Kuota

Google Cloud memberlakukan kuota pada penggunaan resource. Untuk Cloud KMS, kuota diberlakukan untuk penggunaan resource seperti kunci, key ring, versi kunci, dan lokasi. Untuk mengetahui detail cara mengelola atau meningkatkan kuota, lihat Memantau dan menyesuaikan kuota Cloud KMS.

Melihat kuota Cloud KMS

Tidak ada kuota pada jumlah resource KeyRing, CryptoKey, atau CryptoKeyVersion, hanya pada jumlah operasi.

Beberapa kuota pada operasi ini berlaku untuk project yang melakukan panggilan, yaitu Google Cloud project yang melakukan panggilan ke layanan Cloud KMS. Kuota lain berlaku untuk project hosting, project Google Cloud yang berisi kunci yang digunakan untuk operasi.

Kuota project panggilan tidak mencakup penggunaan yang dihasilkan oleh Google Cloud layanan yang menggunakan kunci Cloud KMS untuk integrasi kunci enkripsi yang dikelola pelanggan (CMEK). Misalnya, permintaan enkripsi dan dekripsi yang berasal langsung dari BigQuery, Bigtable, atau Spanner tidak berkontribusi pada kuota Permintaan kriptografis.

Konsol Google Cloud mencantumkan batas untuk setiap kuota dalam kueri per menit (QPM), tetapi kuota project hosting diterapkan per detik. Kouta yang diterapkan dalam kueri per detik (QPS) menolak permintaan yang melebihi batas QPS, meskipun penggunaan per menit Anda kurang dari batas QPM yang tercantum. Jika melebihi batas QPS, Anda akan menerima error RESOURCE_EXHAUSTED.

Kuota penggunaan resource Cloud KMS

Tabel berikut mencantumkan setiap kuota yang diterapkan ke resource Cloud KMS. Tabel ini memberikan nama dan batas setiap kuota, project yang menerapkan kuota, dan operasi yang dihitung dalam kuota. Anda dapat memasukkan kata kunci di kolom untuk memfilter tabel. Misalnya, Anda dapat memasukkan calling untuk melihat hanya kuota yang diterapkan ke project pemanggil atau encrypt untuk melihat hanya kuota yang terkait dengan operasi enkripsi:

Kuota Project Batas Resource dan operasi
Membaca permintaan
cloudkms.googleapis.com​/read_requests		 Project panggilan 300 QPM

cryptoKeys: get, getIamPolicy, list, testIamPermissions

cryptoKeyVersions: get, list

ekmConnections: get, getIamPolicy, list, testIamPermissions, verifyConnectivity

importJobs: get, getIamPolicy, list, testIamPermissions

keyRings: get, getIamPolicy, list, testIamPermissions

locations: get, list

Dikecualikan: operasi dari konsol Google Cloud .
Permintaan tulis
cloudkms.googleapis.com​/write_requests		 Project panggilan 60 QPM

cryptoKeys: create, patch, setIamPolicy, updatePrimaryVersion

cryptoKeyVersions: create, destroy, import, patch, restore

ekmConnections: create, patch, setIamPolicy

importJobs: create, setIamPolicy

keyRings: create, setIamPolicy

Dikecualikan: operasi dari konsol Google Cloud .
Permintaan kriptografi
cloudkms.googleapis.com​/crypto_requests		 Project panggilan 60.000 QPM

cryptoKeys: encrypt, decrypt

cryptoKeyVersions: asymmetricDecrypt, asymmetricSign, getPublicKey, macSign, macVerify, rawEncrypt, rawDecrypt

locations: generateRandomBytes

Dikecualikan: operasi dari integrasi CMEK.
Permintaan kriptografi simetris HSM per region
cloudkms.googleapis.com​/hsm_symmetric_requests		 Project hosting 500 QPS

cryptoKeys: encrypt, decrypt

cryptoKeyVersions: asymmetricDecrypt, asymmetricSign, getPublicKey, macSign, macVerify, rawEncrypt, rawDecrypt
Permintaan kriptografi asimetris HSM per region
cloudkms.googleapis.com​/hsm_asymmetric_requests		 Project hosting 50 QPS

cryptoKeys: encrypt, decrypt

cryptoKeyVersions: asymmetricDecrypt, asymmetricSign, getPublicKey, macSign, macVerify
Permintaan pembuatan angka acak HSM per region
cloudkms.googleapis.com​/hsm_generate_random_requests		 Project hosting 50 QPS

locations: generateRandomBytes
Permintaan kriptografi eksternal per region
cloudkms.googleapis.com​/external_kms_requests		 Project hosting 100 QPS

cryptoKeys: encrypt, decrypt

cryptoKeyVersions: asymmetricDecrypt, asymmetricSign, getPublicKey, macSign, macVerify

Contoh kuota

Bagian berikut menyertakan contoh setiap kuota menggunakan contoh project berikut:

  • KEY_PROJECT - Project Google Cloud yang berisi kunci Cloud KMS, termasuk kunci Cloud HSM dan Cloud EKM.

