‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

הגדרת ברירות מחדל לקטגוריות של נתונים שניתנים לצפייה

אם אתם כפופים לדרישות תאימות או רגולטוריות לאחסון הנתונים במיקומים ספציפיים או לשימוש במפתחות הצפנה בניהול הלקוח (CMEK), מומלץ להגדיר גם מדיניות ארגונית וגם הגדרות ברירת מחדל למאגרי נתונים של נתוני תצפית. באמצעות מדיניות הארגון והגדרות ברירת המחדל של מאגרי נתונים של נתוני תצפית, אפשר לציין את מיקום האחסון ולקבוע אם המאגרים האלה ישתמשו בהצפנה שמוגדרת כברירת מחדל ב-Google או במפתחות הצפנה בניהול הלקוח (CMEK).

בארגונים, בתיקיות ובפרויקטים, הגדרות ברירת המחדל של קטגוריות הנתונים של יכולת הצפייה מאפשרות לכם להגדיר את הפרטים הבאים:

מיקום אחסון שמוגדר כברירת מחדל.
לכל מיקום, מפתח ברירת מחדל של Cloud Key Management Service.

יש שתי דרכים שונות שבהן המערכת משתמשת בהגדרות ברירת מחדל:

כשהמערכת יוצרת באופן אוטומטי קטגוריה של נתוני תצפית, היא משתמשת בהגדרות ברירת המחדל כדי לקבוע את המיקום של הקטגוריה ואת מפתח ההצפנה שלה. אם לא הגדרתם הגדרות ברירת מחדל, המערכת בוחרת את המיקום והקטגוריה משתמשת בהצפנה שמוגדרת כברירת מחדל ב-Google.
כשמפעילים יצירה של מאגר נתונים של נתוני תצפית באמצעות בקשת API, מציינים את המיקום. עם זאת, המערכת משתמשת אוטומטית במפתח Cloud KMS שמוגדר בהגדרות ברירת המחדל כדי להצפין את הנתונים, אלא אם המפתח מצוין בארגומנטים של בקשת ה-API.

הפרויקט הוא תמיד ההורה של מאגר נתונים של יכולות ניהול, ולכן כשיוצרים מאגר נתונים, המערכת קודם מחפשת הגדרות ברירת מחדל ברמת הפרויקט. אם הן לא קיימות, המערכת מחפשת את הגדרות ברירת המחדל בצאצאים של ההורה. לדוגמה, אם מגדירים הגדרות ברירת מחדל לתיקייה, ההגדרות האלה חלות על צאצאי התיקייה, למעט צאצאים שהוגדרו להם הגדרות ברירת מחדל.

אפשר גם להשתמש במדיניות הארגון כדי להגביל את המיקומים של קטגוריות חדשות של נתונים למעקב, כדי לדרוש שימוש ב-CMEK או כדי להגביל את המפתחות של Cloud KMS שאפשר להשתמש בהם להצפנה. אם מגדירים מדיניות ארגון שמחייבת שימוש במפתחות CMEK, צריך להגדיר הגדרות ברירת מחדל לדלי נתונים של יכולת צפייה. אם לא תעשו את זה, הקצאת משאבים לקטגוריות של נתוני תצפית שנוצרו על ידי המערכת תיכשל.

המסמך הזה לא רלוונטי למאגרי יומנים, שבהם מאוחסנים נתוני יומנים. במאמר הגדרת הגדרות ברירת מחדל למשאבים ב-Cloud Logging מוסבר איך להגדיר מיקום ברירת מחדל או לדרוש CMEK עבור מאגרי יומנים.

כללי מדיניות רלוונטיים של הארגון

כדי לקבוע איפה ייווצרו מאגרי הנתונים של יכולת הצפייה ומי ינהל את מפתחות ההצפנה של המאגרים האלה, כדאי להגדיר את כללי המדיניות הארגונית הבאים:

מדיניות עם מזהה אילוץ constraints/gcp.resourceLocations. המדיניות הזו מגדירה את קבוצת המיקומים שבהם אפשר ליצור משאבים חדשים. כדי להשתמש בקטגוריות של נתוני תצפית, קבוצת המיקומים הזו צריכה לכלול לפחות מיקום אחד של קטגוריות נתוני תצפית שנתמכות.
מדיניות Deny עם מזהה האילוץ constraints/gcp.restrictNonCmekServices. המדיניות הזו מחייבת הצפנה של משאבים חדשים באמצעות CMEK.
מדיניות עם מזהה האילוץ constraints/gcp.restrictCmekCryptoKeyProjects. המדיניות הזו מגבילה את המפתחות של Cloud Key Management Service שמשמשים להצפנה.

אפשר ליצור מדיניות ארגונית שחלה ברמת הארגון, התיקייה או הפרויקט. מידע נוסף זמין במאמר בנושא יצירה ועריכה של כללי מדיניות.

איך מדיניות הארגון משפיעה על הגדרת מיקום ברירת מחדל

כשמריצים פקודה להגדרת מיקום ברירת מחדל, Google Cloud Observability בודק שהמיקום שצוין מותר לפי מדיניות הארגון ושהוא מיקום נתמך של מאגרי נתונים של Observability. אם אחד מהאימותים ייכשל, גם הפקודה להגדרת מיקום ברירת המחדל תיכשל.

אם משנים את רשימת המיקומים שמותרים לפי מדיניות הארגון כך שמיקום האחסון שמוגדר כברירת מחדל כבר לא מותר, צריך לעדכן את ההגדרה הזו בנפרד. יכול להיות שתצטרכו גם להגדיר מפתח Cloud KMS שמשמש כברירת מחדל למיקום ברירת המחדל המעודכן.

איך מדיניות הארגון והגדרות ברירת המחדל פועלות יחד

ההורה של קטגוריית נתונים של יכולת צפייה חייב להיות פרויקט. כלומר, המערכת לא יכולה ליצור קטגוריה של נתונים שניתנים לצפייה בתיקייה או בארגון. עם זאת, אם מגדירים הגדרות ברירת מחדל לבאקטים של נתונים לצורך שיפור יכולת הצפייה בארגון או בתיקייה, הגדרות ברירת המחדל האלה חלות על כל הפרויקטים שהם צאצאים של הארגון או התיקייה האלה.

