Audit-Log-Ereignisse an Workflows weiterleiten

Standard

Ein Eventarc-Trigger deklariert Ihr Interesse an einem bestimmten Ereignis oder einer Reihe von Ereignissen. Sie können das Ereignisrouting konfigurieren. Legen Sie dazu Filter für den Trigger fest, einschließlich der Ereignisquelle und des Zielworkflows.

Ereignisse werden im CloudEvents-Format über eine HTTP-Anfrage zugestellt. Der Workflow-Dienst konvertiert das Ereignis in ein JSON-Objekt (gemäß derCloudEvents-Spezifikation) und übergibt das Ereignis als Workflow-Laufzeitargument in die Workflow-Ausführung. Achten Sie darauf, dass die Ereignisgröße 512 KB nicht überschreitet. Ereignisse, die größer als die maximale Argumentgröße von Workflows sind, lösen keine Workflow-Ausführungen aus.

In dieser Anleitung erfahren Sie, wie Sie das Ereignisrouting konfigurieren, damit die Ausführung Ihres Workflows ausgelöst wird, wenn ein Audit-Log erstellt wird, das den Filterkriterien des Triggers entspricht. Dieser Ereignistyp gilt für alle Ereignisanbieter. Eine Liste der von Eventarc unterstützten Audit-Logereignisse, einschließlich der Werte serviceName und methodName, finden Sie unter Von Eventarc unterstützte Google-Ereignistypen.

Weitere Informationen zum Erfassen von Ereignissen, die ausgelöst werden, wenn ein Audit-Log erstellt wird, das den Filterkriterien des Triggers entspricht, finden Sie unter Ereignisfilter für Cloud-Audit-Logs bestimmen.

Hinweis: Wenn sowohl direkte als auch Audit-Log-Ereignisse für einen Google-Anbieter unterstützt werden, empfehlen wir die Erstellung eines Triggers, der nach dem direkten Ereignis filtert. Direkte Ereignisse bieten gegenüber Audit-Log-Ereignissen eine Reihe von Vorteilen. Weitere Informationen finden Sie unter Ereignisrouten.

Erstellung eines Triggers vorbereiten

Führen Sie die folgenden Aufgaben aus, bevor Sie einen Eventarc-Trigger für einen Zielworkflow erstellen.

Console

1. Wählen Sie in der Google Cloud Console auf der Seite der Projektauswahl ein Google Cloud-Projekt aus oder erstellen Sie eines.

   Hinweis: Wenn Sie die Ressourcen, die Sie in diesem Verfahren erstellen, nicht behalten möchten, erstellen Sie ein Projekt, anstatt ein vorhandenes Projekt auszuwählen. Wenn Sie fertig sind, können Sie das Projekt löschen und dadurch alle mit ihm verknüpften Ressourcen entfernen.

   Zur Projektauswahl

2. Aktivieren Sie die Eventarc, Eventarc Publishing, Workflows und Workflow Executions APIs.

   Aktivieren Sie die APIs

3. Aktivieren Sie gegebenenfalls die API, die mit den Cloud-Audit-Logs-Ereignissen verbunden ist. Aktivieren Sie beispielsweise für Audit-Logs von Cloud Run Functions die Cloud Functions API.

4. Erstellen Sie ein nutzerverwaltetes Dienstkonto, falls Sie noch keines haben, und weisen Sie ihm dann die erforderlichen Rollen und Berechtigungen zu, damit Eventarc Ereignisse für einen Zielworkflow verwalten kann.

   1. Rufen Sie in der Google Cloud Console die Seite Dienstkonten auf:

      Zur Seite „Dienstkonten“

   2. Wählen Sie Ihr Projekt aus.

   3. Geben Sie im Feld Dienstkontoname einen Namen ein. Die Google Cloud Console füllt das Feld Dienstkonto-ID anhand dieses Namens aus.

