Google Cloud aplica cuotas al uso de recursos. En el caso de Cloud KMS, se aplican al uso de recursos como claves, conjuntos de claves, versiones de claves y ubicaciones. Para obtener información sobre cómo gestionar o aumentar tus cuotas, consulta Monitorizar y ajustar las cuotas de Cloud KMS.
Las cuotas no tienen en cuenta la cantidad de recursos KeyRing, CryptoKey o CryptoKeyVersion, solo el número de operaciones.
Algunas cuotas de estas operaciones se aplican al proyecto que llama, es decir, al Google Cloud proyecto que realiza llamadas al servicio Cloud KMS. Se aplican otras cuotas al proyecto de alojamiento, es decir, al Google Cloud proyecto que contiene las claves usadas en la operación.
Las cuotas de proyectos de llamada no incluyen el uso generado por los Google Cloud servicios que usan claves de Cloud KMS para la integración de claves de encriptado gestionadas por el cliente (CMEK). Por ejemplo, las solicitudes de cifrado y descifrado que proceden directamente de BigQuery, Bigtable o Spanner no contribuyen a las cuotas de solicitudes criptográficas.
En la consola Google Cloud se indica el límite de cada cuota en consultas por minuto (QPM), pero las cuotas de los proyectos de alojamiento se aplican por segundo. Las cuotas que se aplican en consultas por segundo (CPS) deniegan las solicitudes que superan el límite de CPS, aunque el uso por minuto sea inferior al límite de CPM indicado. Si superas un límite de CPS, recibirás un error RESOURCE_EXHAUSTED.
Cuotas sobre el uso de recursos de Cloud KMS
En la siguiente tabla se enumeran las cuotas aplicadas a los recursos de Cloud KMS. En la tabla se indica el nombre y el límite de cada cuota, el proyecto al que se aplica y las operaciones que se tienen en cuenta para la cuota. Puedes introducir una palabra clave en el campo para filtrar la tabla. Por ejemplo, puedes introducir calling para ver solo las cuotas aplicadas al proyecto de llamadas o encrypt para ver solo las cuotas relacionadas con las operaciones de cifrado:
Ejemplos de cuotas
En las siguientes secciones se incluyen ejemplos de cada cuota con los siguientes proyectos de ejemplo:
KEY_PROJECT- A Google Cloud proyecto que contiene claves de Cloud KMS, incluidas las claves de Cloud HSM y Cloud EKM.SPANNER_PROJECT: un proyecto que contiene una instancia de Spanner que usa las claves de cifrado gestionadas por el cliente (CMEKs) que residen enKEY_PROJECT. Google CloudSERVICE_PROJECT: proyecto que contiene una cuenta de servicio que se usa para gestionar recursos de Cloud KMS que residen enKEY_PROJECT. Google Cloud
Solicitudes de lectura
La cuota Solicitudes de lectura limita las solicitudes de lectura delGoogle Cloud proyecto que llama a la API de Cloud KMS. Por ejemplo, ver una lista de claves en KEY_PROJECT desde KEY_PROJECT con Google Cloud CLI se contabiliza en la cuota KEY_PROJECT
Solicitudes de lectura. Si usas una cuenta de servicio en SERVICE_PROJECT para ver tu lista de claves, la solicitud de lectura se contabiliza en la cuota Solicitudes de lectura de SERVICE_PROJECT.
Usar la Google Cloud consola para ver recursos de Cloud KMS no afecta a la cuota de solicitudes de lectura.
Solicitudes de escritura
La cuota Solicitudes de escritura limita las solicitudes de escritura delGoogle Cloud proyecto que llama a la API de Cloud KMS. Por ejemplo, crear claves en KEY_PROJECT con gcloud CLI cuenta para la cuota de solicitudes de escritura de KEY_PROJECT. Si usas una cuenta de servicio en SERVICE_PROJECT para crear claves, la solicitud de escritura se contabiliza en la cuota de solicitudes de escritura de SERVICE_PROJECT.
