Отправить триггер при повороте ключа в KMS

Question

В проекте, над которым я работаю, ключ в KMS будет автоматически меняться каждые 90 дней, но иногда в определенных сценариях его можно менять вручную.

Я ищу способ запускать микросервис каждый раз, когда происходит ротация, будь то ротация вручную или ротация по расписанию. Есть ли облачная функция или что-то в этом роде?

Мне не нужен никакой код. Просто документа или алгоритма высокого уровня более чем достаточно.

Спасибо

Answer 1

У службы инвентаризации облачных активов есть способ сделать это.

Создайте тему pubsub (вы можете сделать это в Cloud Console)

запустите команду gcloud, чтобы настроить эту тему

каналы ресурсов gcloud создают [TOPIC_NAME] --project=[PROJECT_NAME] --asset-types="cloudkms.googleapis.com/CryptoKeyVersion"
--pubsub-topic="[TOPIC_NAME]"

Обратите внимание, что вы можете добавить дополнительные условия и перечислить несколько типов активов (чтобы при желании вы могли запускать цепочки ключей, ключи и версии).

Оттуда вы можете подключить свой микросервис к недавно созданной теме pubsub и запускать ее на основе обновлений.

См. https://cloud.google.com/asset-inventory/docs/monitoring-asset-changes для получения более общей документации, а полный список типов активов находится здесь https://cloud.google.com/asset-inventory/docs. /supported-asset-types#supported_resource_types . Просто введите «kms» в строке поиска.