Risolvere gli errori relativi a CMEK e alle impostazioni predefinite

Questo documento descrive come trovare e mitigare gli errori comuni di configurazione della CMEK e come identificare gli errori che si verificano durante l'impostazione della località predefinita delle risorse.

Risolvere i problemi relativi all'impostazione della località delle risorse predefinita

Hai provato ad aggiornare la posizione di archiviazione predefinita per un'organizzazione o una cartella, ma il comando ha esito negativo e restituisce un errore simile al seguente:

ERROR: (gcloud.logging.settings.update) INVALID_ARGUMENT: The KMS key location must match the storage location. Received KMS key location: us-central1, storage location: us-west1
- '@type': type.googleapis.com/google.rpc.DebugInfo
  detail: '[ORIGINAL ERROR] generic::invalid_argument: The KMS key location must match
    the storage location. Received KMS key location: us-central1, storage location:
    us-west1 [google.rpc.error_details_ext] { message: "The KMS key location must
    match the storage location. Received KMS key location: us-central1, storage location:
    us-west1" }'

Per risolvere questo errore, imposta la località di archiviazione predefinita per l'organizzazione o la cartella in modo che corrisponda a quella della chiave Cloud Key Management Service per l'organizzazione o la cartella.

Risolvere i problemi relativi ai Controlli di servizio VPC e alla condivisione limitata per i domini

Hai configurato CMEK come impostazione di risorsa predefinita per la tua organizzazione o per una cartella oppure hai creato un bucket di log con CMEK abilitata. quindi configurerai i Controlli di servizio VPC. Dopo aver configurato i Controlli di servizio VPC, limiti l'accesso a Cloud Key Management Service nei Controlli di servizio VPC o abiliti la condivisione limitata per i domini.

Si verifica almeno uno dei seguenti casi:

Hai ricevuto una notifica da Cloud Logging sui problemi di accesso CMEK.
Noti che CMEK non è abilitata per i bucket di log _Default e _Required quando crei nuovi progetti Google Cloud nella tua organizzazione o in una cartella.

Ricevi errori quando leggi dai bucket di log con CMEK abilitata. Gli errori visualizzati sono simili al seguente:

ERROR: (gcloud.logging.read) FAILED_PRECONDITION: service account `cmek-PROJECT_IDgcp-sa-logging.iam.gserviceaccount.com` must have both encrypt and decrypt access to the CMEK KMS key `projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY`

Ricevi errori quando crei o aggiorni i bucket di log con CMEK abilitata. Gli errori visualizzati sono simili al seguente:

ERROR: (gcloud.logging.buckets.create) service account `cmek-PROJECT_ID@gcp-sa-logging.iam.gserviceaccount.com` must have both encrypt and decrypt access to the CMEK KMS key `projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY`
- '@type': type.googleapis.com/google.rpc.DebugInfo
  detail: '[ORIGINAL ERROR] generic::permission_denied: Request is prohibited by
  organization's policy. vpcServiceControlsUniqueIdentifier: <var>ERRORID</var>;'

Per determinare se questi problemi sono dovuti alla configurazione dei Controlli di servizio VPC:

Identifica le impostazioni di Cloud Logging per la risorsa che contiene la configurazione CMEK. Una risorsa può essere un progetto, una cartella o un'organizzazione. Se hai creato bucket di log con CMEK abilitata, seleziona la risorsa PROJECT.
PROGETTO
```
gcloud logging settings describe --project=PROJECT_ID
```
Prima di eseguire il comando, sostituisci PROJECT_ID con l'ID progetto che contiene il bucket di log.
CARTELLA
```
gcloud logging settings describe --folder=FOLDER_ID
```
Prima di eseguire il comando, sostituisci FOLDER_ID con l'ID della cartella.
ORGANIZZAZIONE
```
gcloud logging settings describe --organization=ORGANIZATION_ID
```
Prima di eseguire il comando, sostituisci ORGANIZATION_ID con l'ID dell'organizzazione.
Il comando precedente restituisce informazioni simili alle seguenti:
```
kmsServiceAccountId: KMS_SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com
loggingServiceAccountId: SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com
```
Per le organizzazioni e le cartelle, viene restituito anche il seguente campo:
```
kmsKeyName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY
```
Il valore del campo kmsKeyName include il progetto Google Cloud in cui è archiviata la chiave.
Stabilisci se è necessario eseguire la migrazione degli account di servizio:
- Se il valore del campo kmsServiceAccountId ha il prefisso service-, non è necessario eseguire la migrazione dell'account di servizio. Per informazioni sugli errori di configurazione di CMEK, consulta la sezione Risolvere i problemi relativi a CMEK di questo documento.
- Se il valore di kmsServiceAccountId ha il prefisso cmek-, vai al passaggio successivo.
Conferma di dover eseguire la migrazione degli account di servizio disabilitando la condivisione limitata per i domini o rimuovendo Cloud Key Management Service dall'elenco dei servizi con restrizioni di Controlli di servizio VPC.

