Recibir eventos con registros de auditoría de Cloud (gcloud CLI)

Recibir eventos con registros de auditoría de Cloud (gcloud CLI)

Estándar

En esta guía de inicio rápido se muestra cómo recibir eventos de Cloud Storage en un servicio de Cloud Run sin autenticar mediante Eventarc.

Nota: Todos los servicios de Cloud Run se implementan de forma privada de forma predeterminada, lo que significa que no se puede acceder a ellos sin proporcionar credenciales de autenticación en la solicitud. En los proyectos con políticas de organización de uso compartido restringido al dominio, usa un servicio de destino de Cloud Run autenticado en lugar de uno que permita el acceso público (sin autenticar).

Puedes completar esta guía de inicio rápido con la CLI de Google Cloud. Para obtener instrucciones sobre cómo usar la consola, consulta Crear un activador con la consola Google Cloud .

En esta guía de inicio rápido, harás lo siguiente:

1. Crea un segmento de Cloud Storage que será la fuente de eventos.

2. Despliega un servicio de receptor de eventos en Cloud Run.

3. Crea un activador de evento.

4. Genera un evento subiendo un archivo al segmento de Cloud Storage y consúltalo en los registros de Cloud Run.

Antes de empezar

Es posible que las restricciones de seguridad definidas por tu organización te impidan completar los siguientes pasos. Para obtener información sobre cómo solucionar problemas, consulta el artículo Desarrollar aplicaciones en un entorno limitado Google Cloud .

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

Install the Google Cloud CLI.

Si utilizas un proveedor de identidades (IdP) externo, primero debes iniciar sesión en la CLI de gcloud con tu identidad federada.

Para inicializar gcloud CLI, ejecuta el siguiente comando:

gcloud init

Create or select a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

• Create a Google Cloud project:

  gcloud projects create PROJECT_ID

  Replace PROJECT_ID with a name for the Google Cloud project you are creating.

• Select the Google Cloud project that you created:

  gcloud config set project PROJECT_ID

  Replace PROJECT_ID with your Google Cloud project name.

Verify that billing is enabled for your Google Cloud project.

Enable the Artifact Registry, Cloud Build, Cloud Run, Eventarc, and Pub/Sub APIs:

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

gcloud services enable artifactregistry.googleapis.com cloudbuild.googleapis.com run.googleapis.com eventarc.googleapis.com pubsub.googleapis.com

Install the Google Cloud CLI.

Si utilizas un proveedor de identidades (IdP) externo, primero debes iniciar sesión en la CLI de gcloud con tu identidad federada.

Para inicializar gcloud CLI, ejecuta el siguiente comando:

gcloud init

Create or select a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

• Create a Google Cloud project:

  gcloud projects create PROJECT_ID

  Replace PROJECT_ID with a name for the Google Cloud project you are creating.

• Select the Google Cloud project that you created:

  gcloud config set project PROJECT_ID

  Replace PROJECT_ID with your Google Cloud project name.

Verify that billing is enabled for your Google Cloud project.

Enable the Artifact Registry, Cloud Build, Cloud Run, Eventarc, and Pub/Sub APIs:

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

gcloud services enable artifactregistry.googleapis.com cloudbuild.googleapis.com run.googleapis.com eventarc.googleapis.com pubsub.googleapis.com

1. Actualiza los componentes de gcloud:

   gcloud components update

2. Inicia sesión con tu cuenta:

   gcloud auth login

3. Define las variables de configuración que se usan en esta guía de inicio rápido:

   export REGION=us-central1
   gcloud config set run/region ${REGION}
   gcloud config set run/platform managed
   gcloud config set eventarc/location ${REGION}

4. Si has creado el proyecto, se te asignará el rol básico Propietario (roles/owner). De forma predeterminada, este rol de gestión de identidades y accesos (IAM) incluye los permisos necesarios para acceder por completo a la mayoría de los recursos Google Cloud, por lo que puedes saltarte este paso.

