Configura vistas de registros en un bucket de registros

En este documento, se describe cómo crear y administrar vistas de registro en tus buckets de Cloud Logging con gcloud CLI. Las vistas de registro te brindan un control avanzado y detallado sobre quién tiene acceso a los registros dentro de tus buckets de registros.

Para obtener información general sobre el modelo de almacenamiento de Logging, consulta Descripción general del enrutamiento y el almacenamiento.

Acerca de las vistas de registro

Las vistas de registro te permiten otorgar a un usuario acceso solo a un subconjunto de los registros almacenados en un bucket de registros. Por ejemplo, imagina una situación en la que almacenas los registros de tu organización en un proyecto central. Puedes crear una vista de registro para cada proyecto que contribuya con registros al bucket de registros. Luego, puedes otorgar a cada usuario acceso a una o más vistas de registro y, por lo tanto, restringir los registros que pueden ver los usuarios.

Puedes crear un máximo de 30 vistas de registro por bucket de registros.

Cómo controlar el acceso a una vista de registro

Cloud Logging usa políticas de IAM para controlar quién tiene acceso a las vistas de registro. Las políticas de IAM pueden existir a nivel de recurso, proyecto, carpeta y organización. En Cloud Logging, puedes crear una política de IAM para cada vista de registro. A fin de determinar si una principal está autorizada para una acción, IAM evalúa todas las políticas aplicables con la primera evaluación a nivel de recurso.

Las principales con la función roles/logging.viewAccessor en un proyecto de Google Cloud pueden acceder a las vistas y los registros de cualquier bucket de registros del proyecto.

Para otorgar a una principal acceso solo a una vista de registro específica, realiza una de las siguientes acciones:

• Crea una política de IAM para la vista de registro y, luego, agrega una vinculación de IAM a esa política que otorgue a la principal acceso a la vista de registro.

  Si creas una gran cantidad de vistas de registro, te recomendamos este enfoque.

• Otorga a la principal la función de IAM de roles/logging.viewAccessor en el proyecto que contiene la vista de registro, pero adjunta una condición de IAM para restringir la concesión a la vista de registro específica. Si omites la condición, otorgas a la principal acceso a todas las vistas de registro. Hay un límite de 20 vinculaciones de funciones en el archivo de políticas para un proyecto de Google Cloud que incluyen la misma función y la misma principal, pero diferentes expresiones condicionales.

Para obtener más información, consulta la sección de este documento titulada Otorga acceso a una vista de registro.

Vistas de registro creadas automáticamente

Cloud Logging crea de forma automática una vista _AllLogs para cada bucket de registro y una vista _Default para el bucket de registros _Default:

• Vista _AllLogs: Puedes ver todos los registros en el bucket de registros.
• Vista _Default: Puedes ver todos los registros de auditoría que no son de acceso a los datos en el bucket de registros.

No puedes modificar las vistas que Cloud Logging crea automáticamente. Sin embargo, puedes borrar la vista _AllLogs.

Filtro de vista de registro

Cada vista de registro contiene un filtro que determina qué entradas de registro son visibles en la vista. Los filtros pueden contener operadores AND y NOT lógicos. Sin embargo, no pueden incluir operadores OR lógicos. Los filtros pueden comparar cualquiera de los siguientes valores:

• Una fuente de datos que use la función source La función source muestra entradas de registro de un recurso específico en la jerarquía de organizaciones, carpetas y proyectos de Google Cloud.

• Un ID de registro con la función log_id La función log_id muestra entradas de registro que coinciden con el argumento LOG_ID determinado del campo logName.

• Un tipo de recurso válido con la comparación resource.type= FIELD_NAME

Por ejemplo, el siguiente filtro captura las entradas de registro stdout de Compute Engine desde un proyecto de Google Cloud llamado myproject:

source("projects/myproject") AND resource.type = "gce_instance" AND log_id("stdout")

Para obtener detalles sobre la sintaxis de filtrado, consulta Comparaciones.

