查看 Cloud Run 事件的稽核記錄

本指南說明如何在 Cloud 稽核記錄中查看 Cloud Run 的二進位授權。

Cloud Logging 中的封鎖部署事件

記錄檔探索工具

如要在 Cloud Logging 記錄檔探索工具中查看遭封鎖的部署事件，請執行下列操作：

1. 前往 Cloud Audit Logs 的「Logs Explorer」(記錄檔探索工具) 頁面：

   前往「Logs Explorer」頁面。

2. 在頁面頂端的「專案選取器」中，選取您執行 Cloud Run 的專案Google Cloud 專案 ID。

3. 在「search-query」方塊中輸入下列查詢：

   resource.type="cloud_run_revision"
   logName:"cloudaudit.googleapis.com%2Fsystem_event"
   protoPayload.response.status.conditions.reason="ContainerImageUnauthorized"
   

4. 在時間範圍選取器中選取時間範圍。

如要在記錄項目中搜尋，請按一下「Expand nested fields」(展開巢狀欄位)。

gcloud

如要使用 Google Cloud CLI 在 Cloud Logging 中查看過去一週的政策違規事件，請執行下列操作：

gcloud logging read --order="desc" --freshness=7d \
  'resource.type="cloud_run_revision" AND
   logName:"cloudaudit.googleapis.com%2Fsystem_event" AND
   protoPayload.response.status.conditions.reason="ContainerImageUnauthorized"'

Cloud Logging 中的急用權限事件

急用權限可讓您覆寫二進位授權政策的強制執行作業，並部署違反政策的容器映像檔。

查詢 Cloud Logging 中指定了緊急情況的修訂版本

記錄檔探索工具

如要在 Cloud Logging 記錄檔探索工具中查看急用權限事件，請執行下列操作：

1. 前往 Cloud Audit Logs 的「Logs Explorer」(記錄檔探索工具) 頁面：

   前往「Logs Explorer」頁面。

2. 在頁面頂端的「專案選取器」中，選取您執行 Cloud Run 的專案 ID。

3. 在「search-query」(搜尋查詢) 方塊中輸入下列內容：

   resource.type="cloud_run_revision"
   logName:"cloudaudit.googleapis.com%2Fsystem_event"
   "breakglass"
   

   如要進一步縮小搜尋範圍，請新增下列幾行：

   resource.labels.service_name = SERVICE_NAME
   resource.labels.location = LOCATION
   

   在 Cloud Logging 中查看緊急情況部署作業

4. 在時間範圍選取器中選取時間範圍。

如要在記錄項目中搜尋，請按一下「Expand nested fields」(展開巢狀欄位)。

gcloud

如要使用 gcloud CLI 在 Cloud Logging 中查看過去一週的緊急存取事件，請執行下列操作：

gcloud logging read --order="desc" --freshness=7d \
  'resource.type="cloud_run_revision" AND
   logName:"cloudaudit.googleapis.com%2Fsystem_event" AND
   "breakglass"'

查詢 Cloud Logging 故障開啟事件

記錄檔探索工具

如要在 Cloud Logging 記錄檔探索工具中查看故障開啟事件，請按照下列步驟操作：

1. 前往 Cloud Audit Logs 的「Logs Explorer」(記錄檔探索工具) 頁面：

   前往「Logs Explorer」頁面。

2. 在頁面頂端的「專案選取器」中，選取您執行 Cloud Run 的專案 ID。

3. 在「search-query」(搜尋查詢) 方塊中輸入下列內容：

    resource.type="cloud_run_revision"
    logName:"cloudaudit.googleapis.com%2Fsystem_event"
    "encountered an error"
   

4. 在時間範圍選取器中選取時間範圍。

如要在記錄項目中搜尋，請按一下「Expand nested fields」(展開巢狀欄位)。

gcloud

如要使用 gcloud CLI 在 Cloud Logging 中查看過去一週的故障開放事件，請執行下列操作：

gcloud logging read --order="desc" --freshness=7d \
  'resource.type="cloud_run_revision" AND
    logName:"cloudaudit.googleapis.com%2Fsystem_event" AND
    "encountered an error"'

查詢 Cloud Logging 中的模擬測試事件

記錄檔探索工具

如要在 Cloud Logging 記錄檔探索工具中查看模擬測試事件，請按照下列步驟操作：

1. 前往 Cloud Audit Logs 的「Logs Explorer」(記錄檔探索工具) 頁面：

   前往「Logs Explorer」頁面。

2. 在頁面頂端的「專案選取器」中，選取您執行 Cloud Run 的專案 ID。

3. 在「search-query」(搜尋查詢) 方塊中輸入下列內容：

   resource.type="cloud_run_revision"
   logName:"cloudaudit.googleapis.com%2Fsystem_event"
   "dry run"
   

4. 在時間範圍選取器中選取時間範圍。

如要在記錄項目中搜尋，請按一下「Expand nested fields」(展開巢狀欄位)。

gcloud

如要使用 gcloud CLI 在 Cloud Logging 中查看過去一週的模擬測試部署事件，請執行下列操作：

gcloud logging read --order="desc" --freshness=7d \
  'resource.type="cloud_run_revision" AND
   logName:"cloudaudit.googleapis.com%2Fsystem_event" AND
   "dry run"'

後續步驟

• 使用Google Cloud 控制台或指令列工具設定二進位授權政策。

• 使用認證，只部署已簽署的容器映像檔。