Usar la consola para crear o gestionar recursos de Cloud KMS no afecta a la cuota de solicitudes de lectura. Google Cloud
Solicitudes criptográficas
La cuota Solicitudes criptográficas limita las operaciones criptográficas delGoogle Cloud proyecto que llama a la API de Cloud KMS. Por ejemplo, si encriptas datos mediante llamadas a la API desde un recurso de cuenta de servicio que se ejecuta en SERVICE_PROJECT con claves de KEY_PROJECT, se contabilizará en la cuota de solicitudes criptográficas de SERVICE_PROJECT.
El cifrado y descifrado de datos en un recurso de Spanner en SPANNER_PROJECT mediante la integración de CMEK no se tiene en cuenta en la cuota de solicitudes criptográficas de SPANNER_PROJECT.
Solicitudes criptográficas simétricas de HSM por región
La cuota de solicitudes criptográficas simétricas de HSM por región limita las operaciones criptográficas que usan claves simétricas de Cloud HSM en el Google Cloud
proyecto que contiene esas claves. Por ejemplo, el cifrado de datos en un recurso de Spanner con claves simétricas de HSM se contabiliza en la cuota de KEY_PROJECT solicitudes criptográficas simétricas de HSM por región .
Solicitudes criptográficas asimétricas de HSM por región
La cuota de solicitudes criptográficas asimétricas de HSM por región limita las operaciones criptográficas que usan claves asimétricas de Cloud HSM en el Google Cloudproyecto que contiene esas claves. Por ejemplo, si se cifran datos en un recurso de Spanner con claves de HSM asimétricas, se contabilizará en la cuota de KEY_PROJECT solicitudes criptográficas asimétricas de HSM por región.
Solicitudes de generación aleatoria de HSM por región
La cuota Solicitudes de generación aleatoria de HSM por región limita las operaciones de generación de bytes aleatorios mediante Cloud HSM en el proyecto Google Cloud especificado en el mensaje de solicitud. Por ejemplo, las solicitudes de cualquier fuente para generar bytes aleatorios en KEY_PROJECT cuentan para la cuota de KEY_PROJECT
solicitudes de generación aleatoria de HSM por región.
Solicitudes criptográficas externas por región
La cuota Solicitudes criptográficas externas por región limita las operaciones criptográficas que usan claves externas (Cloud EKM) en el Google Cloud proyecto que contiene esas claves. Por ejemplo, encriptar datos en un recurso de Spanner con claves de EKM se contabiliza en la cuota de KEY_PROJECT solicitudes criptográficas externas por región.
Información sobre los errores de cuota
Si haces una solicitud después de alcanzar tu cuota, la solicitud devolverá un error RESOURCE_EXHAUSTED cuyo código de estado HTTP es 429. Para obtener más información sobre cómo muestran el error RESOURCE_EXHAUSTED las bibliotecas de cliente, consulta la sección sobre la asignación de bibliotecas de cliente.
Si recibes el error RESOURCE_EXHAUSTED, puede que estés enviando demasiadas solicitudes de operaciones criptográficas por segundo. Puede recibir el error RESOURCE_EXHAUSTED aunque la consola Google Cloud muestre que no ha superado el límite de consultas por minuto. Este problema puede deberse a que las cuotas del proyecto de alojamiento de Cloud KMS se muestran por minuto, pero se aplican a escala por segundo. Para obtener más información sobre la monitorización de métricas, consulte Configurar alertas y monitorización de cuotas.
Para obtener información sobre cómo solucionar problemas de cuota de Cloud KMS, consulta el artículo Solucionar problemas de cuota.
Siguientes pasos
- Consulta información sobre cómo usar Cloud Monitoring con Cloud KMS.
- Consulta cómo monitorizar y ajustar las cuotas de Cloud KMS.