Antes de comenzar

Antes de crear o actualizar una vista de registro, completa los siguientes pasos:

1. Si aún no lo hiciste, en el proyecto de Google Cloud correspondiente, crea un bucket de Logging para el que desees configurar una vista de registro personalizada.

2. Si quieres obtener los permisos que necesitas para crear y administrar vistas de registros y otorgar acceso a ellas, pídele a tu administrador que te otorgue los siguientes roles de IAM en el proyecto:

   • Escritor de configuración de registros (roles/logging.configWriter)
   • Para agregar una vinculación de función a un proyecto, haz lo siguiente: Administrador de IAM del proyecto (roles/resourcemanager.projectIamAdmin)
   • Para agregar una vinculación de función a una vista de registro, haz lo siguiente: Administrador de Logging (roles/logging.admin)

   Si quieres obtener más información para otorgar roles, consulta Administra el acceso.

   Es posible que también puedas obtener los permisos necesarios a través de funciones personalizadas o, también, otras funciones predefinidas.

3. Instala Google Cloud CLI.

4. Determina qué registros deseas incluir en la vista. Usa esta información para especificar el filtro de la vista de registro.

5. Determina quién debe tener acceso a la vista de registro y si deseas agregar vinculaciones a la política de IAM de la vista de registro o al proyecto de Google Cloud. Para obtener más información, consulta Controla el acceso a una vista de registro.

Crea una vista de registro

Para crear una vista de registro, usa el comando gcloud logging views update. Puedes crear un máximo de 30 vistas de registro por bucket de registros.

Antes de usar cualquiera de los datos de comando a continuación, haz los siguientes reemplazos:

• VIEW_ID: Es el identificador de la vista de registro.
• BUCKET_NAME: Es el nombre del bucket de registros.
• LOCATION: Es la ubicación del bucket de registros.
• FILTER: Es un filtro que define la vista del registro. Cuando está vacía, la vista del registro incluye todos los registros. Por ejemplo, para filtrar por registros de instancias de VM de Compute Engine, ingresa "resource.type=gce_instance".
• DESCRIPTION: Es una descripción de la vista de registro. Por ejemplo, puedes ingresar lo siguiente para la descripción "Compute logs".

Ejecuta el comando gcloud logging views create:

Linux, macOS o Cloud Shell

gcloud logging views create VIEW_ID --bucket=BUCKET_NAME --location=LOCATION --log-filter=FILTER --description=DESCRIPTION

Windows (PowerShell)

gcloud logging views create VIEW_ID --bucket=BUCKET_NAME --location=LOCATION --log-filter=FILTER --description=DESCRIPTION

Windows (cmd.exe)

gcloud logging views create VIEW_ID --bucket=BUCKET_NAME --location=LOCATION --log-filter=FILTER --description=DESCRIPTION

Este comando no proporciona una respuesta. Para confirmar los cambios, puedes ejecutar el comando gcloud logging views list.

A continuación, otorga a las principales acceso a tu vista de registro.

Otorga acceso a una vista de registro

Existen dos enfoques que puedes usar para restringir una principal a una vista de registro específica en un bucket de registros definido por el usuario:

• Puedes usar el archivo de política de IAM de la vista de registro.

• Puedes usar el archivo de política de IAM del proyecto de Google Cloud que almacena el bucket de registros, junto con una condición de IAM.

Cuando crees una gran cantidad de vistas de registro, te recomendamos que controles el acceso mediante el archivo de política de IAM de la vista de registro.

Vista de registro: Cómo agregar vinculaciones de roles

En esta sección, se describe cómo usar el archivo de política de IAM para una vista de registro a fin de controlar quién tiene acceso a las entradas de registro en esa vista. Cuando usas este enfoque, agregas una vinculación al archivo de políticas de la vista de registro, la vinculación otorga el acceso principal especificado a la vista de registro.

