Résoudre les erreurs liées à CMEK et aux paramètres par défaut

Ce document explique comment identifier et limiter les conséquences des erreurs courantes commises lors de la configuration du chiffrement CMEK, et comment identifier les erreurs qui surviennent lors de la configuration de l'emplacement des ressources par défaut.

Résoudre les problèmes de définition de l'emplacement par défaut des ressources

Vous essayez de mettre à jour l'emplacement de stockage par défaut d'une organisation ou d'un dossier, mais la commande échoue et renvoie une erreur semblable à celle-ci:

ERROR: (gcloud.logging.settings.update) INVALID_ARGUMENT: The KMS key location must match the storage location. Received KMS key location: us-central1, storage location: us-west1
- '@type': type.googleapis.com/google.rpc.DebugInfo
  detail: '[ORIGINAL ERROR] generic::invalid_argument: The KMS key location must match
    the storage location. Received KMS key location: us-central1, storage location:
    us-west1 [google.rpc.error_details_ext] { message: "The KMS key location must
    match the storage location. Received KMS key location: us-central1, storage location:
    us-west1" }'

Pour résoudre cette erreur, définissez l'emplacement de stockage par défaut de l'organisation ou du dossier de sorte qu'il corresponde à l'emplacement de la clé Cloud Key Management Service de l'organisation ou du dossier.

Résoudre les problèmes liés à VPC Service Controls et au partage limité au domaine

Vous avez configuré CMEK comme paramètre de ressource par défaut pour votre organisation ou pour un dossier, ou vous avez créé un bucket de journaux avec CMEK activé. Vous configurez ensuite VPC Service Controls. Une fois VPC Service Controls configuré, vous pouvez restreindre l'accès à Cloud Key Management Service dans VPC Service Controls ou activer le partage limité au domaine.

Au moins l'un des éléments suivants se produit:

  • Vous avez reçu une notification de Cloud Logging concernant des problèmes d'accès CMEK.

  • Vous constatez que le chiffrement CMEK n'est pas activé pour les buckets de journaux _Default et _Required lorsque vous créez des projets Google Cloud dans votre organisation ou dans un dossier.

  • Vous recevez des erreurs lorsque vous lisez à partir de buckets de journaux avec CMEK activé. Les erreurs que vous voyez sont semblables à l'erreur suivante:

    ERROR: (gcloud.logging.read) FAILED_PRECONDITION: service account `cmek-PROJECT_IDgcp-sa-logging.iam.gserviceaccount.com` must have both encrypt and decrypt access to the CMEK KMS key `projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY`

  • Vous recevez des erreurs lorsque vous créez ou mettez à jour des buckets de journaux avec CMEK activé. Les erreurs que vous voyez sont semblables à celle-ci:

    ERROR: (gcloud.logging.buckets.create) service account `cmek-PROJECT_ID@gcp-sa-logging.iam.gserviceaccount.com` must have both encrypt and decrypt access to the CMEK KMS key `projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY`
- '@type': type.googleapis.com/google.rpc.DebugInfo
  detail: '[ORIGINAL ERROR] generic::permission_denied: Request is prohibited by
  organization's policy. vpcServiceControlsUniqueIdentifier: <var>ERRORID</var>;'

Pour déterminer si ces problèmes sont dus à la configuration de VPC Service Controls, procédez comme suit:

  1. Identifiez les paramètres Cloud Logging de la ressource contenant la configuration CMEK. Une ressource peut être un projet, un dossier ou une organisation. Si vous avez créé des buckets de journaux avec CMEK activé, sélectionnez la ressource PROJECT.

    PROJECT 

    gcloud logging settings describe --project=PROJECT_ID

    Avant d'exécuter la commande, remplacez PROJECT_ID par l'ID du projet contenant le bucket de journaux.

    FOLDER 

    gcloud logging settings describe --folder=FOLDER_ID

    Avant d'exécuter la commande, remplacez FOLDER_ID par l'ID du dossier.

    ORGANIZATION 

    gcloud logging settings describe --organization=ORGANIZATION_ID

    Avant d'exécuter la commande, remplacez ORGANIZATION_ID par l'ID de l'organisation.

    La commande précédente renvoie des informations semblables à ce qui suit:

    kmsServiceAccountId: KMS_SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com
loggingServiceAccountId: SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com

    Pour les organisations et les dossiers, le champ suivant est également renvoyé:

    kmsKeyName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY

    La valeur du champ kmsKeyName inclut le projet Google Cloud qui stocke la clé.

