监控和调整 Cloud KMS 配额

本页面介绍如何管理 Cloud Key Management Service 配额。如需详细了解与 Cloud KMS 相关的配额，请参阅配额。

准备工作

如需查看项目配额，您需要具备以下权限：

  • resourcemanager.projects.get
  • monitoring.timeSeries.list
  • serviceusage.services.list
  • serviceusage.quotas.get

如需更改项目配额，需要具备 serviceusage.quotas.update 权限。

如需详细了解哪些 IAM 角色包含这些权限，请参阅 IAM 权限参考文档。

查看 Cloud KMS 配额

  1. 在 Google Cloud 控制台中，前往 Cloud KMS API 的 API/服务详细信息页面。

    前往 Cloud KMS API/服务详情

    您可以在此页面上查看 Cloud KMS API 的配额详细信息。

  2. 如需查看其他项目的配额，请在Google Cloud 控制台标题中选择所需项目。

  3. 如需按配额类型过滤，请点击过滤条件栏，然后从属性列表中选择配额，再选择所需的配额。

  4. 如需按区域过滤，请点击过滤条件栏，然后从属性列表中选择维度（例如位置）：，接着输入所需的区域名称。

如果您发现自己即将达到或已超出配额，可以申请提高 Cloud KMS 配额。

排查配额问题

如果 Cloud KMS 因达到相关配额上限而拒绝请求，则会返回 RESOURCE_EXHAUSTED 错误。对于使用 Cloud KMS REST API 发出的请求，RESOURCE_EXHAUSTED 错误具有 429 的 HTTP 状态代码。由于 Cloud KMS 宿主项目配额是按每秒实施的，因此对于 HSM 或 EKM 密钥，偶尔出现的 RESOURCE_EXHAUSTED 错误可以通过在下一秒重试来解决。

反复出现 RESOURCE_EXHAUSTED 错误表示您的项目经常超出其一项或多项配额。如需解决此问题，您可以尝试以下任意或全部操作：

  • 降低项目发出使用 Cloud KMS 资源的请求的速率。

  • 申请提高 Cloud KMS 配额。

  • 请根据需要为资源使用单独的项目，以免多个资源共享相同的配额。

    • 调用项目配额 - 如果您有一个项目包含多个以高请求速率使用 Cloud KMS API 的资源，请考虑将资源移至各自的项目，以免它们共用 60,000 QPM 的限制。

    • 宿主项目配额 - 如果您有一个包含 Cloud HSM 或 Cloud EKM 密钥的单个项目，这些密钥支持具有高 QPS 率的不同资源，请考虑根据优先级或工作负载等详细信息将 Cloud KMS 密钥拆分到单独的项目中。这样一来，共享同一 Cloud HSM 和 Cloud EKM 配额的密钥就会更少。

  • 向客户端添加退避机制，以处理 RESOURCE_EXHAUSTED 错误。

申请更高的 Cloud KMS 配额

  1. 在 Google Cloud 控制台中，前往 Cloud KMS API 的 API/服务详细信息页面。

    前往 Cloud KMS API/服务详情

    您可以在此页面上查看 Cloud KMS API 的配额详细信息。

  2. 如需为其他项目申请增加配额，请在 Google Cloud 控制台标题中选择所需项目。

  3. 在配额列表中，选择要增加的默认配额或区域级配额，然后点击修改配额。

  4. 在配额更改窗格中，输入所选配额的所需限额。

  5. 在申请说明中，说明您的申请原因。

  6. 点击下一步以继续。

  7. 提供您的联系信息，包括姓名、电子邮件地址和电话号码。

  8. 如需完成请求，请点击提交请求。

    提交请求后，系统会将其发送给审批者进行评估。审核完成后，我们会通知您申请的状态。

限制特定项目的 Cloud KMS 使用量

如果您希望对 Cloud KMS 资源的使用施加更严格的配额限制，可以选择将指定项目的配额设置为低于默认值的限制。例如，如果您有多个项目的资源使用同一项目中的 Cloud HSM 或 Cloud EKM 密钥，您可以选择在每个调用项目上将加密请求配额设置得较低，以确保您不会超出托管这些密钥的项目上的每个区域的 HSM 对称加密请求等配额。

  1. 在 Google Cloud 控制台中，前往 Cloud KMS API 的 API/服务详细信息页面。

    前往 Cloud KMS API/服务详情

    您可以在此页面上查看 Cloud KMS API 的配额详细信息。

  2. 如需减少其他项目的配额，请在 Google Cloud 控制台标题中选择所需项目。

  3. 在配额列表中，选择要减少的默认配额或区域配额，然后点击修改配额。

  4. 在配额更改窗格中，输入所选配额的所需限额。

  5. 点击下一步以继续。

    如果您要将配额降低的幅度超过当前限制的 10%，系统会显示警告。如需继续应用低于默认值的配额，请点击确认。否则，您可以点击取消返回并选择新的限额。

  6. 如需保存更改，请点击提交请求。

    新限额会立即生效。

后续步骤