Monitorare le modifiche dello stato utilizzando Pub/Sub

Questa pagina mostra come utilizzare Pub/Sub per creare notifiche sulle modifiche di stato per le risorse Cloud KMS.

Prima di iniziare

Per abilitare le API, concedere le autorizzazioni richieste e creare un argomento Pub/Sub, segui le istruzioni riportate in Prima di iniziare in "Monitoraggio delle modifiche agli asset".

Configurare un feed

Configura un feed per monitorare il tipo di modifiche e risorse che ti interessano.

Invia notifiche per tutte le modifiche alle risorse

Per creare un feed, utilizza il comando gcloud asset feeds create.

gcloud asset feeds create FEED_NAME \
  --project=PROJECT_ID  \
  --asset-types="RESOURCE_TYPE" \
  --pubsub-topic="PUBSUB_TOPIC"

Sostituisci quanto segue:

• FEED_NAME: il nome da utilizzare per il feed Pub/Sub.
• PROJECT_ID: l'ID del progetto Cloud KMS che vuoi monitorare.

• RESOURCE_TYPE: i tipi di risorsa per cui vuoi ricevere notifiche. Utilizza le virgole tra i tipi di risorsa, ad esempio cloudkms.googleapis.com/CryptoKey,cloudkms.googleapis.com/CryptoKeyVersion. Puoi inviare notifiche su qualsiasi tipo di risorsa supportato, tra cui:

  • cloudkms.googleapis.com/CryptoKey
  • cloudkms.googleapis.com/CryptoKeyVersion
  • cloudkms.googleapis.com/EkmConnection
  • cloudkms.googleapis.com/ImportJob
  • cloudkms.googleapis.com/KeyRing

• PUBSUB_TOPIC: il nome dell'argomento Pub/Sub creato in Prima di iniziare

Viene creata una notifica quando vengono create o aggiornate risorse del tipo indicato. La notifica indica che la risorsa è stata aggiornata, ma non include informazioni dettagliate sull'aggiornamento. Ad esempio, la notifica di aggiornamento di un CryptoKeyVersion potrebbe indicare che la versione è stata impostata come principale o che è stata pianificata l'eliminazione della versione. Quando ricevi una notifica relativa all'aggiornamento di una risorsa, devi controllarla per conoscerne lo stato attuale.

Nota: Cloud KMS non supporta l'eliminazione di risorse. I keyring, le chiavi e le versioni delle chiavi non possono essere eliminati. L'unico modo per eliminare completamente le risorse Cloud KMS è eliminare il progetto che le contiene. La pianificazione dell'eliminazione e dell'eliminazione di CryptoKeyVersion risorse di un CryptoKeyVersion è un'operazione di aggiornamento.

Invia notifiche su modifiche specifiche alle risorse

Per creare un feed con una condizione, utilizza il comando gcloud asset feeds create con il flag --condition-expression.

gcloud asset feeds create FEED_NAME \
  --project=PROJECT_ID  \
  --asset-types="RESOURCE_TYPE" \
  --pubsub-topic="PUBSUB_TOPIC" \
  --condition-expression="CONDITION_EXPRESSION"

Sostituisci quanto segue:

• FEED_NAME: il nome da utilizzare per il feed Pub/Sub.
• PROJECT_ID: l'ID del progetto Cloud KMS.

• RESOURCE_TYPE: il tipo di risorsa per cui vuoi ricevere notifiche, ad esempio cloudkms.googleapis.com/CryptoKeyVersion. Puoi inviare notifiche su qualsiasi tipo di risorsa supportato, tra cui:

  • cloudkms.googleapis.com/CryptoKey
  • cloudkms.googleapis.com/CryptoKeyVersion
  • cloudkms.googleapis.com/EkmConnection
  • cloudkms.googleapis.com/ImportJob
  • cloudkms.googleapis.com/KeyRing

• PUBSUB_TOPIC: il nome dell'argomento Pub/Sub creato in Prima di iniziare

• CONDITION_EXPRESSION: un'espressione di condizione in Common Expression Language (CEL). Ad esempio, "folders/FOLDER_NUMBER" in temporal_asset.asset.ancestors fa sì che il feed crei notifiche solo quando la risorsa indicata si trova all'interno della cartella FOLDER_NUMBER.

Viene creata una notifica quando vengono create, eliminate o aggiornate risorse del tipo indicato che corrispondono all'espressione della condizione specificata.