בטבלה הבאה מפורטים הכללים שבהם המערכת משתמשת כדי לקבוע את המיקום של קטגוריה חדשה של נתונים לניראות (observability):

שימוש במדיניות הארגון כדי להגביל את המיקום	לפרויקט (או לישות אב) יש מיקום אחסון שמוגדר כברירת מחדל	איך המערכת קובעת את המיקום של מאגר חדש של נתוני יכולת צפייה
לא	לא	המערכת בוחרת את המיקום מתוך המיקומים הנתמכים של קטגוריות נתונים של יכולת תצפית.
כן	לא	המערכת בוחרת את המיקום מתוך החיתוך של המיקומים האלה שהוגדרו במדיניות הארגון ושל המיקומים שנתמכים בקטגוריות של נתוני הניטור. אם החיתוך ריק, המערכת לא יוצרת את קטגוריית הנתונים לצפייה.
לא	כן	המערכת מגדירה את המיקום למיקום האחסון שמוגדר כברירת מחדל בהגדרות ברירת המחדל של הפרויקט. אם לא מוגדר בפרויקט מיקום אחסון שמשמש כברירת מחדל, המערכת משתמשת במיקום האחסון שמוגדר כברירת מחדל עבור רכיב קודם.
כן	כן	המערכת מגדירה את המיקום למיקום האחסון שמוגדר כברירת מחדל בהגדרות ברירת המחדל של הפרויקט. אם לא מוגדר מיקום אחסון כברירת מחדל בפרויקט, המערכת משתמשת במיקום האחסון שמוגדר כברירת מחדל ברמת הארגון. אם מדיניות הארגון לא מאפשרת את מיקום האחסון שמוגדר כברירת מחדל, המערכת לא יוצרת את קטגוריית האחסון של נתוני התצפית.

בטבלה הבאה מפורטים הכללים שבהם המערכת משתמשת כדי לקבוע אם קטגוריית נתונים חדשה של יכולת התבוננות משתמשת ב-CMEK, ואם כן, מהו הערך של מפתח Cloud KMS. כדי להצפין קטגוריה של נתונים לצורך ניתוח, צריך שמפתח Cloud KMS יהיה במיקום של הקטגוריה ושהוא יהיה מורשה על ידי מדיניות הארגון. אם לא מציינים מדיניות ארגונית עם האילוץ gcp.restrictCmekCryptoKeyProjects, כל המפתחות מותרים:

שימוש במדיניות הארגון כדי לדרוש שימוש ב-CMEK	לפרויקט (או לרכיב קודם) יש מפתח Cloud KMS שמוגדר כברירת מחדל	איך המערכת קובעת באיזה מפתח Cloud KMS להשתמש.
לא	לא	בקטגוריית ה-Observability לא נעשה שימוש במפתחות CMEK.
כן	לא	המערכת לא יוצרת קטגוריות חדשות של נתוני Observability כי מדיניות הארגון מחייבת שימוש במפתחות CMEK, אבל לא מוגדר מפתח ברירת מחדל של Cloud KMS.
לא	כן	כדי לזהות מפתח להצפנה, המערכת קודם קובעת אם מוגדר מיקום אחסון שמוגדר כברירת מחדל לפרויקט או לאחד מהפרויקטים ברמת האב שלו. אם לא, המערכת בוחרת מיקום ויוצרת את קטגוריית התצפית. הקטגוריה לא משתמשת ב-CMEK. אם נמצא מיקום אחסון שמוגדר כברירת מחדל, המערכת מחפשת בהגדרות ברירת המחדל של הפרויקט מפתח Cloud KMS שמוגדר כברירת מחדל. אם בהגדרות ברירת המחדל של הפרויקט לא מצוין מפתח מתאים, המערכת מחפשת בהגדרות ברירת המחדל של הפרויקט ברמת האב מפתח ברירת מחדל שנמצא במיקום של הקטגוריה החדשה. אחת מהאפשרויות הבאות מתרחשת: לא נמצא מפתח: המאגר החדש של נתוני ה-Observability לא משתמש ב-CMEK. נמצא מפתח והוא מותר: המערכת יוצרת את מאגר התצפיות. נמצא מפתח אבל הוא לא מורשה: המערכת לא יוצרת את מאגר התצפיות החדש.
כן	כן	כדי לזהות מפתח להצפנה, המערכת קודם קובעת אם מוגדר מיקום אחסון שמוגדר כברירת מחדל לפרויקט או לאחד מהפרויקטים ברמת האב שלו. אם לא מוגדר מיקום אחסון כברירת מחדל, המערכת לא יוצרת את קטגוריית הנתונים החדשה של יכולת התצפית. אם נמצא מיקום אחסון שמוגדר כברירת מחדל, המערכת מחפשת בהגדרות ברירת המחדל של הפרויקט מפתח Cloud KMS שמוגדר כברירת מחדל. אם בהגדרות ברירת המחדל של הפרויקט לא מצוין מפתח מתאים, המערכת מחפשת בהגדרות ברירת המחדל של הפרויקט ברמת האב מפתח ברירת מחדל שנמצא במיקום של הקטגוריה החדשה. אחת מהאפשרויות הבאות מתרחשת: לא נמצא מפתח: המאגר החדש של נתוני יכולת הצפייה לא נוצר. נמצא מפתח והוא מותר: המערכת יוצרת את מאגר התצפיות. נמצא מפתח אבל הוא לא מורשה: המערכת לא יוצרת את מאגר התצפיות החדש.

הצגת הגדרות ברירת המחדל של קטגוריות של נתונים שניתנים לצפייה

בקטע הזה מוסבר איך אפשר לראות את הגדרות ברירת המחדל של מאגרי נתונים של יכולת צפייה עבור משאב, שהוא ארגון, תיקייה או פרויקט.

כדי לאחזר את הגדרות ברירת המחדל של קטגוריות של נתונים שניתנים לצפייה, צריך להנפיק כמה פקודות. הפקודה הראשונה מחזירה את מיקום האחסון שמוגדר כברירת מחדל. הפקודה השנייה מחזירה את מפתח Cloud KMS למיקום הזה.

הפקודות שמתוארות בקטע הזה מיועדות למשאב ספציפי. התשובות של הפקודות האלה מוגבלות לערכים שהמשתמש הגדיר למשאב הזה. הפקודות האלה לא מחזירות הגדרות שהמשאב עשוי להשתמש בהן, אבל הן מוגדרות עבור משאב אב.

לפני שמתחילים

מגדירים את הפרויקט ואת תפקידי ה-IAM, ובוחרים את הממשק שמתכננים להשתמש בו.

הגדרת הפרויקט והתפקידים

נכנסים לחשבון Google Cloud . אם אתם משתמשים חדשים ב- Google Cloud, צרו חשבון כדי שתוכלו להעריך את הביצועים של המוצרים שלנו בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300$ להרצה, לבדיקה ולפריסה של עומסי העבודה.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

כדי לקבל את ההרשאה שנדרשת להצגת הגדרות ברירת המחדל של קטגוריות של נתונים שניתן לצפות בהם בארגון, בתיקייה או בפרויקט, צריך לבקש מהאדמין להקצות לכם את תפקיד ה-IAM‏ Observability Viewer (roles/observability.viewer) בארגון, בתיקייה או בפרויקט. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

התפקיד המוגדר מראש הזה מכיל את ההרשאה observability.settings.get, שנדרשת כדי לצפות בהגדרות ברירת המחדל של קטגוריות של נתונים שניתנים לצפייה בארגון, בתיקייה או בפרויקט.
יכול להיות שתוכלו לקבל את ההרשאה הזו גם בתפקידים בהתאמה אישית או בתפקידים אחרים שמוגדרים מראש.

