Enruta registros a destinos compatibles.

En este documento, se explica cómo crear y administrar receptores para enrutar entradas de registro a destinos compatibles.

Nota: Si los datos se administran a través de un entorno de Assured Workloads, esta característica podría verse afectada o restringida. Para obtener más información, consulta Restricciones y limitaciones en Assured Workloads.

Descripción general

Los receptores controlan cómo Cloud Logging enruta los registros. Con los receptores, puedes enrutar algunos o todos tus registros a los siguientes destinos:

• Depósitos de registros de Cloud Logging: Proporciona almacenamiento en Cloud Logging. Un bucket de registro puede almacenar registros transferidos por varios proyectos de Google Cloud. Especifica el período de retención de datos, la ubicación de almacenamiento de datos y las vistas de registro en un bucket de registro. Las vistas de registros te permiten controlar a qué registros de un bucket de registro puede acceder un usuario. Se recomienda el almacenamiento de buckets para solucionar problemas de aplicaciones y servicios, o analizar datos de registros. Si necesitas combinar tus datos de Cloud Logging con otras fuentes de datos, puedes almacenar tus registros en bucket s de registro que se actualizan para usar estadísticas de registros y, luego, vincular ese bucket a BigQuery. Para obtener información sobre cómo ver los registros, consulta Consulta y consulta la descripción general de los registros y Visualiza los registros enrutados a los depósitos de Cloud Logging.
• Temas de Pub/Sub: Proporciona asistencia para integraciones de terceros, como Splunk, con Logging. Las entradas de registro se formatean en JSON y, luego, se entregan a un tema de Pub/Sub. Para obtener información sobre cómo ver estos registros, su organización y cómo configurar una integración de terceros, consulta Visualiza los registros enrutados a Pub/Sub.
• Conjuntos de datos de BigQuery: proporciona almacenamiento de entradas de registro en conjuntos de datos de BigQuery. Puedes usar las capacidades de análisis de macrodatos en los registros almacenados. Si necesitas combinar tus datos de Cloud Logging con otras fuentes de datos, puedes enrutar tus registros a BigQuery. Una alternativa es almacenar tus registros en depósitos de registros que se actualizan para usar el análisis de registros y, luego, vincularse a BigQuery. Para obtener información sobre cómo ver los registros enrutados a BigQuery, consulta Visualiza los registros enrutados a BigQuery.
• Depósitos de Cloud Storage: Proporciona almacenamiento económico y a largo plazo de datos de registro en Cloud Storage. Las entradas de registro se almacenan como archivos JSON. Para obtener información sobre cómo ver estos registros, cómo se organizan y cómo se controlan los registros tardíos, consulta Visualiza los registros enrutados a Cloud Storage.

Los receptores pertenecen a un recurso determinado de Google Cloud: proyectos de Cloud, cuentas de facturación, carpetas y organizaciones. Cuando el recurso recibe una entrada de registro, enruta la entrada de registro según los receptores que contiene ese recurso. La entrada de registro se envía al destino asociado con cada receptor que coincide.

Un receptor agregado es un tipo de receptor que combina y enruta entradas de registro de los recursos de Google Cloud que contiene una organización o carpeta. Para obtener instrucciones, consulta Cómo recopilar y enrutar registros a nivel de la organización a destinos compatibles.

Para crear y administrar receptores, puedes usar la consola de Google Cloud, la API de Cloud Logging y Google Cloud CLI. Usar Google Cloud Console tiene las siguientes ventajas sobre los otros métodos:

• Consulta y administra todos tus receptores en un solo lugar.
• Obtén una vista previa de las entradas de registro que coinciden con el filtro de tu receptor antes de crear el receptor.
• Crea y autoriza destinos de receptor para tus receptores.

Antes de comenzar

En las instrucciones de este documento, se describe cómo crear y administrar receptores a nivel de proyecto de Cloud, pero puedes crear receptores (no agregados) para cuentas de facturación, carpetas y organizaciones.

Cuando comiences, asegúrate de que cumples con lo siguiente:

• Tienes un proyecto de Google Cloud con registros que puedes ver en el Explorador de registros.

• Tienes uno de los siguientes roles de IAM para el proyecto de Cloud de origen desde el que enrutas registros.

  • Propietario (roles/owner)
  • Administrador de Logging (roles/logging.admin)
  • Escritor de configuración de registros (roles/logging.configWriter)

  Los permisos contenidos en estos roles te permiten crear, borrar o modificar receptores. Para obtener información sobre los roles de IAM, consulta la Guía de control de acceso de Logging.

• Tienes un recurso en un destino admitido o tienes la capacidad de crear uno.

  El destino de enrutamiento debe crearse antes que el receptor mediante la CLI de Google Cloud, la consola de Google Cloud o las APIs de Google Cloud. Puedes crear el destino en cualquier proyecto de Cloud en cualquier organización, pero primero asegúrate de que la cuenta de servicio del receptor tenga permisos para escribir en el destino.

