Soluciona problemas de CMEK

Puedes usar claves de encriptación administradas por el cliente (CMEK) para proteger Eventarc. Las claves se crean y administran a través de Cloud Key Management Service (Cloud KMS). En la siguiente tabla, se describen los diferentes problemas de CMEK y cómo resolverlos cuando se usa Cloud KMS con Eventarc.

Problemas que se producen cuando se crean o actualizan recursos de Eventarc

Problema con las CMEK Mensaje de error Descripción
Clave inhabilitada $KEY is not enabled, current state is: DISABLED

Se inhabilitó la clave de Cloud KMS proporcionada para un recurso de Eventarc. Los eventos o mensajes asociados con el recurso ya no están protegidos.

Solution:

  1. Muestra la clave que se usa para un canal.
  2. Vuelve a habilitar la clave de Cloud KMS.
Se superó la cuota Quota exceeded for limit

Se alcanzó el límite de cuota de solicitudes de Cloud KMS.

Solution:

  • Limita la cantidad de llamadas a Cloud KMS.
  • Aumenta la cuota.
Para obtener más información, consulta Supervisa y ajusta las cuotas de Cloud KMS.
La región no coincide Key region $REGION must match the resource to be protected

La región de la clave de KMS que se proporciona es diferente de la región del canal.

Solution:

Usa una clave de Cloud KMS de la misma región. Ten en cuenta que, en el caso de los canales en la multirregión eu, debes protegerla con una clave de Cloud KMS en la multirregión europe. Para obtener más información, consulta las ubicaciones de Cloud KMS y las ubicaciones multirregionales de Eventarc.

Restricción de las políticas de la organización project/PROJECT_ID violated org policy constraint

Eventarc está integrado con las siguientes dos restricciones de políticas de la organización para ayudar a garantizar el uso de CMEK en una organización. Ningún recurso de Eventarc existente está sujeto a una política que se establezca después de crearlo. Sin embargo, es posible que se produzca un error cuando se actualice el recurso.

  • constraints/gcp.restrictNonCmekServices causa que fallen todas las solicitudes de creación de recursos sin una clave de Cloud KMS especificada.

    Solution:

    Especifica una clave de Cloud KMS para el recurso de Eventarc. Para obtener más información, consulta Cómo exigir CMEK para recursos nuevos de Eventarc.

  • constraints/gcp.restrictCmekCryptoKeyProjects restringe las claves de Cloud KMS que puedes usar para proteger un recurso de Eventarc.

    Solution:

    Usa una clave de Cloud KMS compatible para el proyecto de Eventarc. Para obtener más información, consulta Cómo restringir las claves de Cloud KMS de un proyecto de Eventarc.

Problemas que se producen durante la publicación de eventos

Problema con las CMEK Mensaje de error Descripción
Clave inhabilitada $KEY is not enabled, current state is: DISABLED

Se inhabilitó la clave de Cloud KMS proporcionada para un recurso de Eventarc. Los eventos o mensajes asociados con el recurso ya no están protegidos.

Solution:

  1. Muestra la clave que se usa para un canal.
  2. Vuelve a habilitar la clave de Cloud KMS.
Se superó la cuota Quota exceeded for limit

Se alcanzó el límite de cuota de solicitudes de Cloud KMS.

Solution:

  • Limita la cantidad de llamadas a Cloud KMS.
  • Aumenta la cuota.
Para obtener más información, consulta Supervisa y ajusta las cuotas de Cloud KMS.
Error de permiso Permission 'cloudkms.cryptoKeyVersions.useToEncrypt' denied on resource $KEY (or it may not exist)

Es posible que la clave de Cloud KMS proporcionada no exista o que el permiso de Identity and Access Management (IAM) no esté configurado de forma correcta.

Solution:

Para resolver problemas que puedas encontrar cuando uses claves administradas de forma externa a través de Cloud External Key Manager (Cloud EKM), consulta la referencia de errores de Cloud EKM.

¿Qué sigue?