Cloud 감사 로그를 사용하여 이벤트 수신(gcloud CLI)

이 빠른 시작에서는 Eventarc를 사용하여 인증되지 않은 Cloud Run 서비스에서 Cloud Storage의 이벤트를 수신하는 방법을 보여줍니다.

Google Cloud CLI를 사용하여 이 빠른 시작을 완료할 수 있습니다. Console 사용 안내는 Google Cloud 콘솔을 사용하여 트리거 만들기를 참조하세요.

이 빠른 시작에서는 다음을 수행합니다.

이벤트 소스로 사용할 Cloud Storage 버킷을 만듭니다.
Cloud Run에 이벤트 수신자 서비스를 배포합니다.
이벤트 트리거를 만듭니다.
Cloud Storage 버킷에 파일을 업로드하여 이벤트를 생성하고 Cloud Run 로그에서 확인합니다.

시작하기 전에

조직에서 정의한 보안 제약조건으로 인해 다음 단계를 완료하지 못할 수 있습니다. 문제 해결 정보는 제한된 Google Cloud 환경에서 애플리케이션 개발을 참조하세요.

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

Install the Google Cloud CLI.

To initialize the gcloud CLI, run the following command:

gcloud init

Create or select a Google Cloud project.

Create a Google Cloud project:
```
gcloud projects create PROJECT_ID
```
Replace PROJECT_ID with a name for the Google Cloud project you are creating.
Select the Google Cloud project that you created:
```
gcloud config set project PROJECT_ID
```
Replace PROJECT_ID with your Google Cloud project name.

Google Cloud 프로젝트에 결제가 사용 설정되어 있는지 확인합니다.

Enable the Artifact Registry, Cloud Build, Cloud Run, Eventarc, and Pub/Sub APIs:

gcloud services enable artifactregistry.googleapis.com cloudbuild.googleapis.com run.googleapis.com eventarc.googleapis.com pubsub.googleapis.com

Install the Google Cloud CLI.

To initialize the gcloud CLI, run the following command:

gcloud init

Create or select a Google Cloud project.

Create a Google Cloud project:
```
gcloud projects create PROJECT_ID
```
Replace PROJECT_ID with a name for the Google Cloud project you are creating.
Select the Google Cloud project that you created:
```
gcloud config set project PROJECT_ID
```
Replace PROJECT_ID with your Google Cloud project name.

Google Cloud 프로젝트에 결제가 사용 설정되어 있는지 확인합니다.

Enable the Artifact Registry, Cloud Build, Cloud Run, Eventarc, and Pub/Sub APIs:

gcloud services enable artifactregistry.googleapis.com cloudbuild.googleapis.com run.googleapis.com eventarc.googleapis.com pubsub.googleapis.com

gcloud 구성요소를 업데이트합니다.
```
gcloud components update
```

계정을 사용하여 로그인합니다.
```
gcloud auth login
```

이 빠른 시작에서 사용되는 구성 변수를 설정합니다.

export REGION=us-central1
gcloud config set run/region ${REGION}
gcloud config set run/platform managed
gcloud config set eventarc/location ${REGION}

프로젝트 생성자에게는 기본 소유자 역할(roles/owner)이 부여됩니다. 기본적으로 Identity and Access Management(IAM) 역할에는 대부분의 Google Cloud 리소스에 대한 전체 액세스에 필요한 권한이 포함되며, 이 단계를 건너뛸 수 있습니다.

프로젝트 생성자가 아니면 프로젝트에서 적합한 주 구성원에 대해 필수 권한을 부여해야 합니다. 예를 들어 주 구성원은 Google 계정(최종 사용자)이거나 서비스 계정(애플리케이션 및 컴퓨팅 워크로드)일 수 있습니다. 자세한 내용은 이벤트 대상의 역할 및 권한 페이지를 참조하세요.

기본적으로 Cloud Build 권한에는 Artifact Registry 아티팩트를 업로드 및 다운로드할 수 있는 권한이 포함됩니다.
필수 권한

튜토리얼을 완료하는 데 필요한 권한을 얻으려면 관리자에게 프로젝트에 대한 다음 IAM 역할을 부여해 달라고 요청하세요.
- Cloud Build 편집자(roles/cloudbuild.builds.editor)
- Cloud Run 관리자(roles/run.admin)
- Eventarc 관리자(roles/eventarc.admin)
- 로그 뷰 접근자 (roles/logging.viewAccessor)
- 프로젝트 IAM 관리자(roles/resourcemanager.projectIamAdmin)
- 서비스 계정 관리자(roles/iam.serviceAccountAdmin)
- 서비스 계정 사용자(roles/iam.serviceAccountUser)
- 서비스 사용량 관리자(roles/serviceusage.serviceUsageAdmin)
- 스토리지 관리자(roles/storage.admin)
역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.

커스텀 역할이나 다른 사전 정의된 역할을 통해 필요한 권한을 얻을 수도 있습니다.

