管理区域

Application Integration 是区域级的，这意味着运行您的集成的基础架构位于特定区域并由 Google 代管，以使其在该区域内的所有可用区以冗余方式提供。除了在设置过程中为 Application Integration 选择初始配置区域之外，您还可以启用或配置新区域，以便在同一 Google Cloud 项目中创建和管理集成。

本页面介绍了在 Google Cloud 项目中成功预配新的 Application Integration 区域和修改现有区域所需的步骤。

准备工作

启用以下 API：

Application Integration API (integrations.googleapis.com)
Connectors API (connectors.googleapis.com)

配置新区域

如需在您的 Google Cloud 项目中为 Application Integration 预配新区域，请选择以下选项之一：

控制台

前往 Application Integration 页面。
转到 Application Integration
在导航菜单中，点击区域
系统会显示区域页面，其中列出了项目中预配的所有区域。
点击预配新区域。
在配置新区域页面中，配置以下字段：
1. 区域：选择要预配的新区域位置。
  如需了解支持的 Application Integration 区域，请参阅 Application Integration 位置。
2. 高级设置：您可以选择展开此部分，以针对集成启用或停用 HTTP 访问，并为所选区域配置加密方法。
  - HTTP：点击启用 HTTP 切换开关，以针对所选区域内的集成启用 HTTP 访问权限。启用后，可以通过 HTTP 访问此区域中的集成。
    注意：HTTP 切换开关默认处于停用状态，以确保所有集成都通过 HTTPS 安全地调用。
  - Google-managed encryption key：这是默认加密方法。如果您希望 Google 管理用于保护所选区域的数据的加密密钥，请使用此方法。
  - 客户管理的加密密钥 (CMEK)：如果您想管理用于保护所选区域中的数据的加密密钥，请使用此方法。
    注意： 为 Application Integration 区域启用 CMEK 加密后，无法撤消此操作。这也意味着，一旦启用 CMEK，您便无法更改/切换区域的加密方法。
    
    配置加密设置时，您有以下两种管理 CMEK 的方式：应用集成和连接器 (CMEK) 和为集成连接器使用其他 CMEK：
    - Application Integration 和连接器 - CMEK：这是默认选项，如果您想为 Application Integration 和 Integration Connectors 使用相同的加密密钥，则适合选择此选项。如需使用此选项，请执行以下步骤：
      1. 点击选择 Cloud KMS 密钥，然后选择所选区域中可用的现有 CMEK 密钥。您还可以创建新密钥或使用现有密钥的 KMS 资源 ID。
      2. 点击验证，检查您的默认服务账号是否具有对所选 CMEK 密钥的 CryptoKey 访问权限。
      3. 如果验证失败，请点击授予，将 CryptoKey Encrypter/Decrypter IAM 角色分配给默认服务账号。
    - 为 Integration Connectors 使用不同的 CMEK：如果您希望为 Application Integration 和 Integration Connectors 使用单独的加密密钥，请选中此复选框。如果选中此选项，系统会显示以下选项：
      - Application Integration - CMEK
        
        点击选择 Cloud KMS 密钥，然后在所选区域中为 Application Integration 选择现有的 CMEK 密钥。或者，您也可以创建新密钥或使用现有密钥的密钥资源 ID。
        
        点击验证以完成 Application Integration 的 CMEK 设置。
      - 集成连接器 - CMEK
        
        点击选择 Cloud KMS 密钥，然后为所选区域中的 Integration Connectors 选择现有的 CMEK 密钥。或者，您可以创建新密钥或使用现有密钥的密钥资源 ID。
        
        点击验证，检查您的默认服务账号是否具有对所选 CMEK 的 CryptoKey 访问权限。
        
        如果所选 CMEK 密钥的验证失败，请点击授予，将 CryptoKey Encrypter/Decrypter IAM 角色分配给默认服务账号。
        
        注意：如果启用了 Integration Connectors CMEK，Application Integration 会自动检查您的默认服务账号是否具有对所选 CMEK 的 CryptoKey 访问权限。如果验证失败，您必须手动授予此访问权限。
    如需详细了解 CMEK，请参阅客户管理的加密密钥。
点击完成。

