Questo argomento ti aiuta a interpretare e risolvere i problemi relativi agli errori che potrebbero verificarsi durante l'utilizzo di Cloud External Key Manager (Cloud EKM).
Struttura di un errore
La struttura dei messaggi di errore offre la massima granularità possibile per aiutarti a diagnosticare e risolvere il problema. Gli errori vengono
restituito in una struttura google.rpc.Status. All'interno di questa struttura:
- Il campo
google.rpc.Status.codemostra la categoria generale dell'errore. - Il campo
google.rpc.Status.messagemostra un messaggio leggibile, inclusi dettagli sull'azione specifica tentata e suggerimenti in base al contesto per la risoluzione dell'errore. Se
google.rpc.Status.codeèFAILED_PRECONDITION, la strutturagoogle.rpc.PreconditionFailureè leggibile dalla macchina. Contiene due struttureviolation.violation[0]contiene informazioni sullo stato della chiave Cloud EKM.violation[1]contiene informazioni sul tentativo di contattare il sistema esterno di gestione delle chiavi del partner.violation[1].typecontiene informazioni sul tipo di errore. Cloud EKM fa riferimento a queste informazioni come "dominio di errore".Se gli errori persistono, contatta l'assistenza del partner esterno per la gestione delle chiavi.
In questo riferimento, i messaggi in google.rpc.Status.message sono troncati per motivi di leggibilità. La parte troncata include informazioni come l'URI o il percorso della chiave esterna.
Risoluzione dei problemi
Gli errori che si verificano durante l'utilizzo di Cloud EKM possono essere causati da problemi di input, da Cloud EKM, dal sistema del partner di gestione delle chiavi esterne, dalle comunicazioni tra questi elementi o da altri fattori. Puoi leggere informazioni specifiche sulla risoluzione dei problemi nella sezione relativa a ogni tipo di errore.
A seconda del tipo di errore, potrebbe essere necessario contattare l'assistenza di Cloud EKM o l'assistenza per il sistema esterno di gestione delle chiavi del partner.
Se l'errore non è indicato nelle tabelle riportate di seguito, consulta la sezione Risolvere gli errori EKM tramite VPC.
Errori di immissione
Segui i consigli per la risoluzione dei problemi nel campo google.rpc.Status.message dell'errore. Se il problema persiste, contatta l'assistenza di Google Cloud.
Salvo diversa indicazione, gli errori in questa sezione hanno google.rpc.Status.code di
FAILED_PRECONDITION.
google.rpc.Status.message |
violation[1].type(dominio dell'errore) |
Risoluzione dei problemi |
|---|---|---|
Permission was denied when accessing the EKM_ELEMENT. |
EXTERNAL_PERMISSION_DENIED |
Quando EKM_ELEMENT è key, Cloud EKM disattiva anche la versione della chiave. Concedi le autorizzazioni corrette nel gestore chiavi esterno e riprova ruotando la chiave Cloud EKM.Se EKM_ELEMENT è crypto space o EKM host, concedi il ruolo o le autorizzazioni appropriate all'account di servizio e riprova. |
Could not find a EKM_ELEMENT o Could not query EKM host. |
EXTERNAL_NOT_FOUND |
Quando EKM_ELEMENT è key, verifica che l'URI della chiave esterna o il percorso della chiave sia corretto.Quando EKM_ELEMENT è crypto space, verifica che il percorso dello spazio crypto sia corretto. Quando non è possibile eseguire una query su un EKM host, verifica che il nome host EKM sia corretto. Se sono scritte correttamente, contatta l'assistenza per il sistema esterno di gestione delle chiavi del partner. |
Key URI has invalid format. |
EXTERNAL_KEY_URI_INVALID |
Verifica che l'URI della chiave in questa richiesta sia corretto e riprova ruotando la chiave Cloud EKM. |
Key URI host is not supported. |
EXTERNAL_KEY_HOST_NOT_WHITELISTED |
Verifica che l'URI della chiave sia corretto. Se gestisci il deployment del sistema esterno di gestione delle chiavi del partner, contatta l'assistenza Google Cloud. In caso contrario, contatta l'assistenza per il sistema esterno di gestione delle chiavi del partner. |
Could not resolve the domain name for EKM_ELEMENT. |
DNS |
Verifica che l'URI della chiave, il percorso della chiave, lo spazio di crittografia o il nome host EKM siano corretti. In caso affermativo, contatta l'assistenza per il sistema esterno di gestione delle chiavi del partner. |
Errori recuperabili
Segui i consigli per la risoluzione dei problemi nel campo google.rpc.Status.message dell'errore. Se riscontri timeout o errori di rete frequenti, assicurati che la posizione geografica delle chiavi Cloud EKM sia il più vicina possibile alla regione che utilizzi per le chiavi esterne. Se il problema persiste, contatta l'assistenza
per il partner esterno per la gestione delle chiavi.
Salvo diversa indicazione, gli errori in questa sezione hanno un google.rpc.Status.code
FAILED_PRECONDITION. EKM_ELEMENT può essere uno dei seguenti valori: key, crypto space o EKM host.
google.rpc.Status.message |
violation[1].type(dominio dell'errore) |
|---|---|
Throttled when trying to access key URI. |
EXTERNAL_RESOURCE_EXHAUSTED |
Could not reach the EKM_ELEMENT due to an external networking error. |
UNREACHABLE_NETWORK |
Could not reach the EKM_ELEMENT because the external key manager reports that it is overloaded. |
OVERLOADED_EKM |
Timed out when trying to access the EKM_ELEMENT. |
TIMEOUT |
| Questo errore si verifica in genere quando l'EKM è troppo lento per rispondere. La lentezza può essere causata dal fatto che l'EKM riceve più richieste di quante ne possa gestire o da una latenza di rete troppo alta. | REQUEST_CANCELLED |
Errori del sistema di gestione chiavi esterno
Se questi errori persistono, contatta l'assistenza del partner esterno per la gestione delle chiavi.
Salvo diversa indicazione, gli errori in questa sezione hanno un google.rpc.Status.code
FAILED_PRECONDITION. EKM_ELEMENT può essere uno dei seguenti valori: key, crypto space o EKM host.
google.rpc.Status.message |
violation[1].type(dominio dell'errore) |
|---|---|
Could not validate the TLS server certificate for the EKM_ELEMENT. |
TLS_CERT |
Got garbled or unusable response when trying to access the EKM_ELEMENT. |
UNEXPECTED_RESPONSE |
External server error when trying to access the EKM_ELEMENT. |
EXTERNAL_SERVER_ERROR |
The external key manager indicated they have not implemented the appropriate method to support Cloud KMS's EKM_API.
EKM_API può essere uno dei valori AsymmetricSign, CheckCryptoSpacePermissions, CreateKey, Decrypt, DestroyKey, Encrypt, GetInfo o GetPublicKey |
EXTERNAL_NOT_IMPLEMENTED |
Got unexpected error when trying to access the EKM_ELEMENT. |
UNEXPECTED_ERROR |
Decryption failed: The EKM reports that decryption failed.Ciò significa che l'URI della chiave è valido, ma il sistema esterno di gestione delle chiavi del partner non è riuscito a decriptare il blob con wrapping o i dati autenticati aggiuntivi (AAD). google.rpc.Status.code è INVALID_ARGUMENT. |
DECRYPTION_FAILED |
Richiedere assistenza
Se riscontri un errore non elencato in questo documento di riferimento, contatta l'assistenza di Google Cloud.