Utilizzo di Cloud Monitoring con Cloud KMS

Cloud Monitoring può essere utilizzato per monitorare le operazioni eseguite sulle risorse in Cloud Key Management Service.

Questo argomento fornisce:

  • Un esempio di monitoraggio in caso di eliminazione della versione di una chiave
  • informazioni sul monitoraggio di altre risorse e operazioni di Cloud KMS

Prima di iniziare

Se non lo hai già fatto, configura un progetto Google Cloud con l'API Cloud Key Management Service abilitata. Questi passaggi sono documentati nella guida rapida di Cloud KMS.

Crea una metrica del contatore

Utilizza il comando gcloud logging metrics create per creare una metrica del contatore che monitori qualsiasi occorrenza dell'eliminazione pianificata di una versione della chiave.

gcloud logging metrics create key_version_destruction \
  --description "Key version scheduled for destruction" \
  --log-filter "resource.type=cloudkms_cryptokeyversion \
  AND protoPayload.methodName=DestroyCryptoKeyVersion"

Puoi elencare le metriche del contatore utilizzando il comando gcloud logging metrics list:

gcloud logging metrics list

Per ulteriori informazioni sulla creazione di una metrica del contatore, anche tramite la console Google Cloud e l'API Monitoring, consulta Creazione di una metrica del contatore.

Crea un criterio di avviso

Puoi creare criteri di avviso per monitorare i valori delle metriche e per ricevere una notifica quando queste metriche violano una condizione.

  1. Nella console Google Cloud, seleziona Monitoring, quindi  Avvisi o fai clic sul pulsante seguente:

    Vai ad Avvisi

  2. Se non hai creato i tuoi canali di notifica e se vuoi ricevere una notifica, fai clic su Modifica canali di notifica e aggiungi i tuoi canali di notifica. Torna alla pagina Avvisi dopo aver aggiunto i canali.
  3. Nella pagina Avvisi, seleziona Crea criterio.
  4. Per selezionare la metrica, espandi il menu Seleziona una metrica e segui questi passaggi:
    1. Per limitare il menu alle voci pertinenti, inserisci key_version nella barra dei filtri. Se non visualizzi risultati dopo aver filtrato il menu, disattiva l'opzione Mostra solo risorse e metriche attive.
    2. Per Tipo di risorsa, seleziona Globale.
    3. Per la Categoria delle metriche, seleziona Metrica basata su log.
    4. Per Metrica, seleziona logging/user/key_version_destruction.
    5. Seleziona Applica.
  5. Tocca Next (Avanti).
  6. Le impostazioni nella pagina Configura l'attivatore di avviso determinano quando l'avviso viene attivato. Completa questa pagina con le impostazioni nella seguente tabella.
    Configura trigger di avviso page
    Campo
    Valore
    Alert trigger Any time series violates
    Threshold position Above threshold
    Threshold value 0
    Advanced Options: Retest window No retest
  7. Tocca Next (Avanti).
  8. (Facoltativo) Per aggiungere notifiche al criterio di avviso, fai clic su Canali di notifica. Nella finestra di dialogo, seleziona uno o più canali di notifica dal menu e fai clic su OK.
  9. (Facoltativo) Aggiorna la Durata della chiusura automatica degli incidenti. Questo campo determina quando Monitoring chiude gli incidenti in assenza di dati delle metriche.
  10. (Facoltativo) Fai clic su Documentazione, quindi aggiungi le informazioni che vuoi includere in un messaggio di notifica.
  11. Fai clic su Nome avviso e inserisci un nome per il criterio di avviso.
  12. Fai clic su Crea criterio.
Per saperne di più, vedi Criteri di avviso.

Per testare la nuova notifica, pianifica l'eliminazione della versione della chiave e controlla l'email per verificare se è stata inviata.

Questo avviso verrà attivato ogni volta che è stata programmata la distruzione di una versione della chiave. Tieni presente che l'avviso verrà risolto automaticamente (anche se la versione della chiave rimane programmata per l'eliminazione), perciò ci saranno due notifiche via email, una per l'eliminazione pianificata e una per l'eliminazione.

Per ulteriori informazioni sui criteri di avviso, vedi Introduzione agli avvisi. Per scoprire come attivare, disattivare, modificare o copiare un criterio di avviso, vedi Gestire i criteri.

Per informazioni sui diversi tipi di notifiche, vedi Opzioni di notifica.

Confronto tra attività amministrative e accesso ai dati

L'eliminazione pianificata di una versione della chiave è un'attività dell'amministratore. Le attività dell'amministratore vengono registrate automaticamente. Se vuoi creare un avviso per l'accesso ai dati di una risorsa Cloud KMS, ad esempio per monitorare quando una chiave viene utilizzata per la crittografia, devi abilitare i log di accesso ai dati e quindi creare un criterio di avviso come descritto in questo argomento.

Per ulteriori informazioni sul logging delle attività amministrative e dell'accesso ai dati di Cloud KMS, consulta Utilizzo degli audit log di Cloud con Cloud KMS.

Metriche relative alle quote di frequenza

Cloud KMS supporta le seguenti metriche relative alle quote di frequenza:

  • cloudkms.googleapis.com/crypto_requests
  • cloudkms.googleapis.com/external_kms_requests
  • cloudkms.googleapis.com/hsm_asymmetric_requests
  • cloudkms.googleapis.com/hsm_symmetric_requests
  • cloudkms.googleapis.com/read_requests
  • cloudkms.googleapis.com/write_requests

Per informazioni sul monitoraggio di queste quote utilizzando Cloud Monitoring, consulta Monitoraggio delle metriche delle quote.

Passaggi successivi