Google Cloud Storage에서 Cloud 감사 로그 관리자 읽기, 데이터 읽기, 데이터 쓰기 로그 유형을 사용 설정하세요.
프로젝트 수준에서 Google Cloud 리소스의 데이터 액세스 감사 로그를 구성하려면 roles/owner Identity and Access Management 역할이 필요합니다.
1. 프로젝트의 IAM 정책을 읽고 파일에 저장합니다.
```
gcloud projects get-iam-policy PROJECT_ID > /tmp/policy.yaml
```
2. /tmp/policy.yaml에서 정책을 수정하되, 데이터 액세스 감사 로그 구성만 추가하거나 변경합니다.
  
  주의: bindings: 및 etag: 섹션은 변경하지 말고 유지해야 합니다. 이렇게 하지 않으면 프로젝트를 사용하지 못하게 될 수 있습니다.
```
auditConfigs:
- auditLogConfigs:
- logType: ADMIN_READ
- logType: DATA_WRITE
- logType: DATA_READ
service: storage.googleapis.com
```
3. 다음과 같이 새 IAM 정책을 씁니다.
```
gcloud projects set-iam-policy PROJECT_ID /tmp/policy.yaml
```
  앞의 명령어가 다른 변경사항과의 충돌을 보고할 경우 이 단계를 반복하면서 프로젝트의 IAM 정책 읽기를 시작합니다.
테스트 목적으로 Eventarc 트리거에 연결할 때 트리거의 ID를 나타내기 위해 Compute Engine 기본 서비스 계정을 기록해 둡니다. 이 서비스 계정은 Compute Engine을 사용하는 Google Cloud 서비스를 사용 설정하거나 사용한 후에 다음 이메일 형식으로 자동 생성됩니다.
```
PROJECT_NUMBER-compute@developer.gserviceaccount.com
```
PROJECT_NUMBER를 Google Cloud 프로젝트 번호로 바꿉니다. Google Cloud 콘솔의 시작 페이지에서 또는 다음 명령어를 실행하여 프로젝트 번호를 찾을 수 있습니다.
```
gcloud projects describe PROJECT_ID --format='value(projectNumber)'
```
프로덕션 환경의 경우 새 서비스 계정을 만들고 필요한 최소한의 권한을 포함하고 최소 권한 원칙을 따르는 하나 이상의 IAM 역할을 부여하는 것이 좋습니다.

참고:
iam.automaticIamGrantsForDefaultServiceAccounts 조직 정책 제약조건은 편집자 역할이 기본 서비스 계정에 자동으로 부여되지 않도록 합니다. 2024년 5월 3일 이후에 조직을 만든 경우 기본적으로 이 제약조건이 적용됩니다.

이 제약조건을 적용하여 자동 역할 부여를 사용 중지하는 것이 좋습니다. 자동 역할 부여를 중지한 경우 기본 서비스 계정에 부여할 역할을 결정한 후 직접 이러한 역할을 부여해야 합니다.

기본 서비스 계정에 이미 편집자 역할이 있으면 편집자 역할을 권한이 더 낮은 역할로 바꾸는 것이 좋습니다. 서비스 계정 역할을 안전하게 수정하려면 정책 시뮬레이터를 사용하여 변경사항의 영향을 확인한 후 적절한 역할을 부여하고 취소합니다.
프로젝트의 Eventarc 이벤트 수신자 역할(roles/eventarc.eventReceiver)을 Compute Engine 기본 서비스 계정에 부여하세요. 그려면 Eventarc 트리거가 이벤트 제공자로부터 이벤트를 수신할 수 있습니다.
```
gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:PROJECT_NUMBER-compute@developer.gserviceaccount.com \
    --role=roles/eventarc.eventReceiver
```
2021년 4월 8일 이전에 Cloud Pub/Sub 서비스 에이전트를 사용 설정하여 인증된 Pub/Sub 푸시 요청을 지원한 경우 서비스 계정 토큰 생성자 역할(roles/iam.serviceAccountTokenCreator)을 서비스 에이전트에 부여합니다. 그렇지 않으면 기본적으로 이 역할이 부여됩니다.
```
gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-pubsub.iam.gserviceaccount.com \
    --role=roles/iam.serviceAccountTokenCreator
```
Git 소스 코드 관리 도구를 다운로드하여 설치합니다.

Artifact Registry 표준 저장소 만들기

컨테이너 이미지를 저장할 Artifact Registry 표준 저장소를 만듭니다.

gcloud artifacts repositories create REPOSITORY \
    --repository-format=docker \
    --location=$REGION

REPOSITORY를 저장소의 고유한 이름으로 바꿉니다.

Cloud Storage 버킷 만들기

이 빠른 시작에서는 Cloud Storage를 이벤트 소스로 사용합니다. 스토리지 버킷을 만들려면 다음을 실행하세요.

gcloud storage buckets create gs://events-quickstart-PROJECT_ID/ --location=${REGION}

이벤트 소스가 생성되면 Cloud Run에 이벤트 수신자 서비스를 배포할 수 있습니다.