      Geben Sie im Feld Dienstkontobeschreibung eine Beschreibung ein. Beispiel: Service account for event trigger

   4. Klicken Sie auf Erstellen und fortfahren.

   5. Wählen Sie in der Liste Rolle auswählen die erforderlichen IAM-Rollen (Identitäts- und Zugriffsverwaltung) aus, die Ihrem Dienstkonto zugewiesen werden sollen. Weitere Informationen finden Sie unter Rollen und Berechtigungen für Workflows-Ziele.

      Klicken Sie auf Weitere Rolle hinzufügen, um weitere Rollen hinzuzufügen.

   6. Klicken Sie auf Weiter.

   7. Klicken Sie zum Abschließen der Erstellung des Dienstkontos auf Fertig.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Aktivieren Sie die Eventarc, Eventarc Publishing, Workflows und Workflow Executions APIs:

   gcloud services enable eventarc.googleapis.com \
       eventarcpublishing.googleapis.com \
       workflows.googleapis.com \
       workflowexecutions.googleapis.com

3. Aktivieren Sie gegebenenfalls die API, die mit den Cloud-Audit-Logs-Ereignissen verbunden ist. Aktivieren Sie beispielsweise für Audit-Logs von Cloud Run Functions cloudfunctions.googleapis.com.

4. Erstellen Sie ein nutzerverwaltetes Dienstkonto, falls Sie noch keines haben, und weisen Sie ihm dann die erforderlichen Rollen und Berechtigungen zu, damit Eventarc Ereignisse für einen Zielworkflow verwalten kann.

   1. Erstellen Sie das Dienstkonto:

      gcloud iam service-accounts create SERVICE_ACCOUNT_NAME

      SERVICE_ACCOUNT_NAME durch den Namen des Dienstkontos ersetzen. Der Name des Dienstkontos muss zwischen 6 und 30 Zeichen lang sein und darf alphanumerische Zeichen in Kleinschreibung sowie Bindestriche enthalten. Nachdem Sie ein Dienstkonto erstellt haben, können Sie den Namen nicht mehr ändern.

   2. Erteilen Sie die erforderlichen IAM-Rollen oder -Berechtigungen (Identity and Access Management). Weitere Informationen finden Sie unter Rollen und Berechtigungen für Workflows-Ziele.

Trigger erstellen

Sie können einen Eventarc-Trigger mit einem bereitgestellten Workflow als Ereignisempfänger erstellen. Verwenden Sie dazu die Google Cloud CLI (gcloud oder Terraform) oder die Google Cloud Console.

Hinweis: Die Filterung erfolgt über eine exakte Übereinstimmung und unterstützt keine Platzhalter oder regulären Ausdrücke. Sie können jedoch das Flag --event-filters-path-pattern im folgenden Befehl der gcloud CLI verwenden oder ein Pfadmuster über die Konsole definieren. Weitere Informationen finden Sie unter Informationen zu Pfadmustern.

Console

1. Rufen Sie in der Google Cloud Console die Seite mit den Eventarc-Triggern auf.

   Zur Seite "Trigger"

2. Klicken Sie auf Trigger erstellen.
3. Geben Sie einen Triggernamen ein.

   Dies ist die ID des Triggers. Sie muss mit einem Buchstaben beginnen. Sie kann bis zu 63 Kleinbuchstaben, Ziffern oder Bindestriche enthalten.

4. Wählen Sie als Triggertyp die Option Google-Quellen aus.
5. Wählen Sie einen Ereignisanbieter aus.

   Dies ist der Google-Dienst, der die Ereignisquelle über die Audit-Logs bildet. Wählen Sie beispielsweise BigQuery aus.

   Beachten Sie, dass der Name des Ereignisanbieters, der in der zugehörigen Google Cloud-Dokumentation verwendet wird, möglicherweise nicht das Präfix Cloud oder Google Cloud hat. In der Console wird Memorystore for Redis beispielsweise als Google Cloud Memorystore for Redis bezeichnet.

