本文档介绍如何使用 gcloud CLI 在 Cloud Logging 存储分区上创建和管理日志视图。通过日志视图,您可以高级、精细地控制谁有权访问日志存储分区中的日志。
如需了解 Logging 存储模型的一般信息,请参阅路由和存储概览。
日志视图简介
通过日志视图,您可以仅向用户授予对日志存储桶中存储的部分日志的访问权限。例如,设想一个您将组织的日志存储在中心项目中的场景。您可以为向日志存储桶提供日志的每个项目创建一个日志视图。然后,您可以授予每个用户对一个或多个日志视图的访问权限,从而限制用户可以查看哪些日志。
对于每个日志存储桶,您最多可为其创建 30 个日志视图。
控制对日志视图的访问权限
Cloud Logging 使用 IAM 政策来控制谁有权访问日志视图。IAM 政策可以存在于资源、项目、文件夹和组织级层。对于 Cloud Logging,您可以为每个日志视图创建一项 IAM 政策。为了确定主帐号是否有权执行某项操作,IAM 会评估所有适用的政策(首次评估是在资源层级)。
在 Google Cloud 项目中具有 roles/logging.viewAccessor
角色的主账号可以访问项目中任何日志存储桶中的视图和日志。
如需将主帐号限制为特定日志视图,请执行以下操作之一:
为日志视图创建 IAM 政策,然后向该政策添加 IAM 绑定,以便向主帐号授予对日志视图的访问权限。
如果您要创建大量日志视图,我们建议您使用此方法。
向主帐号授予
roles/logging.viewAccessor
的 IAM 角色,但向主账号附加 IAM 条件。对于包含相同角色和同一主帐号但条件表达式不同的 Google Cloud 项目的政策文件,其角色绑定不得超过 20 个。
如需了解详情,请参阅本文档中标题为授予对日志视图的访问权限的部分。
自动创建的日志视图
Cloud Logging 会自动为每个日志存储桶创建一个 _AllLogs
视图,并为 _Default
日志存储桶创建一个 _Default
视图:
_AllLogs
视图:您可以查看日志存储桶中的所有日志。_Default
视图:您可以在日志存储桶中查看所有非数据访问审核日志。
您无法修改 Cloud Logging 自动创建的视图;但是,您可以删除 _AllLogs
视图。
日志视图过滤条件
每个日志视图都包含一个过滤条件,用于确定在视图中可见的日志条目。过滤条件可以包含逻辑 AND
和 NOT
运算符,但不得包含逻辑 OR
运算符。过滤条件可以比较以下任何值:
使用
source
函数的数据源。source
函数返回组织、文件夹和 Google Cloud 项目层次结构中特定资源的日志条目。使用
log_id
函数的日志 ID。log_id
函数返回与logName
字段中的指定LOG_ID
参数匹配的日志条目。使用
resource.type=
FIELD_NAME 比较运算的有效资源类型。
例如,以下过滤条件从名为 myproject
的 Google Cloud 项目中捕获 Compute Engine stdout
日志条目:
source("projects/myproject") AND resource.type = "gce_instance" AND log_id("stdout")
如需详细了解过滤语法,请参阅比较。
准备工作
在创建或更新日志视图之前,请完成以下步骤:
如果您尚未在相应的 Google Cloud 项目中创建 Logging 存储桶,请执行此操作,为其配置自定义日志视图。
-
如需获取创建和管理日志视图以及授予对日志视图的访问权限,请让管理员授予您项目的以下 IAM 角色:
-
Logs Configuration Writer (
roles/logging.configWriter
) -
如需向项目添加角色绑定,请执行以下操作:
Project IAM Admin (
roles/resourcemanager.projectIamAdmin
) -
如需将角色绑定添加到日志视图,请执行以下操作:
Logging Admin (
roles/logging.admin
)
如需详细了解如何授予角色,请参阅管理访问权限。
-
Logs Configuration Writer (
安装 Google Cloud CLI。
确定要在视图中包含的日志。您可以使用此信息指定日志视图的过滤条件。
确定谁有权访问日志视图,以及是要向日志视图的 IAM 政策还是 Google Cloud 项目的 IAM 政策添加绑定。如需了解详情,请参阅控制对日志视图的访问权限。
创建日志视图
如需创建日志视图,请使用 gcloud logging views update
命令。对于每个日志存储桶,您最多可为其创建 30 个日志视图。
在使用下面的命令数据之前,请先进行以下替换:
- VIEW_ID:日志视图的标识符。
- BUCKET_NAME:日志存储桶的名称。
- LOCATION:日志存储桶的位置。
- FILTER:用于定义日志视图的过滤条件。如果留空,日志视图包含所有日志。例如,如需按 Compute Engine 虚拟机实例日志进行过滤,请输入
"resource.type=gce_instance"
。 - DESCRIPTION:日志视图的说明。例如,您可以为说明
"Compute logs"
输入以下内容。
执行 gcloud logging views create
命令:
Linux、macOS 或 Cloud Shell
gcloud logging views create VIEW_ID --bucket=BUCKET_NAME --location=LOCATION --log-filter=FILTER --description=DESCRIPTION
Windows (PowerShell)
