עדכון קטגוריות של נתונים שניתנים לצפייה

כדי לשקף שינויים ארגוניים או להחליף מפתחות הצפנה, אתם יכולים לעדכן את השם המוצג, התיאור או המפתח של Cloud Key Management Service של קטגוריית ניראות.

אי אפשר להשתמש בפעולות העדכון האלה כדי לפתור בעיות תאימות. לדוגמה, אי אפשר להשתמש בפעולות האלה כדי לשנות את המיקום של קטגוריית ניראות, או להחיל מפתח Cloud KMS על קטגוריה שמשתמשת בהצפנה שמוגדרת כברירת מחדל ב-Google.

מה קורה כשמעדכנים מפתח Cloud KMS

עדכון של מפתח Cloud KMS לקטגוריית ניראות לא משפיע על הנתונים שמאוחסנים. כלומר, לפני שהעדכון מסתיים, המפתח המקורי מצפין נתונים חדשים. אחרי שהעדכון מסתיים, המפתח המעודכן מצפין נתונים חדשים.

אתם יכולים להמשיך לגשת לנתונים המאוחסנים ולצפות בהם, בתנאי שמפתח Cloud KMS המקורי נשאר מופעל ולחשבון השירות של Google Cloud Observability נשארות הרשאות ההצפנה/פענוח.

אם משביתים או משמידים את מפתח Cloud KMS המקורי, כל הנתונים שנכתבו כשהמפתח היה פעיל לא יהיו נגישים או קריאים באופן סופי.

מגבלות

ההגבלות הבאות חלות:

  • אי אפשר לשנות את המיקום.
  • אי אפשר להחיל מפתח Cloud KMS על קטגוריית ניראות שמשתמשת בהצפנה שמוגדרת כברירת מחדל של Google.
  • השם המוצג לא יכול להיות ארוך מ-100 בייטים מקודדים.
  • התיאור יכול להכיל עד 1,000 בייטים מקודדים.
  • הנתונים נשמרים במשך 30 ימים. אפשר להשמיט את תקופת השמירה או להגדיר אותה ל-30.
  • אם מעדכנים את מפתח Cloud KMS, המיקום של המפתח חייב להיות זהה למיקום ההורה של קטגוריית הניטור.

לפני שמתחילים

מגדירים את הפרויקט ואת תפקידי ה-IAM, ובוחרים את הממשק שבו רוצים להשתמש.

הגדרת הפרויקט והתפקידים

  1. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  2. Verify that billing is enabled for your Google Cloud project.

  3. Enable the Observability API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

  4. כדי לקבל את ההרשאות שנדרשות לעדכון קטגוריות של ניראות, בקשו מהאדמין להקצות לכם את התפקיד עריכת ניראות (roles/observability.editor) ב-IAM בפרויקט. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

    יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

הגדרת ממשקים

gcloud

התקינו את ה-CLI של Google Cloud ואז היכנסו ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם. אחרי שנכנסתם לחשבון, אתחלו את ה-CLI של Google Cloud באמצעות הפקודה הבאה: 

gcloud init

Terraform

כדי להשתמש בסביבת פיתוח מקומית בדוגמאות של Terraform שבדף הזה, מתקינים ומפעילים את ה-CLI של gcloud, ואז מגדירים את Application Default Credentials באמצעות פרטי הכניסה של המשתמש.

  1. התקינו את ה-CLI של Google Cloud.

  2. הגדירו שה-CLI של gcloud ישתמש בזהות המאוחדת שלכם.

    איך נכנסים ל-CLI של gcloud באמצעות הזהות המאוחדת?

  3. צרו פרטי כניסה לאימות מקומי בחשבון המשתמש: 

    gcloud auth application-default login

    אם מופיעה שגיאת אימות, ודאו ש נכנסתם ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם.

למידע נוסף, ראו הגדרת ADC לסביבת פיתוח מקומית במאמרי העזרה בנושא אימות Google Cloud .

REST

כדי להשתמש בסביבת פיתוח מקומית בדוגמאות של API בארכיטקטורת REST שבדף הזה, צריך להשתמש בפרטי הכניסה שאתם נותנים ל-CLI של gcloud.

    התקינו את ה-CLI של Google Cloud ואז היכנסו ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם.

מידע נוסף מופיע במאמר אימות לשימוש ב-REST במסמכי האימות של Google Cloud .

הגדרת מפתח Cloud KMS

זה שינוי אופציונלי. אם אתם מתכננים לעדכן את המפתח של Cloud KMS שמשמש את קטגוריית הניטור, בצעו את הפעולות הבאות:

  1. מפעילים את Cloud Key Management Service API, אם הוא עדיין לא מופעל.

    התפקידים שנדרשים כדי להפעיל ממשקי API

    כדי להפעיל ממשקי API, צריך את ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד "בעלים" (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד "אדמין בממשק 'שימוש בשירות'" (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים

    להפעלת ה-API

  2. יצירה של אוסף מפתחות ומפתח.

    המיקום של קטגוריית הניטור חייב להיות זהה למיקום של המפתח.

  3. מחליפים את PROJECT_ID במזהה הפרויקט ומריצים את הפקודה הבאה:

    gcloud observability settings describe \
--location=global --project=PROJECT_ID

    התגובה לפקודה הקודמת מציגה את המזהה של חשבון השירות של Google Cloud Observability.