בחירת הממשק שבו רוצים להשתמש

gcloud

במסוף Google Cloud , מפעילים את Cloud Shell.

הפעלת Cloud Shell

בחלק התחתון של Google Cloud המסוף יתחיל סשן של Cloud Shell ותופיע הודעה של שורת הפקודה. Cloud Shell היא סביבת מעטפת שבה ה-CLI של Google Cloud מותקן ומוגדרים ערכים לפרויקט הקיים. הסשן יופעל תוך כמה שניות.

Terraform

כדי להשתמש בסביבת פיתוח מקומית בדוגמאות של Terraform שבדף הזה, מתקינים ומפעילים את ה-CLI של gcloud, ואז מגדירים את Application Default Credentials באמצעות פרטי הכניסה של המשתמש.

התקינו את ה-CLI של Google Cloud.
אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.
אם אתם משתמשים במעטפת מקומית, אתם צריכים ליצור פרטי כניסה לאימות מקומי עבור חשבון המשתמש:
```
gcloud auth application-default login
```
אם אתם משתמשים ב-Cloud Shell, אין צורך לבצע את הפעולה הזו.

אם מוחזרת שגיאת אימות ואתם משתמשים בספק זהויות חיצוני (IdP), ודאו ש נכנסתם ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.

למידע נוסף, ראו הגדרת ADC לסביבת פיתוח מקומית במאמרי העזרה בנושא אימות Google Cloud .

REST

כדי להשתמש בסביבת פיתוח מקומית בדוגמאות של API בארכיטקטורת REST שבדף הזה, צריך להשתמש בפרטי הכניסה שאתם נותנים ל-CLI של gcloud.

התקינו את ה-CLI של Google Cloud.

אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.

מידע נוסף מופיע במאמר אימות לשימוש ב-REST במסמכי האימות של Google Cloud .

איך מקבלים את מיקום האחסון שמוגדר כברירת מחדל למשאב

כדי לקבל את מיקום האחסון שמוגדר כברירת מחדל למשאב, שולחים פקודה לנקודת קצה ספציפית למשאב ומגדירים את המיקום של הפקודה ל-global. נתוני התגובה כוללים את מיקום האחסון שמוגדר כברירת מחדל ואת השם של חשבון שירות. אם נדרש CMEK למשאב, חשבון השירות הזה משמש לאחזור מפתחות Cloud KMS.

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

כדי להעביר לפקודה את המזהה של הפרויקט, התיקייה או הארגון שרוצים לשלוח לגביהם שאילתה, משתמשים באחת מהאפשרויות הבאות:

‫--project=PROJECT_ID, כאשר PROJECT_ID מכיל את מזהה הפרויקט.
‫--folder=FOLDER_ID, כאשר FOLDER_ID מכיל את המזהה של התיקייה.
‫--organization=ORGANIZATION_ID, כאשר ORGANIZATION_ID מכיל את המזהה של הארגון.

מגדירים את `default_storage_location` ל[מיקום נתמך](/stackdriver/docs/observability/observability-bucket-locations)

מריצים את הפקודה gcloud observability settings describe:

‫Linux,‏ macOS או Cloud Shell

gcloud observability settings describe \
 --location=global --project=PROJECT_ID

‏Windows (PowerShell)

gcloud observability settings describe `
 --location=global --project=PROJECT_ID

Windows‏ (cmd.exe)

gcloud observability settings describe ^
 --location=global --project=PROJECT_ID

בדוגמה הבאה מוצגת התגובה של הפקודה:

Parsed [location] resource: projects/my-project/locations/global
defaultStorageLocation: eu
name: projects/my-project/locations/global/settings
serviceAccountId: service-12345@gcp-sa-observability.iam.gserviceaccount.com

Terraform

אתם יכולים להשתמש ב-Terraform כדי להגדיר מיקום אחסון שמוגדר כברירת מחדל למשאב, שהוא פרויקט, תיקייה או ארגון. אי אפשר להשתמש ב-Terraform כדי לדווח על מיקום האחסון שמוגדר כברירת מחדל למשאב.

REST

בוחרים את נקודת הקצה המתאימה למשאב שהגדרות ברירת המחדל שלו רוצים להציג, ואז מציינים את פרמטר הנתיב ב-APIs Explorer:

ארגון:
- נקודת קצה ל-API: ‏ organizations.locations.getSettings
- פרמטר של הנתיב:
```
organizations/ORGANIZATION_ID/locations/global/settings
```
תיקייה:
- נקודת קצה ל-API: ‏ folders.locations.getSettings
- פרמטר של הנתיב:
```
folders/FOLDER_ID/locations/global/settings
```
פרויקט:
- נקודת קצה ל-API: ‏ projects.locations.getSettings
- פרמטר של הנתיב:
```
projects/PROJECT_ID/locations/global/settings
```
המשמעות של המשתנים בביטויים הקודמים היא:
- ‫ORGANIZATION_ID: המזהה המספרי הייחודי של הארגון. במאמר איך מוצאים את מזהה הארגון מוסבר איך לקבל את המזהה הזה.
- ‫FOLDER_ID: המזהה המספרי הייחודי של התיקייה. מידע על השימוש בתיקיות זמין במאמר יצירה וניהול של תיקיות.
- ‫PROJECT_ID: מזהה הפרויקט.
לוחצים על Execute.

אם הפעולה בוצעה ללא שגיאות, התגובה היא אובייקט Settings. אם השדה default_storage_location ריק, לא מוגדר מיקום אחסון כברירת מחדל.

לדוגמה, אם מריצים את הפקודה getSettings ומגדירים את פרמטר הנתיב לארגון, התשובה תהיה דומה לאחת מהאפשרויות הבאות:
- מיקום האחסון שמוגדר כברירת מחדל הוא "us":
```
default_storage_location: "us"
service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.iam.gserviceaccount.com
```
- לא הוגדר מיקום אחסון שמוגדר כברירת מחדל:
```
service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.iam.gserviceaccount.com
```

אחזור מפתח ברירת המחדל של Cloud KMS למשאב ולמיקום

מפתחות Cloud KMS הם משאבים אזוריים. אפשר להשתמש בהם רק כדי להצפין או לפענח נתונים שמאוחסנים באותו מיקום שבו מאוחסן המפתח. לכל מיקום שנתמך על ידי מאגרי נתונים של יכולת צפייה, ולכל ארגון, תיקייה או פרויקט, אפשר להגדיר את הגדרות ברירת המחדל של מאגרי נתונים של יכולת צפייה באמצעות מפתח Cloud KMS.

בקטע הזה מוסבר איך מקבלים את מפתח ברירת המחדל של Cloud KMS עבור משאב ומיקום.