6. Wählen Sie in der Liste Ereignistyp aus den Ereignissen über Cloud-Audit-Logs einen Ereignistyp aus.
7. Entscheiden Sie sich für eine der folgenden Möglichkeiten:
   • Beliebige Ressource: Dies ist die Standardeinstellung und enthält dynamisch erstellte Ressourcen, deren Kennungen bei der Erstellung generiert wurden.
   • Bestimmte Ressource: Sie müssen den vollständigen Ressourcennamen angeben.
   • Pfadmuster: Sie können mithilfe eines Pfadmusters nach Ressourcen filtern. Geben Sie beispielsweise projects/_/buckets/eventarc-bucket/objects/random.txt oder projects/_/buckets/**/r*.txt ein.
8. Wählen Sie zur Angabe der Codierung der Ereignisnutzlast in der Liste Inhaltstyp des Ereignisdaten die Option application/json oder application/protobuf aus.

   Beachten Sie, dass eine im JSON-Format formatierte Ereignisnutzlast größer als eine in Protobuf formatierte ist. Dies kann sich auf die Zuverlässigkeit auswirken, je nach Ereignisziel und Limits der Ereignisgröße. Weitere Informationen finden Sie unter Bekannte Probleme.

9. Wählen Sie in der Liste Region eine Region aus.

   Cloud-Audit-Log-Trigger für Eventarc sind in bestimmten Regionen und in der globalen Region verfügbar, jedoch nicht an Standorten mit zwei oder mehreren Regionen. Zur Vermeidung von Leistungs- und Datenstandortproblemen, die durch einen globalen Trigger verursacht werden, sollte der Standort mit dem des Google Cloud-Dienstes übereinstimmen, der Ereignisse generiert. Weitere Informationen finden Sie unter Eventarc-Standorte.

   Wenn Sie den globalen Standort angeben, erhalten Sie Ereignisse von allen Standorten, die Übereinstimmungen für die Ereignisfilter liefern. Durch Erstellen eines globalen Eventarc-Triggers können Sie beispielsweise Ereignisse von Ressourcen in den Mehrfachregionen EU und USA empfangen.

   Beachten Sie, dass es ein bekanntes Problem bei Cloud-Audit-Log-Triggern für Compute Engine gibt, das dazu führt, dass Ereignisse aus einer einzelnen Region stammen: us-central1. Dies gilt unabhängig davon, wo sich die VM-Instanz tatsächlich befindet. Legen Sie den Trigger-Standort entweder auf us-central1 oder auf global fest, wenn Sie den Trigger erstellen.

10. Wählen Sie das Dienstkonto aus, das Ihren Dienst oder Workflow aufruft.

    Alternativ können Sie ein neues Dienstkonto erstellen.

    Dies gibt die E-Mail-Adresse des IAM-Dienstkontos (Identity and Access Management) an, die dem Trigger zugeordnet ist und für die Sie zuvor bestimmte Rollen zugewiesen haben, die für Eventarc erforderlich sind.

11. Wählen Sie in der Liste Ereignisziel die Option Workflows aus.
12. Wählen Sie einen Workflow aus.
    

    Dies ist der Name des Workflows, an den Ereignisse übergeben werden. Ereignisse für eine Workflowausführung werden transformiert und als Laufzeitargumente an den Workflow übergeben.

    Weitere Informationen finden Sie unter Trigger für Workflows erstellen.

13. Klicken Sie auf Erstellen.

Nachdem ein Trigger erstellt wurde, können die Ereignisquellenfilter nicht mehr geändert werden. Erstellen Sie stattdessen einen neuen Trigger und löschen Sie den alten. Weitere Informationen finden Sie unter Trigger verwalten.

gcloud

Wenn Sie einen gcloud eventarc triggers create-Befehl zusammen mit den erforderlichen und optionalen Flags ausführen, können Sie einen Trigger erstellen.

gcloud eventarc triggers create TRIGGER \
    --location=LOCATION \
    --destination-workflow=DESTINATION_WORKFLOW \
    --destination-workflow-location=DESTINATION_WORKFLOW_LOCATION \
    --event-filters="type=google.cloud.audit.log.v1.written" \
    --event-filters="serviceName=SERVICE_NAME" \
    --event-filters="methodName=METHOD_NAME" \
    --event-data-content-type="EVENT_DATA_CONTENT_TYPE" \
    --service-account="MY_SERVICE_ACCOUNT@PROJECT_ID.iam.gserviceaccount.com"

Ersetzen Sie dabei Folgendes:

• TRIGGER: ID des Triggers oder eine voll qualifizierte Kennzeichnung.
• LOCATION: der Standort des Eventarc-Triggers. Alternativ können Sie das Attribut eventarc/location festlegen. Beispiel: gcloud config set eventarc/location us-central1.

