Cloud 감사 로그 이벤트 수신

컬렉션을 사용해 정리하기 내 환경설정을 기준으로 콘텐츠를 저장하고 분류하세요.

이 튜토리얼에서는 Cloud 감사 로그를 사용하여 Cloud Storage에서 이벤트를 수신하는 인증된 Cloud Run 서비스를 배포하는 방법을 보여줍니다. 이 튜토리얼을 사용하여 프로덕션 워크로드를 배포합니다. Eventarc 트리거에서 Cloud 감사 로그 항목을 기준으로 이벤트를 필터링합니다. 자세한 내용은 Cloud 감사 로그의 이벤트 필터 확인을 참조하세요.

Google Cloud Console 또는 Google Cloud CLI를 사용하여 이 튜토리얼을 완료할 수 있습니다.

목표

이 가이드에서는 다음 단계를 진행합니다.

  1. 이벤트 소스로 사용할 Cloud Storage 버킷을 만듭니다.

  2. Cloud Run에 이벤트 수신자 서비스를 배포합니다.

  3. Eventarc 트리거를 만듭니다.

  4. Cloud Storage 버킷에 파일을 업로드하여 이벤트를 생성하고 Cloud Run 로그에서 확인합니다.

비용

이 가이드에서는 비용이 청구될 수 있는 다음과 같은 Google Cloud 구성요소를 사용합니다.

프로젝트 사용량을 기준으로 예상 비용을 산출하려면 가격 계산기를 사용하세요. Google Cloud를 처음 사용하는 사용자는 무료 체험판을 사용할 수 있습니다.

시작하기 전에

조직에서 Google Cloud 환경에 제약조건을 적용하면 이 문서의 일부 단계가 올바르게 작동하지 않을 수 있습니다. 이 경우 공개 IP 주소 또는 서비스 계정 키 만들기와 같은 작업을 완료하지 못할 수 있습니다. 제약조건에 대한 오류를 반환하는 요청을 수행하는 경우 제한된 Google Cloud 환경에서 애플리케이션 개발 방법을 참조하세요.

  1. Google Cloud 계정에 로그인합니다. Google Cloud를 처음 사용하는 경우 계정을 만들고 Google 제품의 실제 성능을 평가해 보세요. 신규 고객에게는 워크로드를 실행, 테스트, 배포하는 데 사용할 수 있는 $300의 무료 크레딧이 제공됩니다.
  2. Google Cloud Console의 프로젝트 선택기 페이지에서 Google Cloud 프로젝트를 선택하거나 만듭니다.

    프로젝트 선택기로 이동

  3. Cloud 프로젝트에 결제가 사용 설정되어 있는지 확인합니다. 프로젝트에 결제가 사용 설정되어 있는지 확인하는 방법을 알아보세요.

  4. API Cloud Build, Logging, Pub/Sub, Cloud Run, Eventarc 사용 설정

    API 사용 설정

  5. Google Cloud Console의 프로젝트 선택기 페이지에서 Google Cloud 프로젝트를 선택하거나 만듭니다.

    프로젝트 선택기로 이동

  6. Cloud 프로젝트에 결제가 사용 설정되어 있는지 확인합니다. 프로젝트에 결제가 사용 설정되어 있는지 확인하는 방법을 알아보세요.

  7. API Cloud Build, Logging, Pub/Sub, Cloud Run, Eventarc 사용 설정

    API 사용 설정

  8. 콘솔 또는 gcloud CLI를 사용하여 다음 단계를 완료합니다.

    콘솔

    1. 콘솔에서 서비스 계정 페이지로 이동합니다.

      서비스 계정으로 이동
    2. 서비스 계정 만들기를 클릭합니다.
    3. 콘솔에 표시할 서비스 계정 이름을 입력합니다.

      콘솔에서 이 이름을 기반으로 서비스 계정 ID가 생성됩니다. 필요한 경우 ID를 수정합니다. 나중에 이 ID를 변경할 수 없습니다.

    4. 선택사항: 서비스 계정에 대한 설명을 입력합니다.
    5. 액세스 제어를 지금 설정하지 않으려면 완료를 클릭하여 서비스 계정 만들기를 마칩니다.

