Monitorare l'utilizzo dell'EKM

Puoi utilizzare Cloud Monitoring per monitorare la connessione al gestore di chiavi esterno (EKM). Le seguenti metriche possono aiutarti a comprendere l'utilizzo di EKM:

  • cloudkms.googleapis.com/ekm/external/request_latencies
  • cloudkms.googleapis.com/ekm/external/request_count

Questa pagina mostra come creare una dashboard per monitorare le metriche relative alle chiavi Cloud EKM e alla connessione al gestore di chiavi esterno, ad esempio conteggi e latenze delle richieste. Per saperne di più su queste metriche, consulta Metriche cloudkms. Per ulteriori informazioni sulla procedura di creazione della dashboard descritta nelle sezioni seguenti, consulta Gestire le dashboard tramite l'API.

Prima di iniziare

I passaggi descritti in questa pagina presuppongono quanto segue:

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per creare dashboard utilizzando gcloud CLI, chiedi all'amministratore di concederti i seguenti ruoli IAM nel progetto:

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per creare dashboard utilizzando gcloud CLI. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per creare dashboard utilizzando gcloud CLI sono necessarie le seguenti autorizzazioni:

  • monitoring.dashboards.create
  • monitoring.dashboards.delete
  • monitoring.dashboards.update
  • serviceusage.services.use

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Crea una dashboard per monitorare EKM

Per monitorare lo stato del tuo EKM, crea una dashboard che monitori il conteggio delle richieste e le latenze:

  1. Scarica la configurazione della dashboard: ekm-dashboard.json.

  2. Crea una dashboard personalizzata con il file di configurazione eseguendo il seguente comando:

    gcloud monitoring dashboards create \
--config-from-file=ekm-dashboard.json

Visualizzare la dashboard EKM

  1. Nella console Google Cloud , vai alla pagina Monitoring o utilizza il pulsante seguente:

    Vai a Monitoring

  2. Seleziona Risorse > Dashboard e visualizza la dashboard denominata Cloud KMS EKM.

Crea un criterio di avviso per le metriche EKM

Completa i seguenti passaggi utilizzando gcloud CLI:

  1. Seleziona un canale di notifica per ricevere avvisi relativi alle metriche EKM.

    • Per utilizzare un canale di notifica esistente, visualizza prima i tuoi canali:

      gcloud beta monitoring channels list

      Scegli un canale dall'elenco. Prendi nota dell'ID del canale di notifica, ti servirà più avanti.

    • Per utilizzare un nuovo canale di notifica, crealo utilizzando un indirizzo email:

      gcloud beta monitoring channels create \
--display-name="Notification channel for EKM latency alert" \
--description="This notification channel receives EKM latency metric alerts" \
--type=email \
--channel-labels=email_address=NOTIFICATION_EMAIL

      In caso di esito positivo, questo comando restituisce il nome del nuovo canale. Prendi nota dell'ID del canale di notifica, ti servirà in seguito. L'output è simile al seguente:

      Created notification channel [projects/PROJECT_ID/notificationChannels/NOTIFICATION_CHANNEL_ID]

  2. Crea un criterio di avviso utilizzando il comando monitoring policies create:

        gcloud alpha monitoring policies create \
        --notification-channels=NOTIFICATION_CHANNEL_ID \
        --aggregation=' {"alignmentPeriod": "60s","perSeriesAligner": "ALIGN_PERCENTILE_99"}' \
        --condition-display-name="EKM Request Latency > 150ms" \
        --condition-filter='resource.type="cloudkms.googleapis.com/Project"
                            metric.type="cloudkms.googleapis.com/ekm/external/request_latencies"
                            metric.labels.ekm_service_region="LOCATION"
                            metric.labels.method="LABEL_METHOD"' \
        --duration="0s" \
        --if="> 150" \
        --display-name="EKM metric latency alert" \
        --trigger-count=1 \
        --combiner='AND'

    Sostituisci quanto segue:

    • NOTIFICATION_CHANNEL_ID: l'ID del canale di notifica.
    • LOCATION: la regione per la quale vuoi generare un avviso per questa metrica. Se vuoi ricevere avvisi indipendentemente dalla regione, ometti metric.labels.ekm_service_region.
    • LABEL_METHOD: l'etichetta method per cui vuoi ricevere un avviso, ad esempio wrap, unwrap, asymmetricSign, checkCryptoSpacePermissions, createKey, getInfo o getPublicKey. Puoi utilizzare Esplora metriche per esplorare le etichette delle metriche.

Passaggi successivi