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

‫LOCATION: המיקום של מפתח Cloud KMS של המשאב. המשאב הוא פרויקט, תיקייה או ארגון. אם מגדירים את המיקום ל-global, הפקודה מחזירה את מיקום האחסון שמוגדר כברירת מחדל למשאב.
כדי להעביר לפקודה את המזהה של הפרויקט, התיקייה או הארגון שרוצים לשלוח להם שאילתה, משתמשים באחת מהאפשרויות הבאות:
- ‫--project=PROJECT_ID, כאשר PROJECT_ID מכיל את מזהה הפרויקט.
- ‫--folder=FOLDER_ID, כאשר FOLDER_ID מכיל את המזהה של התיקייה.
- ‫--organization=ORGANIZATION_ID, כאשר ORGANIZATION_ID מכיל את המזהה של הארגון.

מריצים את הפקודה gcloud observability settings describe:

‫Linux,‏ macOS או Cloud Shell

gcloud observability settings describe \
 --location=LOCATION --project=PROJECT_ID

‏Windows (PowerShell)

gcloud observability settings describe `
 --location=LOCATION --project=PROJECT_ID

Windows‏ (cmd.exe)

gcloud observability settings describe ^
 --location=LOCATION --project=PROJECT_ID

בדוגמה הבאה מוצגת התגובה של הפקודה:

Parsed [location] resource: projects/my-project/locations/us
kmsKeyName: projects/my-project/locations/us/keyRings/test/cryptoKeys/test-key
name: projects/my-project/locations/us/settings
serviceAccountId: service-12345@gcp-sa-observability.iam.gserviceaccount.com

Terraform

אתם יכולים להשתמש ב-Terraform כדי להגדיר מפתח ברירת מחדל של Cloud Key Management Service למיקום ולמשאב, שהוא פרויקט, תיקייה או ארגון. אי אפשר להשתמש ב-Terraform כדי לדווח על מיקום האחסון שמוגדר כברירת מחדל למשאב.

REST

בוחרים את נקודת הקצה המתאימה למשאב שהגדרות ברירת המחדל שלו רוצים להציג, ואז מציינים את פרמטר הנתיב ב-APIs Explorer:

ארגון:
- נקודת קצה ל-API: ‏ organizations.locations.getSettings
- פרמטר של הנתיב:
```
organizations/ORGANIZATION_ID/locations/LOCATION_ID/settings
```
תיקייה:
- נקודת קצה ל-API: ‏ folders.locations.getSettings
- פרמטר של הנתיב:
```
folders/FOLDER_ID/locations/LOCATION_ID/settings
```
פרויקט:
- נקודת קצה ל-API: ‏ projects.locations.getSettings
- פרמטר של הנתיב:
```
projects/PROJECT_ID/locations/LOCATION_ID/settings
```
המשמעות של המשתנים בביטויים הקודמים היא:
- ‫ORGANIZATION_ID: המזהה המספרי הייחודי של הארגון. במאמר איך מוצאים את מזהה הארגון מוסבר איך לקבל את המזהה הזה.
- ‫FOLDER_ID: המזהה המספרי הייחודי של התיקייה. מידע על השימוש בתיקיות זמין במאמר יצירה וניהול של תיקיות.
- ‫PROJECT_ID: מזהה הפרויקט.
- ‫LOCATION_ID: המיקום שרוצים לראות את הגדרות ה-CMEK שלו.
לוחצים על Execute.

אם הפעולה בוצעה ללא שגיאות, התגובה היא אובייקט Settings.

לדוגמה, אם מריצים את הפקודה getSettings ומגדירים את פרמטר הנתיב ל-organizations/ORGANIZATION_ID/locations/LOCATION_ID/settings, התגובה תהיה דומה לאחת מהתגובות הבאות:
- אם לא מוגדר מפתח Cloud KMS לארגון ולמיקום, בתגובה מופיע רק חשבון שירות:
```
service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.iam.gserviceaccount.com
```
- כשמגדירים את מפתח Cloud KMS לארגון ולמיקום, התשובה כוללת חשבון שירות ואת שם מפתח Cloud KMS:
```
name: "organizations/ORGANIZATION_ID/locations/LOCATION_ID/settings"
service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.iam.gserviceaccount.com
kms_key_name: "projects/my-kms-project/locations/LOCATION_ID/keyRings/my-key-ring/cryptoKeys/my-key"
```

הגדרת ברירת המחדל של קטגוריות נתונים של יכולת התבוננות

בקטע הזה מוסבר איך להגדיר הגדרות ברירת מחדל לדלי נתונים של יכולת צפייה במשאב, שהוא ארגון, תיקייה או פרויקט.

אם אתם מתכננים לדרוש CMEK למשאב ולמיקום, אתם צריכים להגדיר את הגדרות ברירת המחדל של קטגוריות של נתונים שניתן לצפות בהם עבור הצמד הזה לפני שתגדירו את מיקום האחסון שמוגדר כברירת מחדל. כשמגדירים הגדרות ברירת מחדל למשאב ולמיקום, מציינים את מפתח Cloud KMS שבו רוצים להשתמש.

ההוראות האלה מיועדות לכלי APIs Explorer, שמאפשר להנפיק פקודות API מדף תיעוד. אבל אפשר גם להשתמש בפקודה curl.

הגדרות לדוגמה

בקטע הזה מפורטים תרחישים נפוצים לדוגמה.

הגדרת דרישה שקטגוריות חדשות יהיו במיקום ספציפי

כדי לדרוש שקטגוריות חדשות של נתוני תצפית שנוצרו על ידי המערכת בארגון שלכם יהיו במיקום us, צריך להגדיר את מיקום האחסון שמוגדר כברירת מחדל בארגון ל-us.

כדי לבטל את ההגדרות ברמת הארגון ולדרוש שמאגרי נתונים חדשים של נתוני observability שנוצרו על ידי המערכת בתיקיית הצאצא שנקראת my-eu-projects יהיו באזור eu, צריך להגדיר את מיקום האחסון שמוגדר כברירת מחדל לתיקייה my-eu-projects ל-eu.

דרישה שקטגוריות חדשות יהיו במיקום ספציפי וישתמשו ב-CMEK

כדי לדרוש שכל קטגוריות הנתונים החדשות של יכולות התצפית שנוצרו על ידי המערכת בארגון יהיו במיקום us וישתמשו ב-CMEK, צריך לבצע את הפעולות הבאות:

מגדירים את הגדרות ברירת המחדל של קטגוריות לניראות בארגון ואת המיקום us כדי לציין מפתח Cloud KMS.
הגדרת מיקום האחסון שמוגדר כברירת מחדל בארגון ל-us.

לפני שמתחילים

אם אתם מתכננים להגדיר רק את מיקום האחסון שמוגדר כברירת מחדל, אתם לא צריכים תפקידים ב-Cloud KMS.