      액세스 제어를 지금 설정하려면 만들고 계속하기를 클릭하고 다음 단계로 진행합니다.

    6. 프로젝트에서 서비스 계정에 부여할 Cloud Run InvokerEventarc Event Receiver Identity and Access Management 역할을 선택합니다.
    7. 역할을 추가했으면 계속완료를 클릭하여 서비스 계정 만들기를 마칩니다.
    8. 주 구성원에 IAM 역할을 부여하려면 다음을 수행합니다.
      1. 콘솔에서 IAM 페이지로 이동합니다.

        IAM으로 이동
      2. USER_EMAIL 이메일 주소가 포함된 행을 찾아 해당 행에서 주 구성원 수정을 클릭한 다음 다른 역할 추가를 클릭합니다.
      3. 드롭다운 목록에서 Eventarc AdminService Account User 역할을 추가합니다.
      4. 저장을 클릭합니다. 주 구성원에게 리소스에 대한 Identity and Access Management 역할이 부여됩니다.

    gcloud

    1. gcloud 구성요소를 업데이트합니다.
      gcloud components update
    2. 계정을 사용하여 로그인합니다.
      gcloud auth login
      
    3. 이 튜토리얼에서 사용되는 구성 변수를 설정합니다.
      gcloud config set project PROJECT_ID
      gcloud config set run/region us-central1
      gcloud config set run/platform managed
      gcloud config set eventarc/location us-central1
      
    4. PROJECT_ID를 프로젝트의 ID로 바꿉니다.
    5. Google Cloud Storage에서 Cloud 감사 로그 관리자 읽기, 데이터 읽기, 데이터 쓰기 로그 유형을 사용 설정하고 Cloud 감사 로그로 이동합니다.
    6. 프로젝트에 대한 서비스 계정을 만듭니다.
      gcloud iam service-accounts create sample-service-account \
          --description="A sample service account" \
          --display-name="Sample service account"
      서비스 계정을 만든 후 서비스 계정을 사용하기까지 최대 7분이 걸릴 수 있습니다. 서비스 계정을 만든 직후에 사용하려고 하는데 오류가 발생하면 60초 이상 기다렸다가 다시 시도하세요.
    7. sample-service-account가 생성되었는지 확인하려면 다음을 실행합니다.
      gcloud iam service-accounts list
      출력은 다음과 비슷하게 표시됩니다.
      DISPLAY NAME                     EMAIL                                                               DISABLED
      Default compute service account  PROJECT_NUMBER-compute@developer.gserviceaccount.com                False
      Sample service account           sample-service-account@PROJECT_ID.iam.gserviceaccount.com           False
    8. 다음 역할을 서비스 계정에 부여합니다.

        run.invoker

        gcloud projects add-iam-policy-binding PROJECT_ID \
          --member="serviceAccount:sample-service-account@PROJECT_ID.iam.gserviceaccount.com" \
          --role="roles/run.invoker"

        PROJECT_ID를 Google Cloud 프로젝트 ID로 바꿉니다.

        eventarc.eventReceiver

        gcloud projects add-iam-policy-binding PROJECT_ID \
          --member="serviceAccount:sample-service-account@PROJECT_ID.iam.gserviceaccount.com" \
          --role="roles/eventarc.eventReceiver"

        PROJECT_ID를 Google Cloud 프로젝트 ID로 바꿉니다.

    9. 사용자에게 다음 IAM 역할을 부여합니다.

        eventarc.admin

        gcloud projects add-iam-policy-binding PROJECT_ID \
          --member="PRINCIPAL" \
          --role='roles/eventarc.admin'

        다음 값을 바꿉니다.

        • PROJECT_ID: Google Cloud 프로젝트 ID입니다.
        • PRINCIPAL: 역할을 부여할 유효한 ID입니다.

            예를 들면 다음과 같습니다.

          • Google 계정 이메일: user:test-user@gmail.com
          • Google 그룹: group:admins@example.com
          • 서비스 계정: serviceAccount:test123@example.domain.com
          • Google Workspace 또는 Cloud ID 도메인: domain:example.domain.com

        iam.serviceAccountUser

        gcloud iam service-accounts add-iam-policy-binding \
          sample-service-account@PROJECT_ID.iam.gserviceaccount.com \
          --member="PRINCIPAL" \
          --role="roles/iam.serviceAccountUser"

        다음 값을 바꿉니다.

