監控及調整 Cloud KMS 配額

本頁面說明如何管理 Cloud Key Management Service 配額。如要進一步瞭解與 Cloud KMS 相關的配額，請參閱「配額」。

事前準備

您必須具備下列權限，才能查看專案配額：

  • resourcemanager.projects.get
  • monitoring.timeSeries.list
  • serviceusage.services.list
  • serviceusage.quotas.get

您必須具備 serviceusage.quotas.update 權限，才能變更專案配額。

如要進一步瞭解哪些 IAM 角色包含這些權限，請參閱 IAM 權限參考資料。

查看 Cloud KMS 配額

  1. 在 Google Cloud 控制台中，前往 Cloud KMS API 的「API/Service Details」(API/服務詳細資料) 頁面。

    前往 Cloud KMS API/服務詳細資料

    您可以透過這個頁面查看 Cloud KMS API 的配額詳細資料。

  2. 如要查看其他專案的配額，請在Google Cloud 控制台標題中選取所需專案。

  3. 如要依配額類型篩選，請按一下「Filter」列，然後從屬性清單中選取「Quota」，再選擇所需配額。

  4. 如要依區域篩選，請按一下「Filter」列，然後從屬性清單中選取「Dimensions (e.g. location)」，然後輸入所需區域名稱。

如果您發現配額即將用盡或已超出，可以申請提高 Cloud KMS 配額。

排解配額問題

如果 Cloud KMS 因已達相關配額上限而拒絕要求，就會傳回 RESOURCE_EXHAUSTED 錯誤。如果是使用 Cloud KMS REST API 提出的要求，RESOURCE_EXHAUSTED 錯誤的 HTTP 狀態碼為 429。由於 Cloud KMS 代管專案配額是以每秒為單位強制執行，因此 HSM 或 EKM 金鑰偶爾發生的 RESOURCE_EXHAUSTED 錯誤，可在下一個秒重試來解決。

如果 RESOURCE_EXHAUSTED 錯誤一再發生，表示您的專案經常超出一或多項配額。如要解決這個問題，請嘗試下列任一種方法 (或所有方法)：

  • 降低專案使用 Cloud KMS 資源的要求頻率。

  • 要求增加 Cloud KMS 配額。

  • 請在適當情況下為資源使用不同的專案，以免多個資源共用相同的配額。

    • 呼叫專案配額：如果單一專案包含多個以高要求率使用 Cloud KMS API 的資源，建議您將資源移至各自的專案，以免共用 60,000 QPM 的限制。

    • 代管專案配額：如果您有一個專案，其中包含支援不同資源的 Cloud HSM 或 Cloud EKM 金鑰，且這些資源的 QPS 率很高，建議您根據優先順序或工作負載等詳細資料，將 Cloud KMS 金鑰分割為不同的專案。這樣一來，共用相同 Cloud HSM 和 Cloud EKM 配額的金鑰就會減少。

  • 在用戶端中新增輪詢機制，以便處理 RESOURCE_EXHAUSTED 錯誤。

要求提高 Cloud KMS 配額

  1. 在 Google Cloud 控制台中，前往 Cloud KMS API 的「API/Service Details」(API/服務詳細資料) 頁面。

    前往 Cloud KMS API/服務詳細資料

    您可以透過這個頁面查看 Cloud KMS API 的配額詳細資料。

  2. 如要為其他專案申請提高配額，請在 Google Cloud 控制台標頭中選取所需專案。

  3. 在配額清單中選取要增加的預設或區域配額，然後按一下「編輯配額」。

  4. 在「Quota changes」窗格中，輸入所選配額的所需限制。

  5. 在「要求說明」中，說明要求的原因。

  6. 按「Next」(下一步) 繼續操作。

  7. 提供聯絡資訊，包括姓名、電子郵件和電話。

  8. 如要完成要求，請按一下「提交要求」。

    提交要求後，系統會將要求傳送給核准者進行評估。審查完成後，我們會通知您要求的處理狀態。

限制特定專案的 Cloud KMS 用量

如果您想對 Cloud KMS 資源的用量設下更嚴格的配額，可以選擇將特定專案的配額設為低於預設值的限制。舉例來說，如果您有數個專案，且這些專案的資源在同一個專案中使用 Cloud HSM 或 Cloud EKM 金鑰，您可以選擇為每個呼叫專案的密碼編譯要求設定較低的配額，確保您不會在代管這些金鑰的專案中超出HSM 對稱式密碼編譯要求/每個區域等配額。

  1. 在 Google Cloud 控制台中，前往 Cloud KMS API 的「API/Service Details」(API/服務詳細資料) 頁面。

    前往 Cloud KMS API/服務詳細資料

    您可以透過這個頁面查看 Cloud KMS API 的配額詳細資料。

  2. 如要減少其他專案的配額，請在 Google Cloud 控制台標題中選取所需專案。

  3. 在配額清單中選取要減少的預設或區域配額，然後按一下「編輯配額」。

  4. 在「Quota changes」窗格中，輸入所選配額的所需限制。

  5. 按「Next」(下一步) 繼續操作。

    如果您將配額減少的幅度超過目前限制的 10%，系統會顯示警告。如要繼續套用比預設值更低的配額，請按一下「確認」。或者，您可以按一下「取消」返回並選擇新的限制。

  6. 如要儲存變更，請按一下「提交要求」。

    新的上限會立即生效。

後續步驟