ログバケットのログビューを構成する

このドキュメントでは、gcloud CLI を使用して Cloud Logging バケットのログビューを作成および管理する方法について説明します。ログビューを使用すると、ログバケット内のログにアクセスできるユーザーを高度かつ詳細に制御できます。

Logging のストレージモデルに関する一般的な情報については、ルーティングとストレージの概要をご覧ください。

ログビューについて

ログビューを使用すると、ログバケットに保存されているログのサブセットのみに対するアクセス権をユーザーに付与できます。たとえば、一元管理されたプロジェクトに組織のログを保存するシナリオを考えてみます。ログバケットにログを提供するプロジェクトごとに 1 つのログビューを作成できます。その後、各ユーザーに 1 つ以上のログビューへのアクセス権を付与し、ユーザーが表示できるログを制限できます。

Cloud Logging は、すべてのログバケットの _AllLogs ビューと、_Default ログバケットの _Default ビューを自動的に作成します。

_AllLogs ビュー: ログバケット内のすべてのログを表示できます。
_Default ビュー: ログバケット内のデータアクセス以外のすべての監査ログを表示できます。

Cloud Logging によって自動的に作成されたビューは変更できませんが、_AllLogs ビューは削除できます。

ログバケットごとに最大 30 個のログビューを作成できます。

各ログビューにはフィルタがあり、ビューに表示されるログエントリを制限します。フィルタには論理 AND 演算子や論理 NOT 演算子を含めることができますが、論理 OR 演算子を含めることはできません。フィルタは次のいずれかの値を比較できます。

source 関数を使用するデータソース。 source 関数は、組織、フォルダ、Google Cloud プロジェクトの階層内にある特定のリソースのログエントリを返します。
log_id 関数を使用するログ ID。log_id 関数は、logName フィールドの指定された LOG_ID 引数に一致するログエントリを返します。
resource.type= FIELD_NAME 比較を使用した有効なリソースタイプ。

たとえば、次のフィルタは、myproject という Google Cloud プロジェクトから Compute Engine stdout ログエントリをキャプチャします。

source("projects/myproject") AND resource.type = "gce_instance" AND log_id("stdout")

フィルタリング構文の詳細については、比較をご覧ください。

準備

ログビューを作成または更新する前に、次の手順を行います。

まだ行っていない場合は、適切な Google Cloud プロジェクトで、カスタムログビューを構成する Logging バケットを作成します。
ログビューの作成、表示、更新、削除に必要な権限を取得するには、プロジェクトに対するログ構成書き込み（roles/logging.configWriter）の IAM ロールを付与するよう管理者に依頼してください。ロールの付与の詳細については、アクセスの管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。
Google Cloud CLI をインストールする。
ビューに表示するログを決定します。この情報を使用して、ログビューのフィルタを指定します。
ログビューにアクセスできるユーザーを決定します。roles/logging.viewAccessor のロールを持つプリンシパルは、任意のログビューでログを表示できます。ただし、Cloud Logging は IAM 条件をサポートしています。条件を使用すると、プリンシパルに特定のログビューへのアクセス権を付与できます。詳細については、ログビューへのアクセス権を付与するをご覧ください。

ログビューを作成する

ログビューを作成するには、gcloud logging views update コマンドを使用します。ログバケットごとに最大 30 個のログビューを作成できます。

後述のコマンドデータを使用する前に、次のように置き換えます。

VIEW_ID: ログビューの ID。
BUCKET_NAME: ログバケットの名前。
LOCATION: ログバケットのロケーション。
FILTER: ログビューを定義するフィルタ。空の場合、ログビューにはすべてのログが含まれます。たとえば、Compute Engine VM インスタンスのログでフィルタするには、「"resource.type=gce_instance"」を入力します。
DESCRIPTION: ログビューの説明。たとえば、説明 "Compute logs" に次のように入力します。

gcloud logging views create コマンドを実行します。

Linux、macOS、Cloud Shell

gcloud logging views create VIEW_ID --bucket=BUCKET_NAME --location=LOCATION --log-filter=FILTER --description=DESCRIPTION

Windows（PowerShell）

gcloud logging views create VIEW_ID --bucket=BUCKET_NAME --location=LOCATION --log-filter=FILTER --description=DESCRIPTION

Windows（cmd.exe）

gcloud logging views create VIEW_ID --bucket=BUCKET_NAME --location=LOCATION --log-filter=FILTER --description=DESCRIPTION

