Configurer les paramètres par défaut des organisations et des dossiers

Ce document explique comment configurer les paramètres de ressources par défaut pour Logging à l'aide de la Google Cloud CLI. Les paramètres de ressources par défaut, qui peuvent être appliqués à une organisation ou à un dossier, peuvent déterminer:

  • Indique si une clé CMEK est requise pour les nouveaux buckets de journaux.

  • L'emplacement de stockage, qui détermine les éléments suivants:

    • Emplacement de stockage des buckets de journaux _Default et _Required.

    • Où sont stockées les requêtes des pages Explorateur de journaux ou Analyse de journaux, en particulier les requêtes récentes et celles enregistrées par un membre du projet Google Cloud.

  • Indique si le récepteur _Default est activé ou désactivé.

  • Filtre appliqué au récepteur _Default des nouvelles ressources.

Présentation

La ressource Organisation se trouve au niveau le plus élevé de la hiérarchie des ressources Google Cloud. La ressource Organisation est le parent de ces ressources enfants : projets, dossiers, comptes de facturation et, dans Logging, buckets.

Vous pouvez configurer Logging pour utiliser les paramètres de ressources par défaut pour une organisation Google Cloud et pour les dossiers. Lorsque vous créez des ressources, celles-ci héritent des paramètres de ressource par défaut de leur parent.

Cloud Logging est compatible avec les paramètres de ressources par défaut suivants:

  • Indique si les nouveaux buckets de journaux d'une ressource doivent être chiffrés à l'aide d'une clé gérée par le client et, le cas échéant, la clé Cloud KMS à utiliser par défaut pour le chiffrement.

    Si vous configurez CMEK pour une ressource, vous devez également définir l'emplacement de stockage par défaut pour les nouveaux buckets _Default et _Required créés par des ressources enfants.

  • Emplacement de stockage des nouveaux buckets _Default et _Required, et des requêtes dans les pages Explorateur de journaux ou Analyse de journaux. Cet emplacement de stockage vous permet de contrôler l'emplacement de stockage de vos journaux.

    Si vous définissez un emplacement de stockage par défaut pour une ressource et que vous ne configurez pas une CMEK pour celle-ci, les nouveaux buckets de journaux de la ressource ne nécessitent pas de CMEK.

  • Indique si le récepteur de journaux _Default est activé ou désactivé pour les nouveaux projets de la ressource.

  • Filtres d'inclusion ou d'exclusion appliqués à tous les nouveaux récepteurs _Default dans les ressources enfants.

Exemples de configurations:

  • Vous configurez un emplacement de stockage par défaut pour une organisation. Pour les nouveaux projets de l'organisation, les buckets _Default et _Required sont créés dans l'emplacement spécifié.

  • Vous configurez un emplacement de stockage par défaut pour une organisation et un emplacement de stockage par défaut pour chaque dossier de cette organisation. Pour les nouveaux projets qui se trouvent dans un dossier, les buckets _Default et _Required sont créés à l'emplacement spécifié par les paramètres du dossier. Pour les projets qui ne se trouvent pas dans un dossier, leurs buckets _Default et _Required sont créés à l'emplacement spécifié par les paramètres de l'organisation.

  • Vous configurez un emplacement de stockage par défaut dans lequel toutes les requêtes de l'explorateur de journaux sont stockées. Cela inclut les requêtes récentes qui sont automatiquement enregistrées après leur exécution et celles enregistrées par les membres du projet Google Cloud.

  • Vous configurez CMEK pour une organisation et, pour le dossier nommé Non-CMEK, vous ne définissez que l'emplacement de stockage par défaut. Si vous créez un projet qui ne se trouve pas dans le dossier nommé Non-CMEK, les buckets _Default et _Required sont créés au même emplacement que la clé Cloud Key Management Service, et ces buckets de journaux sont chiffrés par cette clé. Toutefois, si vous créez un projet dans le dossier Non-CMEK, leurs buckets de journaux sont créés dans les emplacements spécifiés par le paramètre de ce dossier et ces buckets de journaux ne sont pas chiffrés par CMEK.

