Cette rubrique décrit les données collectables par Simple Log Service pour KMS, les ressources de stockage des journaux, la facturation et les limites.
Qu'est-ce que Simple Log Service ?
La fonctionnalité Simple Log Service pour KMS s'appuie sur Alibaba Cloud Simple Log Service. Dans la console KMS, interrogez et analysez les journaux des instances KMS. Adaptez également la durée de conservation des journaux d'accès en la fixant entre 180 et 3 649 jours, ce qui aide votre application à respecter les obligations réglementaires. Pour en savoir plus sur Alibaba Cloud Simple Log Service, reportez-vous à la section Présentation de Simple Log Service.
Données collectées
La fonctionnalité Simple Log Service pour KMS ne collecte que les informations relatives aux requêtes métier traitées par les instances KMS. Utilisez les champs de journal api_name et share_gateway_api_name pour identifier les scénarios métier associés aux requêtes. La distinction entre les requêtes dépend de l'endpoint KMS utilisé par l'appelant. Pour obtenir des détails sur les endpoints KMS, consultez la page Description des endpoints.
Simple Log Service ne recueille pas les informations concernant les opérations de gestion des ressources KMS. Toutefois, ActionTrail vous permet d'interroger les opérations de gestion effectuées sur les ressources KMS. La liste complète des événements auditable est disponible dans la rubrique Événements d'audit de KMS. Pour savoir comment interroger ces événements, consultez Utiliser ActionTrail pour interroger les événements KMS.
-
Via les endpoints du service KMS
share_gateway_api_name
api_name
Description de l'événement
Scénario de l'événement
GetSecretValue
Decrypt
Récupère les valeurs des secrets.
Applications autonomes récupérant des secrets.
GenerateDataKey
GenerateDataKey
Génère une clé de données.
Scénario 1 : Intégration des services cloud avec KMS.
Scénario 2 : Applications autonomes où les utilisateurs créent des secrets ou stockent des valeurs de secret.
GenerateDataKeyWithoutPlaintext
GenerateDataKey
Génère une clé de données et renvoie uniquement le texte chiffré de cette clé.
Intégration des services cloud avec KMS.
Encrypt
Encrypt
Chiffre les données à l'aide d'une clé symétrique.
Intégration des services cloud avec KMS.
Decrypt
Decrypt
Déchiffre les données à l'aide d'une clé symétrique.
Intégration des services cloud avec KMS.
AsymmetricEncrypt
Encrypt
Chiffre les données à l'aide d'une clé asymétrique.
Intégration des services cloud avec KMS.
AsymmetricDecrypt
Decrypt
Déchiffre les données à l'aide d'une clé asymétrique.
Intégration des services cloud avec KMS.
AsymmetricSign
Sign
Signe les données à l'aide d'une clé asymétrique.
Intégration des services cloud avec KMS.
AsymmetricVerify
Verify
Vérifie une signature à l'aide d'une clé asymétrique.
Intégration des services cloud avec KMS.
-
Via les endpoints des instances KMS
Ce scénario s'applique lorsque votre application autonome utilise une instance KMS. Dans ce cas, le champ share_gateway_api_name reste vide.
api_name
Description de l'événement
GetSecretValue
Récupère les valeurs des secrets.
AdvanceEncrypt
Chiffre le texte clair en texte chiffré à l'aide d'une clé KMS. Cette opération d'API n'est utilisable que si la clé est une clé symétrique appartenant à une instance de gestion de clés logicielle.
AdvanceDecrypt
Déchiffre le texte chiffré en texte clair à l'aide d'une clé KMS. Cette opération d'API n'est utilisable que si la clé est une clé symétrique appartenant à une instance de gestion de clés logicielle.
AdvanceGenerateDataKey
Génère une clé de données. Cette opération d'API n'est utilisable que si la clé est une clé symétrique appartenant à une instance de gestion de clés logicielle.
GenerateDataKeyPair
Génère une paire de clés de données asymétriques et renvoie le texte clair de la clé privée.
GenerateDataKeyPairWithoutPlaintext
Génère une paire de clés de données asymétriques sans renvoyer le texte clair de la clé privée.