  • SPANNER_PROJECT - Project Google Cloud yang berisi instance Spanner yang menggunakan kunci enkripsi yang dikelola pelanggan (CMEK) yang berada di KEY_PROJECT.

  • SERVICE_PROJECT - Project Google Cloud yang berisi akun layanan yang Anda gunakan untuk mengelola resource Cloud KMS yang berada di KEY_PROJECT.

Permintaan baca

Kuota Permintaan baca membatasi permintaan baca dari projectGoogle Cloud yang memanggil Cloud KMS API. Misalnya, melihat daftar kunci di KEY_PROJECT dari KEY_PROJECT menggunakan Google Cloud CLI dihitung berdasarkan kuota Permintaan baca.KEY_PROJECT Jika Anda menggunakan akun layanan di SERVICE_PROJECT untuk melihat daftar kunci, permintaan baca akan dihitung terhadap kuota Permintaan baca SERVICE_PROJECT.

Penggunaan konsol Google Cloud untuk melihat resource Cloud KMS tidak berkontribusi pada kuota Permintaan baca.

Permintaan tulis

Kuota Permintaan tulis membatasi permintaan tulis dari projectGoogle Cloud yang memanggil Cloud KMS API. Misalnya, membuat kunci di KEY_PROJECT menggunakan gcloud CLI akan dihitung dalam kuota Permintaan tulis KEY_PROJECT. Jika Anda menggunakan akun layanan di SERVICE_PROJECT untuk membuat kunci, permintaan tulis akan dihitung dalam kuota Permintaan tulis SERVICE_PROJECT.

Penggunaan konsol Google Cloud untuk membuat atau mengelola resource Cloud KMS tidak berkontribusi pada kuota Permintaan baca.

Permintaan kriptografi

Kuota Permintaan kriptografis membatasi operasi kriptografi dari Google Cloud project yang memanggil Cloud KMS API. Misalnya, mengenkripsi data menggunakan panggilan API dari resource akun layanan yang berjalan di SERVICE_PROJECT menggunakan kunci dari KEY_PROJECT akan mengurangi kuota Permintaan kriptografi SERVICE_PROJECT.

Enkripsi dan dekripsi data dalam resource Spanner di SPANNER_PROJECT menggunakan integrasi CMEK tidak dihitung dalam kuota Permintaan kriptografi SPANNER_PROJECT.

Permintaan kriptografi simetris HSM per region

Kuota permintaan kriptografi simetris HSM per region membatasi operasi kriptografi menggunakan kunci Cloud HSM simetris pada Google Cloud project yang berisi kunci tersebut. Misalnya, mengenkripsi data di resource Spanner menggunakan kunci HSM simetris akan dihitung dalam kuota permintaan kriptografi simetris HSM per region KEY_PROJECT.

Permintaan kriptografi asimetris HSM per region

Kuota permintaan kriptografi asimetris HSM per region membatasi operasi kriptografi menggunakan kunci Cloud HSM asimetris pada project yang berisi kunci tersebut. Google CloudMisalnya, mengenkripsi data di resource Spanner menggunakan kunci HSM asimetris akan dihitung dalam kuota KEY_PROJECT permintaan kriptografi asimetris HSM per region.

Permintaan pembuatan angka acak HSM per region

Batas kuota permintaan pembuatan angka acak HSM per region membatasi operasi pembuatan byte acak menggunakan Cloud HSM di project yang ditentukan dalam pesan permintaan. Google Cloud Misalnya, permintaan dari sumber mana pun untuk membuat byte acak di KEY_PROJECT dihitung dalam kuota permintaan pembuatan acak HSM per region KEY_PROJECT.

Permintaan kriptografi eksternal per region

Kuota Permintaan kriptografi eksternal per region membatasi operasi kriptografi menggunakan kunci eksternal (Cloud EKM) di project Google Cloud yang berisi kunci tersebut. Misalnya, mengenkripsi data di resource Spanner menggunakan kunci EKM akan dihitung dalam kuota Permintaan kriptografi eksternal per region KEY_PROJECT.

Informasi error kuota

Jika Anda membuat permintaan setelah kuota Anda tercapai, permintaan Anda akan menghasilkan error RESOURCE_EXHAUSTED. Kode status HTTP adalah 429. Untuk mengetahui informasi tentang cara library klien menampilkan error RESOURCE_EXHAUSTED, lihat Pemetaan library klien.

Jika menerima error RESOURCE_EXHAUSTED, Anda mungkin mengirim terlalu banyak permintaan operasi kriptografi per detik. Anda dapat menerima error RESOURCE_EXHAUSTED meskipun konsol Google Cloud menunjukkan bahwa Anda berada dalam batas kueri per menit. Masalah ini dapat terjadi karena kuota project hosting Cloud KMS ditampilkan per menit, tetapi diterapkan dalam skala per detik. Untuk mempelajari lebih lanjut cara memantau metrik, lihat Menyiapkan pemberitahuan dan pemantauan kuota.

Untuk mengetahui detail tentang pemecahan masalah kuota Cloud KMS, lihat Memecahkan masalah kuota.

Langkah berikutnya