan algoritma berikut untuk menentukan apakah bucket observabilitas baru dalam resource menggunakan CMEK, dan jika ya, kunci mana yang akan digunakan:

  1. Sistem akan menelusuri setelan default resource untuk menemukan kunci Cloud KMS untuk lokasi yang ditentukan. Jika resource tidak memiliki kunci Cloud KMS default, sistem akan menelusuri ancestor resource untuk menemukan kunci Cloud KMS default:

  2. Setelah penelusuran selesai, sistem akan melakukan salah satu tindakan berikut:

    • Jika kunci Cloud KMS ditemukan, kunci tersebut akan digunakan untuk mengenkripsi data yang disimpan di bucket kemampuan observasi baru.

    • Jika kunci Cloud KMS tidak ditemukan, salah satu hal berikut akan terjadi:

      • Jika ada kebijakan organisasi yang memerlukan CMEK, penyediaan bucket kemampuan observasi baru akan gagal.

      • Jika kebijakan organisasi tidak ada, bucket kemampuan observasi baru tidak akan menggunakan CMEK.

Mencabut akses kunci untuk resource dan lokasi

Saat mengonfigurasi setelan default untuk bucket kemampuan observasi untuk resource dan lokasi dengan kunci Cloud KMS, Anda harus memberikan peran Pengenkripsi/Pendekripsi CryptoKey Cloud KMS (roles.cloudkms.cryptoKeyEncrypterDecrypter untuk kunci tersebut kepada akun layanan resource.

Jika Anda tidak ingin resource memiliki akses ke kunci, hapus binding IAM untuk kunci tersebut. Anda dapat menghapus binding ini dengan menjalankan perintah gcloud kms keys remove-iam-policy-binding.

Mungkin perlu waktu beberapa jam agar perubahan peran diterapkan sepenuhnya.

Perilaku rotasi kunci

Google Cloud Observability tidak otomatis merotasi kunci enkripsi untuk file disaster recovery sementara saat kunci Cloud KMS yang terkait dengan organisasi atau folder dirotasi. Google Cloud File pemulihan yang ada akan terus menggunakan versi kunci yang digunakan untuk membuat file tersebut. File pemulihan baru menggunakan versi kunci utama saat ini.

Untuk mempelajari lebih lanjut, lihat Rotasi kunci.

Batasan

Berikut adalah batasan umum saat Anda mengonfigurasi setelan default untuk bucket kemampuan observasi agar memiliki setelan CMEK.

Penurunan kualitas karena kunci tidak tersedia

Google Cloud Observability menggunakan Cloud KMS API untuk mengakses kunci Cloud KMS dan kunci Cloud EKM. Kedua jenis kunci mungkin tidak tersedia.

Jika kunci tidak tersedia, hal berikut akan terjadi:

  • Anda tidak dapat mengkueri data yang disimpan.
  • Google Cloud Observability menyimpan data tiga jam terakhir dalam buffer. Data yang lebih lama dari periode tiga jam yang bergeser ini mungkin akan dihapus.
  • Untuk penyimpanan data permanen, kunci Cloud KMS harus tersedia dan dapat diakses setidaknya selama 24 jam berturut-turut dalam periode 48 jam setelah data ditulis. Jika kunci Cloud KMS tidak tersedia dan dapat diakses selama periode ini, data mungkin tidak sepenuhnya dipertahankan ke penyimpanan dan mungkin akan dihapus.

Langkah berikutnya