  2. Déterminez si vous devez migrer des comptes de service:

    • Si la valeur du champ kmsServiceAccountId comporte le préfixe service-, vous n'avez pas besoin de migrer votre compte de service. Pour en savoir plus sur les erreurs de configuration du chiffrement CMEK, consultez la section Résoudre les problèmes liés au chiffrement CMEK de ce document.

    • Si la valeur de kmsServiceAccountId comporte le préfixe cmek-, passez à l'étape suivante.

  3. Vérifiez que vous devez migrer des comptes de service en désactivant le partage restreint de domaine ou en supprimant Cloud Key Management Service de la liste des services restreints par VPC Service Controls.

    Si les erreurs sont résolues, vous devez migrer les ressources concernées vers un nouveau compte de service pour résoudre les échecs. Pour en savoir plus sur ces étapes, consultez la section suivante.

Migrer des comptes de service CMEK

La procédure suivante explique comment modifier le compte de service utilisé par Cloud Logging pour accéder aux clés Cloud Key Management Service configurées. Le changement de compte de service résout un problème connu avec VPC Service Controls et le partage limité au domaine.

  1. Identifiez le loggingServiceAccountId de votre ressource. Une ressource peut être un projet, un dossier ou une organisation. Si vous avez créé des buckets de journaux avec CMEK activé, sélectionnez la ressource PROJECT.

    PROJECT 

    gcloud logging settings describe --project=PROJECT_ID

    Avant d'exécuter la commande, remplacez PROJECT_ID par l'ID du projet contenant le bucket de journaux.

    FOLDER 

    gcloud logging settings describe --folder=FOLDER_ID

    Avant d'exécuter la commande, remplacez FOLDER_ID par l'ID du dossier.

    ORGANIZATION 

    gcloud logging settings describe --organization=ORGANIZATION_ID

    Avant d'exécuter la commande, remplacez ORGANIZATION_ID par l'ID de l'organisation.

    La commande précédente renvoie des informations semblables à ce qui suit:

    kmsServiceAccountId: KMS_SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com
loggingServiceAccountId: SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com

    Pour les organisations et les dossiers, le champ suivant est également renvoyé:

    kmsKeyName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY

    La valeur du champ kmsKeyName inclut le projet Google Cloud qui stocke la clé.

  2. Si vous avez configuré un paramètre de ressource par défaut pour votre organisation ou pour des dossiers, procédez comme suit:

    1. Dans KMS_PROJECT_ID, accordez le rôle Chiffreur/Déchiffreur de CryptoKey Cloud Key Management Service au compte de service identifié par le champ loggingServiceAccountId.

    2. Exécutez la commande curl suivante, qui modifie le compte de service Cloud Key Management Service utilisé par la ressource.

      PROJECT

      Non applicable.

      FOLDER 

      curl -X PATCH -H "Authorization: Bearer \"$(gcloud auth print-access-token)\"" -H "Content-Type: application/json; charset=utf-8" -d '{"kmsServiceAccountId": "SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com"}' https://logging.googleapis.com/v2/folders/FOLDER_ID/settings?updateMask=kmsServiceAccountId

      Avant d'exécuter la commande, procédez comme suit:

      • Remplacez FOLDER_ID par l'ID du dossier.
      • Remplacez SERVICE_ACCT_NAME par le loggingServiceAccountId identifié précédemment.

      ORGANIZATION 

      curl -X PATCH -H "Authorization: Bearer \"$(gcloud auth print-access-token)\"" -H "Content-Type: application/json; charset=utf-8" -d '{"kmsServiceAccountId": "SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com"}' https://logging.googleapis.com/v2/organizations/ORGANIZATION_ID/settings?updateMask=kmsServiceAccountId

      Avant d'exécuter la commande, procédez comme suit:

      • Remplacez ORGANIZATION_ID par l'ID de l'organisation.
      • Remplacez SERVICE_ACCT_NAME par le loggingServiceAccountId identifié précédemment.

