Supporto per le CMEK

Per impostazione predefinita, Google Cloud Observability cripta i contenuti inattivi dei clienti. Google Cloud Observability gestisce la crittografia per conto tuo senza che tu debba fare altro. Questa opzione è chiamata crittografia predefinita di Google.

Se vuoi controllare le chiavi di crittografia, puoi utilizzare le chiavi di crittografia gestite dal cliente (CMEK) in Cloud KMS con i servizi integrati con CMEK, incluso Google Cloud Observability. L'utilizzo delle chiavi Cloud KMS ti consente di controllare il livello di protezione , la località, la pianificazione della rotazione, le autorizzazioni di utilizzo e di accesso e i limiti crittografici. Con Cloud KMS puoi inoltre visualizzare gli audit log e controllare i cicli di vita delle chiavi. Invece di Google, sei tu ad avere la proprietà e la gestione delle chiavi di crittografia della chiave (KEK) simmetriche che proteggono i tuoi dati. Puoi controllare e gestire queste chiavi in Cloud KMS.

Dopo aver configurato le risorse con le CMEK, l'esperienza di accesso alle risorse Google Cloud Observability è simile all'utilizzo della crittografia predefinita di Google. Per ulteriori informazioni sulle opzioni di crittografia, vedi Chiavi di crittografia gestite dal cliente (CMEK).

Google Cloud Observability può utilizzare le chiavi di crittografia gestite dal cliente (CMEK) per criptare i dati archiviati nei set di dati di osservabilità. Questi set di dati archiviano i dati di traccia. Questo documento elenca le policy dell'organizzazione supportate, introduce le impostazioni predefinite per i bucket di osservabilità e descrive l'interazione tra le policy dell'organizzazione e le impostazioni predefinite.

Questo documento non si applica a Cloud Logging, che può criptare i dati archiviati nei bucket dei log con le CMEK. Per ulteriori informazioni, vedi Configurare le CMEK per Cloud Logging.

Vincoli delle policy dell'organizzazione supportati

Per controllare dove vengono creati i bucket di osservabilità e chi gestisce le chiavi di crittografia per questi bucket, potresti voler configurare le seguenti policy dell'organizzazione:

  • Una policy con un ID vincolo constraints/gcp.resourceLocations. Questa policy definisce l'insieme di località in cui è possibile creare nuove risorse. Per utilizzare i bucket di osservabilità, questo insieme di località deve includere almeno una località di bucket di osservabilità supportata.

  • Una policy Deny con l'ID vincolo constraints/gcp.restrictNonCmekServices. Questa policy richiede che le nuove risorse siano criptate con le CMEK.

  • Una policy con l'ID vincolo constraints/gcp.restrictCmekCryptoKeyProjects. Questa policy limita le chiavi di Cloud Key Management Service utilizzate per la crittografia.

Puoi creare policy dell'organizzazione che si applicano a livello di organizzazione, cartella o progetto. Per ulteriori informazioni, vedi Creare e modificare le policy.

Informazioni sulle impostazioni predefinite per i bucket di osservabilità

Google Cloud Observability fornisce impostazioni predefinite per i bucket di osservabilità, che vengono applicate a un progetto, una cartella o un'organizzazione. Queste impostazioni predefinite funzionano insieme alle policy dell'organizzazione per assicurarti che i nuovi bucket di osservabilità si trovino nella località che preferisci e utilizzino il modello di crittografia che hai specificato.

Per organizzazioni, cartelle e progetti, le impostazioni predefinite per i bucket di osservabilità consentono di configurare quanto segue:

  • Una località di archiviazione predefinita.
  • Per ogni località, una chiave di Cloud Key Management Service predefinita.

Esistono due modi diversi in cui il sistema utilizza le impostazioni predefinite:

  • Quando il sistema crea automaticamente un bucket di osservabilità, utilizza le impostazioni predefinite per determinare la località e la chiave di crittografia del bucket. Se non hai definito le impostazioni predefinite, il sistema seleziona la località e il bucket utilizza la crittografia predefinita di Google.

  • Quando avvii la creazione di un bucket di osservabilità inviando una richiesta API, fornisci la località. Tuttavia, il sistema utilizza automaticamente la chiave Cloud KMS definita dalle impostazioni predefinite per criptare i dati, a meno che gli argomenti della richiesta API non specifichino la chiave.

Poiché l'elemento principale di un bucket di osservabilità è sempre un progetto, quando crei un bucket, il sistema cerca prima le impostazioni predefinite a livello di progetto. Se non esistono, il sistema cerca le impostazioni predefinite negli antenati dell'elemento principale. Ad esempio, se definisci le impostazioni predefinite per una cartella, queste impostazioni si applicano ai discendenti della cartella, ad eccezione di quelli per cui sono state configurate le impostazioni predefinite.

Per ulteriori informazioni, vedi Impostare i valori predefiniti per i bucket di osservabilità.