   Si no eres el creador del proyecto, debes conceder los permisos necesarios al principal correspondiente. Por ejemplo, una entidad principal puede ser una cuenta de Google (para usuarios finales) o una cuenta de servicio (para aplicaciones y cargas de trabajo de computación). Para obtener más información, consulta la página Roles y permisos de tu destino de evento.

   Ten en cuenta que, de forma predeterminada, los permisos de Cloud Build incluyen permisos para subir y descargar artefactos de Artifact Registry.

   Permisos obligatorios

   Para obtener los permisos que necesitas para completar este tutorial, pide a tu administrador que te conceda los siguientes roles de gestión de identidades y accesos en tu proyecto:

   • Editor de Cloud Build (roles/cloudbuild.builds.editor)
   • Administrador de Cloud Run (roles/run.admin)
   • Administrador de Eventarc (roles/eventarc.admin)
   • Usuario con permiso para ver registros (roles/logging.viewAccessor)
   • Administrador de gestión de identidades y accesos del proyecto (roles/resourcemanager.projectIamAdmin)
   • Administrador de cuentas de servicio (roles/iam.serviceAccountAdmin)
   • Usuario de cuenta de servicio (roles/iam.serviceAccountUser)
   • Administrador de Uso de Servicio (roles/serviceusage.serviceUsageAdmin)
   • Administrador de almacenamiento (roles/storage.admin)

   Para obtener más información sobre cómo conceder roles, consulta el artículo Gestionar el acceso a proyectos, carpetas y organizaciones.

   También puedes conseguir los permisos necesarios a través de roles personalizados u otros roles predefinidos.

5. Habilita los tipos de registro Lectura de administrador, Lectura de datos y Escritura de datos de Cloud Audit Logs en Google Cloud Storage.

   Ten en cuenta que, a nivel de proyecto, necesitas el rol de roles/owner Gestión de Identidades y Accesos para configurar los registros de auditoría de acceso a los datos de tus recursos. Google Cloud

   1. Lee la política de gestión de identidades y accesos de tu proyecto y guárdala en un archivo:

      gcloud projects get-iam-policy PROJECT_ID > /tmp/policy.yaml

   2. Edita tu política en /tmp/policy.yaml, añadiendo o cambiando solo la configuración de los registros de auditoría de acceso a datos.
      Advertencia: Debes conservar las secciones bindings: y etag: sin cambios. Si no lo haces, es posible que tu proyecto deje de funcionar.

      auditConfigs:
      - auditLogConfigs:
      - logType: ADMIN_READ
      - logType: DATA_WRITE
      - logType: DATA_READ
      service: storage.googleapis.com

   3. Escribe la nueva política de gestión de identidades y accesos:

      gcloud projects set-iam-policy PROJECT_ID /tmp/policy.yaml

      Si el comando anterior informa de un conflicto con otro cambio, repite estos pasos, empezando por leer la política de IAM del proyecto.

6. Anota la cuenta de servicio predeterminada de Compute Engine, ya que la asociarás a un activador de Eventarc para representar la identidad del activador con fines de prueba. Esta cuenta de servicio se crea automáticamente después de habilitar o usar un servicio que utiliza Compute Engine y tiene el siguiente formato de correo electrónico: Google Cloud

   [e-mail]

   Sustituye PROJECT_NUMBER por el número de tu proyecto. Google Cloud Puedes encontrar el número de tu proyecto en la página Bienvenido de la consola Google Cloud o ejecutando el siguiente comando:

   gcloud projects describe PROJECT_ID --format='value(projectNumber)'

   En los entornos de producción, te recomendamos que crees una cuenta de servicio y le asignes uno o varios roles de IAM que contengan los permisos mínimos necesarios y que sigas el principio de privilegio mínimo.

   Nota:

   La restricción de la política de organización iam.automaticIamGrantsForDefaultServiceAccounts impide que se conceda automáticamente el rol Editor a las cuentas de servicio predeterminadas. Si has creado tu organización después del 3 de mayo del 2024, esta restricción se aplica de forma predeterminada.

