Tetap teratur dengan koleksi
Simpan dan kategorikan konten berdasarkan preferensi Anda.
Halaman ini memberikan petunjuk tentang cara memverifikasi akses kunci setelah Anda membuat kebijakan kunci enkripsi yang dikelola pelanggan (CMEK).
Kasus penggunaan verifikasi akses kunci
Kapan saja, Anda dapat menjalankan kembali verifikasi akses kunci untuk mengidentifikasi masalah pada kunci:
Penonaktifan kunci: jika kunci dinonaktifkan, akses data ke volume akan berhenti.
Penghancuran kunci: jika kunci dihancurkan, akses ke data tidak dapat dipulihkan.
Anda dapat menghapus volume untuk mengosongkan kapasitas. Untuk mengetahui informasi selengkapnya, lihat
Menghapus volume.
Untuk menggunakan kunci CMEK, Anda harus memberikan izin layanan untuk membaca kunci yang ditentukan terlebih dahulu. NetApp Volumes menyediakan perintah Google Cloud CLI yang benar. Untuk memberikan izin kunci Cloud KMS yang diperlukan ke layanan, Anda perlu membuat peran khusus di seluruh project dengan izin yang sesuai, lalu membuat pengikatan peran kunci yang mengikat peran khusus ke akun layanan yang sesuai. Anda memerlukan izin Administrator Peran
(roles/iam.RoleAdmin) di project dalam Akun Google Anda untuk
membuat peran kustom dan izin Admin Cloud KMS (roles/cloudkms.admin)
untuk memberikan akses NetApp Volumes ke kunci.
Konsol
Gunakan petunjuk berikut untuk memberikan izin layanan untuk membaca kunci
menggunakan konsol Google Cloud .
Buka halaman NetApp Volumes di konsol Google Cloud .
Temukan kebijakan CMEK yang ingin Anda edit, lalu klik menu Tampilkan lebih banyak.
Pilih Verifikasi akses kunci.
Jika Anda belum mengonfigurasi akses kunci, verifikasi akan gagal dan
UI akan menampilkan petunjuk tentang cara memberikan akses kunci. Setelah Anda menjalankan perintah Google Cloud CLI yang diperlukan, klik Coba Lagi untuk menjalankan verifikasi kunci lagi.
Jika verifikasi berhasil, dialog akan muncul yang menunjukkan
verifikasi berhasil. Jika verifikasi gagal, klik
Coba lagi untuk menjalankan kembali pemeriksaan kunci.
gcloud
Gunakan petunjuk berikut untuk memberikan izin layanan untuk membaca
kunci menggunakan Google Cloud CLI.
PROJECT_ID: ID project unik yang ingin Anda berikan aksesnya.
LOCATION: region konfigurasi.
Jika verifikasi kunci berhasil, perintah akan menampilkan pesan berikut:
healthy:true
Jika verifikasi kunci gagal, Anda harus memberikan izin akses ke kunci.
Jalankan perintah berikut untuk mengidentifikasi perintah Google Cloud CLI guna memberikan akses kunci layanan. Anda memerlukan peran cloudkms.admin untuk menjalankan perintah
berikut.