Se gli errori sono stati risolti, devi eseguire la migrazione delle risorse interessate a un nuovo account di servizio. Per informazioni su questi passaggi, consulta la sezione successiva.

Esegui la migrazione degli account di servizio CMEK

Il seguente processo descrive come modificare l'account di servizio utilizzato da Cloud Logging per accedere alle chiavi configurate di Cloud Key Management Service. La modifica nell'account di servizio risolve un problema noto relativo ai Controlli di servizio VPC e alla condivisione limitata per i domini.

Identifica il valore loggingServiceAccountId per la risorsa. Una risorsa può essere un progetto, una cartella o un'organizzazione. Se hai creato bucket di log con CMEK abilitata, seleziona la risorsa PROJECT.
PROGETTO
```
gcloud logging settings describe --project=PROJECT_ID
```
Prima di eseguire il comando, sostituisci PROJECT_ID con l'ID progetto che contiene il bucket di log.
CARTELLA
```
gcloud logging settings describe --folder=FOLDER_ID
```
Prima di eseguire il comando, sostituisci FOLDER_ID con l'ID della cartella.
ORGANIZZAZIONE
```
gcloud logging settings describe --organization=ORGANIZATION_ID
```
Prima di eseguire il comando, sostituisci ORGANIZATION_ID con l'ID dell'organizzazione.
Il comando precedente restituisce informazioni simili alle seguenti:
```
kmsServiceAccountId: KMS_SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com
loggingServiceAccountId: SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com
```
Per le organizzazioni e le cartelle, viene restituito anche il seguente campo:
```
kmsKeyName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY
```
Il valore del campo kmsKeyName include il progetto Google Cloud in cui è archiviata la chiave.
Se hai configurato un'impostazione predefinita delle risorse per la tua organizzazione o per le cartelle:
1. In KMS_PROJECT_ID, concedi il ruolo Autore crittografia/decrittografia CryptoKey Cloud Key Management Service all'account di servizio identificato dal campo loggingServiceAccountId.
2. Esegui il comando curl riportato di seguito, che modifica l'account di servizio Cloud Key Management Service utilizzato dalla risorsa.
  PROGETTO
  Non applicabile.
  CARTELLA
```
curl -X PATCH -H "Authorization: Bearer \"$(gcloud auth print-access-token)\"" -H "Content-Type: application/json; charset=utf-8" -d '{"kmsServiceAccountId": "SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com"}' https://logging.googleapis.com/v2/folders/FOLDER_ID/settings?updateMask=kmsServiceAccountId
```
  Prima di eseguire il comando, segui questi passaggi:
  - Sostituisci FOLDER_ID con l'ID della cartella.
  - Sostituisci SERVICE_ACCT_NAME con il valore loggingServiceAccountId identificato in precedenza.
  ORGANIZZAZIONE
```
curl -X PATCH -H "Authorization: Bearer \"$(gcloud auth print-access-token)\"" -H "Content-Type: application/json; charset=utf-8" -d '{"kmsServiceAccountId": "SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com"}' https://logging.googleapis.com/v2/organizations/ORGANIZATION_ID/settings?updateMask=kmsServiceAccountId
```
  Prima di eseguire il comando, segui questi passaggi:
  - Sostituisci ORGANIZATION_ID con l'ID dell'organizzazione.
  - Sostituisci SERVICE_ACCT_NAME con il valore loggingServiceAccountId identificato in precedenza.
  Il risultato del comando precedente è simile al seguente:
```
{
  "name": ".../settings",
  "kmsKeyName": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY",
  "kmsServiceAccountId": "SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com",
  "storageLocation": "...",
  "loggingServiceAccountId": "SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com"
}
```
Nota: il nuovo account di servizio viene utilizzato per le nuove risorse create nell'organizzazione o nella cartella. L'account di servizio per le risorse esistenti non viene modificato.
Per ogni progetto o cartella Google Cloud contenente bucket di log esistenti abilitati con CMEK, segui questi passaggi:
1. Nel progetto o nella cartella, per ogni bucket di log abilitato con CMEK, segui questi passaggi:
  1. Identifica il progetto Google Cloud in cui è archiviata la chiave Cloud Key Management Service:
    PROGETTO
    gcloud logging buckets describe BUCKET_ID --location=LOCATION --project=PROJECT_ID
    
    Prima di eseguire il comando, segui questi passaggi:
    
    Sostituisci PROJECT_ID con l'ID progetto che contiene il bucket di log.
    
