CMEK の問題のトラブルシューティング

顧客管理の暗号鍵（CMEK）を使用して Eventarc を保護できます。鍵は Cloud Key Management Service（Cloud KMS）で作成され、管理されます。次の表に、Eventarc で Cloud KMS を使用する際のさまざまな CMEK の問題とその解決方法を示します。

Eventarc リソースの作成または更新時に発生する問題

CMEK の問題 エラー メッセージ 説明
無効なキー $KEY is not enabled, current state is: DISABLED

指定された Cloud KMS 鍵が Eventarc リソースで無効になっています。リソースに関連付けられているイベントやメッセージは保護されなくなります。

解決策:

  1. チャネルに使用されている鍵を表示する。
  2. Cloud KMS 鍵を再度有効にします。
割り当てを超過しました Quota exceeded for limit

Cloud KMS リクエストの割り当て上限に達しました。

解決策:

  • Cloud KMS の呼び出し数を制限します。
  • 割り当てを増やす。
詳細については、Cloud KMS の割り当てのモニタリングと調整をご覧ください。
リージョンの不一致 Key region $REGION must match the resource to be protected

指定された KMS 鍵のリージョンがチャネルのリージョンと異なります。

解決策:

同じリージョンの Cloud KMS 鍵を使用します。マルチリージョン eu のチャネルの場合は、マルチリージョン europe の Cloud KMS 鍵を使用して保護する必要があります。詳細については、Cloud KMS のロケーションと Eventarc マルチリージョンのロケーションをご覧ください。
組織のポリシーの制約 project/PROJECT_ID violated org policy constraint

Eventarc は、組織全体で CMEK が使用されるように、次の 2 つの組織のポリシーの制約と統合されています。既存の Eventarc リソースは、リソースの作成後に設定されたポリシーの対象ではありませんが、リソースの更新が失敗する可能性があります。

  • constraints/gcp.restrictNonCmekServices を使用すると、指定された Cloud KMS 鍵を持たないすべてのリソース作成リクエストが失敗します。

    解決策:

    Eventarc リソースの Cloud KMS 鍵を指定します。詳細については、新しい Eventarc リソースに CMEK を必須にするをご覧ください。

  • constraints/gcp.restrictCmekCryptoKeyProjects は、Eventarc リソースの保護に使用できる Cloud KMS 鍵を制限します。

    解決策:

    Eventarc プロジェクトにサポートされている Cloud KMS 鍵を使用します。詳細については、Eventarc プロジェクトの Cloud KMS 鍵を制限するをご覧ください。

イベント配信中に発生する問題

CMEK の問題 エラー メッセージ 説明
無効なキー $KEY is not enabled, current state is: DISABLED

指定された Cloud KMS 鍵が Eventarc リソースで無効になっています。リソースに関連付けられているイベントやメッセージは保護されなくなります。

解決策:

  1. チャネルに使用されている鍵を表示する。
  2. Cloud KMS 鍵を再度有効にします。
割り当てを超過しました Quota exceeded for limit

Cloud KMS リクエストの割り当て上限に達しました。

解決策:

  • Cloud KMS の呼び出し数を制限します。
  • 割り当てを増やす。
詳細については、Cloud KMS の割り当てのモニタリングと調整をご覧ください。
権限エラー Permission 'cloudkms.cryptoKeyVersions.useToEncrypt' denied on resource $KEY (or it may not exist)

指定された Cloud KMS 鍵が存在しないか、Identity and Access Management（IAM）権限が適切に構成されていません。

解決策:

Cloud External Key Manager（Cloud EKM）を介して外部管理鍵を使用する場合に発生する可能性のある問題を解決するには、Cloud EKM エラー リファレンスをご覧ください。

次のステップ