Ricezione di un evento Cloud Audit Logs

---

Questo tutorial mostra come eseguire il deployment di un servizio Cloud Run autenticato che riceve eventi da Cloud Storage utilizzando Cloud Audit Logs. Utilizza questo tutorial per eseguire il deployment dei carichi di lavoro di produzione. Il trigger Eventarc filtra gli eventi in base alle voci di Cloud Audit Logs. Per ulteriori informazioni, consulta Determinare i filtri eventi per Cloud Audit Logs.

Nota: per impostazione predefinita, il deployment di tutti i servizi Cloud Run viene eseguito privatamente, il che significa che non è possibile accedervi senza fornire credenziali di autenticazione nella richiesta. Per i progetti con criteri dell'organizzazione di condivisione limitata al dominio, utilizza un servizio di destinazione Cloud Run autenticato anziché uno che consente l'accesso pubblico (non autenticato).

Puoi completare questo tutorial utilizzando la console Google Cloud o Google Cloud CLI.

Obiettivi

In questo tutorial, imparerai a:

1. Creare un bucket Cloud Storage da utilizzare come origine dell'evento.

2. Eseguire il deployment di un servizio di ricezione di eventi in Cloud Run.

3. Creare un trigger Eventarc.

4. Generare un evento caricando un file nel bucket Cloud Storage e visualizzarlo nei log di Cloud Run.

Costi

In questo documento utilizzi i seguenti componenti fatturabili di Google Cloud:

• Cloud Build
• Cloud Logging
• Cloud Run
• Container Registry
• Cloud Storage
• Eventarc
• Pub/Sub

Per generare una stima dei costi in base all'utilizzo previsto, utilizza il Calcolatore prezzi. I nuovi utenti di Google Cloud potrebbero essere idonei per una prova gratuita.

Prima di iniziare

I vincoli di sicurezza definiti dalla tua organizzazione potrebbero impedirti di completare i passaggi seguenti. Per informazioni sulla risoluzione dei problemi, consulta la pagina Sviluppare applicazioni in un ambiente Google Cloud limitato.

Se sei l'autore del progetto, ti viene concesso il ruolo Proprietario di base (roles/owner). Per impostazione predefinita, questo ruolo Identity and Access Management (IAM) include le autorizzazioni necessarie per l'accesso completo alla maggior parte delle risorse Google Cloud.

Se non sei l'autore del progetto, le autorizzazioni richieste devono essere concesse per il progetto all'entità appropriata. Ad esempio, un'entità può essere un Account Google (per gli utenti finali) o un account di servizio (per applicazioni e carichi di lavoro di computing). Per ulteriori informazioni, consulta la pagina Ruoli e autorizzazioni per le destinazioni Cloud Run.

Autorizzazioni obbligatorie

Per ottenere le autorizzazioni necessarie per completare questo tutorial, chiedi all'amministratore di concederti i seguenti ruoli IAM sul tuo progetto:

• Editor Cloud Build (roles/cloudbuild.builds.editor)
• Amministratore Cloud Run (roles/run.admin)
• Amministratore Eventarc (roles/eventarc.admin)
• Funzione di accesso alla visualizzazione dei log (roles/logging.viewAccessor)
• Amministratore IAM progetto (roles/resourcemanager.projectIamAdmin)
• Service Account Admin (roles/iam.serviceAccountAdmin) [Amministratore account di servizio]
• Utente account di servizio (roles/iam.serviceAccountUser)
• Amministratore Service Usage (roles/serviceusage.serviceUsageAdmin)
• Amministratore spazio di archiviazione (roles/storage.admin)

Per saperne di più sulla concessione dei ruoli, vedi Gestire l'accesso.

Potresti anche essere in grado di ottenere le autorizzazioni richieste tramite ruoli personalizzati o altri ruoli predefiniti.