    Sostituisci LOCATION con la località del bucket di log.
    CARTELLA
    gcloud logging buckets describe BUCKET_ID --location=LOCATION --folder=FOLDER_ID
    
    Prima di eseguire il comando, segui questi passaggi:
    
    Sostituisci FOLDER_ID con l'ID della cartella.
    
    Sostituisci LOCATION con la località del bucket di log.
    Il risultato del comando precedente è simile al seguente:
```
cmekSettings:
  kmsKeyName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY
  kmsKeyVersionName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY/cryptoKeyVersions/1
  serviceAccountId: KMS_SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com
createTime: '2022-10-31T12:00:00.0000000Z'
lifecycleState: ACTIVE
name: projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_ID
retentionDays: 30
createTime: '2022-10-31T13:00:00.0000000Z'
```
  2. Vai al progetto Google Cloud proprietario della chiave Cloud Key Management Service, KMS_PROJECT_ID, e concedi il ruolo Autore crittografia/decrittografia CryptoKey Cloud Key Management Service all'account di servizio identificato dal campo loggingServiceAccountId.
2. Per il progetto, esegui il comando curl seguente, che modifica l'account di servizio Cloud Key Management Service:
  PROGETTO
```
curl -X PATCH -H "Authorization: Bearer \"$(gcloud auth print-access-token)\"" -H "Content-Type: application/json; charset=utf-8" -d '{"kmsServiceAccountId": "SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com"}' https://logging.googleapis.com/v2/projects/PROJECT_ID/settings?updateMask=kmsServiceAccountId
```
  Prima di eseguire il comando, segui questi passaggi:
  - Sostituisci PROJECT_ID con l'ID progetto che contiene il bucket di log.
  - Sostituisci SERVICE_ACCT_NAME con il valore loggingServiceAccountId identificato in precedenza.
  CARTELLA
  Non è necessaria alcuna azione, poiché hai modificato l'account di servizio Cloud Key Management Service utilizzato dalla cartella in un passaggio precedente.
  Il risultato del comando precedente è simile al seguente:
```
{
  "name": ".../settings",
  "kmsServiceAccountId": "SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com",
  "loggingServiceAccountId": "SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com"
}
```
Per ogni bucket di log con CMEK abilitata:
1. Ruota la chiave Cloud KMS.
2. Conferma la migrazione. La risorsa padre del bucket di log determina il comando Google Cloud CLI da eseguire. L'elemento padre può essere un progetto, una cartella o un'organizzazione.
  PROGETTO
```
gcloud logging buckets describe BUCKET_ID --location=LOCATION --project=PROJECT_ID
```
  Prima di eseguire il comando, segui questi passaggi:
  - Sostituisci PROJECT_ID con l'ID progetto che contiene il bucket di log.
  - Sostituisci LOCATION con la località del bucket di log.
  CARTELLA
```
gcloud logging buckets describe BUCKET_ID --location=LOCATION --folder=FOLDER_ID
```
  Prima di eseguire il comando, segui questi passaggi:
  - Sostituisci FOLDER_ID con l'ID della cartella.
  - Sostituisci LOCATION con la località del bucket di log.
  Per un progetto, il risultato del comando precedente è simile al seguente:
```
cmekSettings:
  kmsKeyName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY
  kmsKeyVersionName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY/cryptoKeyVersions/1
  serviceAccountId: SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com
createTime: '2022-10-31T12:00:00.0000000Z'
lifecycleState: ACTIVE
name: projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_ID
retentionDays: 30
createTime: '2022-10-31T13:00:00.0000000Z'
```
  Assicurati che serviceAccountId corrisponda al loggingServiceAccountId identificato in precedenza.
Attendi almeno 30 minuti prima di revocare le autorizzazioni per l'account di servizio precedente. Se si verificano problemi dopo la revoca delle autorizzazioni all'account di servizio precedente, ripristina le autorizzazioni e contatta l'assistenza Cloud.

Risolvere i problemi relativi a CMEK

Durante la configurazione della CMEK, il progetto Google Cloud contenente la chiave Cloud KMS viene avvisato dei problemi correlati. Ad esempio, gli aggiornamenti non vanno a buon fine se KMS_KEY_NAME non è valido, se l'account di servizio associato non dispone del ruolo Autore crittografia/decrittografia CryptoKey Cloud Key Management Service oppure quando l'accesso alla chiave è disabilitato.

Dopo aver configurato CMEK, si verifica almeno uno dei seguenti casi:

Hai ricevuto una notifica da Cloud Logging sui problemi di accesso CMEK.
Noti che CMEK non è abilitata per i bucket di log _Default e _Required quando crei nuovi progetti Google Cloud nella tua organizzazione o in una cartella.
Ricevi errori quando leggi dai bucket di log con CMEK abilitata o se provi a creare o aggiornare i bucket di log.

