Halaman ini diterjemahkan oleh Cloud Translation API.

Memecahkan masalah CMEK dan error setelan default

Dokumen ini menjelaskan cara menemukan dan memitigasi error konfigurasi CMEK umum, serta menjelaskan cara mengidentifikasi error yang terjadi saat menetapkan lokasi resource default.

Memecahkan masalah penetapan lokasi resource default

Anda mencoba memperbarui lokasi penyimpanan default untuk organisasi atau folder, tetapi perintah gagal dengan error yang mirip dengan berikut:

ERROR: (gcloud.logging.settings.update) INVALID_ARGUMENT: The KMS key location must match the storage location. Received KMS key location: us-central1, storage location: us-west1
- '@type': type.googleapis.com/google.rpc.DebugInfo
  detail: '[ORIGINAL ERROR] generic::invalid_argument: The KMS key location must match
    the storage location. Received KMS key location: us-central1, storage location:
    us-west1 [google.rpc.error_details_ext] { message: "The KMS key location must
    match the storage location. Received KMS key location: us-central1, storage location:
    us-west1" }'

Untuk mengatasi error ini, tetapkan lokasi penyimpanan default untuk organisasi atau folder agar cocok dengan lokasi kunci Cloud Key Management Service untuk organisasi atau folder.

Memecahkan masalah Kontrol Layanan VPC dan berbagi terbatas domain

Anda mengonfigurasi CMEK sebagai setelan resource default untuk organisasi atau untuk folder, atau Anda membuat bucket log dengan CMEK yang diaktifkan. Kemudian, Anda mengonfigurasi Kontrol Layanan VPC. Setelah mengonfigurasi Kontrol Layanan VPC, Anda akan membatasi akses ke Cloud Key Management Service di Kontrol Layanan VPC atau mengaktifkan berbagi terbatas domain.

Setidaknya salah satu hal berikut terjadi:

Anda menerima notifikasi dari Cloud Logging tentang masalah akses CMEK.
Anda melihat bahwa CMEK tidak diaktifkan untuk bucket log _Default dan _Required saat Anda membuat project Google Cloud baru di organisasi atau di folder.

Anda menerima error saat membaca dari bucket log dengan CMEK yang diaktifkan. Error yang Anda lihat mirip dengan error berikut:

ERROR: (gcloud.logging.read) FAILED_PRECONDITION: service account `cmek-PROJECT_IDgcp-sa-logging.` must have both encrypt and decrypt access to the CMEK KMS key `projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY`

Anda menerima error saat membuat atau memperbarui bucket log dengan CMEK diaktifkan. Error yang Anda lihat mirip dengan error berikut:

ERROR: (gcloud.logging.buckets.create) service account `cmek-PROJECT_ID@gcp-sa-logging.` must have both encrypt and decrypt access to the CMEK KMS key `projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY`
- '@type': type.googleapis.com/google.rpc.DebugInfo
  detail: '[ORIGINAL ERROR] generic::permission_denied: Request is prohibited by
  organization's policy. vpcServiceControlsUniqueIdentifier: <var>ERRORID</var>;'

Untuk menentukan apakah masalah ini disebabkan oleh konfigurasi Kontrol Layanan VPC, lakukan hal berikut:

Identifikasi setelan Cloud Logging untuk resource yang berisi konfigurasi CMEK. Resource dapat berupa project, folder, atau organisasi. Jika Anda membuat bucket log denganCMEK diaktifkan, pilih resource PROJECT.
PROJECT
```
gcloud logging settings describe --project=PROJECT_ID
```
Sebelum menjalankan perintah, ganti PROJECT_ID dengan project ID yang berisi bucket log.
FOLDER
```
gcloud logging settings describe --folder=FOLDER_ID
```
Sebelum menjalankan perintah, ganti FOLDER_ID dengan ID folder.
ORGANISASI
```
gcloud logging settings describe --organization=ORGANIZATION_ID
```
Sebelum menjalankan perintah, ganti ORGANIZATION_ID dengan ID organisasi.
Perintah sebelumnya menampilkan informasi yang mirip dengan berikut ini:
```
kmsServiceAccountId: KMS_SERVICE_ACCT_NAME@gcp-sa-logging.
loggingServiceAccountId: SERVICE_ACCT_NAME@gcp-sa-logging.
```
Untuk organisasi dan folder, kolom berikut juga ditampilkan:
```
kmsKeyName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY
```
Nilai kolom kmsKeyName mencakup project Google Cloud yang menyimpan kunci.
Tentukan apakah Anda perlu memigrasikan akun layanan:
- Jika nilai kolom kmsServiceAccountId memiliki awalan service-, Anda tidak perlu memigrasikan akun layanan. Untuk informasi tentang error konfigurasi CMEK, lihat bagian Memecahkan masalah CMEK dalam dokumen ini.
- Jika nilai kmsServiceAccountId memiliki awalan cmek-, lanjutkan ke langkah berikutnya.
Pastikan Anda harus memigrasikan akun layanan dengan menonaktifkan berbagi yang dibatasi domain atau dengan menghapus Cloud Key Management Service dari daftar layanan yang dibatasi Kontrol Layanan VPC.

Jika error teratasi, untuk mengatasi kegagalan, Anda harus memigrasikan resource yang terpengaruh ke akun layanan baru. Untuk informasi tentang langkah-langkah ini, lihat bagian berikutnya.

Memigrasikan akun layanan CMEK

Proses berikut menjelaskan cara mengubah akun layanan yang digunakan Cloud Logging untuk mengakses kunci Cloud Key Management Service yang dikonfigurasi. Perubahan pada akun layanan akan menyelesaikan masalah umum terkait Kontrol Layanan VPC dan berbagi terbatas domain.

Identifikasi loggingServiceAccountId untuk resource Anda. Resource dapat berupa project, folder, atau organisasi. Jika Anda membuat bucket log denganCMEK diaktifkan, pilih resource PROJECT.
PROJECT
```
gcloud logging settings describe --project=PROJECT_ID
```
Sebelum menjalankan perintah, ganti PROJECT_ID dengan project ID yang berisi bucket log.
FOLDER
```
gcloud logging settings describe --folder=FOLDER_ID
```
Sebelum menjalankan perintah, ganti FOLDER_ID dengan ID folder.
ORGANISASI
```
gcloud logging settings describe --organization=ORGANIZATION_ID
```
Sebelum menjalankan perintah, ganti ORGANIZATION_ID dengan ID organisasi.
Perintah sebelumnya menampilkan informasi yang mirip dengan berikut ini:
```
kmsServiceAccountId: KMS_SERVICE_ACCT_NAME@gcp-sa-logging.
loggingServiceAccountId: SERVICE_ACCT_NAME@gcp-sa-logging.
```
Untuk organisasi dan folder, kolom berikut juga ditampilkan:
```
kmsKeyName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY
```
Nilai kolom kmsKeyName mencakup project Google Cloud yang menyimpan kunci.
Jika Anda mengonfigurasi setelan resource default untuk organisasi atau folder, lakukan langkah berikut:
1. Di KMS_PROJECT_ID, berikan peran Pengenkripsi/Pendekripsi CryptoKey Cloud Key Management Service ke akun layanan yang diidentifikasi oleh kolom loggingServiceAccountId.
2. Jalankan perintah curl berikut, yang mengubah akun layanan Cloud Key Management Service yang digunakan oleh resource.
  PROJECT
  Tidak berlaku.
  FOLDER
  curl -X PATCH -H "Authorization: Bearer \"$(gcloud auth print-access-token)\"" -H "Content-Type: application/json; charset=utf-8" -d '{"kmsServiceAccountId": "SERVICE_ACCT_NAME@gcp-sa-logging."}' https://logging.googleapis.com/v2/folders/FOLDER_ID/settings?updateMask=kmsServiceAccountId
  Sebelum menjalankan perintah, lakukan hal berikut:
  - Ganti FOLDER_ID dengan ID folder.
  - Ganti SERVICE_ACCT_NAME dengan loggingServiceAccountId yang diidentifikasi sebelumnya.
  ORGANISASI
  curl -X PATCH -H "Authorization: Bearer \"$(gcloud auth print-access-token)\"" -H "Content-Type: application/json; charset=utf-8" -d '{"kmsServiceAccountId": "SERVICE_ACCT_NAME@gcp-sa-logging."}' https://logging.googleapis.com/v2/organizations/ORGANIZATION_ID/settings?updateMask=kmsServiceAccountId
  Sebelum menjalankan perintah, lakukan hal berikut:
  - Ganti ORGANIZATION_ID dengan ID organisasi.
  - Ganti SERVICE_ACCT_NAME dengan loggingServiceAccountId yang diidentifikasi sebelumnya.
  Hasil perintah sebelumnya mirip dengan berikut ini;
```
{
  "name": ".../settings",
  "kmsKeyName": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY",
  "kmsServiceAccountId": "SERVICE_ACCT_NAME@gcp-sa-logging.",
  "storageLocation": "...",
  "loggingServiceAccountId": "SERVICE_ACCT_NAME@gcp-sa-logging."
}
```
Catatan: Akun layanan baru digunakan untuk resource baru yang dibuat di organisasi atau folder. Akun layanan untuk resource yang ada tidak diubah.
Untuk setiap project atau folder Google Cloud yang berisi bucket log yang ada dan diaktifkan dengan CMEK, lakukan hal berikut:
1. Di project atau folder, untuk setiap bucket log yang diaktifkan dengan CMEK, lakukan hal berikut:
  1. Identifikasi project Google Cloud yang menyimpan kunci Cloud Key Management Service:
    PROJECT
    gcloud logging buckets describe BUCKET_ID --location=LOCATION --project=PROJECT_ID
    