  • Vous configurez un filtre d'exclusion qui s'applique aux nouveaux récepteurs _Default au niveau de l'organisation. Le filtre empêche le routage des journaux d'audit des accès aux données via le récepteur _Default dans toutes les ressources enfants, ce qui empêche leur stockage dans le bucket _Default.

Avant de commencer

Ce document ne contient pas d'informations sur la configuration de CMEK en tant que paramètre de ressource par défaut pour Logging. Pour en savoir plus sur ce sujet, consultez la page Configurer CMEK pour Logging.

Pour configurer les paramètres de ressources par défaut pour Logging, procédez comme suit:

  1. Installez Google Cloud CLI, puis initialisez-la en exécutant la commande suivante : 

    gcloud init

  2. Assurez-vous de disposer des autorisations Cloud Logging suivantes pour l'organisation:

    • logging.settings.get
    • logging.settings.update

  3. Prenez connaissance des exigences de mise en forme de LogBucket, y compris des emplacements acceptés dans lesquels vous pouvez stocker vos journaux. Pour obtenir la liste des emplacements de stockage compatibles avec les buckets de journaux, consultez la section Régionalité des données: régions acceptées.

  4. Recherchez les identifiants de l'organisation ou du dossier pour lequel vous souhaitez configurer les paramètres de ressource par défaut:

    • ORGANIZATION_ID est l'identifiant numérique unique de l'organisation Google Cloud. Vous n'avez pas besoin de cette valeur si vous prévoyez uniquement de configurer un paramètre de ressource par défaut pour un dossier. Pour savoir comment obtenir cet identifiant, consultez la section Obtenir l'ID de votre organisation.
    • FOLDER_ID est l'identifiant numérique unique du dossier Google Cloud. Vous n'avez pas besoin de cette valeur si vous prévoyez uniquement de configurer un paramètre de ressource par défaut pour une organisation. Pour en savoir plus sur l'utilisation des dossiers, consultez la page Créer et gérer des dossiers.
    • LOCATION est l'emplacement où vous souhaitez stocker vos données de journaux.

Afficher les paramètres de ressources par défaut pour Logging

Pour afficher les paramètres de ressources par défaut de Logging, y compris l'emplacement de stockage par défaut, utilisez la commande gcloud logging settings describe:

DOSSIER 

 gcloud logging settings describe --folder=FOLDER_ID

ORGANIZATION 

gcloud logging settings describe --organization=ORGANIZATION_ID

La commande précédente renvoie des informations sur les paramètres de ressource par défaut. Par exemple, voici les paramètres de ressources par défaut pour une organisation donnée:

name: organizations/ORGANIZATION_ID/settings
kmsKeyName: KMS_KEY_NAME
kmsServiceAccountId: SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com
storageLocation: europe-west1
disableDefaultSink: false

La valeur de SERVICE_ACCT_NAME peut être au format cmek-12345 ou service-12345@.... Si vous ne pouvez pas utiliser la Google Cloud CLI, exécutez la méthode API Cloud Logging getSettings.

Définir l'emplacement de stockage par défaut

Les buckets de journaux sont les conteneurs de vos projets, comptes de facturation, dossiers et organisations Google Cloud qui stockent et organisent vos données de journaux. Pour chaque projet, compte de facturation, dossier et organisation Google Cloud, Logging crée automatiquement deux buckets de journaux: _Required et _Default, qui sont automatiquement stockés dans un emplacement global non spécifié.

Vous pouvez spécifier un emplacement de stockage pour les buckets _Required et _Default contenus dans une organisation ou un dossier en modifiant les paramètres de ressources par défaut pour Logging. Cet emplacement de stockage détermine également l'emplacement de stockage des requêtes des pages Explorateur de journaux et Analyse de journaux. Ces requêtes incluent les requêtes récentes qui sont automatiquement enregistrées après leur exécution et celles enregistrées par les membres du projet Google Cloud.

Pour obtenir la liste des emplacements de stockage acceptés, consultez la page Régions où le service est disponible.

