Kuota

Google Cloud memberlakukan kuota pada penggunaan resource. Untuk Cloud KMS, kuota diberlakukan untuk penggunaan resource seperti kunci, key ring, versi kunci, dan lokasi. Untuk mengetahui detail tentang cara mengelola atau meningkatkan kuota, lihat Memantau dan menyesuaikan kuota Cloud KMS.

Melihat kuota Cloud KMS

Tidak ada kuota pada jumlah resource KeyRing, CryptoKey, atau CryptoKeyVersion, hanya pada jumlah operasi.

Beberapa kuota pada operasi ini berlaku untuk project panggilan, yaitu project Google Cloud yang melakukan panggilan ke layanan Cloud KMS. Kuota lainnya berlaku untuk project hosting, yaitu project Google Cloud yang berisi kunci yang digunakan untuk operasi.

Kuota project panggilan tidak mencakup penggunaan yang dihasilkan oleh layanan Google Cloud yang menggunakan kunci Cloud KMS untuk integrasi kunci enkripsi yang dikelola pelanggan (CMEK). Misalnya, permintaan enkripsi dan dekripsi yang berasal langsung dari BigQuery, Bigtable, atau Spanner tidak berkontribusi pada kuota Permintaan kriptografis.

Konsol Google Cloud mencantumkan batas untuk setiap kuota dalam kueri per menit (QPM), tetapi kuota project hosting diterapkan per detik. Kuota yang diterapkan dalam kueri per detik (QPS) akan menolak permintaan yang melebihi batas QPS, meskipun penggunaan per menit Anda kurang dari batas QPM yang tercantum. Jika melebihi batas QPS, Anda akan menerima error RESOURCE_EXHAUSTED.

Kuota penggunaan resource Cloud KMS

Tabel berikut mencantumkan setiap kuota yang diterapkan ke resource Cloud KMS. Tabel ini memberikan nama dan batas setiap kuota, project yang menerapkan kuota, dan operasi yang mengurangi kuota. Anda dapat memasukkan kata kunci di kolom untuk memfilter tabel. Misalnya, Anda dapat memasukkan calling untuk melihat hanya kuota yang diterapkan ke project panggilan atau encrypt untuk melihat hanya kuota yang terkait dengan operasi enkripsi:

Kuota Project Batas Resource dan operasi
Baca permintaan
cloudkms.googleapis.com​/read_requests		 Project panggilan 300 QPM

cryptoKeys: get, getIamPolicy, list, testIamPermissions

cryptoKeyVersions: get, list

ekmConnections: get, getIamPolicy, list, testIamPermissions, verifyConnectivity

importJobs: get, getIamPolicy, list, testIamPermissions

keyRings: get, getIamPolicy, list, testIamPermissions

locations: get, list

Dikecualikan: operasi dari konsol Google Cloud.
Permintaan tulis
cloudkms.googleapis.com​/write_requests		 Project panggilan 60 QPM

cryptoKeys: create, patch, setIamPolicy, updatePrimaryVersion

cryptoKeyVersions: create, destroy, import, patch, restore

ekmConnections: create, patch, setIamPolicy

importJobs: create, setIamPolicy

keyRings: create, setIamPolicy

Dikecualikan: operasi dari konsol Google Cloud.
Permintaan kriptografis
cloudkms.googleapis.com​/crypto_requests		 Project panggilan 60.000 QPM

cryptoKeys: encrypt, decrypt

cryptoKeyVersions: asymmetricDecrypt, asymmetricSign, getPublicKey, macSign, macVerify, rawEncrypt, rawDecrypt

locations: generateRandomBytes

Dikecualikan: operasi dari integrasi CMEK.
Permintaan kriptografi simetris HSM per region
cloudkms.googleapis.com​/hsm_symmetric_requests		 Project hosting 500 QPS

cryptoKeys: encrypt, decrypt

cryptoKeyVersions: asymmetricDecrypt, asymmetricSign, getPublicKey, macSign, macVerify, rawEncrypt, rawDecrypt
Permintaan kriptografi asimetris HSM per wilayah
cloudkms.googleapis.com​/hsm_asymmetric_requests		 Project hosting 50 QPS

cryptoKeys: encrypt, decrypt

cryptoKeyVersions: asymmetricDecrypt, asymmetricSign, getPublicKey, macSign, macVerify
HSM membuat permintaan acak per region
cloudkms.googleapis.com​/hsm_generate_random_requests		 Project hosting 50 QPS

locations: generateRandomBytes
Permintaan kriptografi eksternal per region
cloudkms.googleapis.com​/external_kms_requests		 Project hosting 100 QPS

cryptoKeys: encrypt, decrypt

cryptoKeyVersions: asymmetricDecrypt, asymmetricSign, getPublicKey, macSign, macVerify

Contoh kuota

Bagian berikut menyertakan contoh setiap kuota menggunakan contoh project berikut:

  • KEY_PROJECT - Project Google Cloud yang berisi kunci Cloud KMS, termasuk kunci Cloud HSM dan Cloud EKM.