צריך להשלים את ההגדרה הנדרשת כדי לראות את הגדרות ברירת המחדל של מאגרי נתונים של יכולת תצפית.
כדי לקבל את ההרשאות שדרושות להגדרת ברירות המחדל של קטגוריות של נתונים שניתן לצפות בהם בארגון, בתיקייה או בפרויקט, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים בארגון, בתיקייה או בפרויקט:
- עורך יכולת הצפייה (roles/observability.editor)
- אדמין של Cloud KMS (roles/cloudkms.admin)
להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

התפקידים המוגדרים מראש האלה מכילים את ההרשאות שנדרשות להגדרת ברירת המחדל של קטגוריות של נתונים שניתן לצפות בהם בארגון, בתיקייה או בפרויקט. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:
ההרשאות הנדרשות

כדי להגדיר את הגדרות ברירת המחדל של מאגרי נתונים של יכולת צפייה בארגון, בתיקייה או בפרויקט, נדרשות ההרשאות הבאות:
- observability.settings.get
- observability.settings.update
- cloudkms.cryptoKeys.getIamPolicy
- cloudkms.cryptoKeys.setIamPolicy
יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.
אם אתם מתכננים לדרוש שימוש ב-CMEK, אתם צריכים לוודא שיש לכם מפתח Cloud KMS במיקום הנדרש. אם צריך, יוצרים אוסף מפתחות של Cloud KMS ומפתח של Cloud KMS.

הערה: המיקום של אוסף המפתחות של Cloud KMS צריך להיות מיקום נתמך של קטגוריות נתונים לצפייה.
קובעים את המשאב שרוצים לעדכן את הגדרות ברירת המחדל שלו לגבי מאגרי נתונים של יכולת צפייה. המשאב הזה יכול להיות ארגון, תיקייה או פרויקט.

אם מגדירים הגדרות ברירת מחדל לארגון או לתיקייה, הן חלות על כל צאצאי הארגון או התיקייה. אם מגדירים הגדרות ברירת מחדל לדלי נתונים של יכולת התבוננות בפרויקט, ההגדרות חלות רק על הפרויקט הזה.

הענקת גישה למפתח לחשבון השירות של המשאב

למשאב שאתם מתכננים להגדיר את הגדרות ברירת המחדל שלו, מקצים תפקיד לחשבון השירות שלו:

מזהים את מפתח Cloud KMS שבו רוצים להשתמש להצפנה ולפענוח.

מפתחות Cloud KMS הם אזוריים. לדוגמה, אם אתם מתכננים לדרוש שקטגוריות חדשות של נתוני תצפית שנוצרו על ידי המערכת יהיו במיקום us, אתם צריכים מפתח Cloud KMS במיקום us.
מזהים את חשבון השירות של המשאב.

לדוגמה, אם רוצים שכל קטגוריות הנתונים החדשות של מערכת ה-Observability בארגון יהיו במיקום us וישתמשו ב-CMEK, צריך להוציא קריאה getSettings למיקום global ולהגדיר את פרמטר הנתיב לארגון. נתוני התגובה יכללו את חשבון השירות של הארגון:
```
service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.iam.gserviceaccount.com
```
נותנים לחשבון השירות שזיהיתם בשלב הקודם את התפקיד Cloud KMS CryptoKey Encrypter/Decrypter (roles.cloudkms.cryptoKeyEncrypterDecrypter) בשביל מפתח Cloud KMS שבו רוצים להשתמש להצפנה ולפענוח של נתונים.

קישור התפקיד הזה הוא למפתח Cloud KMS ספציפי.
gcloud
מריצים את הפקודה gcloud kms keys add-iam-policy-binding:
gcloud kms keys add-iam-policy-binding KMS_KEY_NAME \ --project=KMS_PROJECT_ID \ --member=serviceAccount:SERVICE_ACCT_NAME@gcp-sa-observability.iam.gserviceaccount.com \ --role=roles/cloudkms.cryptoKeyEncrypterDecrypter \ --location=LOCATION_ID \ --keyring=KMS_KEY_RING
לפני שמריצים את הפקודה הקודמת, מחליפים את הערכים הבאים:
- ‫KMS_KEY_NAME: השם של המפתח.
- ‫KMS_PROJECT_ID: המזהה האלפאנומרי הייחודי, שמורכב מ Google Cloud שם הפרויקט וממספר שהוקצה באופן אקראי, של הפרויקט Google Cloud שמריץ את Cloud KMS. במאמר זיהוי פרויקטים מוסבר איך מקבלים את המזהה הזה.
- ‫SERVICE_ACCT_NAME: השם של חשבון השירות של המשאב, שזיהיתם בשלב הקודם.
- ‫LOCATION_ID: המיקום של מפתח Cloud KMS.
- ‫KMS_KEY_RING: השם של אוסף המפתחות ב-Cloud KMS.
המסוף
1. נכנסים לדף Key management במסוף Google Cloud .
  מעבר אל 'ניהול מפתחות'
2. בוחרים את השם של אוסף המפתחות שמכיל את המפתח.
3. מסמנים את התיבה של המפתח.
  
  הכרטיסייה Permissions (הרשאות) מופיעה.
4. בתיבת הדו-שיח Add members, מציינים את כתובת האימייל של חשבון השירות של Google Cloud Observability שרוצים להעניק לו גישה.
5. בתפריט Select a role, בוחרים באפשרות Cloud KMS CryptoKey Encrypter/Decrypter.
6. לוחצים על הוספה.

הגדרת מפתח Cloud KMS שמשמש כברירת מחדל למשאב ולמיקום

בשלב הקודם, הענקתם לחשבון השירות של משאב הרשאות להצפנה ולפענוח של נתונים עבור מפתח Cloud KMS ספציפי. לדוגמה, יכול להיות שהקציתם לחשבון שירות של ארגון תפקיד IAM שמאפשר לו לגשת למפתח Cloud KMS שנמצא במיקום us.

בשלב הזה, מעדכנים את הגדרות ברירת המחדל של מאגרי נתונים של נתוני Observability עם פרטי המפתח של המשאב ושל המיקום של מפתח Cloud KMS. לדוגמה, בשלב הזה אפשר להגדיר את הגדרות ברירת המחדל של קטגוריות של נתונים שניתנים לצפייה בארגון ובמיקום us, למפתח Cloud KMS שגם הוא נמצא במיקום us.

בשלב הבא, מגדירים את מיקום האחסון שמוגדר כברירת מחדל. אם לא מגדירים מיקום אחסון כברירת מחדל, הקטגוריות של נתוני ה-Observability לא מוצפנות באמצעות מפתח Cloud KMS שמוגדר כברירת מחדל, גם אם הקטגוריות האלה נמצאות במיקום שבו המפתח מוגדר.

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

‫KMS_KEY_NAME: השם של מפתח Cloud KMS.
‫LOCATION: המיקום של מפתח Cloud KMS של המשאב. המשאב הוא פרויקט, תיקייה או ארגון. אם מגדירים את המיקום ל-global, הפקודה מחזירה את מיקום האחסון שמוגדר כברירת מחדל למשאב.
כדי להעביר לפקודה את המזהה של הפרויקט, התיקייה או הארגון שרוצים לשלוח להם שאילתה, משתמשים באחת מהאפשרויות הבאות:
- ‫--project=PROJECT_ID, כאשר PROJECT_ID מכיל את מזהה הפרויקט.
- ‫--folder=FOLDER_ID, כאשר FOLDER_ID מכיל את המזהה של התיקייה.
- ‫--organization=ORGANIZATION_ID, כאשר ORGANIZATION_ID מכיל את המזהה של הארגון.