GenerateDataKey
Génère une clé de données.
Encrypt
Chiffre le texte clair en texte chiffré.
Decrypt
Déchiffre le texte chiffré en texte clair.
Sign
Signe les données à l'aide d'une clé asymétrique.
Verify
Vérifie une signature à l'aide d'une clé asymétrique.
GetPublicKey
Récupère la clé publique d'une clé asymétrique.
Ressources de stockage des journaux
Lorsque vous activez Simple Log Service, le système crée automatiquement un projet pour l'instance KMS, ainsi qu'un Logstore au sein de ce projet. Les données de journalisation sont stockées dans le Logstore. La région du projet correspond à celle de votre instance KMS.
Connectez-vous à la console Simple Log Service pour visualiser le projet (nommé kms-log-{ID de l'instance KMS}) et le Logstore (nommé kms_audit_log).
Ne supprimez pas le projet ni le Logstore associés aux journaux KMS. Sans ces ressources, la livraison des journaux vers Simple Log Service échouera.
Facturation
Simple Log Service pour KMS est commercialisé via KMS et facturé selon la capacité de stockage des journaux. Seul le mode d'abonnement est pris en charge. La capacité minimale de stockage est de 1 000 Go, avec des incréments obligatoires de 1 000 Go. Le tarif s'élève à 80 USD par mois pour chaque tranche de 1 000 Go.
Les frais appliqués par KMS pour Simple Log Service couvrent l'espace de stockage ainsi que les fonctions d'interrogation et d'analyse. Si vous exploitez d'autres fonctionnalités de Simple Log Service, telles que la transformation des données, l'acheminement des journaux ou l'indexation, Simple Log Service vous facturera séparément selon le mode de paiement à l'utilisation. Pour plus de détails sur la tarification, consultez la rubrique Éléments facturables par fonctionnalité.
La durée d'abonnement à Simple Log Service est liée à celle de votre instance KMS. Si vous activez Simple Log Service lors de l'achat d'une instance KMS, les frais sont calculés sur la base de la durée d'abonnement de l'instance. En revanche, si vous activez le service en mettant à niveau une instance KMS existante, la facturation repose sur la durée restante de l'instance, calculée à la minute près.
Limites
Par défaut, après activation de Simple Log Service, les journaux d'accès sont conservés pendant 180 jours. Il est possible d'allonger cette période jusqu'à 3 649 jours. Afin d'éviter l'écrasement des journaux existants, il est impossible de réduire la durée de conservation.
-
Assurez-vous que l'espace de stockage des journaux reste suffisant. Lorsque cet espace est saturé, l'écriture de nouveaux journaux devient impossible. Dans ce cas, augmentez rapidement la capacité de stockage. Notez qu'il est impossible de réduire la capacité après une augmentation.
RemarqueL'utilisation de l'espace de stockage des journaux affichée dans la console KMS n'est pas actualisée en temps réel ; elle présente un décalage de deux heures par rapport à l'utilisation réelle.
Une fois Simple Log Service activé, vous ne pouvez pas le désactiver directement. Pour procéder à sa désactivation, contactez le support technique d'Alibaba Cloud. Pour plus d'informations, consultez la page Nous contacter.
L'instance KMS doit se trouver dans l'état Available. À défaut, la fonctionnalité Simple Log Service de KMS sera suspendue. Si une instance KMS arrive à expiration sans être renouvelée, le projet associé sera automatiquement supprimé lors de la libération de l'instance, soit le 16e jour suivant l'expiration.
Estimer la capacité de stockage des journaux requise
En conditions normales, chaque journal de requête occupe environ 1 Ko d'espace de stockage. Avec un taux de requêtes moyen de 100 QPS, l'espace nécessaire pour une journée de journaux atteint 100 × 60 × 60 × 24 × 1 = 8 640 000 Ko (soit environ 8,2 Go). La période de conservation par défaut étant de 180 jours, la capacité de stockage requise s'élève approximativement à 8,2 × 180 = 1 476 Go. Lors de l'activation de Simple Log Service, vous pouvez sélectionner une capacité de stockage de 2 000 Go.