监控和调整 Cloud KMS 配额

本页介绍了如何管理 Cloud Key Management Service 配额。如需详细了解与 Cloud KMS 相关的配额，请参阅配额。

准备工作

如需查看项目配额，您需要具备以下权限：

  • resourcemanager.projects.get
  • monitoring.timeSeries.list
  • serviceusage.services.list
  • serviceusage.quotas.get

如需更改项目配额，需要具备 serviceusage.quotas.update 权限。

如需详细了解哪些 IAM 角色包含这些权限，请参阅 IAM 权限参考文档。

查看 Cloud KMS 配额

  1. 在 Google Cloud 控制台中，前往 Cloud KMS API 的 API/Service Details 页面。

    前往 Cloud KMS API/服务详情

    您可以在本页面查看 Cloud KMS API 的配额详情。

  2. 如需查看其他项目的配额，请在 Google Cloud 控制台标题中选择所需项目。

  3. 如需按配额类型过滤，请点击过滤条件栏，然后从房源列表中选择配额，再选择所需的配额。

  4. 如需按区域进行过滤，请点击过滤条件栏，然后从“属性”列表中选择维度（例如位置），然后输入所需的区域名称。

如果您发现自己即将达到或已超过配额，可以申请提高 Cloud KMS 配额。

排查配额问题

如果 Cloud KMS 因已达到相关配额的上限而拒绝请求，则会返回 RESOURCE_EXHAUSTED 错误。对于使用 Cloud KMS REST API 发出的请求，RESOURCE_EXHAUSTED 错误的 HTTP 状态代码为 429。由于 Cloud KMS 托管项目配额按秒实施，因此对于 HSM 或 EKM 密钥偶尔出现的 RESOURCE_EXHAUSTED 错误，您可以等到下一秒再重试来解决。

反复出现的 RESOURCE_EXHAUSTED 错误表示您的项目经常超出一个或多个配额。如需解决此问题，您可以尝试以下任一操作或全部操作：

  • 降低项目发出使用 Cloud KMS 资源的请求的速率。

  • 申请更高的 Cloud KMS 配额。

  • 请根据需要为资源使用单独的项目，以免多个资源共享相同的配额。

    • 调用项目配额 - 如果您的单个项目包含多个以高请求速率使用 Cloud KMS API 的资源，不妨考虑将这些资源移至各自的项目，以便它们不共享 6 万 QPM 的限制。

    • 托管项目配额 - 如果您有一个项目包含支持高 QPS 率的不同资源的 Cloud HSM 或 Cloud EKM 密钥，不妨考虑根据优先级或工作负载等详细信息将 Cloud KMS 密钥拆分到单独的项目中。这样，共享相同 Cloud HSM 和 Cloud EKM 配额的密钥就会更少。

  • 向客户端添加退避机制以处理 RESOURCE_EXHAUSTED 错误。

申请更高的 Cloud KMS 配额

  1. 在 Google Cloud 控制台中，前往 Cloud KMS API 的 API/Service Details 页面。

    前往 Cloud KMS API/服务详情

    您可以在本页面查看 Cloud KMS API 的配额详情。

  2. 如需为其他项目申请增加配额，请在 Google Cloud 控制台标题中选择所需项目。

  3. 在配额列表中，选择您要增加的默认配额或区域配额，然后点击修改配额。

  4. 在配额更改窗格中，为所选配额输入所需的限制。

  5. 在申请说明中，说明申请原因。

  6. 点击下一步以继续。

  7. 提供您的联系信息，包括姓名、电子邮件地址和电话号码。

  8. 如需完成请求，请点击提交请求。

    提交请求后，系统会将其发送给审批人员进行评估。审核完成后，我们会通知您申请的状态。

限制特定项目的 Cloud KMS 使用量

如果您希望对 Cloud KMS 资源的使用施加更严格的配额限制，可以选择将给定项目的配额设置为低于默认值的限制。例如，如果您有多个项目的资源在同一项目中使用 Cloud HSM 或 Cloud EKM 密钥，则可以选择为每个调用项目将加密请求配额设置得更低，以确保您不会超出托管这些密钥的项目的每个区域的 HSM 对称加密请求等配额。

  1. 在 Google Cloud 控制台中，前往 Cloud KMS API 的 API/Service Details 页面。

    前往 Cloud KMS API/服务详情

    您可以在本页面查看 Cloud KMS API 的配额详情。

  2. 如需减少其他项目的配额，请在 Google Cloud 控制台标题中选择所需项目。

  3. 在配额列表中，选择您要减少的默认配额或区域配额，然后点击修改配额。

  4. 在配额更改窗格中，为所选配额输入所需的限制。

  5. 点击下一步以继续。

    如果您要将配额降低的幅度超过当前限制的 10%，系统会显示一条警告。如要继续应用低于默认配额的配额，请点击确认。否则，您可以点击取消返回并选择新的上限。

  6. 如需保存更改，请点击提交请求。

    您的新限额将立即生效。

后续步骤