En esta sección, también se describe cómo enumerar la vinculación de funciones contenida en el archivo de la política de IAM para una vista de registro.

Agrega una vinculación de rol a una vista de registro

Para actualizar el archivo de política de IAM de una vista de registro, completa los siguientes pasos.

gcloud

Antes de usar cualquiera de los datos de comando a continuación, haz los siguientes reemplazos:

• VIEW_ID: Es el identificador de la vista de registro.
• PRINCIPAL: Es un identificador para la principal a la que deseas otorgar el rol. Los identificadores principales suelen tener el siguiente formato: PRINCIPAL-TYPE:ID. Por ejemplo, user:[e-mail]. Para obtener una lista completa de los formatos que puede tener PRINCIPAL_ID, consulta Identificadores principales.
• BUCKET_NAME: Es el nombre del bucket de registros.
• LOCATION: Es la ubicación del bucket de registros.

Ejecuta el comando gcloud logging views add-iam-policy-binding:

Linux, macOS o Cloud Shell

gcloud logging views add-iam-policy-binding VIEW_ID --member=PRINCIPAL --role='roles/logging.viewAccessor' --bucket=BUCKET_NAME --location=LOCATION 

Windows (PowerShell)

gcloud logging views add-iam-policy-binding VIEW_ID --member=PRINCIPAL --role='roles/logging.viewAccessor' --bucket=BUCKET_NAME --location=LOCATION 

Windows (cmd.exe)

Nota: Si este comando usa ' para el contenido de comillas, reemplaza estas comillas simples con comillas dobles. Si las comillas están anidadas, usa \" para escapar las comillas internas.

gcloud logging views add-iam-policy-binding VIEW_ID --member=PRINCIPAL --role='roles/logging.viewAccessor' --bucket=BUCKET_NAME --location=LOCATION 

A continuación, se muestra la respuesta cuando se agrega una sola vinculación:

Updated IAM policy for logging view [projects/PROJECT_ID/locations/global/buckets/BUCKET_NAME/views/VIEW_ID].
bindings:
- members:
  - PRINCIPAL
  role: roles/logging.viewAccessor
etag: BwYXfSd9-Gw=
version: 1

Terraform

Si deseas obtener más información para aplicar o quitar una configuración de Terraform, consulta los comandos básicos de Terraform. Para obtener más información, consulta la documentación de referencia del proveedor de Terraform.

A fin de aprovisionar asociaciones de IAM para una vista de registro con Terraform, hay varios recursos diferentes disponibles:

• google_logging_log_view_iam_policy
• google_logging_log_view_iam_binding
• google_logging_log_view_iam_member

Si deseas obtener más información, consulta la política de IAM para LogView de Cloud Logging.

Consola

No compatible. Para agregar vinculaciones a una vista de registro, usa Google Cloud CLI.

Enumerar vinculaciones de roles en una vista de registro

Para enumerar las vinculaciones de IAM de una vista de registro, completa los siguientes pasos.

gcloud

Antes de usar cualquiera de los datos de comando a continuación, haz los siguientes reemplazos:

• VIEW_ID: Es el identificador de la vista de registro.
• BUCKET_NAME: Es el nombre del bucket de registros.
• LOCATION: Es la ubicación del bucket de registros.

Ejecuta el comando gcloud logging views get-iam-policy:

Linux, macOS o Cloud Shell

gcloud logging views get-iam-policy VIEW_ID --bucket=BUCKET_NAME --location=LOCATION 

Windows (PowerShell)

gcloud logging views get-iam-policy VIEW_ID --bucket=BUCKET_NAME --location=LOCATION 

Windows (cmd.exe)

gcloud logging views get-iam-policy VIEW_ID --bucket=BUCKET_NAME --location=LOCATION 

Cuando una vista de registro no contiene vinculaciones, la respuesta solo contiene un campo etag. A continuación, se muestra la respuesta cuando una vista de registro contiene una sola vinculación:

bindings:
- members:
  - PRINCIPAL
  role: roles/logging.viewAccessor
etag: BwYXfSd9-Gw=
version: 1

Terraform

Si quieres enumerar las asociaciones de IAM para las vistas de registro con Terraform, usa la fuente de datos google_logging_log_view_iam_policy.

Consola

No compatible. Para enumerar las vinculaciones de una vista de registro, usa Google Cloud CLI.

Proyecto de Google Cloud: Agrega vinculaciones de roles

En esta sección, se describe cómo agregar una vinculación de función a un proyecto de Google Cloud y cómo enumerar las vinculaciones vinculadas a un proyecto. Cuando usas este enfoque, para restringir una principal a las entradas de registro almacenadas en una vista de registro específica, debes agregar una condición de IAM al otorgamiento.

Nota: Si tienes una gran cantidad de vistas de registro, te recomendamos que agregues una vinculación de función al archivo de políticas de la vista de registro.

Agrega una vinculación de función a un proyecto

Para agregar una vinculación de función al archivo de política de IAM de un proyecto de Google Cloud, completa los siguientes pasos.

gcloud

1. Crea un archivo JSON o YAML con tu condición.

   Por ejemplo, puedes crear un archivo llamado condition.yaml con el siguiente contenido:

   expression: "resource.name == \"projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME/views/VIEW_ID\""
   title: "My title"
   description: "My description"
   

2. Opcional: Para verificar que el archivo JSON o YAML tenga el formato correcto, ejecuta el siguiente comando:

   gcloud alpha iam policies lint-condition --condition-from-file=condition.yaml
   

3. Actualiza la política de IAM en el proyecto de Google Cloud mediante una llamada al método gcloud projects add-iam-policy-binding.

   Antes de usar el siguiente comando, realiza los siguientes reemplazos:

   • PROJECT_ID: Es el identificador del proyecto.
   • PRINCIPAL: Es un identificador para la principal a la que deseas otorgar el rol. Los identificadores principales suelen tener el siguiente formato: PRINCIPAL-TYPE:ID. Por ejemplo, user:[e-mail]. Para obtener una lista completa de los formatos que puede tener PRINCIPAL_ID, consulta Identificadores principales.

   Ejecuta el comando gcloud projects add-iam-policy-binding:

   gcloud projects add-iam-policy-binding PROJECT_ID --member=PRINCIPAL --role='roles/logging.viewAccessor' --condition-from-file=condition.yaml
   

   La respuesta al comando anterior incluye todas las vinculaciones de roles.

   - condition:
       description: My description
       expression: resource.name == "projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME/views/VIEW_ID"
       title: My title
     members:
     - PRINCIPAL
     role: roles/logging.viewAccessor
   

Terraform

Si deseas obtener más información para aplicar o quitar una configuración de Terraform, consulta los comandos básicos de Terraform. Para obtener más información, consulta la documentación de referencia del proveedor de Terraform.

Si quieres aprovisionar asociaciones de IAM para proyectos con Terraform, hay varios recursos disponibles:

• google_project_iam_policy
• google_project_iam_binding
• google_project_iam_member

Si deseas obtener más información, consulta Política de IAM para proyectos.

Consola

En el proyecto en el que creaste el bucket de registros, haz lo siguiente:

1. En la consola de Google Cloud, ve a la página IAM:

   Ir a IAM

   Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuyo subtítulo es IAM y administrador.

2. Haz clic en Otorgar acceso.

3. En el campo Principales nuevas, agrega la cuenta de correo electrónico del usuario.

4. En el menú desplegable Seleccionar un rol, selecciona Acceso de vista de registros.

   Esta función les proporciona a los usuarios acceso de lectura a todas las vistas. Para limitar el acceso de los usuarios a un depósito específico, agrega una condición basada en el nombre del recurso.