gcloud logging views create VIEW_ID --bucket=BUCKET_NAME --location=LOCATION --log-filter=FILTER --description=DESCRIPTION
Windows (cmd.exe)
gcloud logging views create VIEW_ID --bucket=BUCKET_NAME --location=LOCATION --log-filter=FILTER --description=DESCRIPTION
此命令不会提供响应。如需确认更改,您可以运行 gcloud logging views list
命令。
接下来,向主账号授予对您的日志视图的访问权限。
授予对日志视图的访问权限
如需将主帐号限制为只能访问用户定义的日志存储桶上的特定日志视图,请向日志视图或存储日志存储桶的 Google Cloud 项目添加角色绑定。创建大量日志视图时,我们建议您向日志视图添加绑定。
日志视图:添加角色绑定
本部分介绍如何向日志视图添加角色绑定,以及如何列出附加到日志视图的绑定。
向日志视图添加角色绑定
如需更新日志视图的 IAM 政策文件,请完成以下步骤。
gcloud
在使用下面的命令数据之前,请先进行以下替换:
- VIEW_ID:日志视图的标识符。
- PRINCIPAL:您要向其授予该角色的主账号的标识符。主账号标识符通常采用以下格式:
PRINCIPAL-TYPE:ID
。例如user:my-user@example.com
。 如需查看PRINCIPAL_ID
可以采用的格式的完整列表,请参阅主账号标识符。 - BUCKET_NAME:日志存储桶的名称。
- LOCATION:日志存储桶的位置。
执行 gcloud logging views add-iam-policy-binding
命令:
Linux、macOS 或 Cloud Shell
gcloud logging views add-iam-policy-binding VIEW_ID --member=PRINCIPAL --role='roles/logging.viewAccessor' --bucket=BUCKET_NAME --location=LOCATION
Windows (PowerShell)
gcloud logging views add-iam-policy-binding VIEW_ID --member=PRINCIPAL --role='roles/logging.viewAccessor' --bucket=BUCKET_NAME --location=LOCATION
Windows (cmd.exe)
gcloud logging views add-iam-policy-binding VIEW_ID --member=PRINCIPAL --role='roles/logging.viewAccessor' --bucket=BUCKET_NAME --location=LOCATION
下面展示了添加单个绑定时的响应:
Updated IAM policy for logging view [projects/PROJECT_ID/locations/global/buckets/BUCKET_NAME/views/VIEW_ID]. bindings: - members: - PRINCIPAL role: roles/logging.viewAccessor etag: BwYXfSd9-Gw= version: 1
控制台
不支持。如需向日志视图添加绑定,请使用 Google Cloud CLI。
列出日志视图上的角色绑定
如需列出某个日志视图的 IAM 绑定,请完成以下步骤。
gcloud
在使用下面的命令数据之前,请先进行以下替换:
- VIEW_ID:日志视图的标识符。
- BUCKET_NAME:日志存储桶的名称。
- LOCATION:日志存储桶的位置。
执行 gcloud logging views get-iam-policy
命令:
Linux、macOS 或 Cloud Shell
gcloud logging views get-iam-policy VIEW_ID --bucket=BUCKET_NAME --location=LOCATION
Windows (PowerShell)
gcloud logging views get-iam-policy VIEW_ID --bucket=BUCKET_NAME --location=LOCATION
Windows (cmd.exe)
gcloud logging views get-iam-policy VIEW_ID --bucket=BUCKET_NAME --location=LOCATION
当日志视图不包含任何绑定时,响应将仅包含 etag
字段。下面演示了日志视图包含单个绑定时的响应:
bindings: - members: - PRINCIPAL role: roles/logging.viewAccessor etag: BwYXfSd9-Gw= version: 1
控制台
不支持。如需列出日志视图的绑定,请使用 Google Cloud CLI。
Google Cloud 项目:添加角色绑定
本部分介绍如何向 Google Cloud 项目添加角色绑定,以及如何列出附加到项目的绑定。
向项目添加角色绑定
如需将角色绑定添加到 Google Cloud 项目的 IAM 政策文件,请完成以下步骤。
gcloud
使用您的条件创建一个 JSON 或 yaml 文件。
例如,您可以创建一个名为
condition.yaml
