Logs auf Organisations- und Ordnerebene zusammenführen und an unterstützte Ziele weiterleiten

Console

So erstellen Sie eine aggregierte Senke für Ihren Ordner oder Ihre Organisation:

1. Rufen Sie in der Google Cloud Console die Seite Log Router auf:

   Zum Logrouter

   Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift Logging ist.

2. Wählen Sie einen vorhandenen Ordner oder eine vorhandene Organisation aus.

3. Wählen Sie Senke erstellen aus.

4. Geben Sie im Bereich Senkendetails die folgenden Details ein:

   • Senkenname: Geben Sie eine Kennzeichnung für die Senke an. Beachten Sie, dass Sie die Senke nach deren Erstellung nicht mehr umbenennen, aber löschen und eine neue erstellen können.

   • Senkenbeschreibung (optional): Beschreiben Sie den Zweck oder den Anwendungsfall für die Senke.

5. Wählen Sie im Menü Senkendienst auswählen den Zieltyp aus und geben Sie dann im Dialogfeld das Ziel an. Sie können ein vorhandenes Ziel auswählen oder ein neues erstellen.

   • Wählen Sie für eine abfangende Senke Google Cloud project aus und geben Sie dann den vollständig qualifizierten Namen des Zielprojekts Google Cloud ein:

     logging.googleapis.com/projects/DESTINATION_PROJECT_ID
     

   • Wählen Sie für eine nicht abfangende Senke das Ziel aus und geben Sie dann den vollqualifizierten Namen des Ziels ein. Die folgenden Ziele werden unterstützt:

     • Google Cloud Projekt

       logging.googleapis.com/projects/DESTINATION_PROJECT_ID
       

     • Cloud Logging-Bucket

       logging.googleapis.com/projects/DESTINATION_PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME
       

     • BigQuery-Dataset

       Sie müssen den vollständig qualifizierten Namen eines schreibgeschützten Datasets eingeben. Das Dataset kann eine datumsbasiert aufgeteilte oder partitionierte Tabelle sein. Geben Sie nicht den Namen eines verknüpften Datasets ein. Verknüpfte Datasets sind schreibgeschützt.

       bigquery.googleapis.com/projects/PROJECT_ID/datasets/DATASET_ID
       

     • Cloud Storage-Bucket

       storage.googleapis.com/BUCKET_NAME
       

     • Pub/Sub-Thema

       pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID
       

     • Splunk

       Geben Sie das Pub/Sub-Thema für Ihren Splunk-Dienst ein.

6. Wählen Sie im Bereich Logs auswählen, die in der Senke enthalten sein sollen die Ressourcen aus, die in die Senke aufgenommen werden sollen.

   • Wählen Sie für eine abfangende Senke Logs abfangen, die von dieser Organisation und allen untergeordneten Ressourcen aufgenommen wurden aus.

   • Wählen Sie für eine nicht abfangende Senke Von dieser Ressource aufgenommene Logs und alle untergeordneten Ressourcen einschließen aus.

7. Geben Sie im Feld Build-Einschlussfilter einen Filterausdruck ein, der den Logeinträgen entspricht, die Sie aufnehmen möchten. Wenn Sie keinen Filter festlegen, werden alle Logeinträge aus der ausgewählten Ressource an das Ziel weitergeleitet.

   Sie können beispielsweise einen Filter erstellen, um alle Datenzugriffs-Audit-Logs an einen einzelnen Logging-Bucket weiterzuleiten. Dieser Filter sieht in etwa so aus:

   LOG_ID("cloudaudit.googleapis.com/data_access") OR LOG_ID("externalaudit.googleapis.com/data_access")
   

   Beispiele für Filter finden Sie auf dieser Seite im Abschnitt Filter für aggregierte Senken erstellen.

   Beachten Sie, dass ein Filter nicht länger als 20.000 Zeichen sein darf.

8. Optional: Wählen Sie Vorschau von Logs aus, um zu prüfen, ob Sie den richtigen Filter eingegeben haben. Dadurch wird der Log-Explorer in einem neuen Tab geöffnet, auf dem der Filter bereits ausgefüllt ist.

9. Optional: Gehen Sie im Bereich Logs auswählen, die aus der Senke ausgeschlossen werden sollen so vor:

   1. Geben Sie in das Feld Name des Ausschlussfilters einen Namen ein.

   2. Geben Sie im Abschnitt Ausschlussfilter erstellen einen Filterausdruck ein, der den Logeinträgen entspricht, die Sie ausschließen möchten. Mit der Funktion sample können Sie auch einen Teil der Logeinträge auswählen, die ausgeschlossen werden sollen.

      Wenn Sie beispielsweise die Logeinträge aus einem bestimmten Projekt ausschließen möchten, damit sie nicht an das Ziel weitergeleitet werden, fügen Sie den folgenden Ausschlussfilter hinzu:

      logName:projects/PROJECT_ID
      

      Wenn Sie Logeinträge aus mehreren Projekten ausschließen möchten, verwenden Sie den logischen OR-Operator, um logName-Klauseln zu verknüpfen.

