Cómo usar Cloud Monitoring con Cloud KMS

Cloud Monitoring se puede usar para supervisar las operaciones realizadas en los recursos de Cloud Key Management Service.

En este tema, se ofrece lo siguiente:

  • un ejemplo sobre la supervisión cuando se programa la destrucción de una versión de clave
  • información sobre la supervisión de otros recursos y operaciones de Cloud KMS

Antes de comenzar

Si aún no lo hiciste, sigue estos pasos:

Crea una métrica de contador

Usa el comando gcloud logging metrics create para crear una métrica de contador que supervise todos los casos de destrucción programada de una versión de clave.

    gcloud logging metrics create key_version_destruction \
      --description "Key version scheduled for destruction" \
      --log-filter "resource.type=cloudkms_cryptokeyversion \
      AND protoPayload.methodName=DestroyCryptoKeyVersion"
    

Para obtener una lista de las métricas de contador que tienes, usa el comando gcloud logging metrics list:

    gcloud logging metrics list
    

Para obtener más información sobre cómo crear una métrica de contador, incluso a través de Google Cloud Console y la API de Monitoring, consulta Cómo crear una métrica de contador.

Crea una política de alertas

Puedes crear políticas de alertas para supervisar los valores de las métricas y que se te notifique cuando esas métricas infringen una condición. A continuación, se enumeran los pasos generales para crear una política de alertas que supervise los recursos de None:

  1. En Google Cloud Console, ve a Monitoring o utiliza el siguiente botón:
    Ir a Monitoring
  2. En el panel de navegación de Monitoring, selecciona Alertas y, luego, selecciona Crear política.
  3. Ingresa un nombre para la política de alertas.
  4. Haz clic en Agregar condición:
    1. En la configuración del panel Destino, se especifican el recurso y la métrica que se supervisarán. Haz clic en el cuadro de texto para habilitar un menú y, luego, selecciona logging/user/key_version_destruction. Deje vacío el nombre del recurso.
    2. La configuración del panel Configuración de la política de alertas determina cuándo se activa la alerta. Complete este panel con la configuración de la siguiente tabla.
      Panel Condiciones
      Campo

      Valor
      Condition triggers if Any time series violates
      Condition is above
      Threshold 0
      For most recent value
    3. Haz clic en Agregar.
  5. Haz clic en Agregar canal de notificaciones y, luego, ingresa la información del canal de notificaciones (opcional).
  6. Haz clic en Documentación y agrega cualquier dato que desees incluir en un mensaje de notificación (opcional).
  7. Haz clic en Guardar.
Para obtener más información, consulta Políticas de alertas.

A fin de probar tu nueva notificación, programa la destrucción de una versión de clave y revisa tu correo electrónico para ver si se envió.

Esta alerta se activará cada vez que se programe la destrucción de una versión de clave. Dado que la alerta se resolverá automáticamente (a pesar de que la versión de clave seguirá programada para su destrucción), se enviarán dos notificaciones por correo electrónico: una que avisa sobre la destrucción programada y otra que avisa sobre la resolución de la alerta.

Para obtener más información sobre las políticas de alertas, consulta Introducción a las alertas. Para obtener información sobre cómo activar, desactivar, editar, copiar o borrar una política de alerta, consulta Administra políticas.

Consulta Opciones de notificación, para obtener información sobre los distintos tipos de notificación.

Supervisión de actividades administrativas o acceso a los datos

La destrucción programada de una versión de clave es una actividad de administrador. Las actividades de administrador se registran automáticamente. Si deseas crear una alerta sobre el acceso a los datos de un recurso de Cloud KMS (p. ej., supervisar cuándo se usa una clave para la encriptación), debes habilitar los registros de acceso a los datos y crear una política de alerta como se describe en este tema.

Para obtener más información sobre los registros del acceso de datos y de actividades administrativas de Cloud KMS, consulta Usa Cloud Audit Logs con Cloud KMS.

Métricas de cuota de tarifa

Cloud KMS admite las siguientes métricas de cuota de tarifa:

  • cloudkms.googleapis.com/crypto_requests
  • cloudkms.googleapis.com/hsm_asymmetric_requests
  • cloudkms.googleapis.com/hsm_symmetric_requests
  • cloudkms.googleapis.com/read_requests
  • cloudkms.googleapis.com/write_requests

Para obtener información sobre cómo supervisar estas cuotas con Cloud Monitoring, consulta Supervisa métricas de cuota.