    Sebelum menjalankan perintah, lakukan hal berikut:
    
    Ganti PROJECT_ID dengan project ID yang berisi bucket log.
    
    Ganti LOCATION dengan lokasi bucket log.
    FOLDER
    gcloud logging buckets describe BUCKET_ID --location=LOCATION --folder=FOLDER_ID
    
    Sebelum menjalankan perintah, lakukan hal berikut:
    
    Ganti FOLDER_ID dengan ID folder.
    
    Ganti LOCATION dengan lokasi bucket log.
    Hasil perintah sebelumnya mirip dengan berikut ini:
```
cmekSettings:
  kmsKeyName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY
  kmsKeyVersionName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY/cryptoKeyVersions/1
  serviceAccountId: KMS_SERVICE_ACCT_NAME@gcp-sa-logging.
createTime: '2022-10-31T12:00:00.0000000Z'
lifecycleState: ACTIVE
name: projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_ID
retentionDays: 30
createTime: '2022-10-31T13:00:00.0000000Z'
```
  2. Buka project Google Cloud yang memiliki kunci Cloud Key Management Service, KMS_PROJECT_ID, dan berikan peran Cloud Key Management Service CryptoKey Encrypter/Decrypter ke akun layanan yang diidentifikasi oleh kolom loggingServiceAccountId.
2. Untuk project, jalankan perintah curl berikut, yang mengubah akun layanan Cloud Key Management Service:
  PROJECT
  curl -X PATCH -H "Authorization: Bearer \"$(gcloud auth print-access-token)\"" -H "Content-Type: application/json; charset=utf-8" -d '{"kmsServiceAccountId": "SERVICE_ACCT_NAME@gcp-sa-logging."}' https://logging.googleapis.com/v2/projects/PROJECT_ID/settings?updateMask=kmsServiceAccountId
  Sebelum menjalankan perintah, lakukan hal berikut:
  - Ganti PROJECT_ID dengan project ID yang berisi bucket log.
  - Ganti SERVICE_ACCT_NAME dengan loggingServiceAccountId yang diidentifikasi sebelumnya.
  FOLDER
  Tidak perlu tindakan apa pun, karena Anda telah mengubah akun layanan Cloud Key Management Service yang digunakan oleh folder di langkah sebelumnya.
  Hasil perintah sebelumnya mirip dengan berikut ini;
```
{
  "name": ".../settings",
  "kmsServiceAccountId": "SERVICE_ACCT_NAME@gcp-sa-logging.",
  "loggingServiceAccountId": "SERVICE_ACCT_NAME@gcp-sa-logging."
}
```
Untuk setiap bucket log dengan CMEK yang diaktifkan, lakukan hal berikut:
1. Rotasi kunci Cloud KMS.
2. Konfirmasi migrasi. Resource induk untuk bucket log menentukan perintah Google Cloud CLI yang akan dijalankan. Induk dapat berupa project, folder, atau organisasi.
  PROJECT
  gcloud logging buckets describe BUCKET_ID --location=LOCATION --project=PROJECT_ID
  Sebelum menjalankan perintah, lakukan hal berikut:
  - Ganti PROJECT_ID dengan project ID yang berisi bucket log.
  - Ganti LOCATION dengan lokasi bucket log.
  FOLDER
  gcloud logging buckets describe BUCKET_ID --location=LOCATION --folder=FOLDER_ID