Cloud Run에 이벤트 수신자 서비스 배포

이벤트를 수신하고 로깅하는 Cloud Run 서비스를 배포합니다. 샘플 이벤트 수신자 서비스를 배포하려면 다음 안내를 따르세요.

GitHub 저장소를 클론합니다.

Go

git clone https://github.com/GoogleCloudPlatform/golang-samples.git
cd golang-samples/eventarc/audit_storage

자바

git clone https://github.com/GoogleCloudPlatform/java-docs-samples.git
cd java-docs-samples/eventarc/audit-storage

.NET

git clone https://github.com/GoogleCloudPlatform/dotnet-docs-samples.git
cd dotnet-docs-samples/eventarc/audit-storage

Node.js

git clone https://github.com/GoogleCloudPlatform/nodejs-docs-samples.git
cd nodejs-docs-samples/eventarc/audit-storage

Python

git clone https://github.com/GoogleCloudPlatform/python-docs-samples.git
cd python-docs-samples/eventarc/audit-storage

컨테이너를 빌드하고 Cloud Build에 업로드합니다.

gcloud builds submit --tag $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/helloworld-events:v1

컨테이너 이미지를 Cloud Run에 배포합니다.
```
gcloud run deploy helloworld-events \
    --image $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/helloworld-events:v1 \
    --allow-unauthenticated
```
배포가 성공하면 명령줄에 서비스 URL이 표시됩니다.

이제 helloworld-events라는 이벤트 수신자 서비스를 Cloud Run에 배포했으므로 트리거를 설정할 수 있습니다.

Eventarc 트리거 만들기

Eventarc 트리거는 Cloud Storage 버킷의 이벤트를 helloworld-events Cloud Run 서비스로 전송합니다.

Cloud Storage 이벤트를 필터링하고 Google Cloud 프로젝트 Compute Engine 기본 서비스 계정을 사용하는 트리거를 만듭니다.
```
gcloud eventarc triggers create events-quickstart-trigger \
    --destination-run-service=helloworld-events \
    --destination-run-region=${REGION} \
    --event-filters="type=google.cloud.audit.log.v1.written" \
    --event-filters="serviceName=storage.googleapis.com" \
    --event-filters="methodName=storage.objects.create" \
    --service-account=PROJECT_NUMBER-compute@developer.gserviceaccount.com
```
그러면 events-quickstart-trigger라는 트리거가 생성됩니다.

Google Cloud 프로젝트에서 처음으로 Eventarc 트리거를 만들 때는 Eventarc 서비스 에이전트를 프로비저닝하는 데 시간이 지연될 수 있습니다. 이 문제는 일반적으로 트리거를 다시 만들면 해결할 수 있습니다. 자세한 내용은 권한 거부 오류를 참조하세요.
events-quickstart-trigger이 성공적으로 생성되었는지 확인하려면 다음을 실행합니다.
```
gcloud eventarc triggers list --location=${REGION}
```
events-quickstart-trigger는 Cloud Run 서비스 helloworld-events에 해당하는 대상과 함께 나열됩니다.

이벤트 생성 및 확인

이벤트를 생성하려면 텍스트 파일을 Cloud Storage에 업로드합니다.
```
 echo "Hello World" > random.txt
 gcloud storage cp random.txt gs://events-quickstart-PROJECT_ID/random.txt
```
업로드 시 이벤트가 생성되고 Cloud Run 서비스에서 이벤트의 메시지를 로깅합니다.
서비스에서 만든 이벤트 관련 로그 항목을 보려면 다음 명령어를 실행하세요.
```
gcloud logging read 'textPayload: "Detected change in Cloud Storage bucket"'
```
다음과 같은 로그 항목을 찾습니다.
```
Detected change in Cloud Storage bucket: storage.googleapis.com/projects/_/buckets/BUCKET_NAME/objects/random.txt
```
여기서 BUCKET_NAME은 Cloud Storage 버킷의 이름입니다.

참고: 로그 항목이 표시되지 않으면 몇 분 정도 기다린 후 gcloud logging read 명령어를 다시 시도합니다. 트리거가 생성된 후 필터링 이벤트가 시작되는 데 최대 2분이 걸릴 수 있습니다.

Cloud Run에 이벤트 수신자 서비스를 성공적으로 배포하고, Eventarc 트리거를 만들고, Cloud Storage에서 이벤트를 생성하고, 이를 Cloud Run 로그에서 확인했습니다.

삭제

Cloud Run에서는 서비스를 사용하지 않을 때 비용이 청구되지 않지만 Artifact Registry에 컨테이너 이미지 저장, Cloud Storage 버킷에 파일 저장, Eventarc 리소스에 대한 요금은 부과될 수 있습니다.

다음과 같은 작업을 할 수 있습니다.

또는 Google Cloud 프로젝트를 삭제하여 비용 청구를 방지할 수 있습니다. Google Cloud 프로젝트를 삭제하면 프로젝트 내에서 사용되는 모든 리소스에 대한 비용 청구가 중지됩니다.

Delete a Google Cloud project:

gcloud projects delete PROJECT_ID