La notifica fornisce informazioni sull'errore e contiene che puoi intraprendere per mitigare il problema:

Errore	Consiglio
Autorizzazione alla chiave di crittografia negata	L'account di servizio Logging associato al progetto Google Cloud non dispone di autorizzazioni IAM sufficienti per operare sulla chiave Cloud KMS specificata. Segui le istruzioni nell'errore o consulta i seguenti documenti: Se hai abilitato Controlli di servizio VPC, consulta la sezione Risolvere i problemi relativi ai Controlli di servizio VPC e alla condivisione limitata per i domini. di questo documento. Assegna il ruolo Autore crittografia/decrittografia per i bucket di log Assegnare il ruolo di criptatore/decriptatore per organizzazioni e cartelle
Chiave di crittografia disabilitata	La chiave Cloud KMS specificata è stata disabilitata. Segui le istruzioni nell'errore per riattivare la chiave.
Chiave di crittografia eliminata	La chiave Cloud KMS specificata è stata eliminata. Segui le istruzioni o consulta i seguenti documenti: Gestisci la chiave Cloud KMS per un bucket di log Gestire la chiave Cloud KMS per una cartella o un'organizzazione

Errore

Consiglio

Autorizzazione alla chiave di crittografia negata

L'account di servizio Logging associato al progetto Google Cloud non dispone di autorizzazioni IAM sufficienti per operare sulla chiave Cloud KMS specificata. Segui le istruzioni nell'errore o consulta i seguenti documenti:

Se hai abilitato Controlli di servizio VPC, consulta la sezione Risolvere i problemi relativi ai Controlli di servizio VPC e alla condivisione limitata per i domini. di questo documento.
Assegna il ruolo Autore crittografia/decrittografia per i bucket di log
Assegnare il ruolo di criptatore/decriptatore per organizzazioni e cartelle

Chiave di crittografia disabilitata

La chiave Cloud KMS specificata è stata disabilitata. Segui le istruzioni nell'errore per riattivare la chiave.

Chiave di crittografia eliminata

La chiave Cloud KMS specificata è stata eliminata. Segui le istruzioni o consulta i seguenti documenti:

Identifica il progetto che contiene la chiave Cloud KMS

Per identificare l'ID del progetto Google Cloud che contiene la chiave di crittografia utilizzata da un bucket di log, una cartella o un'organizzazione, segui questi passaggi:

PROGETTO

gcloud logging settings describe --project=PROJECT_ID

Prima di eseguire il comando, sostituisci PROJECT_ID con l'ID progetto che contiene il bucket di log.

CARTELLA

gcloud logging settings describe --folder=FOLDER_ID

Prima di eseguire il comando, sostituisci FOLDER_ID con l'ID della cartella.

ORGANIZZAZIONE

gcloud logging settings describe --organization=ORGANIZATION_ID

Prima di eseguire il comando, sostituisci ORGANIZATION_ID con l'ID dell'organizzazione.

Il comando precedente restituisce informazioni simili alle seguenti:

kmsServiceAccountId: KMS_SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com
loggingServiceAccountId: SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com

Per le organizzazioni e le cartelle, viene restituito anche il seguente campo:

kmsKeyName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY

Il valore del campo kmsKeyName include il progetto Google Cloud in cui è archiviata la chiave.

Verificare l'usabilità della chiave

Per verificare l'usabilità della chiave, esegui questo comando per elencare tutte le chiavi:

gcloud kms keys list \
--location=KMS_KEY_LOCATION \
--keyring=KMS_KEY_RING

Questo comando restituisce informazioni su ogni chiave in formato tabulare. La prima riga dell'output è un elenco di nomi di colonna:

NAME PURPOSE ...

Verifica che la chiave Cloud KMS sia elencata nell'output del comando come ENABLED e che lo scopo della chiave sia la crittografia simmetrica: la colonna PURPOSE deve contenere ENCRYPT_DECRYPT e la colonna PRIMARY_STATE deve contenere ENABLED.

Se necessario, crea una nuova chiave.

Verifica la configurazione delle autorizzazioni

Gli account di servizio associati alle impostazioni CMEK dell'organizzazione devono disporre del ruolo Autore crittografia/decrittografia CryptoKey Cloud KMS per la chiave configurata.

Per elencare i criteri IAM della chiave, esegui questo comando:

gcloud kms keys get-iam-policy KMS_KEY_NAME

Se necessario, aggiungi alla chiave l'account di servizio che contiene il ruolo Autore crittografia/decrittografia CryptoKey Cloud KMS.