彙整機構和資料夾層級記錄，並將其轉送至支援的目的地

控制台

如要為資料夾或機構建立匯總接收器，請按照下列步驟操作：

1. 前往 Google Cloud 控制台的「記錄檔路由器」頁面：

   前往「記錄檔路由器」

   如果您是使用搜尋列尋找這個頁面，請選取子標題為「Logging」的結果。

2. 選取現有資料夾或機構。

3. 選取「建立接收器」。

4. 在「接收器詳細資料」面板中，輸入下列詳細資料：

   • 「Sink name」(接收器名稱)：提供接收器的 ID。請注意，建立接收器後就無法重新命名，但可以刪除並建立新的接收器。

   • 接收器說明 (選填)：說明接收器的用途或用途。

5. 在「選取接收器服務」選單中，選取目的地類型，然後完成對話方塊以指定目的地。您可以選取現有目的地或建立目的地。

   • 如果是攔截用接收器，請選取「Google Cloud 專案」，然後輸入目的地 Google Cloud 專案的完整名稱：

     logging.googleapis.com/projects/DESTINATION_PROJECT_ID
     

   • 如果是非攔截接收器，請選取目的地，然後輸入目的地的完整名稱。系統支援下列目的地：

     • Google Cloud 專案

       logging.googleapis.com/projects/DESTINATION_PROJECT_ID
       

     • Cloud Logging 值區

       logging.googleapis.com/projects/DESTINATION_PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME
       

     • BigQuery 資料集

       您必須輸入可寫入資料集的完整名稱。 資料集可以是以日期為分片依據的資料表或分區資料表。請勿輸入連結的資料集名稱。連結的資料集為唯讀。

       bigquery.googleapis.com/projects/PROJECT_ID/datasets/DATASET_ID
       

     • Cloud Storage bucket

       storage.googleapis.com/BUCKET_NAME
       

     • Pub/Sub 主題

       pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID
       

     • Splunk

       輸入 Splunk 服務的 Pub/Sub 主題。

6. 在「選擇要納入接收器的記錄檔」面板中，選取要納入接收器的資源。

   • 如果是攔截接收器，請選取「攔截這個機構和所有子資源擷取的記錄」。

   • 如果是非攔截接收器，請選取「收錄這個資源和所有子資源擷取的記錄檔」。

7. 在「Build inclusion filter」(建立「包含」篩選器) 欄位中，輸入與要納入的記錄項目相符的篩選器運算式。如未設定篩選器，所選資源的所有記錄項目都會轉送至目的地。

   舉例來說，您可能想建立篩選器，將所有資料存取稽核記錄傳送至單一記錄儲存空間。這個篩選器如下所示：

   LOG_ID("cloudaudit.googleapis.com/data_access") OR LOG_ID("externalaudit.googleapis.com/data_access")
   

   如需篩選器範例，請參閱本頁的「為匯總接收器建立篩選器」一節。

   請注意，篩選器的長度不得超過 20,000 個字元。

8. 選用步驟：如要確認輸入的篩選器是否正確，請選取「預覽記錄」。系統會在新的分頁中開啟記錄檔探索工具，並預先填入篩選條件。

9. 選用：在「選擇要從接收器排除的記錄檔」面板中，執行下列操作：

   1. 在「排除篩選器名稱」欄位中輸入名稱。

   2. 在「建立排除篩選器」欄位中，輸入與您想排除的記錄項目相符的篩選器運算式。您也可以使用 sample 函式選取要排除的記錄項目部分。

      舉例來說，如要排除特定專案的記錄項目，避免系統將這些項目傳送至目的地，請新增下列排除篩選器：

      logName:projects/PROJECT_ID
      

      如要排除多個專案的記錄項目，請使用邏輯 OR 運算子來加入 logName 子句。

   每個接收器最多可建立 50 個排除篩選器。請注意，篩選器的長度不得超過 20,000 個字元。

10. 選取「建立接收器」。

11. 如要完成匯總接收器的設定，請將記錄項目寫入接收器目的地的權限，授予接收器的服務帳戶。詳情請參閱「設定目的地權限」。

gcloud

如要建立匯總接收器，請使用 logging sinks create 指令：

1. 如要建立接收器，請呼叫 gcloud logging sinks create 指令，並務必加入 --include-children 選項。

   使用下列指令之前，請先替換以下項目：

   • SINK_NAME：記錄接收器的名稱。水槽名稱一經建立即無法變更。
   • SINK_DESTINATION：要將記錄項目轉送至的服務或專案。如要瞭解這些目的地的格式，請參閱「目的地路徑格式」。
   • INCLUSION_FILTER：接收器的納入篩選器。 如需篩選器範例，請參閱「為匯總接收器建立篩選器」。
   • FOLDER_ID：資料夾的 ID。如要在機構層級建立接收器，請將 --folder=FOLDER_ID 替換為 -- organization=ORGANIZATION_ID。

   執行 gcloud logging sinks create 指令：

   gcloud logging sinks create SINK_NAME \
     SINK_DESTINATION  --include-children \
     --folder=FOLDER_ID --log-filter="INCLUSION_FILTER"
   

   你也可以提供下列選項：

   • 如要建立攔截接收器，請加入 --intercept-children 選項。

   舉例來說，如果您要在資料夾層級建立匯總接收器，且目的地為 Pub/Sub 主題，則指令可能如下所示：

   gcloud logging sinks create SINK_NAME \
     pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID --include-children \
     --folder=FOLDER_ID --log-filter="logName:activity"

