排查 CMEK 问题

使用集合让一切井井有条 根据您的偏好保存内容并对其进行分类。

为 Eventarc 资源提供的 Cloud KMS 密钥已停用。与该资源关联的事件或消息将不再受保护。

解决方案：

1. 显示用于渠道的密钥。
2. 重新启用 Cloud KMS 密钥。

您已达到 Cloud KMS 请求配额上限。

解决方案：

• 限制 Cloud KMS 调用的数量。
• 增加配额。

提供的 KMS 密钥区域与渠道的区域不同。

解决方案：

使用来自同一区域的 Cloud KMS 密钥。 请注意，对于多区域 eu 中的渠道，应使用多区域 europe 中的 Cloud KMS 密钥对其进行保护。如需了解详情，请参阅 Cloud KMS 位置和 Eventarc 多区域位置。

Eventarc 集成了以下两种组织政策限制条件，以帮助确保在整个组织范围内使用 CMEK。任何现有 Eventarc 资源均不受在资源创建后设置的政策约束；不过，更新资源可能会失败。

• constraints/gcp.restrictNonCmekServices 会导致没有指定 Cloud KMS 密钥的所有资源创建请求失败。

  解决方案：

  为 Eventarc 资源指定 Cloud KMS 密钥。如需了解详情，请参阅要求为新的 Eventarc 资源使用 CMEK。

• constraints/gcp.restrictCmekCryptoKeyProjects 会限制可用于保护 Eventarc 资源的 Cloud KMS 密钥。

  解决方案：

  为 Eventarc 项目使用受支持的 Cloud KMS 密钥。如需了解详情，请参阅为 Eventarc 项目限制 Cloud KMS 密钥。

为 Eventarc 资源提供的 Cloud KMS 密钥已停用。与该资源关联的事件或消息将不再受保护。

解决方案：

1. 显示用于渠道的密钥。
2. 重新启用 Cloud KMS 密钥。

您已达到 Cloud KMS 请求配额上限。

解决方案：

• 限制 Cloud KMS 调用的数量。
• 增加配额。

提供的 Cloud KMS 密钥不存在，或者 Identity and Access Management (IAM) 权限未正确配置。

解决方案：

• 验证 Cloud KMS 使用情况：
  • Google 事件类型
  • 第三方渠道
• 确保 Eventarc 服务代理已被授予 cloudkms.cryptoKeyEncrypterDecrypter 角色，并且已作为主账号添加到 Cloud KMS 密钥。 如需了解详情，请参阅向 Eventarc 服务账号授予对密钥的访问权限。