   Te recomendamos que apliques esta restricción para inhabilitar la concesión automática de roles. Si inhabilitas la concesión automática de roles, debes decidir qué roles quieres conceder a las cuentas de servicio predeterminadas y, a continuación, concederlos tú mismo.

   Si la cuenta de servicio predeterminada ya tiene el rol Editor, te recomendamos que lo sustituyas por roles con menos permisos.Para modificar los roles de la cuenta de servicio de forma segura, usa Simulador de políticas para ver el impacto del cambio y, a continuación, asigna y revoca los roles adecuados.

7. Concede el rol Receptor de eventos de Eventarc (roles/eventarc.eventReceiver) en el proyecto a la cuenta de servicio predeterminada de Compute Engine para que el activador de Eventarc pueda recibir eventos de proveedores de eventos.

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member=serviceAccount:[e-mail] \
       --role=roles/eventarc.eventReceiver

8. Si habilitaste el agente de servicio de Cloud Pub/Sub el 8 de abril del 2021 o antes para admitir solicitudes push de Pub/Sub autenticadas, asigna el rol Creador de tokens de cuenta de servicio (roles/iam.serviceAccountTokenCreator) al agente de servicio. De lo contrario, este rol se asigna de forma predeterminada:

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member=serviceAccount:[e-mail] \
       --role=roles/iam.serviceAccountTokenCreator

9. Descarga e instala la herramienta de gestión de código fuente de Git.

Crear un repositorio estándar de Artifact Registry

Crea un repositorio estándar de Artifact Registry para almacenar tu imagen de contenedor:

gcloud artifacts repositories create REPOSITORY \
    --repository-format=docker \
    --location=$REGION

Sustituye REPOSITORY por un nombre único para el repositorio.

Crea un segmento de Cloud Storage

En esta guía de inicio rápido se usa Cloud Storage como origen de eventos. Para crear un segmento de almacenamiento, sigue estos pasos:

gcloud storage buckets create gs://events-quickstart-PROJECT_ID/ --location=${REGION}

Una vez que se haya creado el origen del evento, puedes desplegar el servicio receptor de eventos en Cloud Run.

Desplegar el servicio de receptor de eventos en Cloud Run

Despliega un servicio de Cloud Run que recibe y registra eventos. Para implementar el servicio de receptor de eventos de ejemplo, haz lo siguiente:

1. Clona el repositorio de GitHub:

   Go

   git clone https://github.com/GoogleCloudPlatform/golang-samples.git
   cd golang-samples/eventarc/audit_storage
   

   Java

   git clone https://github.com/GoogleCloudPlatform/java-docs-samples.git
   cd java-docs-samples/eventarc/audit-storage
   

   .NET

   git clone https://github.com/GoogleCloudPlatform/dotnet-docs-samples.git
   cd dotnet-docs-samples/eventarc/audit-storage
   

   Node.js

   git clone https://github.com/GoogleCloudPlatform/nodejs-docs-samples.git
   cd nodejs-docs-samples/eventarc/audit-storage
   

   Python

   git clone https://github.com/GoogleCloudPlatform/python-docs-samples.git
   cd python-docs-samples/eventarc/audit-storage
   

2. Crea el contenedor y súbelo a Cloud Build:

   gcloud builds submit --tag $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/helloworld-events:v1

3. Despliega la imagen de contenedor en Cloud Run:

   gcloud run deploy helloworld-events \
       --image $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/helloworld-events:v1 \
       --allow-unauthenticated

   Si la implementación se realiza correctamente, la línea de comandos muestra la URL del servicio.

   Ahora que has desplegado tu servicio de receptor de eventos llamado helloworld-events en Cloud Run, puedes configurar tu activador.

Crear un activador de Eventarc

El activador de Eventarc enviará eventos del segmento de Cloud Storage al servicio de Cloud Run helloworld-events.