Une fois que vous avez configuré l'emplacement de stockage par défaut pour une organisation, voici ce qui se produit:

  • Les buckets _Required et _Default existants de cette organisation ou de ce dossier conservent l'emplacement de stockage qui leur a été attribué au moment de leur création.

  • Pour les ressources enfants créées dans l'organisation ou le dossier après la configuration de l'emplacement de stockage par défaut, leurs buckets _Required et _Default héritent de l'emplacement de stockage par défaut.

  • Les requêtes existantes de l'explorateur de journaux ou de l'Analyse de journaux conservent leur emplacement de stockage actuel.

  • Les nouvelles requêtes de l'Explorateur de journaux ou de l'Analyse de journaux que vous enregistrez après avoir configuré l'emplacement de stockage par défaut utilisent l'emplacement de stockage par défaut. Ce lieu s'applique également aux requêtes récentes qui sont enregistrées automatiquement.

L'emplacement de stockage par défaut de Cloud Logging ne s'applique qu'aux buckets de journaux _Default et _Required, ainsi qu'aux requêtes des pages Explorateur de journaux ou Analyse de journaux. Ces requêtes incluent celles qui sont automatiquement enregistrées après leur exécution et celles enregistrées par les membres du projet Google Cloud. Il ne s'applique pas aux buckets de journaux définis par l'utilisateur ni aux requêtes enregistrées à l'aide de l'API Logging, car un emplacement doit être spécifié dans la requête.

Configurer les règles d'administration

Logging est compatible avec les règles d'administration qui peuvent restreindre l'emplacement de stockage des données. Si une telle règle existe pour votre organisation, vous ne pouvez créer des buckets de journaux que dans les emplacements autorisés par la règle.

Lorsqu'une règle d'administration spécifiant une contrainte d'emplacement existe, ses valeurs doivent inclure l'emplacement spécifié dans les paramètres de ressources par défaut pour Logging. En outre, si vous envisagez de modifier les paramètres de ressources par défaut, examinez et, si nécessaire, mettez à jour les règles d'administration avant de les mettre à jour.

Pour afficher ou mettre à jour les règles d'administration, procédez comme suit:

  1. Dans la console Google Cloud, accédez à la page Règles d'administration:

    Accéder à la page Règles d'administration

    Si vous utilisez la barre de recherche pour trouver cette page, sélectionnez le résultat dont le sous-titre est IAM et administration.

  2. Sélectionnez votre organisation.

  3. Affichez et, si nécessaire, mettez à jour la contrainte avec l'ID constraints/gcp.resourceLocations. Si cette contrainte n'est pas configurée, aucune mise à jour n'est requise.

    Pour savoir comment afficher des contraintes spécifiques et les modifier, consultez la page Créer et modifier des règles.

Configurer l'emplacement de stockage par défaut pour Logging

Pour configurer l'emplacement de stockage par défaut pour Cloud Logging, exécutez la commande gcloud logging settings update et incluez l'option --storage-location:

DOSSIER 

gcloud logging settings update --folder=FOLDER_ID--storage-location=LOCATION

ORGANIZATION 

gcloud logging settings update --organization=ORGANIZATION_ID --storage-location=LOCATION

Si vous ne pouvez pas utiliser la Google Cloud CLI, exécutez la méthode API Cloud Logging updateSettings.

Pour en savoir plus sur la résolution des erreurs lors de la mise à jour de l'emplacement de stockage par défaut, consultez la section Résoudre les problèmes liés à la définition de l'emplacement par défaut des ressources.

Configurer le récepteur _Default

Logging fournit un récepteur _Default prédéfini pour chaque projet, compte de facturation, dossier et ressource d'organisation Google Cloud. Tout journal généré dans la ressource qui correspond au filtre d'inclusion et qui n'est pas exclu est acheminé vers le bucket _Default prédéfini de la ressource, nommé de manière correspondante.

Vous pouvez configurer les paramètres de ressources par défaut du récepteur _Default pour votre organisation et vos dossiers à l'aide des options suivantes:

  • Vous pouvez désactiver le récepteur _Default pour toutes les ressources enfants.