且包含以下内容的文件:expression: "resource.name == \"projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME/views/VIEW_ID\"" title: "My title" description: "My description"
可选:如需验证 JSON 或 yaml 文件的格式是否正确,请运行以下命令:
gcloud alpha iam policies lint-condition --condition-from-file=condition.yaml
通过调用
gcloud projects add-iam-policy-binding
方法来更新 Google Cloud 项目的 IAM 政策。在使用以下命令之前,请先进行以下替换:
- PROJECT_ID:项目的标识符。
- PRINCIPAL:您要向其授予该角色的主账号的标识符。主账号标识符通常采用以下格式:
PRINCIPAL-TYPE:ID
。例如user:my-user@example.com
。 如需查看PRINCIPAL_ID
可以采用的格式的完整列表,请参阅主账号标识符。
执行
gcloud projects add-iam-policy-binding
命令:gcloud projects add-iam-policy-binding PROJECT_ID --member=PRINCIPAL --role='roles/logging.viewAccessor' --condition-from-file=condition.yaml
对上一条命令的响应包含所有角色绑定。
- condition: description: My description expression: resource.name == "projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME/views/VIEW_ID" title: My title members: - PRINCIPAL role: roles/logging.viewAccessor
控制台
在您创建日志存储桶的项目中,执行以下操作:
-
在 Google Cloud 控制台中,进入 IAM 页面:
如果您使用搜索栏查找此页面,请选择子标题为 IAM 和管理的结果。
点击
授予访问权限。在新的主账号字段中,添加用户的电子邮件帐号。
在选择角色下拉菜单中,选择 Logs View Accessor。
此角色为用户提供所有视图的读取权限。如需限制用户对特定视图的访问权限,请根据资源名称添加条件。
点击添加 IAM 条件。
输入条件的标题和说明。
在条件类型下拉菜单中,选择资源 > 名称。
在运算符下拉菜单中,选择 是。
在值字段中,输入日志视图的 ID,包括视图的完整路径。
例如:
projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME/views/VIEW_ID
点击保存以添加该条件。
点击保存以设置权限。
列出项目的角色绑定
如需列出 Google Cloud 项目的角色绑定,请完成以下步骤。
gcloud
在使用以下命令之前,请先进行以下替换:
- PROJECT_ID:项目的标识符。
执行 gcloud projects get-iam-policy
命令:
gcloud projects get-iam-policy PROJECT_ID
对上一条命令的响应包含所有角色绑定。
- condition:
description: My description
expression: resource.name == "projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME/views/VIEW_ID"
title: My title
members:
- PRINCIPAL
role: roles/logging.viewAccessor
控制台
在 Google Cloud 控制台中,进入 IAM 页面:
如果您使用搜索栏查找此页面,请选择子标题为 IAM 和管理的结果。
IAM 页面列出了所有主账号、其 IAM 角色以及与这些角色关联的所有条件。
列出日志存储桶上的日志视图
如需列出为日志存储桶创建的日志视图,请使用 gcloud logging views list
命令。
在使用下面的命令数据之前,请先进行以下替换:
- BUCKET_NAME:日志存储桶的名称。
- LOCATION:日志存储桶的位置。
执行 gcloud logging views list
命令:
Linux、macOS 或 Cloud Shell
gcloud logging views list --bucket=BUCKET_NAME --location=LOCATION
Windows (PowerShell)
gcloud logging views list --bucket=BUCKET_NAME --location=LOCATION
Windows (cmd.exe)
gcloud logging views list --bucket=BUCKET_NAME --location=LOCATION
响应数据是日志视图列表。对于每个日志视图,系统都会显示过滤条件以及创建和上次更新日期。如果创建和更新日期为空,则日志视图是在创建 Google Cloud 项目时创建的。以下示例输出显示所查询的日志存储桶上的两个视图 ID:_AllLogs
和 compute
:
VIEW_ID: _AllLogs FILTER: CREATE_TIME: UPDATE_TIME: VIEW_ID: compute FILTER: resource.type="gce_instance" CREATE_TIME: 2024-02-20T17:41:17.405162921Z UPDATE_TIME: 2024-02-20T17:41:17.405162921Z