Terraform

使用 google_integrations_client 资源。以下示例配置了 us-east1 区域：

resource "random_id" "default" {
  byte_length = 8
}

resource "google_kms_key_ring" "default" {
  name     = "${random_id.default.hex}-example-keyring"
  location = "us-east1"
}

resource "google_kms_crypto_key" "default" {
  name            = "crypto-key-example"
  key_ring        = google_kms_key_ring.default.id
  rotation_period = "7776000s"
}

resource "google_kms_crypto_key_version" "default" {
  crypto_key = google_kms_crypto_key.default.id
}

resource "google_service_account" "default" {
  account_id   = "service-account-id"
  display_name = "Service Account"
}

resource "google_integrations_client" "example" {
  location                   = "us-east1"
  create_sample_integrations = true
  run_as_service_account     = google_service_account.default.email
  cloud_kms_config {
    kms_location   = "us-east1"
    kms_ring       = basename(google_kms_key_ring.default.id)
    key            = basename(google_kms_crypto_key.default.id)
    key_version    = basename(google_kms_crypto_key_version.default.id)
    kms_project_id = data.google_project.default.project_id
  }
}

修改区域

您可以修改现有区域，以启用或停用集成治理，并更新该区域的数据加密方法。

如需在 Application Integration 中修改现有区域，请执行以下步骤：

在 Google Cloud 控制台中，前往 Application Integration 页面。
前往 Application Integration
在导航菜单中，点击区域。

系统会显示区域页面，其中列出了 Application Integration 中已配置的区域。

对于要修改的现有区域，请在操作列中点击 区域操作，然后选择修改。
系统会显示修改区域窗格。
展开高级设置。
如需为所选区域启用或停用集成治理，请点击启用治理切换开关。
注意：
- 启用治理功能，以强制要求区域使用服务账号进行身份验证。启用治理后，您必须手动将服务账号添加到在此区域中创建的所有新集成和集成版本。您可以随时在集成工具栏的 集成设置窗格中更改或更新集成的服务账号详细信息。
  如果启用了治理，您只能在集成关联了服务账号的情况下发布或测试该集成。
- 如果您为所选区域停用了治理功能，那么所有已发布的现有集成将继续使用各自关联的服务账号，直到创建新的集成版本为止。
如需为所选区域中的集成启用或停用 HTTP 访问权限，请点击启用 HTTP 切换开关。启用后，可以通过 HTTP 访问此区域中的集成。
如需为变量启用遮盖，请在变量遮盖部分中点击在日志中启用变量遮盖切换开关。此功能处于预览阶段。
如需了解遮盖，请参阅遮盖日志中的敏感数据。
如需为所选区域启用 CMEK 加密，请选择客户管理的加密密钥 (CMEK)，然后执行以下操作：
1. 从下拉列表中选择一个 CMEK。下拉菜单中列出的 CMEK 基于已配置的区域。如需创建新密钥，请参阅创建新的 CMEK。
2. 点击验证，检查您的默认服务账号是否具有对所选 CMEK 的 CryptoKey 访问权限。
3. 如果所选 CMEK 的验证失败，请点击授予，将 CryptoKey Encrypter/Decrypter IAM 角色分配给默认服务账号。
如需为 Integration Connectors 启用 CMEK 加密，请选择为集成连接器使用不同的 CMEK，然后执行以下操作：
1. 从下拉列表中选择一个 CMEK。下拉菜单中列出的 CMEK 基于已配置的区域。如需创建新密钥，请参阅创建新的 CMEK。
2. 点击验证以完成集成连接器 CMEK 的设置。
点击完成以完成区域的修改。