Aggrega e archivia i log dell'organizzazione

Questo documento descrive come gestire i log generati dalle risorse contenuti nella tua organizzazione Google Cloud utilizzando un un sink aggregato.

Puoi configurare un sink aggregato in modo che venga intercettato o non intercetto, a seconda che si voglia controllare i log in cui eseguire query instradato tramite i sink nelle risorse figlio. In questo tutorial, creerai un sink aggregato che instrada gli audit log dell'organizzazione a un progetto Google Cloud. Poi, nel progetto Google Cloud, crei una sink di log che instrada gli audit log aggregati a un bucket di log.

Per ulteriori informazioni sui sink aggregati, consulta Facoltare e indirizzare i log a livello di organizzazione e cartella alle destinazioni supportate.

In questo tutorial, imparerai a:

1. Per iniziare, crea un bucket di log e un sink di log Progetto Google Cloud in cui archiviare i log aggregati.

2. Quindi, creerai un sink aggregato non intercettato a livello di organizzazione per di eseguire il routing dei log al progetto Google Cloud.

3. Quindi, configurerai l'accesso in lettura per le visualizzazioni dei log nel nuovo bucket di log.

4. Infine, puoi eseguire query e visualizzare i log dalla pagina Esplora log.

Nota: se hai iniziato a utilizzare Google Cloud, puoi aggregare e archiviare dei log dell'organizzazione nell'ambito della procedura di configurazione di Google Cloud.

Prima di iniziare

Verifica quanto segue:

• Per ottenere le autorizzazioni necessarie per creare bucket di log e sink di log aggregati, chiedi all'amministratore di concederti seguenti ruoli IAM:

  • Writer configurazione log (roles/logging.configWriter) del progetto
  • Writer configurazione log (roles/logging.configWriter) della tua organizzazione

  Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.

  Potresti anche riuscire a ottenere le autorizzazioni richieste tramite la ruoli o altri ruoli predefiniti ruoli.

• Per ottenere le autorizzazioni necessarie per concedere i ruoli alle entità, chiedi all'amministratore di concederti Ruolo IAM di Proprietario (roles/owner) su un progetto.

• Se utilizzi Controlli di servizio VPC, devi aggiungere in entrata nel perimetro di servizio. Per ulteriori informazioni Limitazioni dei Controlli di servizio VPC; consulta Sink aggregati e limitazioni di Controlli di servizio VPC.

Crea un bucket di log

Nota: puoi saltare questo passaggio se utilizzi un bucket di log che ha già esiste già. Tuttavia, ti consigliamo di creare un bucket di log per questo caso d'uso.

I bucket di log archiviano i log indirizzati da altri progetti Google Cloud, cartelle o organizzazioni. Per ulteriori informazioni, vedi Configura i bucket di log.

Per creare il bucket di log nel progetto Google Cloud che vuoi e aggregare i log, completa i seguenti passaggi:

1. Vai alla console Google Cloud:

   Vai alla console Google Cloud

2. In un terminale Cloud Shell, esegui Comando gcloud logging buckets create.

   Prima di eseguire questo comando, esegui le seguenti operazioni sostituzioni:

   • BUCKET_NAME: il nome del bucket di log.
   • LOCATION: la località del bucket di log.
   • PROJECT_ID: l'identificatore del progetto in cui creare di log del bucket.

   Esegui il comando gcloud logging buckets create:

    gcloud logging buckets create BUCKET_NAME \
      --location=LOCATION --project=PROJECT_ID
   

   Nota: dopo aver creato il bucket di log, non puoi modificare il bucket regione.

3. Verifica che il bucket di log sia stato creato:

   gcloud logging buckets list --project=PROJECT_ID
   

4. (Facoltativo) Imposta il periodo di conservazione dei log nel bucket. Questo esempio estende la conservazione dei log archiviati nel bucket a 365 giorni:

   gcloud logging buckets update BUCKET_NAME \
     --location=LOCATION --project=PROJECT_ID \
     --retention-days=365
   

Crea il sink di log a livello di progetto

Puoi instradare le voci di log a un bucket di log creando un sink. Un lavello include filtro di inclusione, un filtro di esclusione facoltativo e una destinazione. In questo la destinazione è il nuovo bucket di log. Per ulteriori informazioni sui sink, consulta Esegui il routing dei log alle destinazioni supportate.