2. 授予接收器服務帳戶寫入接收器目的地的權限。詳情請參閱「設定目的地權限」。

REST

如要建立匯總接收器，請使用 organizations.sinks.create 或 folders.sinks.create Logging API 方法。如下準備方法的引數：

1. 將 parent 欄位設為要在其中建立接收器的 Google Cloud 機構或資料夾。父項必須是下列其中一項：

   • organizations/ORGANIZATION_ID
   • folders/FOLDER_ID

2. 在方法要求主體的 LogSink 物件中，執行下列其中一項操作：

   • 將 includeChildren 設為 True。

   • 如要建立攔截接收器，請將 interceptChildren 欄位設為 True。

3. 設定 filter 欄位，比對要納入的記錄項目。

   如需篩選器範例，請參閱「為匯總接收器建立篩選器」。

   篩選條件長度不得超過 20,000 個字元。

4. 設定剩餘的 LogSink 欄位，方法與為任何接收器設定時相同。 詳情請參閱「將記錄檔傳送至支援的目的地」。

5. 呼叫 organizations.sinks.create 或 folders.sinks.create 以建立接收器。

6. 授予接收器服務帳戶寫入接收器目的地的權限。詳情請參閱「設定目的地權限」。

控制台

1. 如要取得接收器的服務帳戶資訊，請按照下列步驟操作：

   1. 前往 Google Cloud 控制台的「記錄檔路由器」頁面：

      前往「記錄檔路由器」

      如果您是使用搜尋列尋找這個頁面，請選取子標題為「Logging」的結果。

   2. 選取 more_vert「選單」，然後選取「查看接收器詳細資料」。寫入者身分會顯示在「接收器詳細資料」面板中。

   3. 如果 writerIdentity 欄位的值包含電子郵件地址，請繼續下一個步驟。如果值為 None，則不需要設定目的地權限。

   4. 將接收器的寫入者身分複製到剪貼簿。以下說明寫入者身分：

      serviceAccount:[email protected]
      

2. 將記錄資料寫入目的地所需的權限，授予接收器寫入者身分所指定的主體：

   1. 前往 Google Cloud 控制台的「IAM」IAM頁面：

      前往 IAM

      如果您是使用搜尋列尋找這個頁面，請選取子標題為「IAM & Admin」的結果。

   2. 在 Google Cloud 控制台的工具列中，選取儲存匯總接收器目的地的專案。如果目的地是專案，請選取該專案。

   3. 按一下「授予存取權」person_add。

   4. 輸入接收器寫入者身分指定的主體，然後授予 IAM 角色：

      • Google Cloud 專案：授予記錄寫入者角色 (roles/logging.logWriter)。具體來說，主體需要 logging.logEntries.route 權限。
      • 記錄檔值區：授予記錄檔值區寫入者角色 (roles/logging.bucketWriter)。
      • Cloud Storage 值區：授予Storage 物件建立者角色 (roles/storage.objectCreator)。
      • BigQuery 資料集：授予 BigQuery 資料編輯者角色 (roles/bigquery.dataEditor)。
      • Pub/Sub 主題 (包括 Splunk)：授予 Pub/Sub 發布者角色 (roles/pubsub.publisher)。

gcloud

1. 確認您對Google Cloud 含有目的地的專案具有「擁有者」存取權。如果您不具有接收器目的地位置的擁有者存取權，請要求專案擁有者將寫入者身分新增為主體。

2. 如要取得接收器的服務帳戶資訊，請呼叫 gcloud logging sinks describe 方法。

   使用下列指令之前，請先替換以下項目：

   • SINK_NAME：記錄接收器的名稱。水槽名稱一經建立即無法變更。

   執行 gcloud logging sinks describe 指令：

   gcloud logging sinks describe SINK_NAME
   

3. 如果接收器詳細資料包含標示為 writerIdentity 的欄位，請繼續下一個步驟。如果詳細資料不包含writerIdentity欄位，則不需要為接收器設定目的地權限。

4. 將接收器的寫入者身分複製到剪貼簿。以下說明寫入者身分：

   serviceAccount:[email protected]
   

5. 呼叫 gcloud projects add-iam-policy-binding 指令，將記錄資料寫入目的地的權限授予接收器的寫入者身分。

   使用下列指令之前，請先替換以下項目：

   • PROJECT_ID：專案的 ID。選取儲存匯總接收器目的地的專案。如果目的地是專案，請選取該專案。
   • PRINCIPAL：要授予角色的主體 ID。主體 ID 通常採用以下格式： PRINCIPAL-TYPE:ID。 例如：user:[email protected]。如需 PRINCIPAL 可採用的完整格式清單，請參閱「主要 ID」。

   • ROLE：IAM 角色。根據記錄接收器的目的地，將 IAM 角色授予接收器的寫入者身分：

     • Google Cloud 專案：授予記錄寫入者角色 (roles/logging.logWriter)。具體來說，主體需要 logging.logEntries.route 權限。
     • 記錄檔值區：授予記錄檔值區寫入者角色 (roles/logging.bucketWriter)。
     • Cloud Storage 值區：授予Storage 物件建立者角色 (roles/storage.objectCreator)。
     • BigQuery 資料集：授予 BigQuery 資料編輯者角色 (roles/bigquery.dataEditor)。
     • Pub/Sub 主題 (包括 Splunk)：授予 Pub/Sub 發布者角色 (roles/pubsub.publisher)。

   執行 gcloud projects add-iam-policy-binding 指令：

   gcloud projects add-iam-policy-binding PROJECT_ID --member=PRINCIPAL --role=ROLE
   

REST

建議您使用 Google Cloud 控制台或 Google Cloud CLI，將角色授予服務帳戶。