Agrupe e armazene os registros da sua organização

Neste documento, descrevemos como gerenciar os registros gerados pelos recursos contidos na sua organização do Google Cloud usando um coletor agregado que não intercepta.

É possível configurar um coletor agregado para interceptar ou não interceptar, dependendo se você quer controlar quais registros podem ser consultados ou roteados pelos coletores em recursos filhos. Neste tutorial, você cria um coletor agregado que encaminha os registros de auditoria da sua organização para um projeto do Google Cloud. Em seguida, no projeto do Google Cloud, crie um coletor de registros que roteie os registros de auditoria agregados para um bucket de registros.

Para saber mais sobre coletores agregados, consulte Agrupar e rotear registros no nível da organização e da pasta para destinos compatíveis.

Neste tutorial, você executará as seguintes etapas:

1. Comece criando um bucket de registros e um coletor de registros no projeto do Google Cloud em que você quer armazenar os registros agregados.

2. Em seguida, crie um coletor agregado sem interceptação no nível da organização para rotear registros ao projeto do Google Cloud.

3. Em seguida, configure o acesso de leitura para visualizações de registros no novo bucket de registros.

4. Por fim, você vai consultar e conferir os registros na página "Análise de registros".

Observação: se você estiver começando a usar o Google Cloud, poderá agregar e armazenar os registros da sua organização como parte do processo de configuração do Google Cloud.

Antes de começar

Confirme os seguintes itens:

• Para ter as permissões necessárias para criar buckets de registros e coletores de registros agregados, peça ao administrador para conceder a você os seguintes papéis do IAM:

  • Gravador de configuração de registros (roles/logging.configWriter) no projeto
  • Gravador de configuração de registros (roles/logging.configWriter) na sua organização

  Para mais informações sobre como conceder papéis, consulte Gerenciar acesso.

  Também é possível receber as permissões necessárias com papéis personalizados ou outros papéis predefinidos.

• Para receber as permissões necessárias para conceder papéis de principais, peça ao administrador para conceder a você o papel do IAM Proprietário (roles/owner) em um projeto.

• Se você usar o VPC Service Controls, será necessário adicionar uma regra de entrada ao perímetro de serviço. Para mais informações sobre as limitações do VPC Service Controls, consulte Coletores agregados e limitações do VPC Service Controls.

criar um bucket de registros

Observação: ignore esta etapa se você estiver usando um bucket de registros que já existe. No entanto, recomendamos criar um bucket de registros para esse caso de uso.

Os buckets de registros armazenam os registros roteados de outras pastas, organizações ou projetos do Google Cloud. Para mais informações, acesse Configurar buckets de registros.

Para criar o bucket de registros no projeto do Google Cloud em que você quer agregar os registros, siga estas etapas:

1. Acesse o Console do Google Cloud:

   Acessar o Console do Google Cloud

2. Em um terminal do Cloud Shell, execute o comando gcloud logging buckets create.

   Antes de executar o comando a seguir, faça as seguintes substituições:

   • BUCKET_NAME: o nome do bucket de registros.
   • LOCATION: o local do bucket de registros.
   • PROJECT_ID: o identificador do projeto em que o bucket de registros será criado.

   Execute o comando gcloud logging buckets create:

    gcloud logging buckets create BUCKET_NAME \
      --location=LOCATION --project=PROJECT_ID
   

   Observação: depois de criar o bucket de registros, não será possível alterar a região dele.

3. Verifique se o bucket de registros foi criado:

   gcloud logging buckets list --project=PROJECT_ID
   

4. Opcional: defina o período de armazenamento dos registros no bucket. Este exemplo estende a retenção de registros armazenados no bucket para 365 dias:

   gcloud logging buckets update BUCKET_NAME \
     --location=LOCATION --project=PROJECT_ID \
     --retention-days=365
   

Criar o coletor de registros para envolvidos no projeto

Para rotear as entradas de registro para um bucket de registros, crie um coletor. Um coletor inclui um filtro de inclusão, um filtro de exclusão opcional e um destino. Neste tutorial, o destino é o novo bucket de registros. Para mais informações sobre coletores, consulte Rotear registros para destinos compatíveis.