Per creare un sink che instrada le voci di log al bucket di log appena creato, effettua le seguenti sostituzioni ed esegui gcloud logging sinks create :

• PROJECT_LEVEL_SINK_NAME: il nome dell'account a livello di progetto nel sink di log.

• SINK_DESTINATION: il bucket di log in cui vengono instradati i log. La per un bucket di log è il seguente:

  logging.googleapis.com/projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME
  

• PROJECT_ID: l'identificatore del progetto in cui creare nel sink di log. Imposta questo flag sullo stesso progetto in cui hai creato il log di sincronizzare la directory di una VM con un bucket.

• Includi i seguenti flag:

  • --log-filter : usa questo flag per impostare un filtro corrispondente al log da includere nel sink. In questo tutorial, il filtro viene impostata per selezionare tutte le voci di audit log. Se non imposti un filtro, tutti gli utenti i log del tuo progetto Google Cloud vengono indirizzati alla destinazione.
  • --description: utilizza questo flag per descrivere lo scopo o il caso d'uso per nel lavandino.

  Esegui questo comando:

  gcloud logging sinks create PROJECT_LEVEL_SINK_NAME SINK_DESTINATION
  --project=PROJECT_ID
  --log-filter='logName:cloudaudit.googleapis.com' \
  --description="Audit logs from my organization" \
  

Crea il sink aggregato

I sink aggregati combinano e instradano voci di log dalle risorse contenute di un'organizzazione o una cartella in una destinazione.

In questo tutorial, creerai un sink aggregato non intercettazione. Questo significa che ogni voce di log instradata dal sink aggregato viene instradata anche nei sink nella risorsa in cui ha origine la voce di log. Ad esempio, un che ha origine in un progetto viene instradato dal sink aggregato in quel progetto. Pertanto, puoi archiviare più di una voce di log.

Puoi creare sink di intercettazione. Per ulteriori informazioni, vedi Facolta e instrada i log a livello di organizzazione e cartella per supportare le destinazioni.

Configura il sink a livello di organizzazione

Creare un sink aggregato non intercettato e che instrada il log a un progetto, completa i seguenti passaggi:

1. Esegui il comando gcloud logging sinks create.

   Prima di eseguire questo comando, esegui le seguenti operazioni sostituzioni:

   • SINK_NAME: il nome del sink di log.
   • PROJECT_ID: l'identificatore del progetto in cui è archiviato il bucket di log.
   • ORGANIZATION_ID: l'identificatore dell'organizzazione.

   Esegui il comando gcloud logging sinks create:

   gcloud logging sinks create SINK_NAME \
   logging.googleapis.com/projects/PROJECT_ID  \
     --log-filter='logName:cloudaudit.googleapis.com' \
     --description="Audit logs from my organization" \
     --organization=ORGANIZATION_ID \
     --include-children
   

   Il flag --include-children è importante affinché i log di tutti Sono inclusi anche i progetti Google Cloud all'interno della tua organizzazione. Per ulteriori informazioni le informazioni, vedi Facolta e instrada i log a livello di organizzazione verso le destinazioni supportate.

2. Verifica che il sink sia stato creato:

   gcloud logging sinks list --organization=ORGANIZATION_ID
   

3. Ottieni il nome dell'account di servizio:

   gcloud logging sinks describe SINK_NAME --organization=ORGANIZATION_ID
   

   L'output è simile al seguente:

   writerIdentity: serviceAccount:[e-mail]
   

4. Copia il valore del campo serviceAccount negli appunti.

   Nota: per eseguire il routing dei log a una risorsa protetta da un perimetro di servizio, devi aggiungere l'account di servizio per quel sink a un livello di accesso, quindi e assegnarlo al perimetro di servizio di destinazione. Questa operazione non è necessaria per e i sink non aggregati. Per maggiori dettagli, vedi Controlli di servizio VPC: Cloud Logging.

Concedi l'accesso al sink

Dopo aver creato il sink aggregato, devi concedere l'autorizzazione affinché il sink e scrivere i log nel progetto impostato come destinazione. Puoi concedere l'autorizzazione usando la console Google Cloud oppure modificando il criterio Identity and Access Management (IAM), come descritto in Imposta le autorizzazioni della destinazione.

Nota: se modifichi manualmente il criterio IAM, devi includere il prefisso serviceAccount:, ma nella console devi escludi il prefisso.