更新日志视图
如需更新或修改日志视图,请使用 gcloud logging views update
命令。如果您不知道数据视图 ID,请参阅列出日志视图。
在使用下面的命令数据之前,请先进行以下替换:
- VIEW_ID:日志视图的标识符。
- BUCKET_NAME:日志存储桶的名称。
- LOCATION:日志存储桶的位置。
- FILTER:用于定义日志视图的过滤条件。如果留空,日志视图包含所有日志。例如,如需按 Compute Engine 虚拟机实例日志进行过滤,请输入
"resource.type=gce_instance"
。 - DESCRIPTION:日志视图的说明。例如,您可以为说明
"New description for the log view"
输入以下内容。
执行 gcloud logging views update
命令:
Linux、macOS 或 Cloud Shell
gcloud logging views update VIEW_ID --bucket=BUCKET_NAME --location=LOCATION --log-filter=FILTER --description=DESCRIPTION
Windows (PowerShell)
gcloud logging views update VIEW_ID --bucket=BUCKET_NAME --location=LOCATION --log-filter=FILTER --description=DESCRIPTION
Windows (cmd.exe)
gcloud logging views update VIEW_ID --bucket=BUCKET_NAME --location=LOCATION --log-filter=FILTER --description=DESCRIPTION
此命令不会提供响应。如需确认更改,您可以运行 gcloud logging views describe
命令。
删除日志视图
如需删除某个日志视图,请使用 gcloud logging views delete
命令。如果您不知道数据视图 ID,请参阅列出日志视图。
在使用下面的命令数据之前,请先进行以下替换:
- VIEW_ID:日志视图的标识符。
- BUCKET_NAME:日志存储桶的名称。
- LOCATION:日志存储桶的位置。
执行 gcloud logging views delete
命令:
Linux、macOS 或 Cloud Shell
gcloud logging views delete VIEW_ID --bucket=BUCKET_NAME --location=LOCATION
Windows (PowerShell)
gcloud logging views delete VIEW_ID --bucket=BUCKET_NAME --location=LOCATION
Windows (cmd.exe)
gcloud logging views delete VIEW_ID --bucket=BUCKET_NAME --location=LOCATION
响应会确认删除。例如,下面显示了对删除名为 tester
的日志视图的响应:
Deleted [tester].
描述日志视图
如需检索有关日志视图的详细信息,请使用 gcloud logging views describe
命令。如果您不知道数据视图 ID,请参阅列出日志视图。
在使用下面的命令数据之前,请先进行以下替换:
- VIEW_ID:日志视图的标识符。
- BUCKET_NAME:日志存储桶的名称。
- LOCATION:日志存储桶的位置。
执行 gcloud logging views describe
命令:
Linux、macOS 或 Cloud Shell
gcloud logging views describe VIEW_ID --bucket=BUCKET_NAME --location=LOCATION
Windows (PowerShell)
gcloud logging views describe VIEW_ID --bucket=BUCKET_NAME --location=LOCATION
Windows (cmd.exe)
gcloud logging views describe VIEW_ID --bucket=BUCKET_NAME --location=LOCATION
响应始终包含日志视图的说明和完全限定名称。如果过滤条件字段不为空,则过滤器还会包含过滤条件。以下是一个示例响应:
createTime: '2024-02-20T17:41:17.405162921Z' filter: resource.type="gce_instance" name: projects/my-project/locations/global/buckets/my-bucket/views/compute updateTime: '2024-02-20T17:41:17.405162921Z'
查看与日志视图关联的日志
如需在日志视图中查看日志,请确保您拥有日志视图的 Logs View Accessor (roles/logging.viewAccessor
) 角色:
-
在 Google Cloud 控制台中,转到 Logs Explorer 页面。
如果您使用搜索栏查找此页面,请选择子标题为 Logging 的结果。
点击优化范围以显示优化范围面板。在这里,您可以选择要用于查看日志的日志存储桶和日志视图。
如需了解详情,请参阅 Logs Explorer 文档。