  Sebelum menjalankan perintah, lakukan hal berikut:
  - Ganti FOLDER_ID dengan ID folder.
  - Ganti LOCATION dengan lokasi bucket log.
  Untuk project, hasil perintah sebelumnya mirip dengan berikut:
```
cmekSettings:
  kmsKeyName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY
  kmsKeyVersionName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY/cryptoKeyVersions/1
  serviceAccountId: SERVICE_ACCT_NAME@gcp-sa-logging.
createTime: '2022-10-31T12:00:00.0000000Z'
lifecycleState: ACTIVE
name: projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_ID
retentionDays: 30
createTime: '2022-10-31T13:00:00.0000000Z'
```
  Pastikan serviceAccountId cocok dengan loggingServiceAccountId yang diidentifikasi sebelumnya.
Tunggu setidaknya 30 menit sebelum mencabut izin di akun layanan sebelumnya. Jika Anda mengalami masalah setelah mencabut izin di akun layanan sebelumnya, pulihkan izin dan hubungi Dukungan Cloud.

Memecahkan masalah CMEK

Saat Anda mengonfigurasi CMEK, project Google Cloud yang berisi kunci Cloud KMS akan diberi tahu tentang masalah terkait. Misalnya, update gagal saat KMS_KEY_NAME tidak valid, saat akun layanan terkait tidak memiliki peran Cloud Key Management Service CryptoKey Encrypter/Decrypter yang diperlukan, atau saat akses ke kunci dinonaktifkan.

Setelah Anda mengonfigurasi CMEK, setidaknya salah satu hal berikut akan terjadi:

Anda menerima notifikasi dari Cloud Logging tentang masalah akses CMEK.
Anda melihat bahwa CMEK tidak diaktifkan untuk bucket log _Default dan _Required saat Anda membuat project Google Cloud baru di organisasi atau di folder.
Anda menerima error saat membaca dari bucket log dengan CMEK yang diaktifkan, atau jika Anda mencoba membuat atau memperbarui bucket log.

Notifikasi ini memberikan informasi tentang kegagalan dan berisi tindakan yang dapat Anda lakukan untuk mengurangi masalah:

Error	Rekomendasi
Izin kunci kriptografi ditolak	Akun layanan Logging yang terkait dengan project Google Cloud Anda tidak memiliki izin IAM yang memadai untuk beroperasi pada kunci Cloud KMS yang ditentukan. Ikuti petunjuk dalam error atau lihat dokumen berikut: Jika Anda telah mengaktifkan Kontrol Layanan VPC, lihat Memecahkan masalah Kontrol Layanan VPC dan berbagi yang dibatasi domain. bagian dokumen ini. Menetapkan peran Pengenkripsi/Pendekripsi untuk bucket log Menetapkan peran Pengenkripsi/Pendekripsi untuk organisasi dan folder
Kunci kriptografi dinonaktifkan	Kunci Cloud KMS yang ditentukan telah dinonaktifkan. Ikuti petunjuk dalam error untuk mengaktifkan kembali kunci.
Kunci kriptografi dimusnahkan	Kunci Cloud KMS yang ditentukan telah dihancurkan. Ikuti petunjuk atau lihat dokumen berikut: Mengelola kunci Cloud KMS untuk bucket log Mengelola kunci Cloud KMS untuk folder atau organisasi