Sugerencia: Si deseas inhabilitar el receptor Default para cualquier proyecto o carpeta de Cloud nuevos que se haya creado en tu organización, considera establecer la configuración predeterminada de recursos.

Crea un receptor

A continuación, se brindan las instrucciones para crear un receptor en un proyecto de Cloud. En lugar de un proyecto de Cloud, puedes especificar una cuenta de facturación, una organización o una carpeta.

Puedes crear hasta 200 receptores por proyecto de Cloud.

Después de crear el receptor, asegúrate de que Logging tenga los permisos adecuados para escribir registros en el destino de tu receptor; consulta Configura los permisos de destino.

Para crear un receptor, haz lo siguiente:

Consola

1. En la consola de Google Cloud, selecciona Registros en el menú de navegación y haz clic en Enrutador de registros:
   Ir a Enrutador de registros

2. Selecciona un proyecto de Cloud existente.

3. Selecciona Crear receptor.

4. En el panel Detalles del receptor, ingresa los siguientes detalles:

   • Nombre del receptor: proporciona un identificador para el receptor; ten en cuenta que después de crear el receptor, no puedes cambiarle el nombre, pero puedes borrarlo y crear un receptor nuevo.

   • Descripción del receptor (opcional): Describe el propósito o caso práctico del receptor.

5. En el panel Destino del receptor, usa el menú Seleccionar receptor para seleccionar el servicio y el destino del receptor.

   Si enrutas a un servicio que está en el mismo proyecto de Cloud, selecciona una de las siguientes opciones:

   • Depósito de Cloud Logging: selecciona o crea un bucket de Logging.
   • Tabla de BigQuery: selecciona o crea el conjunto de datos particular para recibir los registros enrutados. También tienes la opción de usar tablas particionadas.
   • Bucket de Cloud Storage: Selecciona o crea el bucket de Cloud Storage en particular para recibir los registros enrutados.
   • Tema de Pub/Sub: selecciona o crea el tema particular para recibir los registros enrutados.
   • Splunk: selecciona el tema de Pub/Sub para el servicio de Splunk.

   Si enrutas a un destino que está en otro proyecto, selecciona Otro proyecto. Debes proporcionar la información de destino y del servicio de Logging, BigQuery, Cloud Storage o Pub/Sub.

   Para enrutar entradas de registro a un bucket de registro de Cloud Logging que use la región global y se defina en un proyecto de Google Cloud diferente, el destino del receptor es el siguiente:

   logging.googleapis.com/projects/DESTINATION_PROJECT/locations/global/buckets/BUCKET_NAME
   

   Para enrutar entradas de registro a un conjunto de datos de BigQuery, el destino del receptor es el siguiente:

   bigquery.googleapis.com/projects/PROJECT_ID/datasets/DATASET_ID
   

   Para enrutar entradas de registro a un bucket de Cloud Storage, el destino del receptor es el siguiente:

   storage.googleapis.com/BUCKET_NAME
   

   Para enrutar entradas de registro a un tema de Pub/Sub, el destino del receptor es el siguiente:

   pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID
   

   Ten en cuenta que, si enrutas registros entre proyectos de Cloud, aún necesitas los permisos de destino adecuados.

6. En el panel Elige registros para incluir en el receptor, haz lo siguiente:

   1. En el campo Crear filtro de inclusión, ingresa una expresión de filtro que coincida con las entradas de registro que deseas incluir. Si deseas obtener más información sobre la sintaxis para escribir filtros, consulta Lenguaje de consulta de Logging.

      Si no configuras un filtro, todos los registros del recurso seleccionado se enrutan al destino.

      Por ejemplo, es posible que desees compilar un filtro para enrutar todos los registros de acceso a los datos a un solo bucket de Logging. Este filtro se verá de la siguiente manera:

      LOG_ID("cloudaudit.googleapis.com/data_access") OR LOG_ID("externalaudit.googleapis.com/data_access")
      

      Ten en cuenta que la longitud de un filtro no puede superar los 20,000 caracteres.

   2. Para verificar que ingresaste el filtro correcto, selecciona Obtener vista previa de los registros. Se abrirá el Explorador de registros en una pestaña nueva con el filtro propagado.

7. (Opcional) En el panel Elige registros para filtrar fuera del receptor, haz lo siguiente:

   1. En el campo Nombre del filtro de exclusión, ingrese un nombre.

   2. En el campo Crear un filtro de exclusión, ingresa una expresión de filtros que coincida con las entradas de registro que deseas excluir. También puedes usar la función sample para seleccionar una parte de las entradas de registro que deseas excluir.