        • PROJECT_ID: Google Cloud 프로젝트 ID
        • PRINCIPAL: 역할을 부여할 유효한 ID입니다.

            예를 들면 다음과 같습니다.

          • Google 계정 이메일: user:test-user@gmail.com
          • Google 그룹: group:admins@example.com
          • 서비스 계정: serviceAccount:test123@example.domain.com
          • Google Workspace 또는 Cloud ID 도메인: domain:example.domain.com
    10. Git 소스 코드 관리 도구를 다운로드하여 설치합니다.

Cloud Storage 버킷 만들기

이 튜토리얼에서는 Cloud Storage를 이벤트 소스로 사용합니다. 스토리지 버킷을 만들려면 다음을 실행하세요.

콘솔

  1. 콘솔에서 Cloud Storage로 이동합니다.

    Cloud Storage로 이동

  2. 버킷 만들기를 클릭합니다.
  3. 새 버킷
  4. 각 단계를 완료하려면 버킷 정보를 입력하고 계속을 클릭합니다.
    1. 고유한 이름을 입력하세요. 예를 들면 eventarcbucket입니다.
    2. 위치 유형으로 리전을 선택합니다.
    3. 위치us-central1 (아이오와)을 선택합니다.
    4. 기본 스토리지 클래스표준을 선택합니다.
    5. 액세스 제어균일을 선택합니다.
  5. 만들기를 클릭합니다.

gcloud

gsutil mb -l us-central1 gs://events-tutorial-PROJECT_ID/

이벤트 소스가 생성되면 Cloud Run에 이벤트 수신자 서비스를 배포할 수 있습니다.

Cloud Run에 이벤트 수신자 서비스 배포

이벤트를 수신하고 로깅하는 Cloud Run 서비스를 배포합니다. 샘플 이벤트 수신자 서비스를 배포하려면 다음 안내를 따르세요.

콘솔

  1. 샘플 저장소를 GitHub 계정에 클론합니다.
  2. Go

    1. GitHub에서 GoogleCloudPlatform/golang-samples로 이동합니다.
    2. 포크를 클릭합니다.
    3. 포크 버튼의 스크린샷
    4. 메시지가 표시되면 저장소를 포크할 위치를 선택합니다.

    자바

    1. GitHub에서 GoogleCloudPlatform/java-docs-samples로 이동합니다.
    2. 포크를 클릭합니다.
    3. 포크 버튼의 스크린샷
    4. 메시지가 표시되면 저장소를 포크할 위치를 선택합니다.

    .NET

    1. GitHub에서 GoogleCloudPlatform/dotnet-docs-samples로 이동합니다.
    2. 포크를 클릭합니다.
    3. 포크 버튼의 스크린샷
    4. 메시지가 표시되면 저장소를 포크할 위치를 선택합니다.

    Node.js

    1. GitHub에서 GoogleCloudPlatform/nodejs-docs-samples​로 이동합니다.
    2. 포크를 클릭합니다.
    3. 포크 버튼의 스크린샷
    4. 메시지가 표시되면 저장소를 포크할 위치를 선택합니다.

    Python

    1. GitHub에서 GoogleCloudPlatform/python-docs-samples로 이동합니다.
    2. 포크를 클릭합니다.
    3. 포크 버튼의 스크린샷
    4. 메시지가 표시되면 저장소를 포크할 위치를 선택합니다.
  3. 콘솔에서 Cloud Run으로 이동합니다.
  4. Cloud Run으로 이동

  5. 서비스 만들기를 클릭하여 서비스 만들기 양식을 표시합니다.
  6. 서비스 만들기 페이지
  7. 소스 저장소에서 지속적으로 새 버전 배포를 선택합니다.
  8. Cloud Build로 설정을 클릭하여 Cloud Build로 설정 양식을 엽니다.
  9. Cloud Build로 설정 페이지

    Cloud Build로 설정 양식에서 다음을 수행합니다.