[[["Mudah dipahami","easyToUnderstand","thumb-up"],["Memecahkan masalah saya","solvedMyProblem","thumb-up"],["Lainnya","otherUp","thumb-up"]],[["Sulit dipahami","hardToUnderstand","thumb-down"],["Informasi atau kode contoh salah","incorrectInformationOrSampleCode","thumb-down"],["Informasi/contoh yang saya butuhkan tidak ada","missingTheInformationSamplesINeed","thumb-down"],["Masalah terjemahan","translationIssue","thumb-down"],["Lainnya","otherDown","thumb-down"]],["Terakhir diperbarui pada 2025-09-03 UTC."],[],[],null,["# Verify key access\n\nThis page provides instructions on how to verify key access after you\ncreate a customer-managed encryption key (CMEK) policy.\n\nKey access verification use cases\n---------------------------------\n\nAt any time, you can rerun key access verification to identify issues with the\nkey:\n\n- **Key disablement**: if a key gets disabled, data access to volumes stops.\n\n- **Key destructions** : if a key is destroyed, access to data is unrestorable.\n You can delete volumes to free up capacity. For more information, see\n [Delete a volume](/netapp/volumes/docs/configure-and-use/volumes/manage-volume#delete_a_volume).\n\n- **Missing permissions** : if permissions are removed, the instructions to\n grant them appear. See [Grant the service permission to read a key](/netapp/volumes/docs/configure-and-use/cmek/verify-key-access#grant_the_service_permission_to_read_a_key).\n\nGrant the service permission to read a key\n------------------------------------------\n\nTo use a CMEK key, you must grant the service permission to read the\nspecified key first. NetApp Volumes provides the correct\nGoogle Cloud CLI commands. To grant the required Cloud KMS key\npermissions to the service, you need to create a project-wide custom role with\nthe appropriate permissions, and then a key role binding that binds the custom\nrole to the appropriate service account. You need the Role Administrator\n(`roles/iam.RoleAdmin`) permissions on the project within your Google Account to\ncreate the custom role and the Cloud KMS Admin (`roles/cloudkms.admin`)\npermissions to grant NetApp Volumes access to the key. \n\n### Console\n\nUse the following instructions to grant the service permission to read a key\nusing the Google Cloud console.\n\n1. Go to the **NetApp Volumes page** in the Google Cloud console.\n\n [Go to NetApp Volumes](https://console.cloud.google.com/netapp/volumes)\n2. Select **CMEK policies**.\n\n3. Find the CMEK policy you want to edit and click the **Show more** menu.\n\n4. Select **Verify key access**.\n\n5. If you haven't configured key access yet, the verification fails and the\n UI shows instructions on how to grant key access. After you run the\n required Google Cloud CLI commands, click **Retry** to run key\n verification again.\n\n If verification is successful, a dialog appears that indicates\n successful verification. If verification is unsuccessful, click\n **Retry** to rerun the key check.\n\n### gcloud\n\nUse the following instructions to grant the service permission to read\na key using Google Cloud CLI.\n\nRun the following `kms-configs verify` command: \n\n```bash\n gcloud netapp kms-configs verify CONFIG_NAME \\\n --project=PROJECT_ID \\\n --location=LOCATION\n```\n\nReplace the following information:\n\n- \u003cvar translate=\"no\"\u003eCONFIG_NAME\u003c/var\u003e: the name of the config.\n\n- \u003cvar translate=\"no\"\u003ePROJECT_ID\u003c/var\u003e: the unique project ID you want to\n grant access for.\n\n- \u003cvar translate=\"no\"\u003eLOCATION\u003c/var\u003e: the region of the config.\n\nIf key verification is successful, the command outputs the following message: \n\n```json\nhealthy: true\n```\n\nIf key verification fails, you have to grant access permissions to the key.\nRun the following command to identify the Google Cloud CLI commands to grant the\nservice key access. You need the `cloudkms.admin` role to run the following\ncommand. \n\n```json\n gcloud netapp kms-configs describe CONFIG_NAME \\\n --project=\u003cvar label=\"project ID\" translate=\"no\"\u003ePROJECT_ID\u003c/var\u003e \\\n --location=\u003cvar label=\"location\" translate=\"no\"\u003eLOCATION\u003c/var\u003e \\\n --format=\"value(instructions)\"\n```\n\nFor more options, see [Google Cloud SDK documentation for Cloud Key Management Service](/sdk/gcloud/reference/netapp/kms-configs).\n\nFor more information, see [Cloud Key Management Service user documentation](/kms/docs/quickstart).\n\nWhat's next\n-----------\n\n[Manage CMEK policies](/netapp/volumes/docs/configure-and-use/cmek/manage-cmek-policy)."]]