      Punto clave: Si deseas que el filtro de exclusión se inhabilite cuando se crea el receptor, selecciona Inhabilitar después de ingresar la expresión de filtro. Puedes actualizar el receptor más tarde para habilitar el filtro de exclusión.

   Puedes crear hasta 50 filtros de exclusión por receptor. Ten en cuenta que la longitud de un filtro no puede superar los 20,000 caracteres.

8. Selecciona Crear receptor.

API

1. Para crear un receptor de registros en el proyecto de Cloud, usa projects.sinks.create en la API de Logging. En el objeto LogSink, proporciona los valores necesarios adecuados en el cuerpo de la solicitud del método:

   • name: Un identificador del receptor Ten en cuenta que después de crear el receptor, no puedes cambiarle el nombre, pero puedes borrarlo y crear un receptor nuevo.

   • destination: el servicio y el destino al que deseas enrutar los registros Por ejemplo, si tu destino de receptor es un conjunto de datos de BigQuery, destination se vería de la siguiente manera:

     bigquery.googleapis.com/projects/PROJECT_ID/datasets/DATASET_ID
     

2. En el objeto LogSink, proporciona la información opcional adecuada:

   • filter : configura la propiedad filter para que coincida con las entradas de registro que deseas incluir en tu receptor. Si no configuras un filtro, todos los registros de tu proyecto de Cloud se enrutan al destino. Ten en cuenta que la longitud de un filtro no puede superar los 20,000 caracteres.
   • exclusions: configura esta propiedad para que coincida con las entradas de registro que deseas excluir del receptor. También puedes usar la función sample para seleccionar una parte de las entradas de registro que deseas excluir. Puedes crear hasta 50 filtros de exclusión por receptor.
   • description: configura esta propiedad para describir el propósito o el caso práctico del receptor.

3. Llama a projects.sinks.create para crear el receptor.

4. Si la respuesta de la API contiene una clave JSON con la etiqueta "writerIdentity", otorga a la cuenta de servicio del receptor el permiso para escribir en el destino del receptor. Para obtener más información, consulta Establece permisos de destino.

   No es necesario que establezcas permisos de destino cuando la respuesta de la API no contenga una clave JSON con la etiqueta "writerIdentity".

Para obtener más información sobre cómo crear receptores con la API de Logging, consulta la referencia de LogSink.

gcloud

Para crear un receptor, ejecuta el siguiente comando:gcloud logging sinks create

Proporciona los valores adecuados para las variables en el comando de la siguiente manera:

• SINK_NAME: Un identificador del receptor Ten en cuenta que después de crear el receptor, no puedes cambiarle el nombre, pero puedes borrarlo y crear uno nuevo.

• SINK_DESTINATION: El servicio y el destino al que deseas enrutar tus registros. Por ejemplo, si tu destino de receptor es un conjunto de datos de BigQuery, SINK_DESTINATION se vería de la siguiente manera:

  bigquery.googleapis.com/projects/PROJECT_ID/datasets/DATASET_ID
  

• OPTIONAL_FLAGS incluye las siguientes marcas:

  • --log-filter: Usa esta marca para configurar un filtro que coincida con las entradas de registro que deseas incluir en tu receptor. Si no configuras un filtro, todos los registros de tu proyecto de Cloud se enrutan al destino.
  • --exclusion: Usa esta marca a fin de establecer un filtro de exclusión para las entradas de registro que deseas excluir de tu receptor. También puedes usar la función sample para seleccionar una parte de las entradas de registro que deseas excluir. Esta marca se puede repetir; puedes crear hasta 50 filtros de exclusión por receptor.
  • --description: Usa esta marca a fin de describir el propósito o el caso práctico del receptor.

gcloud logging sinks create SINK_NAME
SINK_DESTINATION OPTIONAL_FLAGS

Por ejemplo, para crear un receptor a un bucket de Logging, el comando podría verse de la siguiente manera:

gcloud logging sinks create my-sink logging.googleapis.com/projects/myproject123/locations/global/buckets/my-bucket \
  --log-filter='logName="projects/myproject123/logs/matched"' --description="My first sink"

Para obtener más información sobre la creación de receptores mediante Google Cloud CLI, incluidos más ejemplos y marcas, consulta la referencia gcloud logging sinks.

Los nuevos receptores de registros en depósitos de Cloud Storage pueden tardar varias horas en comenzar a enrutar los registros. Los receptores de Cloud Storage se procesan por hora, mientras que otros tipos de destino se procesan en tiempo real.

Los receptores no definen el esquema para los conjuntos de datos de BigQuery. En cambio, la primera entrada de registro que recibe BigQuery determina el esquema para la tabla de destino. Si deseas obtener más información, consulta Esquema de BigQuery para los registros enrutados.

Para obtener información sobre cómo ver los registros en los destinos del receptor, consulta Encuentra registros enrutados.