    1. 메시지가 표시되면 Cloud Build APIContainer Analysis API를 사용 설정합니다.
    2. 저장소 제공업체GitHub를 선택합니다.
    3. 메시지가 표시되면 Google Cloud Build 설치를 클릭합니다.
    4. 저장소로 포크한 GitHub 저장소를 선택합니다.
    5. 다음을 클릭합니다.
    6. 분기 필드에 ^master$를 입력합니다.
    7. 빌드 유형으로 Dockerfile을 선택하고 Dockerfile의 소스 위치를 제공합니다. eventarc/audit-storage/Dockerfile 또는 eventarc/audit_storage/Dockerfile(이동)
    8. 저장을 클릭합니다.
  10. 서비스 만들기 양식에서 원하는 서비스 이름을 입력합니다. helloworld-events).
  11. 서비스를 배치할 리전으로 us-central1(아이오와)을 선택합니다.
  12. 다음을 클릭합니다.
  13. 이 서비스가 트리거되는 방식 구성 섹션에서 다음을 수행합니다.
    • Cloud Run 서비스에서 허용할 인그레스 트래픽을 기준으로 인그레스 옵션을 선택합니다.
    • 인증 필요를 선택합니다.
  14. 필요한 경우 Eventarc 트리거 추가를 클릭하여 트리거를 만들거나 서비스를 만든 후에 트리거를 만듭니다. 트리거 만들기에 대한 자세한 내용은 Eventarc 트리거 만들기를 참조하세요.
  15. 만들기를 클릭합니다.

gcloud

  1. 저장소를 복제합니다.

    Go

    git clone https://github.com/GoogleCloudPlatform/golang-samples.git
    cd golang-samples/eventarc/audit_storage
    

    자바

    git clone https://github.com/GoogleCloudPlatform/java-docs-samples.git
    cd java-docs-samples/eventarc/audit-storage

    .NET

    git clone https://github.com/GoogleCloudPlatform/dotnet-docs-samples.git
    cd dotnet-docs-samples/eventarc/audit-storage

    Node.js

    git clone https://github.com/GoogleCloudPlatform/nodejs-docs-samples.git
    cd nodejs-docs-samples/eventarc/audit-storage

    Python

    git clone https://github.com/GoogleCloudPlatform/python-docs-samples.git
    cd python-docs-samples/eventarc/audit-storage
  2. 컨테이너를 빌드하고 Cloud Build에 업로드합니다.
    gcloud builds submit --tag gcr.io/PROJECT_ID/helloworld-events
    
  3. 컨테이너 이미지를 Cloud Run에 배포합니다.
    gcloud run deploy helloworld-events \
      --image gcr.io/PROJECT_ID/helloworld-events
    

    인증되지 않은 호출을 허용할지 묻는 메시지가 표시되면 n을 입력합니다.

    배포가 성공하면 명령줄에 서비스 URL이 표시됩니다.

이제 helloworld-events라는 이벤트 수신자 서비스를 Cloud Run에 배포했으므로 트리거를 설정할 수 있습니다.

Eventarc 트리거 만들기

Eventarc 트리거는 Cloud Storage 버킷의 이벤트를 `helloworld-events` Cloud Run 서비스로 전송합니다.

콘솔

  1. 콘솔에서 Cloud Run으로 이동합니다.

    Cloud Run으로 이동

  2. 서비스 목록에서 생성한 서비스를 클릭하여 서비스 세부정보 페이지로 이동합니다.
  3. 트리거 탭을 클릭하고 Eventarc 트리거 추가를 클릭합니다.
  4. 이벤트 선택 드롭다운 목록에서 Cloud Storage > storage.objects.create를 선택합니다.
  5. storage.googleapis.com에 필요한 감사 로그 유형을 사용 설정하려면 모두 사용을 클릭합니다.
  6. 이벤트 수신 위치 필드에서 단일 리전을 선택한 후 us-central1을 이벤트를 수신할 리전으로 선택합니다.
  7. 메시지가 표시되면 Compute Engine 서비스 계정에 eventarc.eventReceiver 역할을 부여하고 Pub/Sub 서비스 계정에 iam.serviceAccountTokenCreator 역할을 부여합니다. 새 트리거 설정
  8. 생성한 서비스 계정을 선택합니다. 예를 들면 SERVICE_ACCOUNT_ID@PROJECT_ID.iam.gserviceaccount.com입니다.
  9. 저장을 클릭합니다.