Para criar um coletor que direcione entradas de registro para o bucket de registros recém-criado, faça as substituições a seguir e execute o comando gcloud logging sinks create:

• PROJECT_LEVEL_SINK_NAME: o nome do coletor de registros para envolvidos no projeto.

• SINK_DESTINATION: o bucket de registros para onde os registros são encaminhados. O formato do caminho de destino de um bucket de registros é o seguinte:

  logging.googleapis.com/projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME
  

• PROJECT_ID: o identificador do projeto em que o coletor de registros será criado. Defina essa sinalização como o mesmo projeto em que você criou o bucket de registros.

• Inclua as seguintes sinalizações:

  • --log-filter : use essa sinalização para definir um filtro que corresponda às entradas de registro que você quer incluir no coletor. Neste tutorial, o filtro é configurado para selecionar todas as entradas de registro de auditoria. Se você não definir um filtro, todos os registros do seu projeto do Google Cloud serão roteados para o destino.
  • --description: use esta sinalização para descrever a finalidade ou o caso de uso do coletor.

  execute o seguinte comando:

  gcloud logging sinks create PROJECT_LEVEL_SINK_NAME SINK_DESTINATION
  --project=PROJECT_ID
  --log-filter='logName:cloudaudit.googleapis.com' \
  --description="Audit logs from my organization" \
  

Criar o coletor agregado

Os coletores agregados combinam e encaminham entradas de registro dos recursos contidos por uma organização ou pasta para um destino.

Neste tutorial, você cria um coletor agregado que não intercepta. Isso significa que cada entrada de registro roteada pelo coletor agregado também é roteada pelos coletores no recurso de origem da entrada de registro. Por exemplo, um registro de auditoria originado em um projeto é roteado pelo coletor agregado e pelos coletores do projeto. Portanto, é possível armazenar várias cópias de uma entrada de registro.

Você pode criar coletores de interceptação. Para mais informações, consulte Agrupar e rotear registros no nível da organização e da pasta para aceitar destinos.

Configurar o coletor no nível da organização

Para criar um coletor agregado que não seja intercepto e que encaminhe entradas de registro para um projeto, conclua as etapas a seguir:

1. Execute o comando gcloud logging sinks create.

   Antes de executar o comando a seguir, faça as seguintes substituições:

   • SINK_NAME: o nome do coletor de registros.
   • PROJECT_ID: o identificador do projeto que armazena o bucket de registros.
   • ORGANIZATION_ID: o identificador da organização.

   Execute o comando gcloud logging sinks create:

   gcloud logging sinks create SINK_NAME \
   logging.googleapis.com/projects/PROJECT_ID  \
     --log-filter='logName:cloudaudit.googleapis.com' \
     --description="Audit logs from my organization" \
     --organization=ORGANIZATION_ID \
     --include-children
   

   A sinalização --include-children é importante para que os registros de todos os projetos do Google Cloud da sua organização também sejam incluídos. Para mais informações, consulte Agrupar e rotear registros no nível da organização para destinos compatíveis.

2. Verifique se o coletor foi criado:

   gcloud logging sinks list --organization=ORGANIZATION_ID
   

3. Consiga o nome da conta de serviço:

   gcloud logging sinks describe SINK_NAME --organization=ORGANIZATION_ID
   

   A resposta será semelhante a:

   writerIdentity: serviceAccount:[e-mail]
   

4. Copie o valor do campo serviceAccount para a área de transferência.

   Observação: para rotear registros para um recurso protegido por um perímetro de serviço, é preciso adicionar a conta de serviço desse coletor a um nível de acesso e, em seguida, atribuí-la ao perímetro de serviço de destino. Isso não é necessário para coletores não agregados. Para mais detalhes, consulte VPC Service Controls: Cloud Logging.

Permitir acesso ao coletor

Depois de criar o coletor agregado, é preciso conceder permissão para que ele grave registros no projeto definido como destino. É possível conceder permissão usando o console do Google Cloud ou editando a política do Identity and Access Management (IAM), conforme descrito em Definir permissões de destino.

Observação: se você estiver editando manualmente a política do IAM, será necessário incluir o prefixo serviceAccount:, mas excluir o prefixo no console.