  • SPANNER_PROJECT - Project Google Cloud yang berisi instance Spanner yang menggunakan kunci enkripsi yang dikelola pelanggan (CMEK) yang berada di KEY_PROJECT.

  • SERVICE_PROJECT - Project Google Cloud yang berisi akun layanan yang Anda gunakan untuk mengelola resource Cloud KMS yang berada di KEY_PROJECT.

Permintaan baca

Kuota Permintaan baca membatasi permintaan baca dari project Google Cloud yang memanggil Cloud KMS API. Misalnya, melihat daftar kunci di KEY_PROJECT dari KEY_PROJECT menggunakan Google Cloud CLI akan mengurangi kuota Permintaan baca KEY_PROJECT. Jika Anda menggunakan akun layanan di SERVICE_PROJECT untuk melihat daftar kunci, permintaan baca akan diperhitungkan dalam kuota Permintaan baca SERVICE_PROJECT.

Menggunakan konsol Google Cloud untuk melihat resource Cloud KMS tidak akan mengurangi kuota Permintaan baca.

Permintaan tulis

Kuota Permintaan tulis membatasi permintaan tulis dari project Google Cloud yang memanggil Cloud KMS API. Misalnya, membuat kunci di KEY_PROJECT menggunakan gcloud CLI akan mengurangi kuota Permintaan tulis KEY_PROJECT. Jika Anda menggunakan akun layanan di SERVICE_PROJECT untuk membuat kunci, permintaan tulis akan mengurangi kuota Permintaan tulis SERVICE_PROJECT.

Penggunaan konsol Google Cloud untuk membuat atau mengelola resource Cloud KMS tidak berkontribusi pada kuota Permintaan baca.

Permintaan kriptografis

Kuota Permintaan kriptografis membatasi operasi kriptografis dari project Google Cloud yang memanggil Cloud KMS API. Misalnya, mengenkripsi data menggunakan panggilan API dari resource akun layanan yang berjalan di SERVICE_PROJECT menggunakan kunci dari KEY_PROJECT akan mengurangi kuota Permintaan kriptografis SERVICE_PROJECT.

Enkripsi dan dekripsi data dalam resource Spanner di SPANNER_PROJECT menggunakan integrasi CMEK tidak diperhitungkan dalam kuota Permintaan kriptografis SPANNER_PROJECT.

Permintaan kriptografi simetris HSM per region

Kuota permintaan kriptografi simetris HSM per region membatasi operasi kriptografi menggunakan kunci Cloud HSM simetris di project Google Cloud yang berisi kunci tersebut. Misalnya, mengenkripsi data di resource Spanner menggunakan kunci HSM simetris akan mengurangi kuota permintaan kriptografi simetris HSM per region KEY_PROJECT.

Permintaan kriptografi asimetris HSM per region

Kuota permintaan kriptografis asimetris HSM per region membatasi operasi kriptografis menggunakan kunci Cloud HSM asimetris di project Google Cloud yang berisi kunci tersebut. Misalnya, mengenkripsi data di resource Spanner menggunakan kunci HSM asimetris akan mengurangi kuota permintaan kriptografi asimetris HSM per region KEY_PROJECT.

HSM membuat permintaan acak per region

Batas kuota HSM membuat permintaan acak per region menghasilkan operasi byte acak menggunakan Cloud HSM di project Google Cloud yang ditentukan dalam pesan permintaan. Misalnya, permintaan dari sumber mana pun untuk menghasilkan byte acak di KEY_PROJECT akan dihitung terhadap kuota KEY_PROJECT HSM membuat permintaan acak per region.

Permintaan kriptografis eksternal per region

Kuota Permintaan kriptografis eksternal per region membatasi operasi kriptografis menggunakan kunci eksternal (Cloud EKM) di project Google Cloud yang berisi kunci tersebut. Misalnya, mengenkripsi data di resource Spanner menggunakan kunci EKM akan mengurangi kuota Permintaan kriptografis eksternal per region KEY_PROJECT.

Informasi error kuota

Jika Anda membuat permintaan setelah kuota tercapai, permintaan Anda akan menghasilkan error RESOURCE_EXHAUSTED. Kode status HTTP adalah 429. Untuk informasi tentang cara library klien menampilkan error RESOURCE_EXHAUSTED, lihat Pemetaan library klien.

Jika menerima error RESOURCE_EXHAUSTED, Anda mungkin mengirim terlalu banyak permintaan operasi kriptografis per detik. Anda dapat menerima error RESOURCE_EXHAUSTED meskipun konsol Google Cloud menunjukkan bahwa Anda berada dalam batas kueri per menit. Masalah ini dapat terjadi karena kuota project hosting Cloud KMS ditampilkan per menit, tetapi diterapkan pada skala per detik. Untuk mempelajari metrik pemantauan lebih lanjut, lihat Pemantauan dan pemberitahuan mengenai metrik kuota.

Untuk mengetahui detail tentang pemecahan masalah kuota Cloud KMS, lihat Memecahkan masalah kuota.

Langkah selanjutnya