Quote

Google Cloud applica le quote sull'utilizzo delle risorse. Per Cloud KMS, le quote vengono applicate all'uso di risorse come chiavi, keyring, versioni delle chiavi e località. Per informazioni dettagliate su come gestire o aumentare le quote, consulta Monitorare e modificare le quote di Cloud KMS.

Visualizzare le quote di Cloud KMS

Per il numero di risorse KeyRing, CryptoKey o CryptoKeyVersion non è prevista una quota, che invece è prevista per il numero di operazioni.

Alcune quote per queste operazioni si applicano al progetto chiamante, il progettoGoogle Cloud che effettua chiamate al servizio Cloud KMS. Altre quote si applicano al progetto host, al progetto Google Cloud che contiene le chiavi utilizzate per l'operazione.

Le quote del progetto chiamante non includono l'utilizzo generato dai serviziGoogle Cloud che utilizzano le chiavi Cloud KMS per l'integrazione delle chiavi di crittografia gestite dal cliente (CMEK). Ad esempio, le richieste di crittografia e decrittografia provenienti direttamente da BigQuery, Bigtable o Spanner non contribuiscono alle quote di Richieste di crittografia.

La console Google Cloud elenca il limite per ogni quota in query al minuto (QPM), ma le quote del progetto di hosting vengono applicate al secondo. Le quote applicate in query al secondo (QPS) negano le richieste che superano il limite QPS, anche se l'utilizzo al minuto è inferiore al limite QPM elencato. Se superi un limite di QPS, ricevi un RESOURCE_EXHAUSTED errore.

Quote sull'utilizzo delle risorse Cloud KMS

La seguente tabella elenca ogni quota applicata alle risorse Cloud KMS. La tabella indica il nome e il limite di ogni quota, il progetto a cui si applica la quota e le operazioni che vengono conteggiate ai fini della quota. Puoi inserire una parola chiave nel campo per filtrare la tabella. Ad esempio, puoi inserire chiamata per visualizzare solo le quote applicate al progetto di chiamata o crittografia per visualizzare solo le quote relative alle operazioni di crittografia:

Quota Progetto Limite Risorse e operazioni
Leggi le richieste
cloudkms.googleapis.com​/read_requests		 Progetto di chiamata 300 QPM

cryptoKeys: get, getIamPolicy, list, testIamPermissions

cryptoKeyVersions: get, list

ekmConnections: get, getIamPolicy, list, testIamPermissions, verifyConnectivity

importJobs: get, getIamPolicy, list, testIamPermissions

keyRings: get, getIamPolicy, list, testIamPermissions

locations: get, list

Esente: operazioni dalla console Google Cloud .
Richieste di scrittura
cloudkms.googleapis.com​/write_requests		 Progetto di chiamata 60 QPM

cryptoKeys: create, patch, setIamPolicy, updatePrimaryVersion

cryptoKeyVersions: create, destroy, import, patch, restore

ekmConnections: create, patch, setIamPolicy

importJobs: create, setIamPolicy

keyRings: create, setIamPolicy

Esente: operazioni dalla console Google Cloud .
Richieste crittografiche
cloudkms.googleapis.com​/crypto_requests		 Progetto di chiamata 60.000 QPM

cryptoKeys: encrypt, decrypt

cryptoKeyVersions: asymmetricDecrypt, asymmetricSign, getPublicKey, macSign, macVerify, rawEncrypt, rawDecrypt

locations: generateRandomBytes

Esente: operazioni dalle integrazioni CMEK.
Richieste di crittografia simmetrica HSM per regione
cloudkms.googleapis.com​/hsm_symmetric_requests		 Progetto host 500 QPS

cryptoKeys: encrypt, decrypt

cryptoKeyVersions: asymmetricDecrypt, asymmetricSign, getPublicKey, macSign, macVerify, rawEncrypt, rawDecrypt
Richieste di crittografia asimmetrica HSM per regione
cloudkms.googleapis.com​/hsm_asymmetric_requests		 Progetto host 50 QPS

cryptoKeys: encrypt, decrypt

cryptoKeyVersions: asymmetricDecrypt, asymmetricSign, getPublicKey, macSign, macVerify
HSM generate random requests per region
cloudkms.googleapis.com​/hsm_generate_random_requests		 Progetto host 50 QPS

locations: generateRandomBytes
Richieste crittografiche esterne per regione
cloudkms.googleapis.com​/external_kms_requests		 Progetto host 100 QPS

cryptoKeys: encrypt, decrypt

cryptoKeyVersions: asymmetricDecrypt, asymmetricSign, getPublicKey, macSign, macVerify

Esempi di quote

Le sezioni seguenti includono esempi di ciascuna quota utilizzando i seguenti progetti di esempio:

  • KEY_PROJECT - Un progetto Google Cloud che contiene chiavi Cloud KMS, incluse le chiavi Cloud HSM e Cloud EKM.

  • SPANNER_PROJECT: un progetto Google Cloud che contiene un'istanza Spanner che utilizza le chiavi di crittografia gestite dal cliente (CMEK) che si trovano in KEY_PROJECT.