  • Vous pouvez configurer un filtre d'inclusion ou plusieurs filtres d'exclusion qui s'appliquent aux récepteurs _Default des nouveaux projets.

Désactiver le récepteur _Default

Vous pouvez désactiver la création de récepteurs _Default pour toutes les nouvelles ressources d'une organisation ou d'un dossier. La désactivation des récepteurs _Default empêche le stockage des journaux dans le bucket _Default de la ressource. Si vous cessez de stocker des journaux dans le bucket _Default d'une ressource, les journaux qui auraient été acheminés vers ce bucket sont exclus du stockage dans Logging, sauf si ces journaux sont explicitement inclus dans un autre récepteur défini par l'utilisateur pour cette ressource.

Pour désactiver les récepteurs _Default pour une ressource et l'une de ses ressources enfants, exécutez la commande gcloud logging settings update suivante:

DOSSIER 

gcloud logging settings update --folder=FOLDER_ID--disable-default-sink

ORGANIZATION 

gcloud logging settings update --organization=ORGANIZATION_ID --disable-default-sink

L'option disable-default-sink ne s'applique qu'au récepteur _Default qui achemine les journaux dans le bucket _Default.

Vous pouvez réactiver les récepteurs _Default en exécutant la commande gcloud logging settings update suivante:

DOSSIER 

gcloud logging settings update --folder=FOLDER_ID--no-disable-default-sink

ORGANIZATION 

gcloud logging settings update --organization=ORGANIZATION_ID --no-disable-default-sink

Configurer le filtre par défaut de _Default récepteurs

Le récepteur _Default prédéfini achemine tous les journaux correspondant aux critères du récepteur vers le bucket _Default correspondant. Vous pouvez utiliser des filtres d'inclusion et des filtres d'exclusion pour configurer les journaux à inclure et exclure des nouveaux récepteurs _Default dans une organisation ou un dossier.

Le filtre d'inclusion peut être remplacé ou ajouté au filtre du récepteur _Default. Les filtres d'exclusion sont ajoutés, car le récepteur _Default ne comporte aucun filtre d'exclusion par défaut.

Pour spécifier un filtre d'inclusion ou d'exclusion appliqué à tous les récepteurs _Default des nouvelles ressources d'une organisation ou d'un dossier, exécutez la méthode API Cloud Logging updateSettings avec l'objet defaultSinkConfig. Vous ne pouvez définir le filtre par défaut des récepteurs _Default qu'à l'aide de l'API Logging.

Vous pouvez exécuter la méthode updateSettings à l'aide du widget APIs Explorer sur la page de référence de la méthode. Voici des exemples de paramètres:

  • name (URL) : organizations/ORGANIZATION_ID/settings
  • updateMask : "default_sink_config"

  • Corps de la requête, qui contient une instance de Settings:

    "defaultSinkConfig": {
  {
  "filter": "NOT LOG_ID(\"externalaudit.googleapis.com/activity\") "
  "AND NOT LOG_ID(\"cloudaudit.googleapis.com/system_event\") "
  "AND NOT LOG_ID(\"externalaudit.googleapis.com/system_event\") "
  "AND NOT LOG_ID(\"cloudaudit.googleapis.com/access_transparency\") "
  "AND NOT LOG_ID(\"externalaudit.googleapis.com/access_transparency\") ",
  "exclusions": [
     {
        "name": "exclude-data-access",
        "description": "Prevents Data Access audit logs from being routed",
        "filter": "log_id(\"cloudaudit.googleapis.com/data_access\")",
     }
  ],
  "mode": OVERWRITE
  }
}

L'exemple précédent montre ce qui suit:

  • Écrase le filtre d'inclusion du récepteur _Default pour inclure les journaux d'audit des activités d'administration, qui sont exclus par défaut.

  • Ajoute un filtre d'exclusion qui empêche l'acheminement des journaux d'audit des accès aux données vers le bucket _Default.

Résoudre les erreurs de configuration

Pour obtenir des informations de dépannage, consultez Résoudre les erreurs liées aux CMEK et aux paramètres par défaut.