コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。
クイックスタート: Cloud Audit Logs を使用したイベントの受信(Google Cloud CLI)

Cloud Audit Logs を使用してイベントを受信する(gcloud CLI)

このクイックスタートでは、Eventarc を使用して、未認証の Cloud Run サービスで Cloud Storage からイベントを受信する方法について説明します。

このクイックスタートでは Google Cloud CLI を使用します。Console の使用手順については、(Google Cloud Console)を使用してトリガーを作成するをご覧ください。

このクイックスタートでは、以下の操作を行います。

  1. イベントソースとなる Cloud Storage バケットを作成する。

  2. イベント レシーバ サービスを Cloud Run にデプロイする。

  3. イベント トリガーを作成する。

  4. Cloud Storage バケットにファイルをアップロードしてイベントを生成し、Cloud Run のログで確認する。

始める前に

組織が Google Cloud 環境に制約を適用すると、このドキュメントの一部の手順が正しく機能しない場合があります。その場合、パブリック IP アドレスやサービス アカウント キーを作成するようなタスクを完了できない場合があります。制約に関するエラーを返すリクエストを行う場合は、制約がある Google Cloud 環境でアプリケーションを開発する方法をご覧ください。

  1. Google Cloud アカウントにログインします。Google Cloud を初めて使用する場合は、アカウントを作成して、実際のシナリオでの Google プロダクトのパフォーマンスを評価してください。新規のお客様には、ワークロードの実行、テスト、デプロイができる無料クレジット $300 分を差し上げます。
  2. Google Cloud Console の [プロジェクト セレクタ] ページで、Google Cloud プロジェクトを選択または作成します。

    プロジェクト セレクタに移動

  3. Cloud プロジェクトに対して課金が有効になっていることを確認します。詳しくは、プロジェクトで課金が有効になっているかどうかを確認する方法をご覧ください。

  4. Cloud Run, Cloud Logging, Cloud Build, Pub/Sub, Eventarc API を有効にします。

    API を有効にする

  5. Google Cloud Console の [プロジェクト セレクタ] ページで、Google Cloud プロジェクトを選択または作成します。

    プロジェクト セレクタに移動

  6. Cloud プロジェクトに対して課金が有効になっていることを確認します。詳しくは、プロジェクトで課金が有効になっているかどうかを確認する方法をご覧ください。

  7. Cloud Run, Cloud Logging, Cloud Build, Pub/Sub, Eventarc API を有効にします。

    API を有効にする

  8. gcloud コンポーネントを更新します。
    gcloud components update
  9. 自分のアカウントでログインします。

    gcloud auth login
    

  10. このクイックスタートで使用する構成変数を設定します。

    gcloud config set project PROJECT_ID
    gcloud config set run/region us-central1
    gcloud config set run/platform managed
    gcloud config set eventarc/location us-central1
    

  11. Google Cloud Storage で、Cloud Audit Logs の管理読み取りデータ読み取りデータ書き込みの各ログタイプを有効にします。

    プロジェクト レベルで、Google Cloud リソースのデータアクセス監査ログを構成するには roles/owner Identity and Access Management ロールが必要です。

    1. プロジェクトの IAM ポリシーを取得し、ファイルに保存します。
       gcloud projects get-iam-policy PROJECT_ID > /tmp/policy.yaml
      
    2. /tmp/policy.yaml 内のポリシーを編集し、データアクセスの監査ログの構成のみを追加または変更します。

      auditConfigs:
      - auditLogConfigs:
        - logType: ADMIN_READ
        - logType: DATA_WRITE
        - logType: DATA_READ
        service: storage.googleapis.com
      
    3. 新しい IAM ポリシーを作成します。
      gcloud projects set-iam-policy PROJECT_ID /tmp/policy.yaml
      
      上記のコマンドで別の変更との競合が報告された場合は、プロジェクトの IAM ポリシーの読み取りからやり直してください。
  12. Compute Engine サービス アカウントに eventarc.eventReceiver ロールを付与します。
    
    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member=serviceAccount:PROJECT_NUMBER-compute@developer.gserviceaccount.com \
        --role='roles/eventarc.eventReceiver'
    

  13. 2021 年 4 月 8 日以前に Pub/Sub サービス アカウントを有効にした場合は、Pub/Sub サービス アカウントに iam.serviceAccountTokenCreator ロールを付与します。

    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-pubsub.iam.gserviceaccount.com"\
        --role='roles/iam.serviceAccountTokenCreator'
    