  • SERVICE_PROJECT: un progetto Google Cloud che contiene un account di servizio che utilizzi per gestire le risorse Cloud KMS che si trovano in KEY_PROJECT.

Richieste di lettura

La quota Richieste di lettura limita le richieste di lettura dal progettoGoogle Cloud che chiama l'API Cloud KMS. Ad esempio, la visualizzazione di un elenco di chiavi in KEY_PROJECT da KEY_PROJECT utilizzando Google Cloud CLI viene conteggiata ai fini della quota di KEY_PROJECT per le richieste di lettura. Se utilizzi un account di servizio in SERVICE_PROJECT per visualizzare l'elenco delle chiavi, la richiesta di lettura viene conteggiata ai fini della quota Richieste di lettura di SERVICE_PROJECT.

L'utilizzo della console Google Cloud per visualizzare le risorse Cloud KMS non contribuisce alla quota Richieste di lettura.

Richieste di scrittura

La quota Richieste di scrittura limita le richieste di scrittura dal progettoGoogle Cloud che chiama l'API Cloud KMS. Ad esempio, la creazione di chiavi in KEY_PROJECT utilizzando gcloud CLI viene conteggiata ai fini della quota di richieste di scrittura di KEY_PROJECT. Se utilizzi un account di servizio in SERVICE_PROJECT per creare chiavi, la richiesta di scrittura viene conteggiata ai fini della quota Richieste di scrittura di SERVICE_PROJECT.

L'utilizzo della console Google Cloud per creare o gestire le risorse Cloud KMS non contribuisce alla quota di richieste di lettura.

Richieste crittografiche

La quota Richieste crittografiche limita le operazioni crittografiche dal progettoGoogle Cloud che chiama l'API Cloud KMS. Ad esempio, la crittografia dei dati utilizzando le chiamate API da una risorsa account di servizio in esecuzione in SERVICE_PROJECT utilizzando le chiavi di KEY_PROJECT viene conteggiata ai fini della quota Richieste crittografiche di SERVICE_PROJECT.

La crittografia e la decrittografia dei dati in una risorsa Spanner in SPANNER_PROJECT utilizzando l'integrazione di CMEK non vengono conteggiate ai fini della quota di richieste crittografiche di SPANNER_PROJECT.

Richieste di crittografia simmetrica HSM per regione

La quota Richieste di crittografia simmetrica HSM per regione limita le operazioni di crittografia che utilizzano chiavi Cloud HSM simmetriche nel progetto che contiene queste chiavi. Google CloudAd esempio, la crittografia dei dati in una risorsa Spanner utilizzando chiavi HSM simmetriche viene conteggiata ai fini della quota KEY_PROJECT richieste crittografiche simmetriche HSM per regione .

Richieste di crittografia asimmetrica HSM per regione

La quota Richieste crittografiche asimmetriche HSM per regione limita le operazioni di crittografia che utilizzano chiavi Cloud HSM asimmetriche nel progetto Google Cloudche contiene queste chiavi. Ad esempio, la crittografia dei dati in una risorsa Spanner utilizzando chiavi HSM asimmetriche viene conteggiata ai fini della quota KEY_PROJECT richieste crittografiche asimmetriche HSM per regione.

Richieste di generazione casuale HSM per regione

I limiti di quota HSM generate random requests per region generano operazioni di byte casuali utilizzando Cloud HSM nel progetto Google Cloud specificato nel messaggio di richiesta. Ad esempio, le richieste da qualsiasi origine per generare byte casuali in KEY_PROJECT vengono conteggiate ai fini della quota KEY_PROJECT Genera richieste casuali HSM per regione.

Richieste crittografiche esterne per regione

La quota Richieste crittografiche esterne per regione limita le operazioni crittografiche che utilizzano chiavi esterne (Cloud EKM) nel progetto Google Cloud che contiene queste chiavi. Ad esempio, la crittografia dei dati in una risorsa Spanner utilizzando le chiavi EKM viene conteggiata ai fini della quota KEY_PROJECT Richieste crittografiche esterne per regione.

Informazioni sull'errore di quota

Se effettui una richiesta dopo aver raggiunto la quota, la richiesta genera un errore RESOURCE_EXHAUSTED. Il codice di stato HTTP è 429. Per informazioni su come le librerie client visualizzano l'errore RESOURCE_EXHAUSTED, consulta la sezione relativa alla mappatura delle librerie client.

Se ricevi l'errore RESOURCE_EXHAUSTED, potresti inviare troppe richieste di operazioni di crittografia al secondo. Puoi ricevere l'errore RESOURCE_EXHAUSTED anche se la console Google Cloud mostra che rientri nel limite di query al minuto. Questo problema può verificarsi perché le quote del progetto di hosting di Cloud KMS vengono visualizzate al minuto, ma vengono applicate su una scala al secondo. Per scoprire di più sulle metriche di monitoraggio, consulta Configurare avvisi e monitoraggio delle quote.

Per informazioni dettagliate sulla risoluzione dei problemi relativi alle quote di Cloud KMS, consulta la sezione Risolvere i problemi relativi alle quote.

Passaggi successivi