   Sie können bis zu 50 Ausschlussfilter pro Senke erstellen. Beachten Sie, dass ein Filter nicht länger als 20.000 Zeichen sein darf.

10. Wählen Sie Senke erstellen aus.

11. Um die Konfiguration der aggregierten Senke abzuschließen, müssen Sie dem Dienstkonto für die Senke die Berechtigung zum Schreiben von Logeinträgen in das Ziel der Senke erteilen. Weitere Informationen finden Sie unter Zielberechtigungen festlegen.

gcloud

Verwenden Sie den Befehl logging sinks create, um eine aggregierte Senke zu erstellen:

1. Rufen Sie zum Erstellen einer Senke den Befehl gcloud logging sinks create auf und achten Sie darauf, dass Sie die Option --include-children einfügen.

   Bevor Sie den folgenden Befehl verwenden, ersetzen Sie die folgenden Werte:

   • SINK_NAME: Der Name der Logsenke. Sie können den Namen eines Senken nach dem Erstellen nicht mehr ändern.
   • SINK_DESTINATION: Der Dienst oder das Projekt, an das Ihre Logeinträge weitergeleitet werden sollen. Informationen zum Format dieser Ziele finden Sie unter Zielpfadformate.
   • INCLUSION_FILTER: Der Einschlussfilter für eine Senke. Beispiele für Filter finden Sie unter Filter für aggregierte Senken erstellen.
   • FOLDER_ID: Die ID des Ordners. Wenn Sie eine Senke auf Organisationsebene erstellen möchten, ersetzen Sie --folder=FOLDER_ID durch -- organization=ORGANIZATION_ID.

   Führen Sie den Befehl gcloud logging sinks create aus:

   gcloud logging sinks create SINK_NAME \
     SINK_DESTINATION  --include-children \
     --folder=FOLDER_ID --log-filter="INCLUSION_FILTER"
   

   Sie können auch die folgenden Optionen angeben:

   • Wenn Sie eine abfangende Senke erstellen möchten, fügen Sie die Option --intercept-children ein.

   Wenn Sie beispielsweise eine aggregierte Senke auf Ordnerebene erstellen und deren Ziel ein Pub/Sub-Thema ist, könnte Ihr Befehl so aussehen:

   gcloud logging sinks create SINK_NAME \
     pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID --include-children \
     --folder=FOLDER_ID --log-filter="logName:activity"

2. Gewähren Sie dem Dienstkonto für die Senke die Berechtigung, in das Senkenziel zu schreiben. Weitere Informationen finden Sie unter Zielberechtigungen festlegen.

REST

Verwenden Sie zum Erstellen einer aggregierten Senke die Logging API-Methode organizations.sinks.create oder folders.sinks.create. Bereiten Sie die Argumente für die Methode so vor:

1. Legen Sie als parent-Feld die Google Cloud Organisation oder den Ordner fest, in dem die Senke erstellt werden soll. Geben Sie als übergeordnete Ressource eine der folgenden an:

   • organizations/ORGANIZATION_ID
   • folders/FOLDER_ID

2. Führen Sie im LogSink-Objekt im Methodenanfragetext einen der folgenden Schritte aus:

   • Setzen Sie includeChildren auf True.

   • Wenn Sie eine abfangende Senke erstellen möchten, legen Sie das Feld interceptChildren auf True fest.

3. Legen Sie das Feld filter so fest, dass es den Logeinträgen entspricht, die Sie aufnehmen möchten.

   Beispiele für Filter finden Sie unter Filter für aggregierte Senken erstellen.

   Ein Filter darf nicht länger als 20.000 Zeichen sein.

4. Legen Sie die verbleibenden LogSink-Felder wie gewohnt für Senken fest. Weitere Informationen finden Sie unter Logs an unterstützte Ziele weiterleiten.

5. Rufen Sie zum Erstellen der Senke die Methode organizations.sinks.create oder folders.sinks.create auf.

6. Gewähren Sie dem Dienstkonto für die Senke die Berechtigung, in das Senkenziel zu schreiben. Weitere Informationen finden Sie unter Zielberechtigungen festlegen.

Console

1. So rufen Sie Informationen zum Dienstkonto für Ihr Senkenprojekt ab:

   1. Rufen Sie in der Google Cloud Console die Seite Log Router auf:

      Zum Logrouter

      Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift Logging ist.

   2. Wählen Sie more_vert Menü und dann Senkendetails ansehen aus. Die Identität des Autors wird im Feld Senkendetails angezeigt.

   3. Wenn der Wert des Felds writerIdentity eine E-Mail-Adresse enthält, fahren Sie mit dem nächsten Schritt fort. Wenn der Wert None ist, müssen Sie keine Berechtigungen für das Ziel konfigurieren.

   4. Kopieren Sie die Identität des Autors der Senke in die Zwischenablage. Das folgende Beispiel zeigt eine Autorenidentität:

      serviceAccount:[email protected]
      

2. Erteilen Sie dem Hauptkonto, das durch die Identität des Autors der Senke angegeben wird, die Berechtigung zum Schreiben von Logdaten in das Ziel:

   1. Rufen Sie in der Google Cloud Console die Seite IAM auf:

      Rufen Sie IAM auf.

      Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift IAM & Admin ist.

   2. Wählen Sie in der Symbolleiste der Google Cloud -Console das Projekt aus, in dem das Ziel des aggregierten Senken gespeichert ist. Wenn das Ziel ein Projekt ist, wählen Sie dieses Projekt aus.

   3. Klicken Sie auf person_add Zugriff erlauben.

   4. Geben Sie das Hauptkonto an, das durch die Identität des Autors der Senke angegeben wird, und weisen Sie dann eine IAM-Rolle zu:

      • Google Cloud project: Gewähren Sie die Rolle „Logautor“ (roles/logging.logWriter). Ein Hauptkonto benötigt insbesondere die Berechtigung logging.logEntries.route.
      • Log-Bucket: Weisen Sie die Rolle „Log-Bucket-Autor“ (roles/logging.bucketWriter) zu.
      • Cloud Storage-Bucket: Weisen Sie die Rolle „Storage-Objekt-Ersteller“ (roles/storage.objectCreator) zu.
      • BigQuery-Dataset: Weisen Sie die Rolle „BigQuery-Datenbearbeiter“ (roles/bigquery.dataEditor) zu.
      • Pub/Sub-Thema, einschließlich Splunk: Weisen Sie die Rolle „Pub/Sub-Publisher“ (roles/pubsub.publisher) zu.

gcloud

1. Sie benötigen Inhaberzugriff auf dasGoogle Cloud -Projekt, das das Ziel enthält. Wenn Sie keinen Inhaber-Zugriff auf das Ziel der Senke haben, bitten Sie einen Projektinhaber, die Identität des Autors als Prinzipal hinzuzufügen.

2. Rufen Sie die Methode gcloud logging sinks describe auf, um Informationen zum Dienstkonto für Ihr Senken abzurufen.

   Bevor Sie den folgenden Befehl verwenden, ersetzen Sie die folgenden Werte:

   • SINK_NAME: Der Name der Logsenke. Sie können den Namen eines Senken nach dem Erstellen nicht mehr ändern.

   Führen Sie den Befehl gcloud logging sinks describe aus:

   gcloud logging sinks describe SINK_NAME
   

3. Wenn die Senkendetails ein Feld mit dem Label writerIdentity enthalten, fahren Sie mit dem nächsten Schritt fort. Wenn die Details kein writerIdentity-Feld enthalten, müssen Sie keine Zielberechtigungen für die Senke konfigurieren.

4. Kopieren Sie die Identität des Autors der Senke in die Zwischenablage. Das folgende Beispiel zeigt eine Autorenidentität:

   serviceAccount:[email protected]
   

5. Erteilen Sie der Identität des Autors der Senke die Berechtigung, Logdaten in das Ziel zu schreiben, indem Sie den Befehl gcloud projects add-iam-policy-binding aufrufen.

   Bevor Sie den folgenden Befehl verwenden, ersetzen Sie die folgenden Werte:

   • PROJECT_ID: Die Kennung des Projekts. Wählen Sie das Projekt aus, in dem das Ziel des aggregierten Senken gespeichert ist. Wenn das Ziel ein Projekt ist, wählen Sie dieses Projekt aus.
   • PRINCIPAL: Eine Kennzeichnung für das Hauptkonto, dem Sie die Rolle zuweisen möchten. Hauptkonto-Kennzeichnungen haben normalerweise das folgende Format: PRINCIPAL-TYPE:ID. Beispiel: user:[email protected] Eine vollständige Liste der Formate, die PRINCIPAL haben kann, finden Sie unter Hauptkonto-IDs.

   • ROLE: Eine IAM-Rolle. Weisen Sie der Identität des Autors der Senke eine IAM-Rolle basierend auf dem Ziel der Logs zu:

     • Google Cloud project: Gewähren Sie die Rolle „Logautor“ (roles/logging.logWriter). Ein Hauptkonto benötigt insbesondere die Berechtigung logging.logEntries.route.
     • Log-Bucket: Weisen Sie die Rolle „Log-Bucket-Autor“ (roles/logging.bucketWriter) zu.
     • Cloud Storage-Bucket: Weisen Sie die Rolle „Storage-Objekt-Ersteller“ (roles/storage.objectCreator) zu.
     • BigQuery-Dataset: Weisen Sie die Rolle „BigQuery-Datenbearbeiter“ (roles/bigquery.dataEditor) zu.
     • Pub/Sub-Thema, einschließlich Splunk: Weisen Sie die Rolle „Pub/Sub-Publisher“ (roles/pubsub.publisher) zu.

   Führen Sie den Befehl gcloud projects add-iam-policy-binding aus:

   gcloud projects add-iam-policy-binding PROJECT_ID --member=PRINCIPAL --role=ROLE
   

REST

Wir empfehlen, die Google Cloud -Konsole oder die Google Cloud CLI zu verwenden, um dem Dienstkonto eine Rolle zuzuweisen.