理由原因代码

本页面列出了可用于请求访问加密密钥的理由。

原因 说明
CUSTOMER_INITIATED_ACCESS 客户使用其账号对自己的数据执行任何访问，并且这些访问由其 IAM 政策授权。这些访问包括代表客户或响应客户资源活动（例如日志记录）而间接执行的操作。
MODIFIED_CUSTOMER_INITIATED_ACCESS 客户使用其账号对自己的数据执行任何访问，并且这些访问由其 IAM 政策授权。这些访问包括代表客户或响应客户资源活动（例如日志记录）而间接执行的操作。

同时，满足以下条件之一：

  • Google 管理员在过去 7 天内重置了与用户所在组织关联的根访问权限账号。
  • Google 发起的紧急访问操作在过去 7 天内与当前访问的资源位于同一项目或文件夹中的资源进行了互动。
GOOGLE_INITIATED_SYSTEM_OPERATION Google 系统会访问客户数据以帮助优化数据结构或质量，以供客户将来使用。这些访问权限可用于索引化、结构化、预计算、哈希处理、分片和缓存客户数据。这还包括出于灾难恢复或数据完整性原因备份数据，以及检测可以利用该备份数据纠正的错误。某些操作（例如关键运行状况检查）由 Google 系统直接响应客户资源活动而发起，但由于涉及的系统架构，可能会生成 GOOGLE_INITIATED_SYSTEM_OPERATION 证明。使用此理由的密钥访问始终是为客户工作负载提供服务。

如果客户已将托管式控制平面操作委托给 Google，例如创建托管实例组，则所有托管操作都将显示为系统操作。触发下游解密操作的托管实例组管理器等服务无权访问明文客户数据。
MODIFIED_GOOGLE_INITIATED_SYSTEM_OPERATION Google 系统会访问客户数据以帮助优化数据结构或质量，以供客户将来使用。这些访问权限可用于索引化、结构化、预计算、哈希处理、分片和缓存客户数据。这还包括出于灾难恢复或数据完整性原因备份数据，以及检测可以利用该备份数据纠正的错误。某些操作（例如关键运行状况检查）由 Google 系统直接响应客户资源活动而发起，但由于涉及的系统架构，可能会生成 GOOGLE_INITIATED_SYSTEM_OPERATION 证明。使用此理由的密钥访问始终是为客户工作负载提供服务。

同时，满足以下条件之一：

  • Google 管理员在过去 7 天内重置了与用户所在组织关联的根访问权限账号。
  • Google 发起的紧急访问操作在过去 7 天内与当前访问的资源位于同一项目或文件夹中的资源进行了互动。

如果客户已将托管式控制平面操作委托给 Google，例如创建托管实例组，则所有托管操作都将显示为系统操作。触发下游解密操作的托管实例组管理器等服务无权访问明文客户数据。
REASON_NOT_EXPECTED

由于处理此请求的服务中至少有一项具有以下特征，因此此密钥请求没有原因：

  • 该服务从未与密钥访问理由集成。
  • 该服务已与密钥访问理由部分集成，但此集成仍处于预览阶段。此类服务的部分内容可能未与密钥访问理由完全集成，这可能会导致无法生成理由。

虽然 REASON_NOT_EXPECTED 证明具有上述含义，但尚未达到其密钥访问权限证明集成 GA 状态的服务可能还会生成其他证明，包括 REASON_UNSPECIFIED。对于使用非密钥访问权限证明 GA 服务时生成的证明，Google 不做任何保证。
CUSTOMER_INITIATED_SUPPORT 客户发起的支持，例如“Case Number：####”。
GOOGLE_INITIATED_SERVICE

是指 Google 为进行系统管理和问题排查而发起的访问。Google 人员出于以下原因可以执行此类访问：

  • 执行因支持请求或调查比较复杂而需要进行的技术调试。
  • 修复技术问题，例如存储故障或数据损坏。
THIRD_PARTY_DATA_REQUEST Google 按照法律要求或司法程序发起的访问，包括 Google 在客户要求的情况下按照司法程序访问客户自己的数据。
GOOGLE_INITIATED_REVIEW Google 发起的针对安全性、欺诈、滥用或合规性目的访问，包括：
  • 确保客户账号和数据的安全性。
  • 确认数据是否受到可能影响账号安全的事件（例如，恶意软件感染）的影响。
  • 确认客户是否按照 Google 服务条款使用 Google 服务。
  • 调查其他用户和客户的投诉，或其他可能表明存在滥用行为的迹象。
  • 检查 Google 服务的使用是否符合相关合规性制度（例如，反洗钱条例）。
GOOGLE_RESPONSE_TO_PRODUCTION_ALERT

是指 Google 为维持系统可靠性而发起的访问。Google 人员出于以下原因可以执行此类访问：

  • 调查并确认疑似服务中断未影响客户。
  • 确保针对服务中断和系统故障进行备份和恢复。
REASON_UNSPECIFIED

您已启用密钥访问理由，但没有理由可用于此请求。原因可能是暂时性错误、错误或其他一些情况。

由于 Google Cloud 和某些 EKM 提供程序提供的各种日志记录系统的特定对齐方式显示实现，REASON_UNSPECIFIED 对齐方式可能表示为空字符串。如果请求日志中存在理由字段，但未显示任何理由，则应将其解读为已收到 REASON_UNSPECIFIED 理由。
CUSTOMER_AUTHORIZED_WORKFLOW_SERVICING

正在执行以下某项操作，同时遇到了内部技术问题，导致无法生成更精确的正规化代码：

  • 您的账号已被用于对您自己的数据执行任何访问，并且这些访问由您的 IAM 政策授权。
  • 自动化 Google 系统会处理经过加密的客户数据，这些数据已获得您的 IAM 政策授权。
  • 客户发起的 Google 支持服务访问。
  • Google 为保护系统可靠性而发起的支持访问。

    • 遇到此类内部技术问题时，Google 会立即采取措施来解决此问题，并使相关系统恢复到可生成其他更精确的理由代码的状态。

    为降低因使用 CUSTOMER_AUTHORIZED_WORKFLOW_SERVICING 理由的请求被拒而导致服务中断的运营风险，Google 建议您在密钥访问理由政策中允许使用 CUSTOMER_AUTHORIZED_WORKFLOW_SERVICING。

    如果工作负载使用不支持密钥访问理由的服务，系统也可能会生成 CUSTOMER_AUTHORIZED_WORKFLOW_SERVICING 理由。在这种情况下，只要相应服务不支持密钥访问理由，系统就会生成此理由。
不存在理由字段 您未启用密钥访问理由。

后续步骤