מריצים את הפקודה gcloud observability settings update:

‫Linux,‏ macOS או Cloud Shell

gcloud observability settings update \
 --kms-key-name=KMS_KEY_NAME \
 --update-mask=kmsKeyName \
 --location=LOCATION --project=PROJECT_ID

‏Windows (PowerShell)

gcloud observability settings update `
 --kms-key-name=KMS_KEY_NAME `
 --update-mask=kmsKeyName `
 --location=LOCATION --project=PROJECT_ID

Windows‏ (cmd.exe)

gcloud observability settings update ^
 --kms-key-name=KMS_KEY_NAME ^
 --update-mask=kmsKeyName ^
 --location=LOCATION --project=PROJECT_ID

פקודת העדכון מפעילה פעולה ממושכת. בדוגמה הבאה מוצגת התגובה של הפקודה:

Parsed [location] resource: projects/my-project/locations/us
Request issued for: [us]
Waiting for operation [projects/my-project/locations/us/operations/operation-1775247021184-64e93e8161585-1a55612f-73382a5a] to complete...done.
Updated location [us].
'@type': type.googleapis.com/google.cloud.observability.v1.Settings
kmsKeyName: projects/my-project/locations/us/keyRings/test/cryptoKeys/test-key
name: projects/my-project/locations/us/settings
serviceAccountId: service-12345@gcp-sa-observability.iam.gserviceaccount.com

Terraform

כדי להגדיר מפתח ברירת מחדל של Cloud Key Management Service למיקום ולמשאב, מבצעים את הפעולות הבאות:

בוחרים את משאב Terraform המתאים על סמך המשאב שרוצים להגדיר: Google Cloud

ארגון:
- משתמשים במשאב Terraform‏ google_observability_organization_settings.
- מגדירים את השדה organization למזהה הארגון.
תיקייה:
- משתמשים במשאב Terraform‏ google_observability_folder_settings.
- מגדירים את השדה folder למזהה התיקייה.
פרויקט:
- משתמשים במשאב Terraform‏ google_observability_project_settings.
- מגדירים את השדה project למזהה הפרויקט.
מגדירים את השדות הבאים:
1. מגדירים את השדה location למיקום של מפתח Cloud KMS שמוגדר כברירת מחדל.
2. מגדירים את השדה kms_key_name למפתח Cloud KMS.

REST

בוחרים את נקודת הקצה המתאימה למשאב שרוצים להגדיר לו הגדרות ברירת מחדל, ואז מציינים את פרמטר הנתיב ב-APIs Explorer:

ארגון:
- נקודת קצה ל-API: ‏ organizations.locations.updateSettings
- פרמטר של הנתיב:
```
organizations/ORGANIZATION_ID/locations/LOCATION_ID/settings
```
תיקייה:
- נקודת קצה ל-API: ‏ folders.locations.updateSettings
- פרמטר של הנתיב:
```
folders/FOLDER_ID/locations/LOCATION_ID/settings
```
פרויקט:
- נקודת קצה ל-API: ‏ projects.locations.updateSettings
- פרמטר של הנתיב:
```
projects/PROJECT_ID/locations/LOCATION_ID/settings
```
המשמעות של המשתנים בביטויים שלמעלה היא:
- ‫ORGANIZATION_ID: המזהה המספרי הייחודי של הארגון. במאמר איך מוצאים את מזהה הארגון מוסבר איך לקבל את המזהה הזה.
- ‫FOLDER_ID: המזהה המספרי הייחודי של התיקייה. מידע על השימוש בתיקיות זמין במאמר יצירה וניהול של תיקיות.
- ‫PROJECT_ID: מזהה הפרויקט.
- ‫LOCATION_ID: המיקום של מפתח Cloud KMS.
מגדירים את השדה updateMask באופן הבא:
```
updateMask=kmsKeyName
```
מגדירים את גוף הבקשה באופן הבא:
```
{
  "kmsKeyName":"projects/KMS_PROJECT_ID/locations/LOCATION_ID/keyRings/KMS_KEY_RING/cryptoKeys/KMS_KEY_NAME"
}
```
לפני שמזינים את הערכים, מחליפים את הערכים הבאים:
- ‫KMS_PROJECT_ID: המזהה האלפאנומרי הייחודי, שמורכב מ Google Cloud שם הפרויקט וממספר שהוקצה באופן אקראי, של הפרויקט Google Cloud שמריץ את Cloud KMS. במאמר זיהוי פרויקטים מוסבר איך מקבלים את המזהה הזה.
- ‫LOCATION_ID: המיקום של מפתח Cloud KMS.
- ‫KMS_KEY_RING: השם של אוסף המפתחות ב-Cloud KMS.
- ‫KMS_KEY_NAME: השם של המפתח.
הערך של "kmsKeyName" הוא השם המלא של המפתח.
לוחצים על Execute.

אם הפעולה בוצעה ללא שגיאות, התגובה היא אובייקט Settings.

לדוגמה, נניח שאתם מריצים את הפקודה updateSettings כדי להגדיר מפתח Cloud KMS, ומגדירים את פרמטר הנתיב ל-organizations/ORGANIZATION_ID/locations/LOCATION_ID/settings. התשובה תהיה דומה לתשובה הבאה:
```
name: "organizations/ORGANIZATION_ID/locations/LOCATION_ID/settings"
service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.iam.gserviceaccount.com
kms_key_name: "projects/KMS_PROJECT_ID/locations/LOCATION_ID/keyRings/KMS_KEY_RING/cryptoKeys/KMS_KEY_NAME"
```

הגדרת מיקום האחסון שמוגדר כברירת מחדל למשאב

בשלב הזה מוסבר איך להגדיר מיקום אחסון שמוגדר כברירת מחדל למשאב, שהוא ארגון, תיקייה או פרויקט. כל צאצא בהיררכיית המשאבים משתמש אוטומטית במיקום האחסון שמוגדר כברירת מחדל, למעט צאצאים שבהם הגדרתם מיקום אחסון שמוגדר כברירת מחדל.

לדוגמה, אם מגדירים את מיקום האחסון שמוגדר כברירת מחדל לארגון למיקום us, קטגוריות חדשות של נתונים שנוצרו על ידי המערכת בארגון הזה יהיו במיקום us. אם רוצים שתיקייה או פרויקט יכללו מיקום אחסון שונה שמוגדר כברירת מחדל, צריך להגדיר הגדרות ברירת מחדל לקטגוריות של נתונים שניתנים לצפייה בתיקייה או בפרויקט.

אם רוצים שקטגוריות ה-Observability שנוצרו על ידי המערכת במשאב ישתמשו ב-CMEK, צריך לבצע את השלבים הבאים לפני שמגדירים את מיקום האחסון שמוגדר כברירת מחדל למשאב:

מקצים לחשבון השירות של המשאב את התפקיד ב-IAM שמאפשר לחשבון השירות להצפין ולפענח נתונים. ההרשאה הזו היא למפתח Cloud KMS ספציפי, והמפתח הזה נמצא במיקום ספציפי.
מגדירים את הגדרות ברירת המחדל של קטגוריות של נתונים שניתנים לצפייה עבור המשאב ומיקום המפתח עם פרטי מפתח Cloud KMS.