gcloud

  1. Cloud Storage 이벤트를 필터링하고 생성된 서비스 계정을 사용하는 트리거를 만듭니다.
    gcloud eventarc triggers create events-tutorial-trigger \
       --destination-run-service=helloworld-events \
       --destination-run-region=us-central1 \
       --event-filters="type=google.cloud.audit.log.v1.written" \
       --event-filters="serviceName=storage.googleapis.com" \
       --event-filters="methodName=storage.objects.create" \
       --service-account=sample-service-account@PROJECT_ID.iam.gserviceaccount.com
    PROJECT_ID를 Google Cloud 프로젝트 ID로 바꿉니다. 그러면 events-tutorial-trigger라는 트리거가 생성됩니다.
  2. events-tutorial-trigger이 성공적으로 생성되었는지 확인하려면 다음을 실행합니다.
    gcloud eventarc triggers list --location=us-central1
  3. events-tutorial-triggerhelloworld-events의 대상과 함께 나열되어 표시됩니다.

이벤트 생성 및 확인

  1. 이벤트를 생성하려면 다음 안내를 따르세요.

    콘솔

    1. 파일 이름이 random.txt이고 텍스트가 'Hello World'인 텍스트 파일을 만듭니다.
    2. 콘솔에서 Cloud Storage로 이동합니다.

      Cloud Storage로 이동

    3. 만든 스토리지 버킷을 선택합니다.
    4. 객체 탭에서 파일 업로드를 클릭하고 random.txt 파일을 업로드합니다.

    gcloud

    텍스트 파일을 Cloud Storage에 업로드합니다.

    echo "Hello World" > random.txt
    gsutil cp random.txt gs://events-tutorial-PROJECT_ID/random.txt
  2. 로그 항목을 보려면 다음 안내를 따르세요.
  3. 콘솔

    1. 콘솔에서 Cloud Run으로 이동합니다.

      Cloud Run으로 이동

    2. 서비스 목록에서 생성한 서비스의 이름을 클릭하여 서비스 세부정보 페이지로 이동합니다.
    3. 로그 탭을 클릭하여 이 서비스의 모든 버전에 대한 요청 및 컨테이너 로그를 가져옵니다. 로그 심각도 수준으로 필터링할 수 있습니다.
    4. 다음과 같은 로그 항목을 찾습니다. 트리거 로그

    gcloud

    1. gcloud logging read "resource.labels.service_name=helloworld-events AND textPayload:random.txt" --format=json
    2. 다음과 같은 로그 항목을 찾습니다.
      Detected change in Cloud Storage bucket: storage.googleapis.com/projects/_/buckets/BUCKET_NAME/objects/random.txt
      여기서 BUCKET_NAME은 Cloud Storage 버킷의 이름입니다.

수고하셨습니다 Cloud Run에 이벤트 수신자 서비스를 성공적으로 배포하고, Eventarc 트리거를 만들고, Cloud Storage에서 이벤트를 생성하고, 이를 Cloud Run 로그에서 확인했습니다.

삭제

Cloud Run에서는 서비스를 사용하지 않을 때 비용이 청구되지 않지만 Container Registry, Eventarc 리소스에 컨테이너 이미지를 저장하고 Cloud Storage 버킷에 파일을 저장하는 데 요금이 부과될 수 있습니다.

이미지를 삭제하고 스토리지 버킷을 삭제할 수 있습니다. Eventarc 트리거를 삭제하려면 다음을 실행하세요.

gcloud eventarc triggers delete events-tutorial-trigger

또는 Google Cloud 프로젝트를 삭제하여 비용 청구를 방지할 수 있습니다. 클라우드 프로젝트를 삭제하면 해당 프로젝트 내에서 사용되는 모든 리소스에 대한 청구가 중단됩니다.

  1. Google Cloud 콘솔에서 리소스 관리 페이지로 이동합니다.

    리소스 관리로 이동

  2. 프로젝트 목록에서 삭제할 프로젝트를 선택하고 삭제를 클릭합니다.
  3. 대화상자에서 프로젝트 ID를 입력한 후 종료를 클릭하여 프로젝트를 삭제합니다.

다음 단계