Regionalizza i log

Questa pagina descrive come archiviare i log in un bucket Cloud Logging in una regione designata. Per un elenco delle aree geografiche supportate, consulta Località.

Suggerimento: se vuoi applicare automaticamente una determinata regione di archiviazione ai nuovi bucket _Default e _Required creati nella tua organizzazione, puoi configurare una località delle risorse predefinita.

Questa guida illustra il processo utilizzando l'esempio di reindirizzamento di tutti i log alla regione europe-west1. Questa procedura prevede i seguenti passaggi:

1. Crea un bucket di log nella regione designata per l'archiviazione dei log.

2. Reindirizza il sink _Default per instradare i log al nuovo bucket di log.

3. Cerca i log in Esplora log.

4. (Facoltativo) Aggiorna il periodo di conservazione dei log.

Panoramica

In Logging, i bucket di log sono risorse di regione: l'infrastruttura che archivia, indicizza e cerca i log si trova in una posizione geografica specifica. Google gestisce l'infrastruttura in modo che le applicazioni siano disponibili in modo ridondante nelle zone all'interno della regione.

La tua organizzazione potrebbe dover archiviare i dati dei log in regioni specifiche. I fattori principali nella scelta della regione in cui sono archiviati i log includono il rispetto dei requisiti di latenza, disponibilità o conformità dell'organizzazione. Quando selezioni una regione per l'archiviazione dei log, considera le località degli altri prodotti e servizi Google Cloud utilizzati dalla tua applicazione.

Concetti fondamentali

I seguenti concetti chiave si applicano alla regione dei dati per Logging.

Posizioni del router dei log

Il router dei log elabora tutte le voci di log scritte nell'API Cloud Logging. Controlla ogni voce di log sulla base delle regole esistenti per determinare quali voci di log archiviare nei bucket di Logging e quali voci di log instradare alle destinazioni supportate utilizzando i sink. Per eseguire il routing in modo affidabile dei log, il router dei log archivia temporaneamente i log, in modo da eseguire il buffering in base a interruzioni temporanee su qualsiasi sink.

Il router dei log elabora i log nella regione in cui li ricevono. Il router dei log potrebbe inviare i log a una regione diversa in base alla definizione di un sink o se hai scelto di condividere i dati di log con un altro servizio Google come Security Command Center Threat Detection. I sink si applicano ai log in modo uguale e indipendentemente dalla regione.

Località dei bucket di log

I bucket di log sono i container nel progetto, nell'account di fatturazione, nella cartella e nell'organizzazione di Google Cloud e che archiviano e organizzano i dati dei log.

Per ogni progetto, account di fatturazione, cartella e organizzazione Google Cloud, Logging crea automaticamente due bucket di log: _Required e _Default, che sono impostati sulla località global. Non puoi modificare la località dei bucket esistenti. Tuttavia, l'organizzazione può creare un criterio che imposta una località predefinita diversa per questi bucket. Per ulteriori informazioni, consulta la pagina Configurare le impostazioni predefinite per le organizzazioni.

Puoi anche creare bucket definiti dall'utente per qualsiasi progetto Google Cloud. Quando crei un bucket definito dall'utente, puoi specificare una località region per l'archiviazione dei relativi dati dei log. Dopo aver creato il bucket, la località non può essere modificata, ma puoi creare un nuovo bucket e indirizzare i log a quel bucket utilizzando i sink. Per scoprire come impostare la regione per i bucket, consulta regionalizzare i log.

Logging supporta l'esecuzione di query sui log di più regioni contemporaneamente. In questo caso, le query vengono elaborate nelle stesse località dei bucket oggetto della query e poi aggregate nella regione da cui è stata ricevuta la query per restituire i risultati.

Prima di iniziare

Per completare la procedura indicata in questa guida, devi conoscere quanto segue:

• In quale progetto Google Cloud vuoi archiviare i log? In questa guida utilizziamo un progetto Google Cloud denominato logs-test-project.

• Quali sono il nome e la posizione del bucket di log in cui vuoi archiviare i log? In questa guida, il nome del bucket è region-1-logs-bucket e la località è europe-west1.

• Quali log vuoi includere? In questa guida sono inclusi tutti i log con routing dal sink _Default.

Aree geografiche supportate

Quando crei il bucket di log, puoi scegliere dove archiviare i log. Per un elenco delle aree geografiche supportate, vedi Località.

Crea il bucket di log

Nota: Error Reporting è un servizio globale basato su Cloud Logging e non analizza i log archiviati in bucket di log a livello di regione, i log con routing ad altri progetti o i log archiviati in bucket di log che utilizzano chiavi di crittografia gestite dal cliente.

I bucket di log archiviano i log che vengono instradati da altri progetti, cartelle o organizzazioni di Google Cloud. Per ulteriori informazioni, consulta Configurare i bucket di log.

Per creare il bucket nel progetto Google Cloud in cui vuoi archiviare i log, completa questi passaggi:

1. Vai alla console Google Cloud o fai clic sul pulsante seguente:

   Vai alla console Google Cloud

2. In un terminale, esegui questo comando per creare un bucket, sostituendo le parti in grassetto con le tue informazioni:

    gcloud logging buckets create region-1-logs-bucket \
      --location=europe-west1 \
      --project=logs-test-project
   

   Nota: dopo aver creato il bucket, non puoi modificare la regione.

3. Verifica che il bucket sia stato creato:

   gcloud logging buckets list --project=logs-test-project
   

Reindirizza il sink di log _Default

Puoi eseguire il routing dei log su un bucket di log creando un sink. Un sink include un filtro che seleziona le voci di log da esportare tramite il sink e una destinazione. In questa guida, aggiorniamo il sink _Default esistente per eseguire il routing dei log al nostro bucket region-1-logs-bucket.

Nota: il reindirizzamento del sink _Default garantisce che tutti i log futuri vengano inseriti nel bucket di log regionalizzato anziché nel bucket _Default, che è globale. Non puoi modificare il sink _Required, poiché i log vengono inseriti in un bucket globale diverso.

Per aggiornare il sink, esegui questo comando, sostituendo le parti in grassetto con le tue informazioni:

gcloud logging sinks update _Default \
  logging.googleapis.com/projects/logs-test-project/locations/europe-west1/buckets/region-1-logs-bucket \
  --log-filter='NOT LOG_ID("cloudaudit.googleapis.com/activity") AND NOT
    LOG_ID("externalaudit.googleapis.com/activity") AND NOT
    LOG_ID("cloudaudit.googleapis.com/system_event") AND NOT
    LOG_ID("externalaudit.googleapis.com/system_event") AND NOT
    LOG_ID("cloudaudit.googleapis.com/access_transparency") AND NOT
    LOG_ID("externalaudit.googleapis.com/access_transparency")' \
  --description="Updated the _Default sink to route logs to the europe-west1 region"

Nota: il log-filter mostrato nel comando è il filtro predefinito per il sink _Default. Il sink _Required indirizza questi log, quindi il sink _Default indirizza tutti gli altri log oltre a questi per evitare sovrapposizioni.

Crea una voce di log per testare il sink

Per verificare di aver aggiornato correttamente il sink, completa i seguenti passaggi:

1. Invia un messaggio di log di prova al bucket regionalizzato utilizzando il comando gcloud logging write, quindi attendi qualche minuto. Ad esempio:

   gcloud logging write TEST_LOG_NAME "Test to route logs to region-1-logs-bucket" --project=logs-test-project
   

   Nota: l'invio del messaggio di prova potrebbe richiedere diversi minuti.

2. Nel pannello di navigazione della console Google Cloud, seleziona Logging, quindi Esplora log:

   Vai a Esplora log

3. Nel riquadro Campo Log, seleziona il tipo di risorsa Globale.

4. La voce di log di test viene visualizzata nel riquadro Risultati delle query.

Eseguire ricerche nei log nella console Google Cloud

Dopo aver impostato le autorizzazioni nella sezione precedente, vai alla console Google Cloud e completa questi passaggi:

1. Nel pannello di navigazione della console Google Cloud, seleziona Logging, quindi Esplora log:

   Vai a Esplora log

2. Seleziona Perfeziona ambito.

3. Nel riquadro Perfeziona ambito, seleziona Ambito in base all'archiviazione.

4. Seleziona region-1-logs-bucket.

5. Fai clic su Applica.

6. Esplora log si aggiorna per mostrare i log del bucket.

   Per informazioni sull'utilizzo di Esplora log, consulta Utilizzo di Esplora log.

[Facoltativo] Aggiornamento del periodo di conservazione dei log del bucket

Per modificare il periodo di conservazione dei log nel bucket, esegui questo comando:

gcloud logging buckets update region-1-logs-bucket \
  --location=europe-west1 --project=logs-test-project \
  --retention-days=14

Passaggi successivi

• Visualizza tutti i servizi Google Cloud disponibili in località in tutto il mondo.

• