조직 및 폴더의 기본 설정 구성

이 문서에서는 Google Cloud CLI를 사용하여 Logging에 대해 기본 리소스 설정을 구성하는 방법을 설명합니다. 조직 또는 폴더에 적용할 수 있는 기본 리소스 설정은 다음을 결정할 수 있습니다.

새 로그 버킷에 CMEK가 필요한지 여부
_Default 및 _Required 로그 버킷의 스토리지 위치
_Default 싱크의 사용 설정 여부
새 리소스의 _Default 싱크에 적용되는 필터

개요

조직 리소스는 Google Cloud 리소스 계층 구조에서 최고 수준에 있습니다. 조직 리소스는 Google Cloud 프로젝트, 폴더, 결제 계정, 관련 Logging, 버킷과 같은 하위 리소스의 상위 항목입니다.

Google Cloud 조직 및 폴더에 기본 리소스 설정을 사용하도록 Logging을 구성할 수 있습니다. 새 리소스를 만들면 해당 리소스는 상위 리소스의 기본 리소스 설정을 상속합니다.

Cloud Logging은 다음과 같은 기본 리소스 설정을 지원합니다.

리소스의 새 로그 버킷을 고객 관리 키로 암호화할지 여부 및 암호화하는 경우 기본 Cloud KMS 키를 암호화에 사용합니다.

리소스에 CMEK를 구성하는 경우 하위 리소스로 만든 새 _Default 및 _Required 버킷의 기본 스토리지 위치도 설정해야 합니다.
새 _Default 및 _Required 버킷의 스토리지 위치입니다. 이 스토리지 위치를 사용하면 로그가 저장되는 위치를 제어할 수 있습니다.

리소스의 기본 스토리지 위치를 설정하고 해당 리소스에 대해 CMEK를 구성하지 않으면 리소스의 새 로그 버킷에 CMEK가 필요하지 않습니다.
리소스의 새 프로젝트에 대해 _Default 로그 싱크의 사용 설정 또는 중지 여부입니다.
하위 리소스의 모든 새 _Default 싱크에 적용되는 포함 필터 또는 제외 필터입니다.

구성 예시:

조직의 기본 스토리지 위치를 구성합니다. 조직에 있는 새 프로젝트의 경우 _Default 및 _Required 버킷이 지정된 위치에 생성됩니다.
조직의 기본 스토리지 위치를 구성하고 해당 조직의 각 폴더에 대한 기본 스토리지 위치를 구성합니다. 폴더에 있는 새 프로젝트의 경우 폴더 설정으로 지정된 위치에 _Default 및 _Required 버킷이 생성됩니다. 폴더에 없는 프로젝트의 경우 _Default 및 _Required 버킷이 조직의 설정으로 지정된 위치에 생성됩니다.
조직 및 Non-CMEK라는 폴더에 대해 CMEK를 구성하여 기본 스토리지 위치만 설정합니다. Non-CMEK 폴더에 없는 프로젝트를 만들면 _Default 및 _Required 버킷이 Cloud Key Management Service Key와 동일한 위치에 생성되며, 이러한 로그 버킷은 이 키로 암호화됩니다. 하지만 Non-CMEK라는 폴더에 새 프로젝트를 만들면 해당 로그 설정으로 지정된 폴더의 로그 버킷이 생성되고, 해당 로그 버킷은 CMEK에 의해 암호화되지 않습니다.
조직 수준에서 새 _Default 싱크에 적용되는 제외 필터를 구성합니다. 이 필터는 데이터 액세스 감사 로그가 모든 하위 리소스의 _Default 싱크를 통해 라우팅되지 않도록 제외하므로 데이터 액세스 감사 로그가 _Default 버킷에 저장되지 않습니다.

시작하기 전에

이 문서에는 Logging의 기본 리소스 설정으로 CMEK를 구성하는 방법에 대한 정보가 포함되어 있지 않습니다. 해당 주제에 대한 자세한 내용은 Logging용 CMEK 구성을 참조하세요.

Logging의 기본 리소스 설정 구성을 시작하려면 다음을 수행하세요.

Google Cloud CLI를 설치한 후 다음 명령어를 실행하여 초기화합니다.
```
gcloud init
```
조직에 대한 다음 Cloud Logging 권한이 있는지 확인합니다.
- logging.settings.get
- logging.settings.update
로그를 저장할 수 있는 지원되는 위치를 포함하여 LogBucket 형식 요구사항을 이해합니다. 로그 버킷에서 지원되는 스토리지 위치 목록은 데이터 리전성: 지원되는 리전을 참조하세요.
기본 리소스 설정을 구성하려는 조직 또는 폴더의 식별자를 찾으세요.
- ORGANIZATION_ID는 Google Cloud 조직의 고유한 숫자 식별자입니다. 폴더에 대해 기본 리소스 설정만 구성하려는 경우 이 값이 필요하지 않습니다. 이 식별자를 가져오는 방법에 대한 자세한 내용은 조직 ID 가져오기를 참조하세요.
- FOLDER_ID는 Google Cloud 폴더의 고유한 숫자 식별자입니다. 조직의 기본 리소스 설정만 구성하려는 경우 이 값이 필요하지 않습니다. 폴더 사용에 관한 자세한 내용은 폴더 만들기 및 관리를 참조하세요.
- LOCATION은 로그 데이터를 저장할 위치입니다.

Logging의 기본 리소스 설정 보기

기본 스토리지 위치를 포함하여 Logging의 기본 리소스 설정을 보려면 gcloud logging settings describe 명령어를 사용합니다.

폴더

 gcloud logging settings describe --folder=FOLDER_ID

조직

gcloud logging settings describe --organization=ORGANIZATION_ID

이전 명령어는 기본 리소스 설정에 대한 정보를 반환합니다. 예를 들어 다음은 특정 조직의 기본 리소스 설정을 보여줍니다.

name: organizations/ORGANIZATION_ID/settings
kmsKeyName: KMS_KEY_NAME
kmsServiceAccountId: SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com
storageLocation: europe-west1
disableDefaultSink: false

SERVICE_ACCT_NAME 값은 cmek-12345 또는 service-12345@... 형식일 수 있습니다. Google Cloud CLI를 사용할 수 없으면 Cloud Logging API 메서드 getSettings를 실행하세요.

기본 스토리지 위치 설정

로그 버킷은 로그 데이터를 저장하고 정리하는 Google Cloud 프로젝트, 결제 계정, 폴더, 조직의 컨테이너입니다. 각 Google Cloud 프로젝트, 결제 계정, 폴더, 조직에 대해 Logging은 자동으로 두 개의 _Required 및 _Default 로그 버킷을 만들며 이 버킷은 미지정된 global 위치에 자동으로 저장됩니다.

Logging의 기본 리소스 설정을 수정하여 조직 또는 폴더에 포함된 _Required 및 _Default 버킷의 스토리지 위치를 지정할 수 있습니다. 지원되는 스토리지 위치 목록은 지원되는 리전을 참조하세요.

조직의 기본 스토리지 위치를 구성하면 다음이 수행됩니다.

해당 조직 또는 폴더에 있는 기존 _Required 및 _Default 버킷은 버킷 생성 시 조직에 할당된 스토리지 위치를 유지합니다.
기본 스토리지 위치가 구성된 후 조직 또는 폴더에 생성된 하위 리소스에 대해 _Required 및 _Default 버킷은 기본 스토리지 위치를 상속합니다.

Cloud Logging의 기본 스토리지 위치는 _Default 및 _Required 로그 버킷에만 적용됩니다. 사용자 정의 로그 버킷에는 적용되지 않습니다.

조직 정책 구성

Logging은 데이터 저장 위치를 제한할 수 있는 조직 정책을 지원합니다. 이러한 정책이 조직에 존재하는 경우 정책에서 허용하는 위치에만 로그 버킷을 만들 수 있습니다.

위치 제약조건을 지정하는 조직 정책이 있는 경우 제약조건의 정책 값에 Logging의 기본 리소스 설정에 지정된 위치가 포함되어야 합니다. 또한 기본 리소스 설정을 수정하려면 기본 리소스 설정을 업데이트하기 전에 조직 정책을 검토하고 필요한 경우 업데이트합니다.

조직 정책을 보거나 업데이트하려면 다음을 수행하세요.

Google Cloud 콘솔의 탐색 패널에서 IAM 및 관리자를 선택한 후 조직 정책을 선택합니다.
조직 정책으로 이동
조직을 선택합니다.
ID가 constraints/gcp.resourceLocations인 제약조건을 확인하고 필요한 경우 업데이트합니다. 이 제약조건이 구성되지 않은 경우 업데이트가 필요하지 않습니다.

특정 제약조건을 보고 해당 제약조건을 수정하는 방법에 대한 자세한 내용은 정책 만들기 및 수정을 참조하세요.

Logging의 기본 스토리지 위치 구성

Cloud Logging의 기본 스토리지 위치를 구성하려면 gcloud logging settings update 명령어를 실행하고 --storage-location 플래그를 포함합니다.

폴더

gcloud logging settings update --folder=FOLDER_ID--storage-location=LOCATION

조직

gcloud logging settings update --organization=ORGANIZATION_ID --storage-location=LOCATION

Google Cloud CLI를 사용할 수 없으면 Cloud Logging API 메서드 updateSettings를 실행하세요.