  4. מקצים לחשבון השירות של Google Cloud Observability את התפקיד Cloud KMS CryptoKey Encrypter/Decrypter.

    gcloud kms keys add-iam-policy-binding \
--project=KMS_PROJECT_ID \
--member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-observability. \
--role=roles/cloudkms.cryptoKeyEncrypterDecrypter \
--location=KMS_KEY_LOCATION \
--keyring=KMS_KEY_RING \
KMS_KEY_NAME

    לפני שמריצים את הפקודה הקודמת, צריך להחליף את הערכים בשדות הבאים:

    • ‫KMS_PROJECT_ID: המזהה האלפאנומרי הייחודי של הפרויקט ב- Google Cloud שבו פועל Cloud KMS, שמורכב משם הפרויקט ב- Google Cloud וממספר שהוקצה באופן אקראי. איך מזהים פרויקטים?
    • ‫service-PROJECT_NUMBER: השם של חשבון השירות של Google Cloud Observability שמופיע בשלב הקודם.
    • ‫KMS_KEY_LOCATION: האזור של המפתח ב-Cloud KMS.
    • ‫KMS_KEY_RING: השם של אוסף המפתחות ב-Cloud KMS.
    • ‫KMS_KEY_NAME: השם של המפתח ב-Cloud KMS. הפורמט שלו הוא: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY.

עדכון של קטגוריית ניראות

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

  • ‫BUCKET_ID: המזהה של קטגוריית הניטור. לדוגמה, המזהה יכול להיות _Trace.
  • ‫LOCATION: המיקום של קטגוריית הניטור.
  • ‫DESCRIPTION: תיאור. השדה הזה הוא אופציונלי.
  • ‫DISPLAY_NAME: השם המוצג. השדה הזה הוא אופציונלי.
  • ‫PROJECT_ID: מזהה הפרויקט.

הפקודה ב-CLI של gcloud מספקת גם אפשרויות לעדכון המפתח של Cloud KMS. מידע נוסף זמין במאמר gcloud observability buckets update.

מריצים את הפקודה gcloud observability buckets update:

‫Linux,‏ macOS או Cloud Shell

gcloud observability buckets update BUCKET_ID \
 --location=LOCATION \
 --description="DESCRIPTION" \
 --display-name="DISPLAY_NAME" \
 --project=PROJECT_ID

‏Windows (PowerShell)

gcloud observability buckets update BUCKET_ID `
 --location=LOCATION `
 --description="DESCRIPTION" `
 --display-name="DISPLAY_NAME" `
 --project=PROJECT_ID

Windows‏ (cmd.exe)

gcloud observability buckets update BUCKET_ID ^
 --location=LOCATION ^
 --description="DESCRIPTION" ^
 --display-name="DISPLAY_NAME" ^
 --project=PROJECT_ID

פקודת העדכון מפעילה פעולה ממושכת וחוסמת עד שהפעולה מסתיימת. זו דוגמה לתגובה כשהפקודה מסתיימת ללא שגיאות: 

Request issued for: [_Trace]
Waiting for operation [projects/my-project/locations/us/operations/operation-1790096940299-65c156c3d730f-5fbc9362-10d93b76] to complete...done.
Updated bucket [_Trace].
createTime: '2026-09-09T21:06:30.590367694Z'
description: Updated bucket for storing trace data
displayName: Updated display name
name: projects/my-project/locations/us/buckets/_Trace
updateTime: '2026-09-22T17:09:00.301850190Z'

Terraform

כדי לעדכן את השם המוצג, התיאור או ה-CMEK, משתמשים במשאב Terraform‏ google_observability_bucket ומגדירים את השדות הבאים:

  • ‫project: מזהה הפרויקט.
  • ‫location: המיקום של קטגוריית הניטור. מידע נוסף זמין במאמר מיקומים.
  • ‫bucket_id: המזהה של קטגוריית הניטור. צריך להגדיר את השדה הזה לערך _Trace.

אפשר לעדכן רק את התיאור, את השם המוצג ואת ה-CMEK. למידע נוסף, קראו את מאמרי העזרה של המשאב.

REST

כדי לעדכן קטגוריית ניראות (observability), שולחים בקשה לכתובת projects.locations.buckets.patch.

צריך לציין את הפרמטר הראשי, שמזהה את הקטגוריה שרוצים לעדכן. הפרמטר הזה נראה כך:

projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_ID

המשמעות של השדות בביטוי שלמעלה:

בפרמטר השאילתה צריך לציין שדה updateMask, שמזהה אילו שדות לשנות. לדוגמה:

  • כדי לעדכן את התיאור, משתמשים ב-updateMask=description.
  • כדי לעדכן את המפתח של Cloud KMS ואת התיאור, משתמשים ב-updateMask=description,cmekSettings.kmsKey.

גוף הבקשה הוא אובייקט Bucket. חובה לאכלס כל שדה שצוין במסכת העדכון. אל תמלאו שדות שאתם לא מעדכנים.

לדוגמה, כדי לעדכן רק את השדה description, אפשר להשתמש באובייקט Bucket הבא:

{
    "description": "Updated description for my observability bucket."
}

התגובה היא אובייקט Operation. בדרך כלל, התהליך הזה נמשך פחות מדקה.

בדרך כלל, כדי לקבוע אם מתודה שמחזירה אובייקט Operation הושלמה, צריך לדגום את האובייקט על ידי קריאה ל-projects.locations.operations.get עד שהשדה Operation.done מוגדר כ-true. אחר כך אפשר להשתמש בשדות אחרים במבנה Operation כדי לקבוע אם השיטה הצליחה או נכשלה.

עם זאת, השיטה patch מסתיימת במהירות. לכן, אפשרות אחרת היא להמתין דקה ואז לאמת את העדכון על ידי הצגת רשימה של קטגוריות התצפיתיות.

המאמרים הבאים