Interazione tra le policy dell'organizzazione e le impostazioni predefinite

L'elemento principale di un bucket di osservabilità deve essere un progetto. Ciò significa che il sistema non può creare un bucket di osservabilità in una cartella o in un'organizzazione. Tuttavia, se configuri le impostazioni predefinite per i bucket di osservabilità per un'organizzazione o una cartella, queste impostazioni predefinite si applicano a tutti i progetti discendenti da quell'organizzazione o cartella.

La tabella seguente elenca le regole utilizzate dal sistema per determinare la località di un nuovo bucket di osservabilità:

Utilizza la policy dell'organizzazione
per limitare la località		 Il progetto (o l'antenato) ha una
località di archiviazione predefinita		 In che modo il sistema determina la località di un nuovo bucket di osservabilità
No No

Il sistema seleziona la località tra le località supportate per i bucket di osservabilità.
Sì No

Il sistema seleziona la località dall'intersezione delle località consentite dalle policy dell'organizzazione e di quelle supportate dai bucket di osservabilità.

Se l'intersezione è vuota, il sistema non crea il bucket di osservabilità.
No Sì

Il sistema imposta la località sulla località di archiviazione predefinita definita nelle impostazioni predefinite del progetto. Se il progetto non definisce una località di archiviazione predefinita, il sistema utilizza la località di archiviazione predefinita definita per un predecessore.
Sì Sì

Il sistema imposta la località sulla località di archiviazione predefinita definita nelle impostazioni predefinite del progetto. Se il progetto non definisce una località di archiviazione predefinita, il sistema utilizza la località di archiviazione predefinita dell'antenato.

Se la località di archiviazione predefinita non è consentita dalle policy dell'organizzazione, il sistema non crea il bucket di osservabilità.

La tabella seguente elenca le regole utilizzate dal sistema per determinare se un nuovo bucket di osservabilità utilizza le CMEK e, in caso affermativo, il valore della chiave Cloud KMS. Per criptare un bucket di osservabilità, una chiave Cloud KMS deve trovarsi nella località del bucket ed essere consentita dalle policy dell'organizzazione. Se non specifichi una policy dell'organizzazione con il vincolo gcp.restrictCmekCryptoKeyProjects, tutte le chiavi sono consentite:

Utilizza la policy dell'organizzazione
per richiedere le CMEK		 Il progetto (o l'antenato) ha una
chiave Cloud KMS predefinita		 In che modo il sistema determina quale chiave Cloud KMS utilizzare.
No No

Il bucket di osservabilità non utilizza le CMEK.
Sì No

Il sistema non crea nuovi bucket di osservabilità perché la policy dell'organizzazione richiede le CMEK, ma non è definita una chiave Cloud KMS predefinita.
No Sì

Per identificare una chiave per la crittografia, il sistema determina innanzitutto se una località di archiviazione predefinita è impostata per il progetto o per uno dei suoi antenati. In caso contrario, il sistema seleziona una località e crea il bucket di osservabilità. Il bucket non utilizza una CMEK.

Se viene trovata una località di archiviazione predefinita, il sistema cerca le impostazioni predefinite del progetto per una chiave Cloud KMS predefinita. Se le impostazioni predefinite del progetto non specificano una chiave appropriata, il sistema cerca una chiave predefinita nelle impostazioni predefinite dell'antenato che si trova nella località del nuovo bucket.

Si verifica una delle seguenti condizioni:

  • Non viene trovata una chiave: Il nuovo bucket di osservabilità non utilizza una CMEK.
  • Viene trovata una chiave ed è consentita: il sistema crea il bucket di osservabilità.
  • Viene trovata una chiave, ma non è consentita: il sistema non crea il nuovo bucket di osservabilità.
Sì Sì

Per identificare una chiave per la crittografia, il sistema determina innanzitutto se una località di archiviazione predefinita è impostata per il progetto o per uno dei suoi antenati. Se non è impostata una località di archiviazione predefinita, allora il sistema non crea il nuovo bucket di osservabilità.

Se viene trovata una località di archiviazione predefinita, il sistema cerca le impostazioni predefinite del progetto per una chiave Cloud KMS predefinita. Se le impostazioni predefinite del progetto non specificano una chiave appropriata, il sistema cerca una chiave predefinita nelle impostazioni predefinite dell'antenato che si trova nella località del nuovo bucket.

Si verifica una delle seguenti condizioni:

  • Non viene trovata una chiave: il nuovo bucket di osservabilità non viene creato.
  • Viene trovata una chiave ed è consentita: il sistema crea il bucket di osservabilità.
  • Viene trovata una chiave, ma non è consentita: il sistema non crea il nuovo bucket di osservabilità.

Limitazioni

Quando il sistema crea un bucket di osservabilità, utilizza la crittografia predefinita di Google o cripta i dati con una CMEK. Dopo la creazione del bucket, puoi aggiornare la CMEK. Per ulteriori informazioni, vedi Aggiornare i bucket di osservabilità.

Passaggi successivi