   1. Haz clic en Agregar condición de IAM.

   2. Ingresa un Título y una Descripción para la condición.

   3. En el menú desplegable Tipo de condición, selecciona Recurso > Nombre.

   4. En el menú desplegable Operador, selecciona es.

   5. En el campo Valor, ingresa el ID de la vista de registros, incluida la ruta de acceso completa a la vista.

      Por ejemplo:

      projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME/views/VIEW_ID

   6. Haga clic en Guardar para agregar la condición.

5. Haz clic en Guardar para configurar los permisos.

Enumerar vinculaciones de roles en un proyecto

Para enumerar las vinculaciones de roles en un proyecto de Google Cloud, completa los siguientes pasos.

gcloud

Antes de usar el siguiente comando, realiza los siguientes reemplazos:

• PROJECT_ID: Es el identificador del proyecto.

Ejecuta el comando gcloud projects get-iam-policy:

gcloud projects get-iam-policy PROJECT_ID

La respuesta al comando anterior incluye todas las vinculaciones de roles.

- condition:
    description: My description
    expression: resource.name == "projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME/views/VIEW_ID"
    title: My title
  members:
  - PRINCIPAL
  role: roles/logging.viewAccessor

Terraform

Si quieres enumerar las asociaciones de IAM para proyectos con Terraform, usa la fuente de datos google_project_iam_policy.

Consola

En la consola de Google Cloud, ve a la página IAM:

Ir a IAM

Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuyo subtítulo es IAM y administrador.

En la página IAM, se enumeran todas las principales, sus roles de IAM y todas las condiciones asociadas a ellos.

Enumerar vistas de registros en un bucket de registros

Si quieres enumerar las vistas de registros creadas para un bucket de registros, usa el comando gcloud logging views list.

Antes de usar cualquiera de los datos de comando a continuación, haz los siguientes reemplazos:

• BUCKET_NAME: Es el nombre del bucket de registros.
• LOCATION: Es la ubicación del bucket de registros.

Ejecuta el comando gcloud logging views list:

Linux, macOS o Cloud Shell

gcloud logging views list --bucket=BUCKET_NAME --location=LOCATION

Windows (PowerShell)

gcloud logging views list --bucket=BUCKET_NAME --location=LOCATION

Windows (cmd.exe)

gcloud logging views list --bucket=BUCKET_NAME --location=LOCATION

Los datos de respuesta son una lista de vistas de registro. Para cada vista de registro, el filtro se muestra con las fechas de creación y última actualización. Si las fechas de creación y actualización están vacías, se creó la vista de registro cuando se creó el proyecto de Google Cloud. En el siguiente resultado de ejemplo, se muestra que hay dos IDs de vista, _AllLogs y compute, en el bucket de registros que se consultó:

VIEW_ID: _AllLogs
FILTER:
CREATE_TIME:
UPDATE_TIME:

VIEW_ID: compute
FILTER: resource.type="gce_instance"
CREATE_TIME: 2024-02-20T17:41:17.405162921Z
UPDATE_TIME: 2024-02-20T17:41:17.405162921Z

Actualiza una vista de registro

Nota: No puedes actualizar las vistas _Default y _AllLogs para ningún bucket de registros.

Para actualizar o modificar una vista de registro, usa el comando gcloud logging views update. Si no conoces el ID de la vista, consulta Cómo enumerar vistas de registros.

Antes de usar cualquiera de los datos de comando a continuación, haz los siguientes reemplazos:

• VIEW_ID: Es el identificador de la vista de registro.
• BUCKET_NAME: Es el nombre del bucket de registros.
• LOCATION: Es la ubicación del bucket de registros.
• FILTER: Es un filtro que define la vista del registro. Cuando está vacía, la vista del registro incluye todos los registros. Por ejemplo, para filtrar por registros de instancias de VM de Compute Engine, ingresa "resource.type=gce_instance".
• DESCRIPTION: Es una descripción de la vista de registro. Por ejemplo, puedes ingresar lo siguiente para la descripción "New description for the log view".