このコマンドはレスポンスを返しません。変更を確認するには、gcloud logging views list コマンドを実行します。

ログバケットのログビューを一覧表示する

ログバケット用に作成されたログビューを一覧表示するには、gcloud logging views list コマンドを使用します。

後述のコマンドデータを使用する前に、次のように置き換えます。

BUCKET_NAME: ログバケットの名前。
LOCATION: ログバケットのロケーション。

gcloud logging views list コマンドを実行します。

Linux、macOS、Cloud Shell

gcloud logging views list --bucket=BUCKET_NAME --location=LOCATION

Windows（PowerShell）

gcloud logging views list --bucket=BUCKET_NAME --location=LOCATION

Windows（cmd.exe）

gcloud logging views list --bucket=BUCKET_NAME --location=LOCATION

レスポンスデータはログビューのリストです。ログビューごとに、作成日と最終更新日とともにフィルタが表示されます。作成日と更新日が空の場合、Google Cloud プロジェクトの作成時にログビューが作成されました。次の出力例は、クエリが実行されたログバケット上の 2 つのビュー ID（_AllLogs と compute）であることを示しています。

VIEW_ID: _AllLogs
FILTER:
CREATE_TIME:
UPDATE_TIME:

VIEW_ID: compute
FILTER: resource.type="gce_instance"
CREATE_TIME: 2024-02-20T17:41:17.405162921Z
UPDATE_TIME: 2024-02-20T17:41:17.405162921Z

ログビューへのアクセス権を付与する

Google Cloud プロジェクトに対して roles/logging.viewAccessor のロールを持つプリンシパルは、任意のログビューでログを表示できます。ただし、Cloud Logging は IAM 条件をサポートしています。条件を使用すると、プリンシパルに特定のログビューへのアクセス権を付与できます。

IAM 条件は、Google Cloud プロジェクトのロールバインディングで指定されます。許可ポリシーには、同じロールと同じプリンシパルを含むが、条件式が異なるロールバインディングの上限が 20 個あります。

ユーザーがログにアクセスできるようにするためビューに追加するには、次の手順を実行します。

gcloud

プロジェクトの IAM ポリシーを取得し、ローカルファイルに JSON 形式で書き込みます。次のコマンドを実行する前に、PROJECT_ID をログバケットを含むプロジェクトの ID に置き換えます。
```
gcloud projects get-iam-policy PROJECT_ID --format json > output.json
```
作成した JSON ファイルを編集し、作成したログバケットからユーザーが読み取ることができる IAM 条件を追加します。

たとえば、次の例では、1 つのログビューに対してのみ、指定したメンバーに "roles/logging.viewAccessor" のロールを付与するバインディングを指定しています。
```
{
  "bindings": [
    {
      "members": [
        "user:username@gmail.com"
      ],
      "role": "roles/logging.viewAccessor",
      "condition": {
          "title": "Bucket reader condition example",
          "description": "Grants logging.viewAccessor role to user username@gmail.com for the VIEW_ID log view.",
          "expression":
            "resource.name == \"projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME/views/VIEW_ID\""
      }
    }
  ],
  "etag": "BwWd_6eERR4=",
  "version": 3
}
```
注: まだポリシーで IAM Conditions を使用していない場合は、バージョンを変更する必要があります。必ずバージョン 3 を指定してください。ポリシーバージョンの詳細については、IAM ドキュメントのポリシーについてをご覧ください。

IAM ポリシーを更新します。

gcloud projects set-iam-policy PROJECT_ID output.json

コンソール

ログバケットを作成したプロジェクトで、次の操作を行います。

Google Cloud コンソールのナビゲーションパネルで [IAM] を選択します。
[IAM] に移動
[ アクセスを許可] をクリックします。
[新しいプリンシパル] 項目に、ユーザーのメールアカウントを追加します。
[ロールを選択] プルダウンメニューで [ログビューアクセサー] を選択します。

このロールは、すべてのビューに対する読み取りアクセス権をユーザーに付与します。ユーザーによる特定のビューへのアクセスを制限するには、リソース名に基づいて条件を追加します。
1. [IAM の条件を追加] をクリックします。
2. 条件の [タイトル] と [説明] を入力します。
3. [条件タイプ] のプルダウンメニューで、[リソース] > [名前] を選択します。
4. [Operator] プルダウンメニューで [=] を選択します。
5. [値] フィールドに、ビューへのフルパスを含む、ログビューの ID を入力します。
  