Completa i passaggi seguenti utilizzando la console Google Cloud o lgcloud CLI:

Console

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

3. Make sure that billing is enabled for your Google Cloud project.

4. Enable the Cloud Build, Logging, Pub/Sub, Cloud Run, Cloud Storage ed Eventarc APIs.

   Enable the APIs

5. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

6. Make sure that billing is enabled for your Google Cloud project.

7. Enable the Cloud Build, Logging, Pub/Sub, Cloud Run, Cloud Storage ed Eventarc APIs.

   Enable the APIs

8. Per configurare quali accessi ai dati vengono registrati negli audit log, abilita i tipi di log Lettura amministratore, Lettura dati e Scrittura dati per Google Cloud Storage:

   Vai agli audit log

9. Nella console Google Cloud, vai alla pagina Account di servizio.

   Vai ad Account di servizio

10. Fai clic su Crea account di servizio.

11. Inserisci il nome di un account di servizio da visualizzare nella console Google Cloud.

    La console Google Cloud genera un ID account di servizio in base a questo nome. Modifica l'ID, se necessario. Non potrai modificare l'ID in un secondo momento.

12. (Facoltativo) Inserisci una descrizione dell'account di servizio.

13. Se non vuoi impostare ora i controlli dell'accesso, fai clic su Fine per completare la creazione dell'account di servizio.

    Per impostare ora i controlli di accesso, fai clic su Crea e continua e vai al passaggio successivo.

14. Seleziona i ruoli Invoker di Cloud Run e Ricevitore eventi Eventarc da concedere sul progetto all'account di servizio associato al trigger Eventarc.

    A scopo di test, in questo modo viene concesso il ruolo Invoker di Cloud Run per tutti i servizi e i job Cloud Run nel progetto. Tuttavia, puoi concedere il ruolo per il servizio. Per ulteriori informazioni, consulta Concedere le autorizzazioni di servizio di Cloud Run.

    Tieni presente che se crei un trigger per un servizio Cloud Run autenticato senza concedere il ruolo Invoker di Cloud Run, il trigger viene creato correttamente ed è attivo. Tuttavia, il trigger non funzionerà come previsto e nei log verrà visualizzato un messaggio simile al seguente:

    The request was not authenticated. Either allow unauthenticated invocations or set the proper Authorization header.
15. Quando hai completato l'aggiunta dei ruoli, fai clic su Continua e Fine per completare la creazione dell'account di servizio.

gcloud

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.
2. Install the Google Cloud CLI.

3. To initialize the gcloud CLI, run the following command:

   gcloud init

4. Create or select a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   • Create a Google Cloud project:

     gcloud projects create PROJECT_ID

     Replace PROJECT_ID with a name for the Google Cloud project you are creating.

   • Select the Google Cloud project that you created:

     gcloud config set project PROJECT_ID

     Replace PROJECT_ID with your Google Cloud project name.

5. Make sure that billing is enabled for your Google Cloud project.

6. Enable the Cloud Build, Logging, Pub/Sub, Cloud Run, Cloud Storage ed Eventarc APIs:

   gcloud services enable cloudbuild.googleapis.com 
         logging.googleapis.com  pubsub.googleapis.com  run.googleapis.com 
         storage.googleapis.com ed eventarc.googleapis.com

7. Install the Google Cloud CLI.

8. To initialize the gcloud CLI, run the following command:

   gcloud init

9. Create or select a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   • Create a Google Cloud project:

     gcloud projects create PROJECT_ID

     Replace PROJECT_ID with a name for the Google Cloud project you are creating.

   • Select the Google Cloud project that you created:

     gcloud config set project PROJECT_ID

     Replace PROJECT_ID with your Google Cloud project name.