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

‫DEFAULT_STORAGE_LOCATION: מיקום האחסון שמוגדר כברירת מחדל לפרויקט, לתיקייה או לארגון. המיקום הזה חל על קטגוריות חדשות של נתוני Observability. צריך להזין מיקום נתמך של קטגוריית נתונים של יכולת התבוננות.
כדי להעביר לפקודה את המזהה של הפרויקט, התיקייה או הארגון שרוצים לשלוח להם שאילתה, משתמשים באחת מהאפשרויות הבאות:
- ‫--project=PROJECT_ID, כאשר PROJECT_ID מכיל את מזהה הפרויקט.
- ‫--folder=FOLDER_ID, כאשר FOLDER_ID מכיל את המזהה של התיקייה.
- ‫--organization=ORGANIZATION_ID, כאשר ORGANIZATION_ID מכיל את המזהה של הארגון.

מריצים את הפקודה gcloud observability settings update:

‫Linux,‏ macOS או Cloud Shell

gcloud observability settings update \
 --default-storage-location=DEFAULT_STORAGE_LOCATION \
 --update-mask=defaultStorageLocation \
 --location=global --project=PROJECT_ID

‏Windows (PowerShell)

gcloud observability settings update `
 --default-storage-location=DEFAULT_STORAGE_LOCATION `
 --update-mask=defaultStorageLocation `
 --location=global --project=PROJECT_ID

Windows‏ (cmd.exe)

gcloud observability settings update ^
 --default-storage-location=DEFAULT_STORAGE_LOCATION ^
 --update-mask=defaultStorageLocation ^
 --location=global --project=PROJECT_ID

פקודת העדכון מפעילה פעולה ממושכת. בדוגמה הבאה מוצגת התגובה של הפקודה:

Parsed [location] resource: projects/my-project/locations/global
Request issued for: [global]
Waiting for operation [projects/my-project/locations/global/operations/operation-1775247065869-64e93eabfee29-f7d39a96-5e23c6c7] to complete...done.
Updated location [global].
'@type': type.googleapis.com/google.cloud.observability.v1.Settings
defaultStorageLocation: us
name: projects/my-project/locations/global/settings
serviceAccountId: service-12345@gcp-sa-observability.iam.gserviceaccount.com

Terraform

כדי להגדיר מיקום ברירת מחדל:

בוחרים את משאב Terraform המתאים על סמך המשאב שרוצים להגדיר: Google Cloud

ארגון:
- משתמשים במשאב Terraform‏ google_observability_organization_settings.
- מגדירים את השדה organization למזהה הארגון.
תיקייה:
- משתמשים במשאב Terraform‏ google_observability_folder_settings.
- מגדירים את השדה folder למזהה התיקייה.
פרויקט:
- משתמשים במשאב Terraform‏ google_observability_project_settings.
- מגדירים את השדה project למזהה הפרויקט.
מגדירים את השדות הבאים:
1. מגדירים את השדה location לערך global.
2. מגדירים את השדה default_storage_location למיקום נתמך.

REST

כדי להגדיר את מיקום האחסון שמוגדר כברירת מחדל לארגון, לתיקייה או לפרויקט:

בוחרים את נקודת הקצה המתאימה למשאב שרוצים להגדיר לו הגדרות ברירת מחדל, ואז מציינים את פרמטר הנתיב ב-APIs Explorer:

ארגון:
- נקודת קצה ל-API: ‏ organizations.locations.updateSettings
- פרמטר של הנתיב:
```
organizations/ORGANIZATION_ID/locations/global/settings
```
תיקייה:
- נקודת קצה ל-API: ‏ folders.locations.updateSettings
- פרמטר של הנתיב:
```
folders/FOLDER_ID/locations/global/settings
```
פרויקט:
- נקודת קצה ל-API: ‏ projects.locations.updateSettings
- פרמטר של הנתיב:
```
projects/PROJECT_ID/locations/global/settings
```
המשמעות של המשתנים בביטויים שלמעלה היא:
- ‫ORGANIZATION_ID: המזהה המספרי הייחודי של הארגון. במאמר איך מוצאים את מזהה הארגון מוסבר איך לקבל את המזהה הזה.
- ‫FOLDER_ID: המזהה המספרי הייחודי של התיקייה. מידע על השימוש בתיקיות זמין במאמר יצירה וניהול של תיקיות.
- ‫PROJECT_ID: מזהה הפרויקט.
מגדירים את השדה updateMask באופן הבא:
```
updateMask=defaultStorageLocation
```
מגדירים את גוף הבקשה באופן הבא:
```
{
  "defaultStorageLocation":"DEFAULT_STORAGE_LOCATION"
}
```
מחליפים את DEFAULT_STORAGE_LOCATION במיקום נתמך של קטגוריית נתונים לצורך ניטור.

לדוגמה, נניח שאתם רוצים שכל הקטגוריות החדשות של נתוני תצפית שנוצרו על ידי המערכת בארגון שלכם יהיו במיקום us וישתמשו ב-CMEK. בשלבים הקודמים הענקתם לחשבון השירות של הארגון תפקיד IAM שמאפשר לו להצפין ולפענח נתונים באמצעות מפתח Cloud KMS שנמצא במיקום us. כדי להשלים את ההגדרה, צריך להגדיר את DEFAULT_STORAGE_LOCATION לערך us.
לוחצים על Execute.

אם הפעולה בוצעה ללא שגיאות, התגובה היא אובייקט Settings.

לדוגמה, אם מריצים את הפקודה updateSettings, מגדירים את פרמטר הנתיב לארגון ומגדירים את מיקום האחסון שמוגדר כברירת מחדל ל-us, התשובה תיראה בערך כך:
```
default_storage_location: "us"
service_account_id: service-org-ORGANIZATION_ID@gcp-sa-observability.iam.gserviceaccount.com
```

עדכון מיקום האחסון שמוגדר כברירת מחדל למשאב

כדי לעדכן את מיקום האחסון שמוגדר כברירת מחדל לארגון, לתיקייה או לפרויקט, פועלים לפי אותה פרוצדורה שבה מגדירים את מיקום האחסון שמוגדר כברירת מחדל.

ניהול מפתחות Cloud KMS

בקטעים הבאים מוסבר איך לשנות, להשבית או לבטל את הגישה למפתח Cloud KMS.

עדכון מפתח ברירת המחדל של Cloud KMS למשאב ולמיקום

כדי לעדכן את מפתח Cloud KMS למשאב ולמיקום ספציפיים, פועלים לפי אותה פרוצדורה שבה מגדירים את מפתח Cloud KMS.