Ejecuta el comando gcloud logging views update:

Linux, macOS o Cloud Shell

gcloud logging views update VIEW_ID --bucket=BUCKET_NAME --location=LOCATION --log-filter=FILTER --description=DESCRIPTION

Windows (PowerShell)

gcloud logging views update VIEW_ID --bucket=BUCKET_NAME --location=LOCATION --log-filter=FILTER --description=DESCRIPTION

Windows (cmd.exe)

gcloud logging views update VIEW_ID --bucket=BUCKET_NAME --location=LOCATION --log-filter=FILTER --description=DESCRIPTION

Este comando no proporciona una respuesta. Para confirmar los cambios, puedes ejecutar el comando gcloud logging views describe.

Borra una vista de registro

Nota: No puedes borrar la vista de registro _Default en el bucket de registros _Default. Ten cuidado cuando borres la vista _AllLogs de un bucket de registros, ya que no puedes crear una vista de registro con el nombre _AllLogs.

Para borrar una vista de registro, usa el comando gcloud logging views delete. Si no conoces el ID de la vista, consulta Cómo enumerar vistas de registros.

Antes de usar cualquiera de los datos de comando a continuación, haz los siguientes reemplazos:

• VIEW_ID: Es el identificador de la vista de registro.
• BUCKET_NAME: Es el nombre del bucket de registros.
• LOCATION: Es la ubicación del bucket de registros.

Ejecuta el comando gcloud logging views delete:

Linux, macOS o Cloud Shell

gcloud logging views delete VIEW_ID --bucket=BUCKET_NAME --location=LOCATION

Windows (PowerShell)

gcloud logging views delete VIEW_ID --bucket=BUCKET_NAME --location=LOCATION

Windows (cmd.exe)

gcloud logging views delete VIEW_ID --bucket=BUCKET_NAME --location=LOCATION

La respuesta confirma la eliminación. Por ejemplo, a continuación, se muestra la respuesta a la eliminación de una vista de registro llamada tester:

Deleted [tester].

Describir una vista de registro

Para recuperar información detallada sobre una vista de registro, usa el comando gcloud logging views describe. Si no conoces el ID de la vista, consulta Cómo enumerar vistas de registros.

Antes de usar cualquiera de los datos de comando a continuación, haz los siguientes reemplazos:

• VIEW_ID: Es el identificador de la vista de registro.
• BUCKET_NAME: Es el nombre del bucket de registros.
• LOCATION: Es la ubicación del bucket de registros.

Ejecuta el comando gcloud logging views describe:

Linux, macOS o Cloud Shell

gcloud logging views describe VIEW_ID --bucket=BUCKET_NAME --location=LOCATION

Windows (PowerShell)

gcloud logging views describe VIEW_ID --bucket=BUCKET_NAME --location=LOCATION

Windows (cmd.exe)

gcloud logging views describe VIEW_ID --bucket=BUCKET_NAME --location=LOCATION

La respuesta siempre incluye la descripción y el nombre completamente calificado de la vista de registro. También incluye el filtro cuando el campo de filtro no está vacío. La siguiente es una respuesta de muestra:

createTime: '2024-02-20T17:41:17.405162921Z'
filter: resource.type="gce_instance"
name: projects/my-project/locations/global/buckets/my-bucket/views/compute
updateTime: '2024-02-20T17:41:17.405162921Z'

Visualiza los registros asociados con una vista de registro

Si deseas ver los registros en una vista de registro, asegúrate de tener el rol Acceso de vista de registros (roles/logging.viewAccessor) en la vista de registro:

1. En la consola de Google Cloud, ve a la página Explorador de registros:

   Ir al Explorador de registros

   Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuyo subtítulo es Logging.

2. Haz clic en Define mejor el permiso para mostrar el panel Define mejor el permiso. Desde aquí, puedes seleccionar el bucket de registros y la vista de registro que deseas usar para ver tus registros.

Para obtener más información, consulta la documentación del Explorador de registros.

¿Qué sigue?

Configura el acceso a nivel de campo.