Después de crear el receptor, puedes ver la cantidad y el volumen de las entradas de registro recibidas mediante las métricas logging.googleapis.com/exports/.

Si recibes notificaciones de error, consulta Solución de problemas de enrutamiento y receptores.

Enruta registros entre buckets de registros en diferentes proyectos de Cloud

Puedes enrutar los registros a un destino en un proyecto de Cloud diferente al que se creó en el receptor.

Para ello, debes realizar una de las siguientes acciones:

• Otorga a la cuenta de servicio de tu receptor la función roles/logging.bucketWriter para escribir en el destino. Consulta Permisos de destino a fin de obtener instrucciones.

• Ten uno de los siguientes permisos de IAM para el proyecto de Cloud de origen desde el que envías registros.

  • Propietario (roles/owner)
  • Administrador de Logging (roles/logging.admin)
  • Escritor de configuración de registros (roles/logging.configWriter)

  Si creas un bucket de Logging nuevo en el proyecto de Cloud de destino, debes tener uno de estos permisos.

Nota: Error Reporting es un servicio global compilado en Cloud Logging y no analiza los registros almacenados en buckets de registro regionales, registros enrutados a otros proyectos o registros almacenados en buckets de registro que usan claves de encriptación administradas por el cliente.

Administrar receptores

Después de crear tus receptores, puedes realizar estas acciones en ellos:

• Ver detalles del receptor
• Actualizar el receptor
• Inhabilitar receptor
• Borrar receptor
• Solucionar problemas del receptor
• Visualiza las tasas de error y el volumen de registro del receptor

Si borras un receptor, ten en cuenta lo siguiente:

• No puedes borrar los receptores _Default y _Required, pero puedes inhabilitar los receptores _Default para detener el enrutamiento de registros a los depósitos _Default de Logging.
• Una vez que se borra un receptor, se dejan de enrutar las entradas de registro.

Cualquier cambio que se realice en un receptor puede tardar unos minutos en aplicarse.

A continuación, se brindan las instrucciones para administrar un receptor en un proyecto de Cloud. En lugar de un proyecto de Cloud, puedes especificar una cuenta de facturación, una organización o una carpeta:

Consola

1. En la consola de Google Cloud, selecciona Registros en el menú de navegación y haz clic en Enrutador de registros:
   Ir a Enrutador de registros

2. Selecciona el proyecto de Cloud que contiene tu receptor mediante el selector de recursos desde cualquier lugar de Google Cloud Console:

1. Para ver tus receptores agregados, selecciona la organización, la carpeta o la cuenta de facturación que contiene el receptor.

La página Enrutador de registros contiene una tabla de resumen de los receptores. Cada fila de la tabla contiene información sobre las propiedades de un receptor:

• Enabled: Indica si el estado del receptor está habilitado o inhabilitado.
• Tipo: El servicio de destino del receptor, por ejemplo, Cloud Logging bucket.
• Nombre: El identificador del receptor, como se proporcionó cuando se creó el receptor, por ejemplo, _Default.
• Descripción: la descripción del receptor, que se proporciona cuando se crea
• Destino: el nombre completo del destino al que se enviarán las entradas de registro enrutadas.
• Creado: la fecha y la hora en que se creó el receptor.
• Última actualización: La fecha y la hora de la última modificación del receptor.

Cada fila de la tabla tiene un menú y cuenta con las siguientes opciones:

• Ver detalles del receptor: muestra el nombre, la descripción, el servicio de destino, el destino, y los filtros de inclusión y exclusión del receptor. Si seleccionas Editar, se abre el panel Editar receptor.
• Editar receptor: Abre un panel de Editar receptor en el que puedes actualizar los parámetros del receptor.
• Inhabilitar el receptor: te permite inhabilitar el receptor y dejar de enrutar registros al destino del receptor. Para obtener más información sobre cómo inhabilitar los receptores, consulta Detén la transferencia de registros.
• Habilitar el receptor: te permite habilitar un receptor inhabilitado y reiniciar los registros de enrutamiento al destino del receptor.
• Borrar receptor: Te permite borrar el receptor y detener el enrutamiento de los registros al destino del receptor.
• Solucionar problemas del receptor: abre el explorador de registros en el que puedes solucionar errores con el receptor.
• Ver el volumen de registros del receptor y las tasas de error: Abre el Explorador de métricas, en el que puedes ver y analizar los datos del receptor.

Hacer clic en cualquiera de los nombres de columna te permite ordenar los datos de forma ascendente o descendente.

API

• Para ver los receptores de tu proyecto de Cloud, llama a projects.sinks.list.

• Para ver los detalles de un receptor, llama a projects.sinks.get.

• Para actualizar un receptor, llama a projects.sink.update.

  Puedes actualizar el destino, los filtros y la descripción de un receptor. También puedes inhabilitar o volver a habilitar el receptor.

• Para inhabilitar un receptor, llama a projects.sink.update y establece la propiedad disabled en true.

  Para volver a habilitar el receptor, llama a projects.sink.update y establece la propiedad disabled en false.

• Para borrar un receptor, llama a projects.sinks.delete.

  Si deseas obtener más información sobre cualquiera de estos métodos para administrar receptores mediante la API de Logging, consulta la referencia de LogSink.

gcloud

• A fin de ver una lista de receptores para tu proyecto de Cloud, usa el comando gcloud logging sinks list, que corresponde al método projects.sinks.list de la API de Logging:

  gcloud logging sinks list
  

  A fin de ver tu lista de receptores agregados, usa la marca adecuada para especificar el recurso que contiene el receptor. Por ejemplo, si creaste el receptor a nivel de la organización, usa la marca --organization=ORGANIZATION_ID para enumerar los receptores de la organización.

• Para describir un receptor, usa el comando gcloud logging sinks describe, que corresponde al método de la API de Logging projects.sinks.get:

  gcloud logging sinks describe SINK_NAME
  

• Para actualizar un receptor, usa el comando gcloud logging sinks update, que corresponde al método de API projects.sink.update.

  Puedes actualizar un receptor para cambiar el destino, los filtros y la descripción, o para inhabilitar o volver a habilitar el receptor:

  gcloud logging sinks update SINK_NAME  NEW_DESTINATION  --log-filter=NEW_FILTER

  Omite NEW_DESTINATION o --log-filter si esas partes no cambian.

  Por ejemplo, para actualizar el destino de tu receptor llamado my-project-sink a un nuevo destino de depósito de Cloud Storage llamado my-second-gcs-bucket, tu comando se verá de la siguiente manera:

  gcloud logging sinks update  my-project-sink  storage.googleapis.com/my-second-gcs-bucket
  

• Para inhabilitar un receptor, usa el comando gcloud logging sinks update, que corresponde al método de API projects.sink.update, y agrega la marca --disabled:

  gcloud logging sinks update _Default  --disabled
  

  Para volver a habilitar el receptor, usa el comando gcloud logging sinks update, quita la marca --disabled y, luego, incluye la marca --no-disabled:

  gcloud logging sinks update _Default  --no-disabled
  

• Para borrar un receptor, usa el comando gcloud logging sinks delete, que corresponde al método de API projects.sinks.delete:

  gcloud logging sinks delete SINK_NAME
  

  Para obtener más información sobre cómo administrar receptores mediante Google Cloud CLI, consulta la referencia de gcloud logging sinks.

Detener la transferencia de registros

Nota: Si deseas inhabilitar los receptores Default creados en tu organización, considera establecer la configuración predeterminada de recursos.

Para cada proyecto de Cloud, Logging crea automáticamente dos buckets de registros: _Required y _Default. Logging crea automáticamente dos receptores de registros, _Required y _Default, que enrutan los registros a los buckets con nombre correspondientes.

No puedes inhabilitar el receptor _Required; ni los precios de transferencia ni los de almacenamiento se aplican a los datos de registro almacenados en el bucket de registros _Required. Puedes inhabilitar el receptor _Default para evitar que los registros se transfieran al bucket _Default. También puedes inhabilitar cualquier receptor definido por el usuario.

Cuando detienes la transferencia de registros para el bucket _Default mediante la inhabilitación de todos los receptores en el proyecto de Cloud que envían registros al bucket _Default, el proyecto de Cloud no genera cargos de transferencia nuevos en el bucket _Default. El bucket _Default está vacío cuando todos los registros transferidos con anterioridad en el bucket _Default cumplen con el período de retención del bucket.

Para inhabilitar los receptores de tu proyecto de Cloud que enrutan registros al bucket _Default, completa los siguientes pasos:

Consola

1. En la consola de Google Cloud, selecciona Registros en el menú de navegación y haz clic en Enrutador de registros:
   Ir a Enrutador de registros

2. Para encontrar todos los receptores que enrutan los registros al bucket _Default, filtra los receptores por destino y, luego, ingresa _Default.

   

3. Para cada receptor, selecciona Menú y, luego, Inhabilitar receptor.

Los receptores ahora están inhabilitados y los del proyecto de Cloud ya no reciben registros de ruta en el bucket _Default.

Para volver a habilitar un receptor inhabilitado y reiniciar los registros de enrutamiento al destino del receptor, haz lo siguiente:

1. En la consola de Google Cloud, selecciona Registros en el menú de navegación y haz clic en Enrutador de registros:
   Ir a Enrutador de registros

2. A fin de encontrar todos los receptores inhabilitados configurados antes para enrutar registros al bucket _Default, filtra los receptores por destino y, luego, ingresa _Default.

3. Para cada receptor, selecciona Menú y, luego, Habilitar receptor.

API

1. Para ver los receptores de tu proyecto de Cloud, llama al método projects.sinks.list de la API de Logging.

   Identifica los receptores que se enrutan al bucket _Default.

2. Por ejemplo, para inhabilitar el receptor _Default, llama a projects.sink.update y establece la propiedad disabled en true.

El receptor _Default ahora está inhabilitado. Ya no enruta los registros al bucket _Default.

Para inhabilitar los otros receptores en tu proyecto de Cloud que se enrutan al bucket _Default, repite los pasos anteriores.

Para volver a habilitar un receptor, llama a projects.sink.update y establece la propiedad disabled en false.

gcloud

1. A fin de ver una lista de receptores para tu proyecto de Cloud, usa el comando gcloud logging sinks list, que corresponde al método projects.sinks.list de la API de Logging:

   gcloud logging sinks list
   

2. Identifica los receptores que se enrutan al bucket _Default. Para describir un receptor, incluido el nombre del destino, usa el comando gcloud logging sinks describe, que corresponde al método de la API de Logging projects.sinks.get:

   gcloud logging sinks describe SINK_NAME
   

3. Por ejemplo, para inhabilitar el receptor _Default, usa el comando gcloud logging sinks update y agrega la marca --disabled:

   gcloud logging sinks update _Default  --disabled
   

El receptor _Default ahora está inhabilitado. Ya no enruta los registros al bucket _Default.

Para inhabilitar los otros receptores en tu proyecto de Cloud que se enrutan al bucket _Default, repite los pasos anteriores.

Para volver a habilitar un receptor, usa el comando gcloud logging sinks update, quita la marca --disabled y, también, incluye la marca --no-disabled:

gcloud logging sinks update _Default  --no-disabled

Configurar permisos de destino

En esta sección, se describe cómo otorgar a Logging los permisos de Identity and Access Management para escribir los registros en el destino de tu receptor. Para obtener la lista completa de las funciones y los permisos de Logging, consulta Control de acceso.

Nota: Para proteger los registros enrutados del acceso no autorizado, debes usar las funciones de control de acceso del destino. Los receptores pueden enrutar cualquier entrada de registro, incluidos los registros privados, como los registros de Transparencia de acceso y los registros de auditoría de acceso a datos. Cuando creas un receptor, Logging crea una cuenta de servicio nueva para él, denominada identidad de escritor. Tu destino de receptor debe permitir que esta cuenta de servicio escriba entradas de registro. No puedes administrar esta cuenta de servicio directamente, ya que es propiedad de Cloud Logging y la administra. La cuenta de servicio se borra si se borra el receptor.

Si usas un receptor para enrutar registros entre depósitos de Logging en el mismo proyecto de Cloud, no se crea una cuenta de servicio nueva; el receptor funciona sin la identidad del escritor. Si usas un receptor para enrutar los registros entre depósitos de Logging en diferentes proyectos de Cloud, se crea una cuenta de servicio nueva.

A continuación, se brindan las instrucciones a fin de configurar los permisos a nivel de proyecto de Cloud para que tu receptor se enrute a su destino. En lugar de un proyecto de Cloud, puedes especificar una cuenta de facturación, una organización o una carpeta:

Consola

Nota: Si creaste el receptor en Google Cloud Console y tienes acceso de Propietario al destino, entonces Cloud Logging debería haber configurado los permisos necesarios en tu nombre. De lo contrario, completa los siguientes pasos:

1. Para obtener la identidad de escritor del receptor (una dirección de correo electrónico) del receptor nuevo, haz lo siguiente:

   1. En la consola de Google Cloud, selecciona Registros en el menú de navegación y haz clic en Enrutador de registros:
      Ir a Enrutador de registros

   2. Selecciona menu y, luego, Ver detalles del receptor. La identidad del escritor aparece en el panel Detalles del receptor.

2. Si el valor del campo writerIdentity contiene una dirección de correo electrónico, continúa con el siguiente paso. Cuando el valor es None, no necesitas configurar permisos de destino para el receptor.

3. Haz clic en Copiar para copiar la identidad de escritor del receptor en tu portapapeles.

4. Si tienes acceso de Propietario al destino, agrega la cuenta de servicio de la siguiente manera:

   • Para los destinos de Cloud Storage, agrega la identidad de escritor del receptor a tu bucket y asígnale la función de creador de objetos de almacenamiento.
   • Para los destinos de BigQuery, agrega la identidad de escritor del receptor a tu conjunto de datos y asígnale la función de editor de datos de BigQuery.
   • En el caso de Pub/Sub, agrega la identidad de escritor del receptor a tu tema y asígnale la función de publicador de Pub/Sub.
   • Para los destinos del bucket de Logging en diferentes proyectos de Cloud, agrega la identidad de escritor del receptor al bucket de registro de destino y otórgale el permiso roles/logging.bucketWriter.

   Si no tienes acceso de Propietario al destino del receptor, envía el nombre de la cuenta de servicio de la identidad de escritor a alguien que tenga esa capacidad. Esa persona debería seguir las instrucciones del paso anterior para agregar la identidad del escritor al destino del receptor.

API

1. Llama al método de la API projects.sinks.list para enumerar los receptores en tu proyecto de Google Cloud.

2. Localiza el receptor cuyos permisos deseas modificar y, si los detalles del receptor contienen una clave JSON etiquetada "writerIdentity", continúa con el siguiente paso. Cuando los detalles no incluyen un campo "writerIdentity", no necesitas configurar los permisos de destino para el receptor.

3. Si tienes acceso de Propietario de IAM al destino, agrega la cuenta de servicio al destino de la siguiente manera:

   • Para los destinos de Cloud Storage, agrega la identidad de escritor del receptor a tu bucket y asígnale la función de creador de objetos de almacenamiento.
   • Para los destinos de BigQuery, agrega la identidad de escritor del receptor a tu conjunto de datos y asígnale la función de editor de datos de BigQuery.
   • En el caso de Pub/Sub, agrega la identidad de escritor del receptor a tu tema y asígnale la función de publicador de Pub/Sub.
   • Para los destinos del bucket de Logging en diferentes proyectos de Cloud, agrega la identidad de escritor del receptor al bucket de registro de destino y otórgale el permiso roles/logging.bucketWriter.

   Si no tienes acceso de Propietario al destino del receptor, envía el nombre de la cuenta de servicio de la identidad de escritor a alguien que tenga esa capacidad. Esa persona debería seguir las instrucciones del paso anterior para agregar la identidad del escritor al destino del receptor.

gcloud

1. Obtén la cuenta de servicio del campo writerIdentity en tu receptor:

   gcloud logging sinks describe SINK_NAME
   

2. Localiza el receptor cuyos permisos deseas modificar y, si los detalles del receptor contienen una línea con writerIdentity, continúa con el siguiente paso. Cuando los detalles no incluyen un campo writerIdentity, no necesitas configurar los permisos de destino para el receptor.

   El valor del campo SERVICE_ACCOUNT en los siguientes pasos es la identidad del escritor, que es similar a la siguiente:

   serviceAccount:[e-mail]
   

3. Si tienes acceso de Propietario de IAM al destino, agrega la cuenta de servicio al destino de la siguiente manera:

   • Para los destinos de Cloud Storage, agrega la identidad de escritor del receptor a tu bucket y asígnale la función de creador de objetos de almacenamiento.
   • Para los destinos de BigQuery, agrega la identidad de escritor del receptor a tu conjunto de datos y asígnale la función de editor de datos de BigQuery.
   • En el caso de Pub/Sub, agrega la identidad de escritor del receptor a tu tema y asígnale la función de publicador de Pub/Sub.
   • Para los destinos del bucket de Logging en diferentes proyectos de Cloud, agrega la identidad de escritor del receptor al bucket de registro de destino y otórgale el permiso roles/logging.bucketWriter.

   Si no tienes acceso de Propietario al destino del receptor, envía el nombre de la cuenta de servicio de la identidad de escritor a alguien que tenga esa capacidad. Esa persona debería seguir las instrucciones del paso anterior para agregar la identidad del escritor al destino del receptor.

   Por ejemplo, si enrutas registros entre buckets de Logging en diferentes proyectos de Cloud, debes agregar roles/logging.bucketWriter a la cuenta de servicio de la siguiente manera:

   1. Obtén la política de Identity and Access Management para el proyecto de destino de Cloud y escríbela en un archivo local en formato JSON:

      gcloud projects get-iam-policy DESTINATION_PROJECT_ID --format json > output.json
      

   2. Agrega una condición de IAM que permita que la cuenta de servicio solo escriba en el bucket de Cloud Logging que creaste. Por ejemplo:

      {
      "bindings": [
       {
         "members": [
           "user:[e-mail]"
         ],
         "role": "roles/owner"
       },
       {
         "members": [
           "SERVICE_ACCOUNT"
         ],
         "role": "roles/logging.bucketWriter",
         "condition": {
             "title": "Bucket writer condition example",
             "description": "Grants logging.bucketWriter role to service account SERVICE_ACCOUNT used by log sink [SINK_NAME]",
             "expression":
               "resource.name.endsWith(\'locations/global/buckets/BUCKET_ID\')"
         }
       }
      ],
      "etag": "BwWd_6eERR4=",
      "version": 3
      }

      Nota: Si aún no usas las condiciones de IAM en tu política, es posible que debas cambiar la versión. Asegúrate de especificar la versión 3. Para obtener información sobre las versiones de políticas, consulta la documentación de IAM en Comprende las políticas.

