Monitorare l'utilizzo dell'EKM

Puoi utilizzare Cloud Monitoring per monitorare la connessione del gestore di chiavi esterno (EKM). Le seguenti metriche possono aiutarti a comprendere l'utilizzo di EKM:

  • cloudkms.googleapis.com/ekm/external/request_latencies
  • cloudkms.googleapis.com/ekm/external/request_count

Questa pagina mostra come creare una dashboard per monitorare le metriche relative alle chiavi EKM di Cloud e alla connessione del gestore di chiavi esterno, ad esempio conteggi e latenze delle richieste. Per ulteriori informazioni su queste metriche, consulta Metriche cloudkms. Per ulteriori informazioni sulla procedura di creazione delle dashboard descritta nelle sezioni seguenti, consulta Gestire le dashboard tramite API.

Prima di iniziare

I passaggi descritti in questa pagina presuppongono quanto segue:

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per creare dashboard utilizzando la gcloud CLI, chiedi all'amministratore di concederti i seguenti ruoli IAM nel progetto:

Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per creare dashboard utilizzando gcloud CLI. Per visualizzare le autorizzazioni esatte richieste, espandi la sezione Autorizzazioni richieste:

Autorizzazioni obbligatorie

Per creare dashboard utilizzando gcloud CLI sono necessarie le seguenti autorizzazioni:

  • monitoring.dashboards.create
  • monitoring.dashboards.delete
  • monitoring.dashboards.update
  • serviceusage.services.use

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Crea una dashboard per monitorare l'EKM

Per monitorare lo stato dell'EKM, crea una dashboard che monitori il numero di richieste e le latenze:

  1. Scarica la configurazione della dashboard: ekm-dashboard.json.

  2. Crea una dashboard personalizzata con il file di configurazione eseguendo il seguente comando:

    gcloud monitoring dashboards create \
--config-from-file=ekm-dashboard.json

Visualizzare la dashboard EKM

  1. Nella console Google Cloud, vai alla pagina Monitoraggio o utilizza il pulsante seguente:

    Vai a Monitoring

  2. Seleziona Risorse > Dashboard e visualizza la dashboard denominata Cloud KMS EKM.

Crea un criterio di avviso per le metriche EKM

Completa i seguenti passaggi utilizzando gcloud CLI:

  1. Seleziona un canale di notifica per ricevere avvisi sulle metriche EKM.

    • Per utilizzare un canale di notifica esistente, visualizza prima i tuoi canali:

      gcloud beta monitoring channels list

      Scegli un canale dall'elenco. Prendi nota dell'ID del canale di notifica, ti servirà più avanti.

    • Per utilizzare un nuovo canale di notifica, crealo utilizzando un indirizzo email:

      gcloud beta monitoring channels create \
--display-name="Notification channel for EKM latency alert" \
--description="This notification channel receives EKM latency metric alerts" \
--type=email \
--channel-labels=email_address=NOTIFICATION_EMAIL

      In caso di esito positivo, questo comando restituisce il nome del nuovo canale. Prendi nota dell'ID canale di notifica, ti servirà in seguito. L'output è simile al seguente:

      Created notification channel [projects/PROJECT_ID/notificationChannels/NOTIFICATION_CHANNEL_ID]

  2. Crea un criterio di avviso utilizzando il comando monitoring policies create:

        gcloud alpha monitoring policies create \
        --notification-channels=NOTIFICATION_CHANNEL_ID \
        --aggregation=' {"alignmentPeriod": "60s","perSeriesAligner": "ALIGN_PERCENTILE_99"}' \
        --condition-display-name="EKM Request Latency > 150ms" \
        --condition-filter='resource.type="cloudkms.googleapis.com/Project"
                            metric.type="cloudkms.googleapis.com/ekm/external/request_latencies"
                            metric.labels.ekm_service_region="LOCATION"
                            metric.labels.method="LABEL_METHOD"' \
        --duration="0s" \
        --if="> 150" \
        --display-name="EKM metric latency alert" \
        --trigger-count=1 \
        --combiner='AND'

    Sostituisci quanto segue:

    • NOTIFICATION_CHANNEL_ID: l'ID del canale di notifica.
    • LOCATION: la regione per cui vuoi ricevere un avviso per questa metrica. Se vuoi inviare un avviso indipendentemente dalla regione, omettimetric.labels.ekm_service_region.
    • LABEL_METHOD: l'etichetta method per la quale vuoi ricevere un avviso, ad esempio wrap, unwrap, asymmetricSign, checkCryptoSpacePermissions, createKey, getInfo o getPublicKey. Puoi utilizzare Metrics Explorer per esplorare le etichette delle metriche.

Passaggi successivi