  14. Git ソースコード管理ツールをダウンロードしてインストールします。

Cloud Storage バケットを作成する

このクイックスタートでは、イベントソースとして Cloud Storage を使用します。ストレージ バケットを作成するには:

gsutil mb -l us-central1 gs://events-quickstart-PROJECT_ID/

イベントソースの作成後、Cloud Run にイベント レシーバ サービスをデプロイできます。

イベント レシーバ サービスを Cloud Run へデプロイする

イベントを受信してロギングする Cloud Run サービスをデプロイします。サンプル イベント レシーバ サービスをデプロイするには:

  1. リポジトリのクローンを作成します。

    Go

    git clone https://github.com/GoogleCloudPlatform/golang-samples.git
    cd golang-samples/eventarc/audit_storage
    

    Java

    git clone https://github.com/GoogleCloudPlatform/java-docs-samples.git
    cd java-docs-samples/eventarc/audit-storage
    

    .NET

    git clone https://github.com/GoogleCloudPlatform/dotnet-docs-samples.git
    cd dotnet-docs-samples/eventarc/audit-storage
    

    Node.js

    git clone https://github.com/GoogleCloudPlatform/nodejs-docs-samples.git
    cd nodejs-docs-samples/eventarc/audit-storage
    

    Python

    git clone https://github.com/GoogleCloudPlatform/python-docs-samples.git
    cd python-docs-samples/eventarc/audit-storage
    
  2. コンテナをビルドして、Cloud Build にアップロードします。

    gcloud builds submit --tag gcr.io/PROJECT_ID/helloworld-events
    
  3. コンテナ イメージを Cloud Run にデプロイする。

    gcloud run deploy helloworld-events \
       --image gcr.io/PROJECT_ID/helloworld-events \
        --allow-unauthenticated
    

    デプロイに成功すると、コマンドラインにサービスの URL が表示されます。

    helloworld-events というイベント レシーバ サービスが Cloud Run にデプロイされました。これでトリガーを設定できます。

Eventarc トリガーを作成する

Eventarc トリガーは、Cloud Storage バケットから helloworld-events Cloud Run サービスにイベントを送信します。

  1. Cloud Storage イベントをフィルタし、Google Cloud プロジェクトの Compute Engine のデフォルト サービス アカウントを使用するトリガーを作成します。

      gcloud eventarc triggers create events-quickstart-trigger \
          --destination-run-service=helloworld-events \
          --destination-run-region=us-central1 \
          --event-filters="type=google.cloud.audit.log.v1.written" \
          --event-filters="serviceName=storage.googleapis.com" \
          --event-filters="methodName=storage.objects.create" \
          --service-account=PROJECT_NUMBER-compute@developer.gserviceaccount.com
    

    これにより、events-quickstart-trigger というトリガーが作成されます。

  2. events-quickstart-trigger が正常に作成されたことを確認するには、次のコマンドを実行します。

     gcloud eventarc triggers list --location=us-central1
    

    events-quickstart-triggerhelloworld-events のターゲットとともに表示されます。

イベントを生成して表示する

  1. イベントを生成するには:

    Cloud Storage にファイルをアップロードします。

     echo "Hello World" > random.txt
     gsutil cp random.txt gs://events-quickstart-PROJECT_ID/random.txt
    

    アップロードによりイベントが生成され、Cloud Run サービスはイベントのメッセージをロギングします。

  2. サービスによって作成されたイベント関連ログエントリを表示するには:

    1. gcloud logging read "resource.type=cloud_run_revision AND resource.labels.service_name=helloworld-events AND NOT resource.type=build"
      
    2. 次のようなログエントリを探します。

      Detected change in Cloud Storage bucket: storage.googleapis.com/projects/_/buckets/BUCKET_NAME/objects/random.txt
      

      ここで、BUCKET_NAME は Cloud Storage バケットの名前です。

これで完了です。イベント レシーバ サービスを Cloud Run にデプロイし、Eventarc トリガーを作成します。Cloud Storage からイベントを生成し、それを Cloud Run ログで確認できました。

クリーンアップ

サービスが使用されていない場合、Cloud Run の料金は発生しませんが、コンテナ イメージを Container Registry に保存すると料金が発生します。また、Eventarc のリソースを使用した場合や、Cloud Storage バケットにファイルを保存した場合にも料金が発生します。

イメージを削除し、ストレージ バケットを削除できます。Eventarc トリガーを削除するには:

gcloud eventarc triggers delete events-quickstart-trigger

また、Google Cloud プロジェクトを削除して、料金が発生しないようにすることもできます。Cloud プロジェクトを削除すると、そのプロジェクト内で使用されているすべてのリソースに対する課金が停止します。

gcloud projects delete PROJECT_ID_OR_NUMBER
  • PROJECT_ID_OR_NUMBER は、プロジェクト ID またはプロジェクト番号に置き換えます。

次のステップ