      Le résultat de la commande précédente ressemble à ceci :

      {
  "name": ".../settings",
  "kmsKeyName": "projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY",
  "kmsServiceAccountId": "SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com",
  "storageLocation": "...",
  "loggingServiceAccountId": "SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com"
}

  3. Pour chaque projet ou dossier Google Cloud contenant des buckets de journaux existants activés avec CMEK, procédez comme suit:

    1. Dans le projet ou le dossier, pour chaque bucket de journaux activé avec CMEK, procédez comme suit:

      1. Identifiez le projet Google Cloud qui stocke la clé Cloud Key Management Service:

        PROJECT 

        gcloud logging buckets describe BUCKET_ID --location=LOCATION --project=PROJECT_ID

        Avant d'exécuter la commande, procédez comme suit:

        • Remplacez PROJECT_ID par l'ID du projet contenant le bucket de journaux.
        • Remplacez LOCATION par l'emplacement du bucket de journaux.

        FOLDER 

        gcloud logging buckets describe BUCKET_ID --location=LOCATION --folder=FOLDER_ID

        Avant d'exécuter la commande, procédez comme suit:

        • Remplacez FOLDER_ID par l'ID du dossier.
        • Remplacez LOCATION par l'emplacement du bucket de journaux.

        Le résultat de la commande précédente ressemble à ceci:

        cmekSettings:
  kmsKeyName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY
  kmsKeyVersionName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY/cryptoKeyVersions/1
  serviceAccountId: KMS_SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com
createTime: '2022-10-31T12:00:00.0000000Z'
lifecycleState: ACTIVE
name: projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_ID
retentionDays: 30
createTime: '2022-10-31T13:00:00.0000000Z'

      2. Accédez au projet Google Cloud propriétaire de la clé Cloud Key Management Service, KMS_PROJECT_ID, et attribuez le rôle Chiffreur/Déchiffreur de CryptoKey Cloud Key Management Service au compte de service identifié par le champ loggingServiceAccountId.

    2. Pour le projet, exécutez la commande curl suivante, qui modifie le compte de service Cloud Key Management Service:

      PROJECT 

      curl -X PATCH -H "Authorization: Bearer \"$(gcloud auth print-access-token)\"" -H "Content-Type: application/json; charset=utf-8" -d '{"kmsServiceAccountId": "SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com"}' https://logging.googleapis.com/v2/projects/PROJECT_ID/settings?updateMask=kmsServiceAccountId

      Avant d'exécuter la commande, procédez comme suit:

      • Remplacez PROJECT_ID par l'ID du projet contenant le bucket de journaux.
      • Remplacez SERVICE_ACCT_NAME par le loggingServiceAccountId identifié précédemment.

      FOLDER

      Aucune action n'est requise, car vous avez modifié le compte de service Cloud Key Management Service utilisé par le dossier à l'étape précédente.

      Le résultat de la commande précédente ressemble à ceci :

      {
  "name": ".../settings",
  "kmsServiceAccountId": "SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com",
  "loggingServiceAccountId": "SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com"
}

  4. Pour chaque bucket de journaux avec CMEK activé, procédez comme suit:

    1. Effectuez une rotation de la clé Cloud KMS.

    2. Confirmez la migration. La ressource parente du bucket de journaux détermine la commande Google Cloud CLI à exécuter. Il peut s'agir d'un projet, d'un dossier ou d'une organisation.

      PROJECT 

      gcloud logging buckets describe BUCKET_ID --location=LOCATION --project=PROJECT_ID

      Avant d'exécuter la commande, procédez comme suit:

      • Remplacez PROJECT_ID par l'ID du projet contenant le bucket de journaux.
      • Remplacez LOCATION par l'emplacement du bucket de journaux.

      FOLDER 

      gcloud logging buckets describe BUCKET_ID --location=LOCATION --folder=FOLDER_ID

      Avant d'exécuter la commande, procédez comme suit:

      • Remplacez FOLDER_ID par l'ID du dossier.
      • Remplacez LOCATION par l'emplacement du bucket de journaux.

      Pour un projet, le résultat de la commande précédente ressemble à ceci:

      cmekSettings:
  kmsKeyName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY
  kmsKeyVersionName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY/cryptoKeyVersions/1
  serviceAccountId: SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com
createTime: '2022-10-31T12:00:00.0000000Z'
lifecycleState: ACTIVE
name: projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_ID
retentionDays: 30
createTime: '2022-10-31T13:00:00.0000000Z'

      Assurez-vous que serviceAccountId correspond à loggingServiceAccountId identifié précédemment.