10. Make sure that billing is enabled for your Google Cloud project.

11. Enable the Cloud Build, Logging, Pub/Sub, Cloud Run, Cloud Storage ed Eventarc APIs:

    gcloud services enable cloudbuild.googleapis.com 
          logging.googleapis.com  pubsub.googleapis.com  run.googleapis.com 
          storage.googleapis.com ed eventarc.googleapis.com

12. Aggiorna gcloud componenti:

    gcloud components update

13. Accedi utilizzando il tuo account:

    gcloud auth login
    

14. Imposta le variabili di configurazione utilizzate in questo tutorial:

    gcloud config set run/region us-central1
    gcloud config set run/platform managed
    gcloud config set eventarc/location us-central1
    

15. Per configurare gli accessi ai dati registrati negli audit log, abilita i tipi di log ADMIN_READ, DATA_READ e DATA_WRITE per il servizio storage.googleapis.com:
    1. Leggi il criterio IAM del progetto e archivialo in un file:

       gcloud projects get-iam-policy PROJECT_ID > /tmp/policy.yaml

    2. Modifica il criterio in /tmp/policy.yaml, aggiungendo o modificando solo la configurazione degli audit log di accesso ai dati.
       Attenzione: devi conservare le sezioni bindings: e etag: senza modifiche. In caso contrario, il progetto potrebbe diventare inutilizzabile.

       auditConfigs:
       - auditLogConfigs:
       - logType: ADMIN_READ
       - logType: DATA_WRITE
       - logType: DATA_READ
       service: storage.googleapis.com

    3. Scrivi il nuovo criterio IAM:

       gcloud projects set-iam-policy PROJECT_ID /tmp/policy.yaml

       Se il comando precedente segnala un conflitto con un'altra modifica, ripeti questi passaggi, iniziando dalla lettura del criterio IAM del progetto.
16. Crea un account di servizio per il progetto:

    gcloud iam service-accounts create sample-service-account \
        --description="A sample service account" \
        --display-name="Sample service account"

    Dopo aver creato un account di servizio, potresti dover attendere fino a sette minuti prima di poterlo utilizzare. Se provi a utilizzare un account di servizio subito dopo averlo creato e ricevi un errore, attendi almeno 60 secondi e riprova.
17. Per confermare che sample-service-account è stato creato, esegui:

    gcloud iam service-accounts list

    L'output dovrebbe essere simile al seguente:

    DISPLAY NAME                     EMAIL                                                               DISABLED
    Default compute service account  [e-mail]                False
    Sample service account           sample-service-account@PROJECT_ID.iam.gserviceaccount.com           False

18. Concedi i ruoli Invoker di Cloud Run (run.invoker) e Eventarc Event Ricevir (roles/eventarc.eventReceiver) sul trigger all'account di servizio Eventarc associato al tuo account di servizio:

    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member="serviceAccount:sample-service-account@PROJECT_ID.iam.gserviceaccount.com" \
        --role="roles/run.invoker"

    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member="serviceAccount:sample-service-account@PROJECT_ID.iam.gserviceaccount.com" \
        --role="roles/eventarc.eventReceiver"

    Sostituisci PROJECT_ID con l'ID del tuo progetto Google Cloud.

    A scopo di test, in questo modo viene concesso il ruolo Invoker di Cloud Run per tutti i servizi e i job Cloud Run nel progetto. Tuttavia, puoi concedere il ruolo per il servizio. Per ulteriori informazioni, consulta Concedere le autorizzazioni di servizio di Cloud Run.

    Tieni presente che se crei un trigger per un servizio Cloud Run autenticato senza concedere il ruolo Invoker di Cloud Run, il trigger viene creato correttamente ed è attivo. Tuttavia, il trigger non funzionerà come previsto e nei log verrà visualizzato un messaggio simile al seguente:

    The request was not authenticated. Either allow unauthenticated invocations or set the proper Authorization header.
Nota: se hai abilitato l'account di servizio Pub/Sub entro l'8 aprile 2021, concedi il ruolo iam.serviceAccountTokenCreator all'account di servizio Pub/Sub.

Crea un bucket Cloud Storage

Questo tutorial utilizza Cloud Storage come origine dell'evento. Per creare un bucket di archiviazione:

Console

1. Vai a Cloud Storage nella console Google Cloud.

   Vai a Bucket

2. Fai clic su Crea bucket.
3. Inserisci le informazioni del bucket e fai clic su Continua per completare ogni passaggio:
   1. Inserisci un nome univoco. Ad esempio, eventarcbucket.
   2. Seleziona Regione come Tipo di località.
   3. Seleziona us-central1 (Iowa) come Località.
   4. Seleziona Standard come classe di archiviazione predefinita.
   5. Seleziona Uniforme per Controllo dell'accesso.
4. Fai clic su Crea.

gcloud

gsutil mb -l us-central1 gs://events-tutorial-PROJECT_ID/

Dopo aver creato l'origine evento, puoi eseguire il deployment del servizio di ricezione di eventi su Cloud Run.

Esegui il deployment del servizio di ricezione di eventi in Cloud Run

Esegui il deployment di un servizio Cloud Run che riceve e registra eventi. Per eseguire il deployment del servizio di ricezione di eventi di esempio:

Console

1. Clona il repository di esempio nel tuo account GitHub:

Go

1. Su GitHub, vai a GoogleCloudPlatform/golang-samples
2. Fai clic su Fork.

3. Se richiesto, seleziona la località in cui vuoi creare un fork del repository.

Java

1. Su GitHub, vai a GoogleCloudPlatform/java-docs-samples.
2. Fai clic su Fork.

3. Se richiesto, seleziona la località in cui vuoi creare un fork del repository.

.NET

1. Su GitHub, vai a GoogleCloudPlatform/dotnet-docs-samples.
2. Fai clic su Fork.

3. Se richiesto, seleziona la località in cui vuoi creare un fork del repository.

Node.js

1. Su GitHub, vai a GoogleCloudPlatform/nodejs-docs-samples.
2. Fai clic su Fork.

3. Se richiesto, seleziona la località in cui vuoi creare un fork del repository.

Python

1. Su GitHub, vai a GoogleCloudPlatform/python-docs-samples.
2. Fai clic su Fork.

3. Se richiesto, seleziona la località in cui vuoi creare un fork del repository.
2. Vai a Cloud Run nella console Google Cloud.

Vai a Cloud Run

3. Fai clic su Crea servizio per visualizzare il modulo Crea servizio.

4. Seleziona Esegui il deployment continuo di nuove revisioni da un repository di codice sorgente.
5. Fai clic su Configura con Cloud Build per aprire il modulo Configura con Cloud Build.


Nel modulo Configura con Cloud Build:

1. Se richiesto, abilita l'API Cloud Build e l'API Container Analysis.
2. Seleziona GitHub come Provider di repository.
   Nota: se non hai ancora eseguito l'autenticazione, fai clic su Autentica e segui le istruzioni per connetterti al tuo repository utilizzando l'app GitHub di Cloud Build.
3. Se richiesto, fai clic su Installa Google Cloud Build.
4. Seleziona il repository GitHub di cui hai eseguito il fork come Repository.
5. Tocca Avanti.
6. Nel campo Ramo, inserisci ^main$.
7. Seleziona Dockerfile come Tipo di build e fornisci la posizione di origine del Dockerfile: eventarc/audit-storage/Dockerfile o eventarc/audit_storage/Dockerfile(Go)
8. Fai clic su Salva.
6. Nel modulo Crea servizio, inserisci il nome del servizio che ti interessa. Ad esempio, helloworld-events.
7. Seleziona us-central1(Iowa) come regione in cui vuoi collocare il servizio.
8. Seleziona una delle opzioni in entrata in base al traffico in entrata che vuoi consentire per il servizio Cloud Run.
9. Seleziona Richiedi autenticazione.
10. Fai clic su Crea.

gcloud

1. Clona il repository:

   Go

   git clone https://github.com/GoogleCloudPlatform/golang-samples.git
   cd golang-samples/eventarc/audit_storage
   

