查看 Cloud Run 事件的审核日志

本指南介绍如何在 Cloud Audit Logs 中查看 Binary Authorization for Cloud Run。

Cloud Logging 中被阻止的部署事件

日志浏览器

如需在 Cloud Logging 日志浏览器中查看被阻止的部署事件，请执行以下操作：

  1. 转到“Cloud Audit Logs Logs Explorer”页面：

    转到日志浏览器。

  2. 在页面顶部的项目选择器中，选择要在其中运行 Cloud Run 的 Google Cloud 项目的项目 ID。

  3. 在搜索查询框中输入以下查询：

    resource.type="cloud_run_revision"
logName:"cloudaudit.googleapis.com%2Fsystem_event"
protoPayload.response.status.conditions.reason="ContainerImageUnauthorized"

  4. 在时间范围选择器中选择时间范围。

如需在日志条目中进行搜索，请点击展开嵌套字段。

gcloud

如需使用 Google Cloud CLI 在 Cloud Logging 中查看过去一周的违反政策事件，请执行以下操作：

gcloud logging read --order="desc" --freshness=7d \
  'resource.type="cloud_run_revision" AND
   logName:"cloudaudit.googleapis.com%2Fsystem_event" AND
   protoPayload.response.status.conditions.reason="ContainerImageUnauthorized"'

Cloud Logging 中的紧急访问权限事件

Breakglass 让您可以绕过 Binary Authorization 政策强制执行，并部署违反了政策的容器映像。

查询 Cloud Logging 以获取指定了 Breakglass 的修订版本

日志浏览器

如需在 Cloud Logging 日志浏览器中查看 Breakglass 事件，请执行以下操作：

  1. 转到“Cloud Audit Logs Logs Explorer”页面：

    转到日志浏览器。

  2. 在页面顶部的项目选择器中，选择要在其中运行 Cloud Run 的项目的项目 ID。

  3. 在搜索查询框中输入以下内容：

    resource.type="cloud_run_revision"
logName:"cloudaudit.googleapis.com%2Fsystem_event"
"breakglass"

    如需进一步细化您的搜索，请添加以下行：

    resource.labels.service_name = SERVICE_NAME
resource.labels.location = LOCATION

    在 Cloud Logging 中查看紧急访问权限部署

  4. 在时间范围选择器中选择时间范围。

如需在日志条目中进行搜索，请点击展开嵌套字段。

gcloud

如需使用 gcloud CLI 在 Cloud Logging 中查看过去一周的 Breakglass 事件，请执行以下操作：

gcloud logging read --order="desc" --freshness=7d \
  'resource.type="cloud_run_revision" AND
   logName:"cloudaudit.googleapis.com%2Fsystem_event" AND
   "breakglass"'

查询 Cloud Logging 以获取应急开启事件

日志浏览器

如需在 Cloud Logging 日志浏览器中查看应急开启事件，请执行以下操作：

  1. 转到“Cloud Audit Logs Logs Explorer”页面：

    转到日志浏览器。

  2. 在页面顶部的项目选择器中，选择要在其中运行 Cloud Run 的项目的项目 ID。

  3. 在搜索查询框中输入以下内容：

     resource.type="cloud_run_revision"
 logName:"cloudaudit.googleapis.com%2Fsystem_event"
 "encountered an error"

  4. 在时间范围选择器中选择时间范围。

如需在日志条目中进行搜索，请点击展开嵌套字段。

gcloud

如需使用 gcloud CLI 在 Cloud Logging 中查看过去一周的应急开启事件，请执行以下操作：

gcloud logging read --order="desc" --freshness=7d \
  'resource.type="cloud_run_revision" AND
    logName:"cloudaudit.googleapis.com%2Fsystem_event" AND
    "encountered an error"'

查询 Cloud Logging 以获取试运行事件

日志浏览器

如需在 Cloud Logging 日志浏览器中查看试运行事件，请执行以下操作：

  1. 转到“Cloud Audit Logs Logs Explorer”页面：

    转到日志浏览器。

  2. 在页面顶部的项目选择器中，选择要在其中运行 Cloud Run 的项目的项目 ID。

  3. 在搜索查询框中输入以下内容：

    resource.type="cloud_run_revision"
logName:"cloudaudit.googleapis.com%2Fsystem_event"
"dry run"

  4. 在时间范围选择器中选择时间范围。

如需在日志条目中进行搜索，请点击展开嵌套字段。

gcloud

如需使用 gcloud CLI 在 Cloud Logging 中查看过去一周的试运行部署事件，请执行以下操作：

gcloud logging read --order="desc" --freshness=7d \
  'resource.type="cloud_run_revision" AND
   logName:"cloudaudit.googleapis.com%2Fsystem_event" AND
   "dry run"'

后续步骤