将 Cloud Monitoring 与 Cloud KMS 搭配使用

Cloud Monitoring 可用于监控对 Cloud Key Management Service 中的资源执行的操作。

本主题提供以下各项：

• 监视密钥版本何时计划销毁的示例
• 有关监控其他 Cloud KMS 资源和操作的信息

准备工作

如果您尚未设置启用 Cloud Key Management Service API 的 Google Cloud 项目，请进行设置。Cloud KMS 快速入门中介绍了这些步骤。

创建计数器指标

使用 gcloud logging metrics create 命令创建计数器指标，该计数器指标将监控密钥版本的已安排的任何销毁。

gcloud logging metrics create key_version_destruction \
  --description "Key version scheduled for destruction" \
  --log-filter "resource.type=cloudkms_cryptokeyversion \
  AND protoPayload.methodName=DestroyCryptoKeyVersion"

您可以使用 gcloud logging metrics list 命令列出计数器指标：

gcloud logging metrics list

详细了解如何创建计数器指标，包括通过 Google Cloud 控制台和 Monitoring API，请参阅 创建计数器指标。

创建提醒政策

您可以创建提醒政策来监控指标的值，当这些指标违反条件时便会通知您。

1. 在 Google Cloud 控制台中，转到 提醒页面：

   进入提醒

   如果您使用搜索栏查找此页面，请选择子标题为监控的结果。

2. 如果您尚未创建通知渠道并希望收到通知，请点击修改通知渠道并添加通知渠道。添加渠道后，返回到提醒页面。
3. 在提醒页面中，点击创建政策。
4. 如需选择指标，请展开选择指标菜单，然后执行以下操作：
   1. 如需将菜单限制为相关条目，请在过滤栏中输入 key_version。如果过滤菜单后没有显示任何结果，请停用仅显示活跃的资源和指标切换开关。
   2. 对于资源类型，请选择 Global。
   3. 对于指标类别，选择基于日志的指标。
   4. 在指标部分，选择 logging/user/key_version_destruction。
   5. 选择应用。
5. 点击下一步。
6. 配置提醒触发器页面中的设置决定了何时触发提醒。 使用下表中的设置填写此页面。
   

   配置提醒触发器页面 字段	值
   Alert trigger	Any time series violates
   Threshold position	Above threshold
   Threshold value	0
   Advanced Options: Retest window	No retest

7. 点击下一步。
8. 可选：如需将通知添加到您的提醒政策中，请点击通知渠道。在对话框中，从菜单中选择一个或多个通知渠道，然后点击确定。
9. 可选：更新突发事件自动关闭持续时间。此字段用于确定在缺少指标数据的情况下 Monitoring 何时关闭突发事件。
10. 可选：点击文档，然后添加您希望包含在通知消息中的任何信息。
11. 点击提醒名称，然后输入提醒政策的名称。
12. 点击 Create Policy（创建政策）。

如需了解详情，请参阅提醒政策。

要测试新通知，请安排密钥版本进行销毁，然后检查您的电子邮件以查看通知是否已发送。

每次安排密钥版本销毁时都会触发此提醒。请注意，提醒将自动被解决（即使密钥版本仍然处于计划销毁状态），因此将有两个电子邮件通知，一个有关计划的销毁，另一个关于已解决的提醒。

如需了解有关提醒政策的更多信息，请参阅提醒简介。如需了解如何打开、关闭、修改、复制或删除提醒政策，请参阅管理政策。

如需了解不同类型通知的相关信息，请参阅通知选项。

注意：如果您只想测试用于安排销毁密钥版本的通知，但实际上不希望将其销毁，请恢复您安排销毁的密钥版本。

监控管理活动与数据访问

计划销毁密钥版本是一项管理员活动。 系统会自动记录管理员活动。如果要为对 Cloud KMS 资源的数据访问创建提醒（例如监控密钥何时用于加密时），您需要启用数据访问日志，然后参照主题相关内容创建提醒政策。

如需详细了解如何记录 Cloud KMS 管理活动和数据访问，请参阅将 Cloud Audit Logs 与 Cloud KMS 配合使用。

费率配额指标

Cloud KMS 支持以下费率配额指标：

• cloudkms.googleapis.com/crypto_requests
• cloudkms.googleapis.com/external_kms_requests
• cloudkms.googleapis.com/hsm_asymmetric_requests
• cloudkms.googleapis.com/hsm_symmetric_requests
• cloudkms.googleapis.com/read_requests
• cloudkms.googleapis.com/write_requests

如需了解如何使用 Cloud Monitoring 监控这些配额，请参阅监控配额指标。

后续步骤

• 监控外部密钥管理器的使用情况。