   Java

   git clone https://github.com/GoogleCloudPlatform/java-docs-samples.git
   cd java-docs-samples/eventarc/audit-storage

   .NET

   git clone https://github.com/GoogleCloudPlatform/dotnet-docs-samples.git
   cd dotnet-docs-samples/eventarc/audit-storage

   Node.js

   git clone https://github.com/GoogleCloudPlatform/nodejs-docs-samples.git
   cd nodejs-docs-samples/eventarc/audit-storage

   Python

   git clone https://github.com/GoogleCloudPlatform/python-docs-samples.git
   cd python-docs-samples/eventarc/audit-storage

2. Crea il container e caricalo su Cloud Build:

   gcloud builds submit --tag gcr.io/PROJECT_ID/helloworld-events
   

3. Esegui il deployment dell'immagine container in Cloud Run:

   gcloud run deploy helloworld-events \
     --image gcr.io/PROJECT_ID/helloworld-events
   

   Nota: in base al livello richiesto di accesso di rete al servizio Cloud Run, puoi anche impostare il flag in entrata.

   Quando ti viene richiesto di consentire chiamate non autenticate, inserisci n.

   Una volta eseguito il deployment, la riga di comando mostra l'URL del servizio.

Ora che hai eseguito il deployment in Cloud Run del tuo servizio di ricezione di eventi denominato helloworld-events, puoi configurare il trigger.

Crea un trigger Eventarc

Il trigger Eventarc invierà gli eventi dal bucket Cloud Storage al servizio Cloud Run helloworld-events.

Console

1. Nella console Google Cloud, vai alla pagina Eventarc.

   Vai a Eventarc

2. Fai clic su Crea attivatore.
3. Digita un Nome trigger.

   Si tratta dell'ID dell'attivatore e deve iniziare con una lettera. Può contenere fino a 63 lettere minuscole, numeri o trattini.

4. Seleziona un tipo di attivatore:
   • Proprietario: filtra gli eventi inviati da provider Google Cloud (direttamente o tramite voci di Cloud Audit Logs) o da provider che utilizzano messaggi Pub/Sub.
   • Di terze parti: filtra gli eventi inviati da fornitori di terze parti.
5. Nell'elenco Provider di eventi, seleziona Cloud Storage come origine degli eventi.
6. Nell'elenco Evento, seleziona storage.objects.create.
7. Nell'elenco Regione, seleziona us-central1 come regione da cui ricevere eventi.
8. Seleziona l'Account di servizio che hai creato. Ad esempio, SERVICE_ACCOUNT_ID@PROJECT_ID.iam.gserviceaccount.com.
9. Nell'elenco Destinazione evento, seleziona Cloud Run.
10. Nell'elenco Seleziona un servizio Cloud Run, seleziona helloworld-events.
11. Fai clic su Crea.
Tieni presente che puoi anche creare un trigger Eventarc utilizzando la pagina della console di Cloud Run.

gcloud

1. Crea un trigger che filtri gli eventi di Cloud Storage e che utilizzi l'account di servizio che hai creato:

   gcloud eventarc triggers create events-tutorial-trigger \
     --destination-run-service=helloworld-events \
     --destination-run-region=us-central1 \
     --event-filters="type=google.cloud.audit.log.v1.written" \
     --event-filters="serviceName=storage.googleapis.com" \
     --event-filters="methodName=storage.objects.create" \
     --service-account=sample-service-account@PROJECT_ID.iam.gserviceaccount.com

   Sostituisci PROJECT_ID con l'ID progetto Google Cloud.

   Dove:

   • type: specifica che gli audit log vengono creati quando vengono soddisfatti i criteri di filtro del trigger.
   • serviceName: il servizio che scrive l'audit log, ovvero Cloud Storage.
   • methodName: l'operazione sottoposta ad audit, che è storage.objects.create.
   Viene creato un trigger denominato events-tutorial-trigger.
2. Per confermare che events-tutorial-trigger è stato creato correttamente, esegui:

   gcloud eventarc triggers list --location=us-central1

Il trigger, events-tutorial-trigger, è elencato con un target di helloworld-events.