  Eventarc ist an bestimmten Standorten und am Standort global verfügbar, jedoch nicht an Standorten mit zwei oder mehreren Regionen. Zur Vermeidung von Leistungs- und Datenstandortproblemen, die durch einen globalen Trigger verursacht werden, sollten der Standort mit dem des Google Cloud-Diensts übereinstimmen, der Ereignisse generiert.

  Wenn Sie den Standort global angeben, erhalten Sie Ereignisse von allen Standorten, bei denen die Ereignisfilter übereinstimmen. Durch das Erstellen eines globalen Eventarc-Triggers können Sie beispielsweise Ereignisse von Ressourcen wie Cloud Storage-Buckets in den Mehrfachregionen der EU und USA empfangen.

• DESTINATION_WORKFLOW: die ID des bereitgestellten Workflows, der die Ereignisse vom Trigger empfängt. Der Workflow kann sich an einem der von Workflows unterstützten Standorte befinden und muss sich nicht am selben Standort wie der Trigger vorhanden sein. Der Workflow muss sich jedoch im selben Projekt wie der Trigger befinden.
• DESTINATION_WORKFLOW_LOCATION (optional): der Standort, an dem der Zielworkflow bereitgestellt wird. Wenn keine Angabe erfolgt, wird davon ausgegangen, dass sich der Workflow am selben Standort wie der Trigger befindet.

• SERVICE_NAME: die Kennzeichnung des Google Cloud-Dienstes.
• METHOD_NAME: die Kennzeichnung des Vorgangs.
• EVENT_DATA_CONTENT_TYPE: (optional) die Codierung der Ereignisnutzlast. Das kann application/json oder application/protobuf sein. Die Standardcodierung ist application/json.

  Beachten Sie, dass eine im JSON-Format formatierte Ereignisnutzlast größer als eine in Protobuf formatierte ist. Dies kann sich auf die Zuverlässigkeit auswirken, je nach Ereignisziel und Limits der Ereignisgröße. Weitere Informationen finden Sie unter Bekannte Probleme.

• SERVICE_ACCOUNT_NAME: der Name des von Ihnen erstellten IAM-Dienstkontos, dem Sie bestimmte Rollen zugewiesen haben, die für Workflows erforderlich sind.
• PROJECT_ID: Ihre Google Cloud-Projekt-ID

Hinweise:

• Diese Flags sind erforderlich:
  • --event-filters="type=google.cloud.audit.log.v1.written"
  • --event-filters="serviceName=VALUE"
  • --event-filters="methodName=VALUE"
• Nachdem ein Trigger erstellt wurde, kann --event-filters="type=google.cloud.audit.log.v1.written" nicht mehr geändert werden. Für einen anderen Ereignistyp müssen Sie einen neuen Trigger erstellen.
• --service-account: Die E-Mail-Adresse des IAM-Dienstkontos, mit der Ihr Eventarc-Trigger die Workflowausführungen aufruft und Cloud-Audit-Logs empfängt. Es wird dringend empfohlen, ein Dienstkonto mit den geringsten Berechtigungen zu verwenden, die für den Zugriff auf die benötigten Ressourcen erforderlich sind. Weitere Informationen zu Dienstkonten finden Sie unter Dienstkonten erstellen und verwalten.
• Eine Liste der von Eventarc unterstützten Audit-Logereignisse, einschließlich der Werte serviceName und methodName, finden Sie unter Von Eventarc unterstützte Ereignisse.
• Jeder Trigger kann mehrere Ereignisfilter haben, die durch Kommata in einem --event-filters=[ATTRIBUTE=VALUE,...]-Flag getrennt sind. Sie können das Flag aber auch wiederholen, um weitere Filter hinzuzufügen. Nur Ereignisse, die mit allen Filtern übereinstimmen, werden an das Ziel gesendet. Platzhalter und reguläre Ausdrücke werden nicht unterstützt.
Weitere Informationen finden Sie unter Ereignisfilter für Cloud-Audit-Logs bestimmen.
• Optional können Sie Ereignisse für eine bestimmte Ressource filtern. Verwenden Sie dazu das Flag --event-filters="resourceName=VALUE" und geben Sie den vollständigen Pfad zur Ressource an. Lassen Sie das Flag für dynamisch erstellte Ressourcen weg, deren Kennzeichnungen zur Erstellungszeit generiert werden. Alternativ können Sie Ereignisse für eine Reihe von Ressourcen filtern, wenn Sie das Flag --event-filters-path-pattern="resourceName=VALUE" verwenden und das Muster für den Ressourcenpfad angeben.
• Standardmäßig bleiben für Eventarc erstellte Pub/Sub-Abos unabhängig von ihrer Aktivität bestehen und laufen nicht ab. Informationen zum Ändern des Inaktivitätszeitraums finden Sie unter Abo-Attribute.

Beispiel:

gcloud eventarc triggers create helloworld-trigger \
    --location=us-central1 \
    --destination-workflow=my-workflow \
    --destination-workflow-location=europe-west4 \
    --event-filters="type=google.cloud.audit.log.v1.written" \
    --event-filters="serviceName=bigquery.googleapis.com" \
    --event-filters="methodName=jobservice.jobcompleted" \
    --service-account="${SERVICE_ACCOUNT_NAME}@${PROJECT_ID}.iam.gserviceaccount.com"

Dadurch wird ein Trigger namens helloworld-trigger für Audit-Logs erstellt, die von bigquery.googleapis.com geschrieben werden, und für den Vorgang, der als jobservice.jobcompleted identifiziert wird.

Terraform

Sie können mit Terraform einen Trigger für einen Workflow erstellen. Weitere Informationen finden Sie unter Workflow mit Eventarc und Terraform auslösen.

Hinweis: Der Trigger wird zwar sofort erstellt, es kann jedoch bis zu zwei Minuten dauern, bis er wirksam wird und Ereignisse filtert.

Trigger auflisten

Sie können die Erstellung eines Triggers bestätigen, indem Sie Eventarc-Trigger mit der Google Cloud CLI oder über die Google Cloud Console auflisten.

Console

1. Rufen Sie in der Google Cloud Console die Seite mit den Eventarc-Triggern auf.

   Zur Seite "Trigger"

   Auf dieser Seite werden Ihre Trigger an allen Standorten aufgelistet. Außerdem enthält sie Details wie Namen, Regionen, Ereignisanbieter, Ziele usw.

2. So filtern Sie die Trigger:

   1. Klicken Sie auf Filter oder das Feld Trigger filtern.
   2. Wählen Sie in der Liste Attribute eine Option aus, nach der die Trigger gefiltert werden sollen.

   Sie können ein einzelnes Attribut auswählen oder den logischen Operator OR verwenden, um weitere Attribute hinzuzufügen.

3. Klicken Sie zum Sortieren der Trigger neben jeder unterstützten Spaltenüberschrift auf Sortieren.

gcloud

Führen Sie den folgenden Befehl aus, um die Trigger aufzulisten:

gcloud eventarc triggers list --location=-

Dieser Befehl listet Ihre Trigger an allen Standorten auf und enthält Details wie Namen, Typen, Ziele und Status.

Nächste Schritte

• Workflow mit Eventarc und Terraform auslösen

• Workflows mit Ereignissen aus Cloud Storage auslösen

• Workflows mit Pub/Sub-Nachrichten auslösen

• Weitere Informationen zu Eventarc