  5. Attendez au moins 30 minutes avant de révoquer les autorisations sur le compte de service précédent. Si vous rencontrez des problèmes après avoir révoqué les autorisations sur l'ancien compte de service, restaurez les autorisations et contactez l'assistance Cloud.

Résoudre les problèmes liés à CMEK

Lorsque vous configurez CMEK, le projet Google Cloud contenant la clé Cloud KMS est averti des problèmes associés. Par exemple, les mises à jour échouent lorsque KMS_KEY_NAME n'est pas valide, lorsque le compte de service associé ne dispose pas du rôle Chiffreur/Déchiffreur de CryptoKeys Cloud Key Management Service requis ou lorsque l'accès à la clé est désactivé.

Une fois que vous avez configuré CMEK, au moins l'un des événements suivants se produit:

  • Vous avez reçu une notification de Cloud Logging concernant des problèmes d'accès CMEK.

  • Vous remarquez que le chiffrement CMEK n'est pas activé pour les buckets de journaux _Default et _Required lorsque vous créez des projets Google Cloud dans votre organisation ou dans un dossier.

  • Vous recevez des erreurs lorsque vous lisez à partir de buckets de journaux avec CMEK activé, ou si vous essayez de créer ou de mettre à jour des buckets de journaux.

La notification fournit des informations sur la défaillance et des mesures que vous pouvez prendre pour atténuer le problème:

Erreur Recommandation
Autorisation d'utiliser la clé cryptographique refusée

Le compte de service Logging associé à votre projet Google Cloud ne dispose pas des autorisations IAM nécessaires pour utiliser la clé Cloud KMS spécifiée. Suivez les instructions fournies par l'erreur ou consultez les documents suivants:
Clé cryptographique désactivée La clé Cloud KMS spécifiée a été désactivée. Suivez les instructions du message d'erreur pour réactiver la clé.
La clé cryptographique a été détruite

La clé Cloud KMS spécifiée a été détruite. Suivez les instructions ou consultez les documents suivants:

Identifier le projet contenant la clé Cloud KMS

Pour identifier l'ID du projet Google Cloud contenant la clé de chiffrement utilisée par un bucket de journaux, un dossier ou une organisation, procédez comme suit:

PROJECT 

gcloud logging settings describe --project=PROJECT_ID

Avant d'exécuter la commande, remplacez PROJECT_ID par l'ID du projet contenant le bucket de journaux.

FOLDER 

gcloud logging settings describe --folder=FOLDER_ID

Avant d'exécuter la commande, remplacez FOLDER_ID par l'ID du dossier.

ORGANIZATION 

gcloud logging settings describe --organization=ORGANIZATION_ID

Avant d'exécuter la commande, remplacez ORGANIZATION_ID par l'ID de l'organisation.

La commande précédente renvoie des informations semblables à ce qui suit:

kmsServiceAccountId: KMS_SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com
loggingServiceAccountId: SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com

Pour les organisations et les dossiers, le champ suivant est également renvoyé:

kmsKeyName: projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KMS_KEY_RING/cryptoKeys/KEY

La valeur du champ kmsKeyName inclut le projet Google Cloud qui stocke la clé.

Vérifier que les clés sont exploitables

Pour vérifier la facilité d'utilisation de la clé, exécutez la commande suivante pour répertorier toutes les clés :

gcloud kms keys list \
--location=KMS_KEY_LOCATION \
--keyring=KMS_KEY_RING

Cette commande renvoie des informations sur chaque clé sous forme de tableau. La première ligne du résultat est une liste de noms de colonnes :

NAME PURPOSE ...

Dans la réponse qui s'affiche, assurez-vous que la clé Cloud KMS est répertoriée dans le résultat de la commande en tant que ENABLED et qu'elle remplit une fonction de chiffrement symétrique. Pour cela, la colonne PURPOSE doit contenir ENCRYPT_DECRYPT et la colonne PRIMARY_STATE doit contenir ENABLED.

Si nécessaire, créez une clé.

Vérifier la configuration des autorisations

Les comptes de services associés aux paramètres CMEK de l'organisation doivent détenir le rôle Chiffreur/Déchiffreur de CryptoKeys Cloud KMS pour la clé configurée.

Pour afficher la règle Cloud IAM de la clé, exécutez la commande suivante :

gcloud kms keys get-iam-policy KMS_KEY_NAME

Si nécessaire, ajoutez le compte de service qui contient le rôle Chiffreur/Déchiffreur de CryptoKeys Cloud KMS à la clé.