理由原因代码

本页面提供了可用于请求访问加密密钥的理由列表。

原因 说明
CUSTOMER_INITIATED_ACCESS 客户使用其帐号对其 IAM 政策授权的数据执行任何访问操作。包括代表客户资源活动或响应客户资源活动而间接执行的操作（例如日志记录）。
MODIFIED_CUSTOMER_INITIATED_ACCESS 客户使用其帐号对其 IAM 政策授权的数据执行任何访问操作。包括代表客户资源活动或响应客户资源活动而间接执行的操作（例如日志记录）。

同时，以下情况之一为 true：

  • Google 管理员在过去 7 天内重置了与用户组织关联的根访问权限帐号。
  • 过去 7 天内，Google 发起的紧急访问操作与当前所访问资源所在项目或文件夹中的资源进行了互动。
GOOGLE_INITIATED_SYSTEM_OPERATION Google 系统会访问客户数据，以帮助优化数据结构或质量，以供客户将来使用。这些访问可以用于编入索引、结构化、预计算、哈希处理、分片和缓存客户数据。这还包括出于灾难恢复或数据完整性方面的原因备份数据，以及检测备份数据可以纠正的错误。某些操作（例如关键健康检查）由 Google 系统为直接响应客户资源活动启动，但可能会因所涉及系统的架构而产生 GOOGLE_INITIATED_SYSTEM_OPERATION 正当理由。具有此理由的密钥访问始终用于为客户工作负载服务。

如果客户已将代管式控制平面操作委托给 Google（例如创建代管式实例组），则所有代管式操作都会显示为系统操作。触发下游解密操作的托管实例组管理器等服务无权访问明文客户数据。
MODIFIED_GOOGLE_INITIATED_SYSTEM_OPERATION Google 系统会访问客户数据，以帮助优化数据结构或质量，以供客户将来使用。这些访问可以用于编入索引、结构化、预计算、哈希处理、分片和缓存客户数据。这还包括出于灾难恢复或数据完整性方面的原因备份数据，以及检测备份数据可以纠正的错误。某些操作（例如关键健康检查）由 Google 系统为直接响应客户资源活动启动，但可能会因所涉及系统的架构而产生 GOOGLE_INITIATED_SYSTEM_OPERATION 正当理由。具有此理由的密钥访问始终用于为客户工作负载服务。

同时，以下情况之一为 true：

  • Google 管理员在过去 7 天内重置了与用户组织关联的根访问权限帐号。
  • 过去 7 天内，Google 发起的紧急访问操作与当前所访问资源所在项目或文件夹中的资源进行了互动。

如果客户已将代管式控制平面操作委托给 Google（例如创建代管式实例组），则所有代管式操作都会显示为系统操作。触发下游解密操作的托管实例组管理器等服务无权访问明文客户数据。
REASON_NOT_EXPECTED

不应说明此密钥请求的原因，因为在处理该请求的过程中至少涉及到一项服务，而此服务具有以下特征之一：

  • 该服务从未与 Key Access Justifications 集成。
  • 该服务已与 Key Access Justifications 部分集成，但此集成仍处于预览版阶段。此类服务的部分内容可能无法与 Key Access Justifications 完全集成，从而导致理由无法生成。

虽然 REASON_NOT_EXPECTED 理由具有上述含义，但尚未达到 Key Access Justifications 集成的 GA 状态的服务也可能会生成其他理由，包括 REASON_UNSPECIFIED。对于在使用 Key Access Justifications GA 服务时生成的理由，Google 不做任何保证。
CUSTOMER_INITIATED_SUPPORT 客户发起的支持，例如“Case Number：####”。
GOOGLE_INITIATED_SERVICE

是指 Google 发起的系统管理和问题排查访问。Google 员工可以进行此类访问，原因如下：

  • 执行复杂的支持请求或调查所需的技术调试。
  • 修复技术问题，例如存储故障或数据损坏。
THIRD_PARTY_DATA_REQUEST Google 按照法律要求或司法程序发起的访问，包括 Google 在客户要求的情况下按照司法程序访问客户自己的数据。
GOOGLE_INITIATED_REVIEW Google 发起的针对安全性、欺诈、滥用或合规性目的访问，包括：
  • 确保客户账号和数据的安全性。
  • 确认数据是否受到可能影响帐号安全的事件（例如恶意软件感染）的影响。
  • 确认客户是否按照 Google 服务条款使用 Google 服务。
  • 调查其他用户和客户的投诉，或其他可能表明存在滥用行为的迹象。
  • 检查 Google 服务的使用是否符合相关合规性制度（例如，反洗钱条例）。
GOOGLE_RESPONSE_TO_PRODUCTION_ALERT

是指 Google 为维护系统可靠性而发起的访问。Google 员工可以出于以下原因进行此类访问：

  • 调查并确认疑似服务中断不会对客户造成影响。
  • 确保从服务中断和系统故障中进行备份和恢复。
REASON_UNSPECIFIED

您已启用 Key Access Justifications，但该请求没有任何理由。原因可能是暂时性错误、bug 或其他一些情况。

由于 Google Cloud 和某些 EKM 提供商提供的各种日志记录系统的具体理由显示实现，REASON_UNSPECIFIED 理由可以表示为空字符串。如果请求日志中存在理由字段，但未显示理由，则应将其解释为已收到 REASON_UNSPECIFIED 理由。
CUSTOMER_AUTHORIZED_WORKFLOW_SERVICING

在执行下列某项操作的同时，还遇到了内部技术问题，此问题导致无法生成更精确的理由代码：

  • 您的帐号被用于通过您的 IAM 政策授权对您自己的数据执行任何访问。
  • Google 自动化系统基于您的 IAM 政策授权的加密客户数据运行。
  • 客户发起的 Google 支持服务访问。
  • Google 发起的支持请求访问流程，以保护系统可靠性。

    • 如果遇到此类内部技术问题，Google 将立即采取补救措施，使相关系统恢复到生成其他更精确的理由代码的状态。

    为降低因使用 CUSTOMER_AUTHORIZED_WORKFLOW_SERVICING 理由的请求遭拒而导致服务中断，Google 建议您在 Key Access Justifications 政策中允许 CUSTOMER_AUTHORIZED_WORKFLOW_SERVICING。
不存在理由字段 系统不会为您启用 Key Access Justifications。

后续步骤