Statusänderungen mit Pub/Sub überwachen

Auf dieser Seite erfahren Sie, wie Sie mit Pub/Sub Benachrichtigungen zu Statusänderungen für Cloud KMS-Ressourcen erstellen.

Hinweise

Folgen Sie der Anleitung unter Vorab im Abschnitt „Asset-Änderungen im Blick behalten“, um APIs zu aktivieren, die erforderlichen Berechtigungen zu gewähren und ein Pub/Sub-Thema zu erstellen.

Feed konfigurieren

Konfigurieren Sie einen Feed, der die Art der Änderungen und Ressourcen überwacht, die Sie interessieren.

Bei allen Ressourcenänderungen benachrichtigen

Verwenden Sie den Befehl gcloud asset feeds create, um einen Feed zu erstellen.

gcloud asset feeds create FEED_NAME \
  --project=PROJECT_ID  \
  --asset-types="RESOURCE_TYPE" \
  --pubsub-topic="PUBSUB_TOPIC"

Ersetzen Sie Folgendes:

• FEED_NAME: Der Name für Ihren Pub/Sub-Feed.
• PROJECT_ID: Die ID des Cloud KMS-Projekts, das Sie überwachen möchten.

• RESOURCE_TYPE: Die Ressourcentypen, für die Sie Benachrichtigungen erhalten möchten. Setzen Sie zwischen den Ressourcentypen Kommas, z. B. cloudkms.googleapis.com/CryptoKey,cloudkms.googleapis.com/CryptoKeyVersion. Sie können Benachrichtigungen für jeden unterstützten Ressourcentyp erhalten, einschließlich der folgenden:

  • cloudkms.googleapis.com/CryptoKey
  • cloudkms.googleapis.com/CryptoKeyVersion
  • cloudkms.googleapis.com/EkmConnection
  • cloudkms.googleapis.com/ImportJob
  • cloudkms.googleapis.com/KeyRing

• PUBSUB_TOPIC: Der Name des Pub/Sub-Themas, das Sie unter Vorab erstellt haben

Dadurch wird eine Benachrichtigung erstellt, wenn Ressourcen des angegebenen Typs erstellt oder aktualisiert werden. Die Benachrichtigung gibt an, dass die Ressource aktualisiert wurde, enthält aber keine detaillierten Informationen zur Aktualisierung. Eine Aktualisierungsbenachrichtigung für eine CryptoKeyVersion kann beispielsweise bedeuten, dass die Version zur primären Version gemacht oder zum Löschen vorgemerkt wurde. Wenn Sie eine Benachrichtigung erhalten, dass eine Ressource aktualisiert wurde, sollten Sie den aktuellen Status der Ressource prüfen.

Hinweis :Das Löschen von Ressourcen wird von Cloud KMS nicht unterstützt. Schlüsselbunde, Schlüssel und Schlüsselversionen können nicht gelöscht werden. Cloud KMS-Ressourcen können nur vollständig gelöscht werden, wenn Sie das Projekt löschen, das sie enthält. Das Planen der Vernichtung einer CryptoKeyVersion und das Vernichten von CryptoKeyVersion-Ressourcen sind Aktualisierungsvorgänge.

Benachrichtigungen bei bestimmten Ressourcenänderungen

Verwenden Sie zum Erstellen eines Feeds mit einer Bedingung den Befehl gcloud asset feeds create mit dem Flag --condition-expression.

gcloud asset feeds create FEED_NAME \
  --project=PROJECT_ID  \
  --asset-types="RESOURCE_TYPE" \
  --pubsub-topic="PUBSUB_TOPIC" \
  --condition-expression="CONDITION_EXPRESSION"

Ersetzen Sie Folgendes:

• FEED_NAME: Der Name für Ihren Pub/Sub-Feed.
• PROJECT_ID: ID Ihres Cloud KMS-Projekts.

• RESOURCE_TYPE: Der Ressourcentyp, für den Sie Benachrichtigungen erhalten möchten, z. B. cloudkms.googleapis.com/CryptoKeyVersion. Sie können Benachrichtigungen für jeden unterstützten Ressourcentyp erhalten, einschließlich der folgenden:

  • cloudkms.googleapis.com/CryptoKey
  • cloudkms.googleapis.com/CryptoKeyVersion
  • cloudkms.googleapis.com/EkmConnection
  • cloudkms.googleapis.com/ImportJob
  • cloudkms.googleapis.com/KeyRing

• PUBSUB_TOPIC: Der Name des Pub/Sub-Themas, das Sie unter Vorab erstellt haben

• CONDITION_EXPRESSION: Bedingungsausdruck in Common Expression Language (CEL). Mit "folders/FOLDER_NUMBER" in temporal_asset.asset.ancestors werden beispielsweise nur dann Benachrichtigungen erstellt, wenn sich die angegebene Ressource im Ordner FOLDER_NUMBER befindet.

Dadurch wird eine Benachrichtigung erstellt, wenn Ressourcen des angegebenen Typs, die dem angegebenen Bedingungsausdruck entsprechen, erstellt, gelöscht oder aktualisiert werden.