  次に例を示します。
```
projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME/views/VIEW_ID
```
6. [保存] をクリックして、条件を追加します。
[保存] をクリックして、権限を設定します。

ログビューを更新する

ログビューを更新または変更するには、gcloud logging views update コマンドを使用します。ビュー ID がわからない場合は、ログビューを一覧表示するをご覧ください。

後述のコマンドデータを使用する前に、次のように置き換えます。

VIEW_ID: ログビューの ID。
BUCKET_NAME: ログバケットの名前。
LOCATION: ログバケットのロケーション。
FILTER: ログビューを定義するフィルタ。空の場合、ログビューにはすべてのログが含まれます。たとえば、Compute Engine VM インスタンスのログでフィルタするには、「"resource.type=gce_instance"」を入力します。
DESCRIPTION: ログビューの説明。たとえば、説明 "New description for the log view" に次のように入力します。

gcloud logging views update コマンドを実行します。

Linux、macOS、Cloud Shell

gcloud logging views update VIEW_ID --bucket=BUCKET_NAME --location=LOCATION --log-filter=FILTER --description=DESCRIPTION

Windows（PowerShell）

gcloud logging views update VIEW_ID --bucket=BUCKET_NAME --location=LOCATION --log-filter=FILTER --description=DESCRIPTION

Windows（cmd.exe）

gcloud logging views update VIEW_ID --bucket=BUCKET_NAME --location=LOCATION --log-filter=FILTER --description=DESCRIPTION

このコマンドはレスポンスを返しません。変更を確認するには、gcloud logging views describe コマンドを実行します。

ログビューを削除する

ログビューを削除するには、gcloud logging views delete コマンドを使用します。ビュー ID がわからない場合は、ログビューを一覧表示するをご覧ください。

後述のコマンドデータを使用する前に、次のように置き換えます。

VIEW_ID: ログビューの ID。
BUCKET_NAME: ログバケットの名前。
LOCATION: ログバケットのロケーション。

gcloud logging views delete コマンドを実行します。

Linux、macOS、Cloud Shell

gcloud logging views delete VIEW_ID --bucket=BUCKET_NAME --location=LOCATION

Windows（PowerShell）

gcloud logging views delete VIEW_ID --bucket=BUCKET_NAME --location=LOCATION

Windows（cmd.exe）

gcloud logging views delete VIEW_ID --bucket=BUCKET_NAME --location=LOCATION

レスポンスで削除が確認されます。たとえば、tester という名前のログビューを削除した場合のレスポンスは次のようになります。

Deleted [tester].

ログビューについて説明する

ログビューの詳細情報を取得するには、gcloud logging views describe コマンドを使用します。ビュー ID がわからない場合は、ログビューを一覧表示するをご覧ください。

後述のコマンドデータを使用する前に、次のように置き換えます。

VIEW_ID: ログビューの ID。
BUCKET_NAME: ログバケットの名前。
LOCATION: ログバケットのロケーション。

gcloud logging views describe コマンドを実行します。

Linux、macOS、Cloud Shell

gcloud logging views describe VIEW_ID --bucket=BUCKET_NAME --location=LOCATION

Windows（PowerShell）

gcloud logging views describe VIEW_ID --bucket=BUCKET_NAME --location=LOCATION

Windows（cmd.exe）

gcloud logging views describe VIEW_ID --bucket=BUCKET_NAME --location=LOCATION

レスポンスには常に、ログビューの説明と完全修飾名が含まれます。フィルタフィールドが空でない場合、フィルタも含まれます。レスポンスの例を次に示します。

createTime: '2024-02-20T17:41:17.405162921Z'
filter: resource.type="gce_instance"
name: projects/my-project/locations/global/buckets/my-bucket/views/compute
updateTime: '2024-02-20T17:41:17.405162921Z'

ログビューに関連付けられたログの表示

ログビューでログを表示するには、ログビューのログビューアクセサー（roles/logging.viewAccessor）のロールがあることを確認します。

Google Cloud コンソールのナビゲーションパネルで、[ロギング] を選択してから、[ログエクスプローラ] を選択します。
[ログエクスプローラ] に移動
[範囲を絞り込む] をクリックして、[範囲を絞り込む] パネルを表示します。ここで、ログの表示に使用するログバケットとログビューを選択できます。

[範囲を絞り込む] パネル

詳細については、ログエクスプローラのドキュメントをご覧ください。

次のステップ

フィールドレベルのアクセスを構成する。