Para conceder ao coletor permissão para gravar registros, faça o seguinte:

1. No console do Google Cloud, abra a página IAM.

   Acessar o IAM

   Se você usar a barra de pesquisa para encontrar essa página, selecione o resultado com o subtítulo IAM e administrador.

2. Selecione o projeto do Google Cloud que contém o bucket de registros.

3. Clique em CONCEDER ACESSO.

4. No campo Novos principais, adicione a conta de serviço sem o prefixo serviceAccount:.

5. No menu Selecionar papel, escolha Gravador de registros.

6. Clique em Salvar.

Gerar registros para auxiliar na verificação do coletor

Para verificar se o coletor agregado está configurado corretamente, tente fazer o seguinte:

1. Gerar registros de auditoria que precisam ser roteados para o bucket de registros

   • Se você tiver muitos projetos do Google Cloud na sua organização, talvez tenha tráfego de registro de auditoria suficiente que não seja necessário criar para fins de validação. Vá para a próxima etapa.

   • Caso contrário, acesse um projeto diferente, crie uma instância de VM do Compute Engine e exclua-a. Os registros de auditoria são gravados quando uma VM é criada, iniciada e excluída.

2. Siga o procedimento na seção Ver registros na página da Análise de registros para ver os registros de auditoria. Selecione a visualização _AllLogs.

Configurar o acesso de leitura a uma visualização de registro em um bucket de registros

Observação :para conceder a um principal um papel em um projeto do Google Cloud, é preciso ter o papel de Proprietário (roles/owner) no projeto do Google Cloud.

Quando você cria um bucket de registros, o Cloud Logging cria automaticamente uma visualização de registros chamada _AllLogs. Essa visualização inclui todas as entrada de registro armazenadas no bucket de registros.

Para restringir um principal a ter acesso apenas a entradas de registro específicas, crie uma visualização de registro e siga um destes procedimentos:

• Conceda a eles o papel de roles/logging.viewAccessor com uma condição do IAM que restrinja a concessão à visualização de registros.

• Na política do IAM associada à visualização de registros, conceda um acesso principal. Recomendamos essa abordagem quando você cria um grande número de visualizações de registros.

Para mais informações sobre essas duas abordagens, consulte Controlar o acesso a uma visualização de registros.

Nas etapas a seguir, você concede a um principal o papel de roles/logging.viewAccessor junto com uma condição do IAM que restringe a concessão à visualização chamada _AllLogs:

1. No console do Google Cloud, abra a página IAM.

   Acessar o IAM

   Se você usar a barra de pesquisa para encontrar essa página, selecione o resultado com o subtítulo IAM e administrador.

   Verifique se você selecionou o projeto do Google Cloud que está usando para agregar os registros.

2. Clique em Adicionar.

3. No campo Novo principal, adicione um principal.

4. No menu Selecionar papel, selecione Acessor de visualizações de registros.

   Observação :se você não adicionar uma condição a esse papel, o principal terá acesso a todas as visualizações de registros em todos os buckets de registro definidos pelo usuário no projeto do Google Cloud.

5. Adicione uma condição do IAM à vinculação:

   1. Clique em Adicionar condição e insira um título e uma descrição.
   2. No menu Tipo de condição, role até Recurso e selecione Nome.
   3. No menu Operador, selecione Termina com.

   4. No campo Valor, digite o nome completo da visualização de registros:

      locations/LOCATION/buckets/BUCKET_NAME/views/_AllLogs
      

   5. Clique em Salvar para salvar a condição.

6. Clique em Salvar para salvar a vinculação.

Mostrar registros na página Análise de registros

Para ver os registros no bucket de registros, faça o seguinte:

1. No console do Google Cloud, acesse a página Análise de registros:

   Acessar a Análise de registros

   Se você usar a barra de pesquisa para encontrar essa página, selecione o resultado com o subtítulo Geração de registros.

2. Selecione Refinar escopo.

3. No painel Refinar escopo, selecione Escopo por armazenamento.

4. Selecione a visualização de registros com as entradas que você quer ver. Por exemplo, para exibir todos os registros, selecione a visualização chamada _AllLogs.

5. Clique em Aplicar.

   A Análise de registros será atualizada para mostrar os registros do bucket de registros.

   Para informações sobre como usar a Análise de registros, consulte esta página.