Nota: anche se il trigger viene creato immediatamente, possono essere necessari fino a due minuti prima che sia completamente funzionante.

Generare e visualizzare un evento

1. Per generare un evento:

   Console

   1. Crea un file di testo con il nome file random.txt e il testo "Hello World".
   2. Vai a Cloud Storage nella console Google Cloud.

      Vai a Bucket

   3. Seleziona il bucket di archiviazione che hai creato.
   4. Nella scheda Oggetti, fai clic su Carica file e carica il file random.txt.

   gcloud

   Carica un file di testo in Cloud Storage:

   echo "Hello World" > random.txt
   gsutil cp random.txt gs://events-tutorial-PROJECT_ID/random.txt

2. Per visualizzare la voce di log:

Console

1. Vai a Cloud Run nella console Google Cloud.

   Vai a Cloud Run

2. Nell'elenco dei servizi, fai clic sul nome del servizio che hai creato per andare alla relativa pagina Dettagli servizio.
3. Fai clic sulla scheda Log per ottenere i log delle richieste e dei container per tutte le revisioni di questo servizio. Puoi filtrare in base al livello di gravità dei log.
4. Cerca una voce di log simile alla seguente:

gcloud

1. gcloud logging read "resource.labels.service_name=helloworld-events AND textPayload:random.txt" --format=json

2. Cerca una voce di log simile alla seguente:

   Detected change in Cloud Storage bucket: storage.googleapis.com/projects/_/buckets/BUCKET_NAME/objects/random.txt

   dove BUCKET_NAME è il nome del bucket Cloud Storage.
   Nota: se non vedi una voce di log, attendi alcuni minuti e riprova a utilizzare il comando gcloud logging read. Dopo la creazione, il trigger può richiedere fino a due minuti prima di iniziare a filtrare gli eventi.

Complimenti! Hai eseguito correttamente il deployment di un servizio di ricezione di eventi in Cloud Run, hai creato un trigger Eventarc, hai generato un evento da Cloud Storage e lo hai visualizzato nei log di Cloud Run.

Esegui la pulizia

Sebbene Cloud Run non addebiti i costi quando il servizio non è in uso, ti potrebbero comunque essere addebitati i costi per l'archiviazione dell'immagine container in Container Registry, le risorse Eventarc e per l'archiviazione dei file nel bucket Cloud Storage.

Puoi eliminare l'immagine ed eliminare il bucket di archiviazione. Per eliminare il trigger Eventarc:

gcloud eventarc triggers delete events-tutorial-trigger

In alternativa, puoi eliminare il progetto Google Cloud per evitare addebiti. L'eliminazione del progetto Google Cloud interrompe la fatturazione per tutte le risorse utilizzate all'interno del progetto.

Attenzione: l'eliminazione di un progetto ha i seguenti effetti:
• L'intero contenuto del progetto viene eliminato. Se hai utilizzato un progetto esistente per le attività descritte in questo documento, quando lo elimini elimini anche tutto il lavoro svolto nel progetto.
• Gli ID progetto personalizzati non sono più disponibili. Quando hai creato questo progetto, potresti aver creato un ID progetto personalizzato che vuoi utilizzare in futuro. Per conservare gli URL che utilizzano l'ID progetto, ad esempio un URL appspot.com, elimina le risorse selezionate all'interno del progetto anziché eliminare l'intero progetto.

Delete a Google Cloud project:

gcloud projects delete PROJECT_ID

Passaggi successivi

• Creare container
• Crea un trigger per instradare gli eventi di Cloud Audit Logs a Cloud Run
• Sviluppa servizi Cloud Run
• Ricevi eventi Pub/Sub utilizzando un servizio Cloud Run autenticato
• Tutorial: debug di un servizio Cloud Run utilizzando Eventarc