Per concedere al sink l'autorizzazione per scrivere i log, segui questi passaggi:

1. Nella console Google Cloud, vai alla pagina IAM:

   Vai a IAM

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo IAM e Console di amministrazione.

2. Seleziona il progetto Google Cloud che contiene il bucket di log.

3. Fai clic su Concedi l'accesso.

4. Nel campo Nuove entità, aggiungi l'account di servizio senza Prefisso serviceAccount:.

5. Nel menu Seleziona un ruolo, scegli Writer log.

6. Fai clic su Salva.

Genera log per facilitare la verifica del sink

Per verificare che il sink aggregato sia configurato correttamente, prova il seguenti:

1. Genera gli audit log che devono essere instradati al bucket di log.

   • Se nella tua organizzazione sono presenti molti progetti Google Cloud: è possibile che il traffico di audit log sia sufficiente crearne a scopo di convalida. Vai al passaggio successivo.

   • Altrimenti, passa a un altro progetto e crea una VM di Compute Engine ed eliminare l'istanza che hai creato. Gli audit log vengono scritti quando viene creata, avviata ed eliminata una VM.

2. Segui la procedura descritta nella sezione intitolata Visualizza i log nella pagina Esplora log per visualizzare e gli audit log. Assicurati di selezionare la visualizzazione _AllLogs.

Configurare l'accesso in lettura a una visualizzazione del log su un bucket di log

Nota: per concedere a un'entità un ruolo su un progetto Google Cloud, devi avere un ruolo di proprietario (roles/owner) nel progetto Google Cloud.

Quando crei un bucket di log, Cloud Logging crea automaticamente un visualizzazione del log denominata _AllLogs. Questa vista include tutte le voce di log archiviate nel bucket di log.

Per limitare un'entità in modo che abbia accesso solo a voci di log specifiche, crea una visualizzazione log, quindi esegui una delle seguenti operazioni:

• Concedigli il ruolo di roles/logging.viewAccessor insieme a un Condizione IAM che limita la concessione alla visualizzazione del log.

• Nel criterio IAM associato alla visualizzazione del log, per concedere l'accesso a un'entità. Consigliamo questo approccio quando crei un numero elevato di visualizzazioni di log.

Per ulteriori informazioni su questi due approcci, vedi Controllare l'accesso a una visualizzazione del log.

Nei passaggi successivi, concedi a un'entità il ruolo roles/logging.viewAccessor e una condizione IAM che limita la concessione alla vista denominata _AllLogs:

1. Nella console Google Cloud, vai alla pagina IAM:

   Vai a IAM

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo IAM e Console di amministrazione.

   Assicurati di aver selezionato il progetto Google Cloud che stai utilizzando per aggregare i log.

2. Fai clic su Aggiungi.

3. Aggiungi un'entità nel campo Nuova entità.

4. Nel menu Seleziona un ruolo, scegli Funzione di accesso delle viste log.

   Nota: se non aggiungi una condizione a questo ruolo, l'entità ha accesso a tutte le visualizzazioni dei log in tutti i bucket di log definiti dall'utente nel progetto Google Cloud.

5. Aggiungi una condizione IAM all'associazione:

   1. Fai clic su Aggiungi condizione, inserisci un titolo e una descrizione.
   2. Nel menu Tipo di condizione, scorri fino a Risorsa. Seleziona Nome.
   3. Nel menu Operatore, seleziona Termina con.

   4. Nel campo Valore, inserisci il nome completo della visualizzazione del log:

      locations/LOCATION/buckets/BUCKET_NAME/views/_AllLogs
      

   5. Fai clic su Salva per salvare la condizione.

6. Fai clic su Salva per salvare l'associazione.

Visualizza i log nella pagina Esplora log

Per visualizzare i log nel bucket di log, segui questi passaggi:

1. Nella console Google Cloud, vai alla pagina Esplora log:

   Vai a Esplora log

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Logging.

2. Seleziona Perfeziona ambito.

3. Nel riquadro Perfeziona ambito, seleziona Ambito in base all'archiviazione.

4. Seleziona la visualizzazione del log o le visualizzazioni log per le quali vuoi visualizzare le voci di log. Ad esempio, per visualizzare tutti i log, seleziona la vista denominata _AllLogs.

5. Fai clic su Applica.

   Esplora log si aggiorna per mostrare i log del bucket di log.

   Per informazioni sull'utilizzo di Esplora log, consulta Utilizzo di Esplora log.