ביטול ההגדרה של מפתח Cloud KMS שמשמש כברירת מחדל למשאב ולמיקום

כדי לבטל את ההגדרה של מפתח Cloud KMS למשאב ולמיקום ספציפיים, פועלים לפי אותה פרוצדורה שמתוארת במאמר הגדרת מפתח Cloud KMS שמשמש כברירת מחדל למיקום. עם זאת, כשמגדירים את גוף הבקשה, צריך להגדיר את הערך של המפתח כמחרוזת ריקה.

{
  "kmsKeyName"=""
}

המערכת משתמשת באלגוריתם הבא כדי לקבוע אם קטגוריה חדשה של נתונים למעקב במשאב משתמשת ב-CMEK, ואם כן, באיזה מפתח להשתמש:

המערכת מחפשת בהגדרות ברירת המחדל של המשאב מפתח Cloud KMS למיקום שצוין. אם למשאב אין מפתח Cloud KMS שמוגדר כברירת מחדל, המערכת מחפשת מפתח Cloud KMS שמוגדר כברירת מחדל במשאבי האב של המשאב:
אחרי שהחיפוש מסתיים, המערכת מבצעת אחת מהפעולות הבאות:
- אם נמצא מפתח Cloud KMS, המפתח הזה משמש להצפנת הנתונים שמאוחסנים בקטגוריית הניראות החדשה.
- אם לא נמצא מפתח Cloud KMS, אחד מהמקרים הבאים מתרחש:
  - אם קיימות מדיניות ארגון שמחייבות שימוש ב-CMEK, הקצאת משאבים של מאגר התצפית החדש תיכשל.
  - אם לא קיימת מדיניות ארגונית, מאגר התצפיות החדש לא משתמש ב-CMEK.

ביטול גישה למשאב ולמיקום

כשמגדירים את הגדרות ברירת המחדל של קטגוריות נתונים של יכולת תצפית למשאב ולמיקום עם מפתח Cloud KMS, צריך להעניק לחשבון השירות של המשאב את התפקיד Cloud KMS CryptoKey Encrypter/Decrypter ‏ (roles.cloudkms.cryptoKeyEncrypterDecrypter) עבור המפתח.

אם אתם לא רוצים שלמשאב תהיה גישה למפתח, אתם צריכים להסיר את הקישור של IAM למפתח הזה. אפשר להסיר את הקישור הזה על ידי הפעלת הפקודה gcloud kms keys remove-iam-policy-binding.

יכול להיות שיעברו כמה שעות עד שהשינוי בתפקיד יתעדכן באופן מלא.

התנהגות של רוטציית מפתחות

מערכת Google Cloud Observability לא מבצעת רוטציה אוטומטית של מפתח ההצפנה לקבצים זמניים של התאוששות מאסון, כשמתבצעת רוטציה של מפתח Cloud KMS שמשויך ל Google Cloud ארגון או לתיקייה. בקבצים קיימים לשחזור ממשיכים להשתמש בגרסת המפתח שבאמצעותה הם נוצרו. בקובצי שחזור חדשים נעשה שימוש בגרסה הנוכחית של המפתח הראשי.

מידע נוסף זמין במאמר בנושא רוטציית מפתחות.

מגבלות

אלה המגבלות הידועות כשמגדירים את הגדרות ברירת המחדל של מאגרי נתונים של יכולת צפייה (Observability) כך שיכללו הגדרת CMEK.

ירידה ברמת השירות בגלל חוסר זמינות של מפתח

‫Google Cloud Observability משתמש ב-Cloud KMS API כדי לגשת למפתחות Cloud KMS ולמפתחות Cloud EKM. יכול להיות ששני סוגי המפתחות לא יהיו זמינים.

אם מפתח הופך ללא זמין, קורים הדברים הבאים:

אי אפשר להריץ שאילתות על נתונים מאוחסנים.
ב-Google Cloud Observability יש מאגר זמני של הנתונים משלוש השעות האחרונות. יכול להיות שהמערכת תמחק נתונים ישנים יותר מהחלון הזה של שלוש שעות.
כדי לאחסן נתונים באופן קבוע, מפתח Cloud KMS צריך להיות זמין ונגיש למשך 24 שעות רצופות לפחות בפרק הזמן של 48 שעות אחרי כתיבת הנתונים. אם מפתח Cloud KMS לא זמין ולא נגיש בתקופה הזו, יכול להיות שהנתונים לא יישמרו באופן מלא באחסון ויימחקו.

הגדרת ברירות מחדל לקטגוריות של נתונים שניתנים לצפייה קל לארגן דפים בעזרת אוספים אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.

כללי מדיניות רלוונטיים של הארגון

איך מדיניות הארגון משפיעה על הגדרת מיקום ברירת מחדל

איך מדיניות הארגון והגדרות ברירת המחדל פועלות יחד

הצגת הגדרות ברירת המחדל של קטגוריות של נתונים שניתנים לצפייה

לפני שמתחילים

הגדרת הפרויקט והתפקידים

בחירת הממשק שבו רוצים להשתמש

gcloud

Terraform

REST

איך מקבלים את מיקום האחסון שמוגדר כברירת מחדל למשאב

gcloud

‫Linux,‏ macOS או Cloud Shell

‏Windows (PowerShell)

Windows‏ (cmd.exe)

Terraform

REST

אחזור מפתח ברירת המחדל של Cloud KMS למשאב ולמיקום

gcloud

‫Linux,‏ macOS או Cloud Shell

‏Windows (PowerShell)

Windows‏ (cmd.exe)

Terraform

REST

הגדרת ברירת המחדל של קטגוריות נתונים של יכולת התבוננות

הגדרות לדוגמה

הגדרת דרישה שקטגוריות חדשות יהיו במיקום ספציפי

דרישה שקטגוריות חדשות יהיו במיקום ספציפי וישתמשו ב-CMEK

לפני שמתחילים

ההרשאות הנדרשות

הענקת גישה למפתח לחשבון השירות של המשאב

gcloud

המסוף

הגדרת מפתח Cloud KMS שמשמש כברירת מחדל למשאב ולמיקום

gcloud

‫Linux,‏ macOS או Cloud Shell

‏Windows (PowerShell)

Windows‏ (cmd.exe)

Terraform

REST

הגדרת מיקום האחסון שמוגדר כברירת מחדל למשאב

gcloud

‫Linux,‏ macOS או Cloud Shell

‏Windows (PowerShell)

Windows‏ (cmd.exe)

Terraform

REST

עדכון מיקום האחסון שמוגדר כברירת מחדל למשאב

ניהול מפתחות Cloud KMS

עדכון מפתח ברירת המחדל של Cloud KMS למשאב ולמיקום

ביטול ההגדרה של מפתח Cloud KMS שמשמש כברירת מחדל למשאב ולמיקום

ביטול גישה למשאב ולמיקום

התנהגות של רוטציית מפתחות

מגבלות

ירידה ברמת השירות בגלל חוסר זמינות של מפתח

המאמרים הבאים

הגדרת ברירות מחדל לקטגוריות של נתונים שניתנים לצפייה