   3. Actualiza la política de IAM:

      gcloud projects set-iam-policy DESTINATION_PROJECT_ID output.json
      

Muestras de código

Si deseas usar el código de biblioteca cliente para configurar receptores en los lenguajes que elegiste, consulta Registra bibliotecas cliente: receptores de registros.

Filtra ejemplos

A continuación, se muestran algunos ejemplos de filtros que son particularmente útiles cuando se crean receptores.

Para obtener ejemplos adicionales que pueden resultar útiles a medida que compilas los filtros de inclusión y de exclusión, consulta Consultas de muestra.

Restablece el filtro del receptor _Default

Si editaste el filtro para el receptor _Default, te recomendamos restablecer su filtro predeterminado. Para ello, ingresa el siguiente filtro de inclusión:

  NOT LOG_ID("cloudaudit.googleapis.com/activity") AND NOT \
  LOG_ID("externalaudit.googleapis.com/activity") AND NOT \
  LOG_ID("cloudaudit.googleapis.com/system_event") AND NOT \
  LOG_ID("externalaudit.googleapis.com/system_event") AND NOT \
  LOG_ID("cloudaudit.googleapis.com/access_transparency") AND NOT \
  LOG_ID("externalaudit.googleapis.com/access_transparency")

Excluir los registros de contenedores y pods de Google Kubernetes Engine

Nota: Si excluyes algunos registros de Google Kubernetes Engine, es posible que no puedas identificar y resolver problemas con una aplicación. Para obtener más información, consulta Asistencia.

Si deseas excluir los registros de contenedores y pods de Google Kubernetes Engine para el sistema de GKE namespaces, usa el siguiente filtro:

resource.type = ("k8s_container" OR "k8s_pod")
resource.labels.namespace_name = (
"cnrm-system" OR
"config-management-system" OR
"gatekeeper-system" OR
"gke-connect" OR
"gke-system" OR
"istio-system" OR
"knative-serving" OR
"monitoring-system" OR
"kube-system")

Si deseas excluir los registros de nodos de Google Kubernetes Engine para el sistema de GKE logNames, usa el siguiente filtro:

resource.type = "k8s_node"
logName:( "logs/container-runtime" OR
"logs/docker" OR
"logs/kube-container-runtime-monitor" OR
"logs/kube-logrotate" OR
"logs/kube-node-configuration" OR
"logs/kube-node-installation" OR
"logs/kubelet" OR
"logs/kubelet-monitor" OR
"logs/node-journal" OR
"logs/node-problem-detector")

Para ver el volumen de datos de registros de node, pod y container de Google Kubernetes Engine transferidos a Cloud Logging, usa el Explorador de métricas en Cloud Monitoring.

Excluir los registros de Dataflow que no se requieren para la compatibilidad

Si deseas excluir los registros de Dataflow que no son necesarios para la compatibilidad, usa el siguiente filtro:

resource.type="dataflow_step"
labels."dataflow.googleapis.com/log_type"!="system" AND labels."dataflow.googleapis.com/log_type"!="supportability"

Para ver el volumen de datos de registros de Dataflow transferidos a Cloud Logging, usa el Explorador de métricas en Cloud Monitoring.

Compatibilidad

Si bien Cloud Logging te permite excluir la transferencia de registros, te recomendamos conservar los registros que sean compatibles con la compatibilidad. El uso de estos registros puede ayudarte a identificar con rapidez los problemas en las aplicaciones y a solucionarlos.

Por ejemplo, los registros del sistema de GKE son útiles para solucionar problemas de los clústeres y las aplicaciones de GKE porque se generan para eventos que ocurren en tu clúster. Estos registros pueden ayudarte a determinar si el código de tu aplicación o el clúster de GKE subyacente causa el error de tu aplicación. Los registros del sistema de GKE también incluyen el registro de auditoría de Kubernetes generado por el componente del servidor de la API de Kubernetes, que incluye los cambios realizados mediante el comando de kubectl y los eventos de Kubernetes.

Para Dataflow, recomendamos que, como mínimo, transfieras los registros del sistema (labels."dataflow.googleapis.com/log_type"="system") y los registros de compatibilidad (labels."dataflow.googleapis.com/log_type"="supportability"). Estos registros son esenciales para que los desarrolladores observen y solucionen sus canalizaciones de Dataflow, y es posible que los usuarios no puedan usar la página Detalles del trabajo de Dataflow para ver los registros de trabajos.

¿Qué sigue?

• Si tienes problemas cuando usas los receptores para enrutar los registros, consulta Solución de problemas de enrutamiento y receptores.

• Para obtener información sobre cómo ver los registros enrutados en sus destinos, además de cómo se les da formato y cómo se organizan, consulta Visualiza registros en destinos de receptores.

• Para obtener más información sobre cómo consultar y filtrar con el lenguaje de consulta de Logging, consulta Lenguaje de consulta de Logging.