기본 스토리지 위치를 업데이트할 때 오류를 해결하는 방법에 대한 자세한 내용은 기본 리소스 위치 설정 문제 해결을 참조하세요.

`_Default` 싱크 구성

Logging은 각 Google Cloud 프로젝트, 결제 계정, 폴더, 조직 리소스에 대해 사전 정의된 _Default 싱크를 제공합니다. 포함 필터와 일치하고 제외되지 않은 리소스에서 생성되는 모든 로그는 리소스의 사전 정의된 해당 _Default 버킷으로 라우팅됩니다.

다음 옵션을 사용하여 조직 및 폴더의 _Default 싱크에 대해 기본 리소스 설정을 구성할 수 있습니다.

모든 하위 리소스에 대해 _Default 싱크를 사용 중지할 수 있습니다.
새 프로젝트의 _Default 싱크에 적용되는 포함 필터 또는 여러 제외 필터를 구성할 수 있습니다.

`_Default` 싱크 중지

조직 또는 폴더의 모든 새 리소스에 대한 _Default 싱크 생성을 사용 중지할 수 있습니다. _Default 싱크를 사용 중지하면 로그가 리소스의 _Default 버킷에 저장되지 않습니다. 리소스의 _Default 버킷에 로그 저장을 중지하면 로그가 해당 리소스의 다른 사용자 정의된 싱크에 명시적으로 포함되지 않는 한 해당 버킷으로 라우팅되었을 로그는 Logging의 스토리지에서 제외됩니다.

리소스 및 모든 하위 리소스에 대해 _Default 싱크를 사용 중지하려면 다음 gcloud logging settings update 명령어를 실행합니다.

폴더

gcloud logging settings update --folder=FOLDER_ID--disable-default-sink

조직

gcloud logging settings update --organization=ORGANIZATION_ID --disable-default-sink

disable-default-sink 플래그는 로그를 _Default 버킷에 라우팅하는 _Default 싱크에만 적용됩니다.

다음 gcloud logging settings update 명령어를 실행하여 _Default 싱크를 다시 사용 설정할 수 있습니다.

폴더

gcloud logging settings update --folder=FOLDER_ID--no-disable-default-sink

조직

gcloud logging settings update --organization=ORGANIZATION_ID --no-disable-default-sink

`_Default` 싱크의 기본 필터 구성

사전 정의된 _Default 싱크는 싱크 기준과 일치하는 모든 로그를 해당 _Default 버킷으로 라우팅합니다. 포함 필터 및 제외 필터를 사용하여 조직 또는 폴더의 새 _Default 싱크에 포함 및 제외되는 로그를 구성할 수 있습니다.

포함 필터는 _Default 싱크 필터에 재정의되거나 추가될 수 있으며 제외 필터는 기본적으로 _Default 싱크에 제외 필터가 없으므로 추가됩니다.

조직 또는 폴더에 있는 새 리소스의 모든 _Default 싱크에 적용되는 포함 필터 또는 제외 필터를 지정하려면 defaultSinkConfig 객체로 Cloud Logging API 메서드 updateSettings를 실행합니다. Logging API를 사용해야만 _Default 싱크의 기본 필터를 설정할 수 있습니다.

updateSettings 메서드의 참조 페이지에서 API 탐색기 위젯을 사용하여 해당 메서드를 실행할 수 있습니다. 다음 예시는 샘플 매개변수를 보여줍니다.

name(URL): organizations/ORGANIZATION_ID/settings
updateMask: "default_sink_config"

요청 본문: Settings의 인스턴스가 포함됨

"defaultSinkConfig": {
  {
  "filter": "NOT LOG_ID(\"externalaudit.googleapis.com/activity\") "
  "AND NOT LOG_ID(\"cloudaudit.googleapis.com/system_event\") "
  "AND NOT LOG_ID(\"externalaudit.googleapis.com/system_event\") "
  "AND NOT LOG_ID(\"cloudaudit.googleapis.com/access_transparency\") "
  "AND NOT LOG_ID(\"externalaudit.googleapis.com/access_transparency\") ",
  "exclusions": [
     {
        "name": "exclude-data-access",
        "description": "Prevents Data Access audit logs from being routed",
        "filter": "log_id(\"cloudaudit.googleapis.com/data_access\")",
     }
  ],
  "mode": OVERWRITE
  }
}

앞의 예시는 다음을 수행합니다.

기본적으로 제외되는 관리자 활동 감사 로그를 포함하도록 _Default 싱크의 포함 필터를 덮어씁니다.
데이터 액세스 감사 로그가 _Default 버킷으로 라우팅되지 않도록 하는 제외 필터를 추가합니다.

구성 오류 문제해결

문제 해결 정보는 CMEK 및 기본 설정 오류 문제 해결을 참조하세요.