1. Crea un activador que filtre eventos de Cloud Storage y que use la Google Cloud cuenta de servicio predeterminada de Compute Engine del proyecto:

   gcloud eventarc triggers create events-quickstart-trigger \
       --destination-run-service=helloworld-events \
       --destination-run-region=${REGION} \
       --event-filters="type=google.cloud.audit.log.v1.written" \
       --event-filters="serviceName=storage.googleapis.com" \
       --event-filters="methodName=storage.objects.create" \
       --service-account=[e-mail]

   De esta forma, se crea un activador llamado events-quickstart-trigger.

   Ten en cuenta que, cuando crees un activador de Eventarc por primera vez en un proyecto de Google Cloud , puede haber un retraso en el aprovisionamiento del agente de servicio de Eventarc. Este problema suele resolverse intentando crear el activador de nuevo. Para obtener más información, consulta Errores de permiso denegado.

2. Para confirmar que events-quickstart-trigger se ha creado correctamente, ejecuta el siguiente comando:

   gcloud eventarc triggers list --location=${REGION}

   El events-quickstart-trigger se muestra con un destino que es el servicio de Cloud Run, helloworld-events.

Nota: Aunque el activador se crea inmediatamente, puede tardar hasta dos minutos en estar completamente operativo.

Generar y ver un evento

1. Para generar un evento, sube un archivo de texto a Cloud Storage:

    echo "Hello World" > random.txt
    gcloud storage cp random.txt gs://events-quickstart-PROJECT_ID/random.txt
   

   La subida genera un evento y el servicio de Cloud Run registra el mensaje del evento.

2. Para ver las entradas de registro relacionadas con eventos creadas por tu servicio, ejecuta el siguiente comando:

   gcloud logging read 'textPayload: "Detected change in Cloud Storage bucket"'
   

3. Busca una entrada de registro similar a la siguiente:

   Detected change in Cloud Storage bucket: storage.googleapis.com/projects/_/buckets/BUCKET_NAME/objects/random.txt
   

   donde BUCKET_NAME es el nombre del segmento de Cloud Storage.

   Nota: Si no ves ninguna entrada de registro, espera unos minutos y vuelve a intentar el comando gcloud logging read. El activador puede tardar hasta dos minutos en empezar a filtrar eventos después de crearse.

Has desplegado correctamente un servicio de receptor de eventos en Cloud Run, has creado un activador de Eventarc, has generado un evento desde Cloud Storage y lo has visto en los registros de Cloud Run.

Limpieza

Aunque Cloud Run no cobra cuando el servicio no está en uso, es posible que se te apliquen cargos por almacenar la imagen de contenedor en Artifact Registry, almacenar archivos en tu segmento de Cloud Storage y recursos de Eventarc.

Puedes hacer lo siguiente:

1. Elimina la imagen de tu contenedor.

2. Elimina el segmento de almacenamiento.

3. Elimina el activador de Eventarc.

También puedes eliminar tu Google Cloud proyecto para evitar que se te apliquen cargos. Al eliminar tu Google Cloud proyecto, se detendrá la facturación de todos los recursos utilizados en él.

Precaución: Eliminar un proyecto tiene los siguientes efectos:

• Se elimina todo el contenido del proyecto. Si has usado un proyecto que ya existía para las tareas de este documento, cuando lo elimines, también se eliminará cualquier otro trabajo que hayas realizado en él.
• Se pierden los IDs de proyecto personalizados. Cuando creaste este proyecto, es posible que hayas creado un ID de proyecto personalizado que quieras usar en el futuro. Para conservar las URLs que usan el ID del proyecto, como una URL appspot.com, elimina los recursos seleccionados dentro del proyecto en lugar de eliminar todo el proyecto.

Delete a Google Cloud project:

gcloud projects delete PROJECT_ID

Siguientes pasos

• Recibir un evento de registros de auditoría de Cloud para cargas de trabajo de producción
• Crear contenedores
• Determinar filtros de eventos para registros de auditoría de Cloud
• Desarrollar servicios de Cloud Run