Error

Rekomendasi

Izin kunci kriptografi ditolak

Akun layanan Logging yang terkait dengan project Google Cloud Anda tidak memiliki izin IAM yang memadai untuk beroperasi pada kunci Cloud KMS yang ditentukan. Ikuti petunjuk dalam error atau lihat dokumen berikut:

Jika Anda telah mengaktifkan Kontrol Layanan VPC, lihat Memecahkan masalah Kontrol Layanan VPC dan berbagi yang dibatasi domain. bagian dokumen ini.
Menetapkan peran Pengenkripsi/Pendekripsi untuk bucket log
Menetapkan peran Pengenkripsi/Pendekripsi untuk organisasi dan folder

Kunci kriptografi dinonaktifkan

Kunci Cloud KMS yang ditentukan telah dinonaktifkan. Ikuti petunjuk dalam error untuk mengaktifkan kembali kunci.

Kunci kriptografi dimusnahkan

Kunci Cloud KMS yang ditentukan telah dihancurkan. Ikuti petunjuk atau lihat dokumen berikut:

Mengidentifikasi project yang berisi kunci Cloud KMS

Untuk mengidentifikasi ID project Google Cloud yang berisi kunci enkripsi yang digunakan oleh bucket log, folder, atau organisasi, lakukan hal berikut:

PROJECT

gcloud logging settings describe --project=PROJECT_ID

Sebelum menjalankan perintah, ganti PROJECT_ID dengan project ID yang berisi bucket log.

FOLDER

gcloud logging settings describe --folder=FOLDER_ID

Sebelum menjalankan perintah, ganti FOLDER_ID dengan ID folder.

ORGANISASI

gcloud logging settings describe --organization=ORGANIZATION_ID

Sebelum menjalankan perintah, ganti ORGANIZATION_ID dengan ID organisasi.

Perintah sebelumnya menampilkan informasi yang mirip dengan berikut ini:

kmsServiceAccountId: KMS_SERVICE_ACCT_NAME@gcp-sa-logging.
loggingServiceAccountId: SERVICE_ACCT_NAME@gcp-sa-logging.

Untuk organisasi dan folder, kolom berikut juga ditampilkan:

kmsKeyName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY

Nilai kolom kmsKeyName mencakup project Google Cloud yang menyimpan kunci.

Memverifikasi kegunaan kunci

Untuk memverifikasi kegunaan kunci, jalankan perintah berikut untuk mencantumkan semua kunci:

gcloud kms keys list \
--location=KMS_KEY_LOCATION \
--keyring=KMS_KEY_RING

Perintah ini menampilkan informasi tentang setiap kunci dalam format tabel. Baris pertama output adalah daftar nama kolom:

NAME PURPOSE ...

Pastikan kunci Cloud KMS tercantum dalam output perintah sebagai ENABLED, dan tujuan kunci tersebut adalah enkripsi simetris: kolom PURPOSE harus berisi ENCRYPT_DECRYPT dan kolom PRIMARY_STATE harus berisi ENABLED.

Jika perlu, buat kunci baru.

Memverifikasi konfigurasi izin

Akun layanan yang terkait dengan setelan CMEK organisasi harus memiliki peran Pengenkripsi/Pendekripsi CryptoKey Cloud KMS untuk kunci yang dikonfigurasi.

Untuk menampilkan kebijakan IAM kunci, jalankan perintah berikut:

gcloud kms keys get-iam-policy KMS_KEY_NAME

Jika perlu, tambahkan akun layanan yang berisi peran Pengenkripsi/Pendekripsi CryptoKey Cloud KMS ke kunci.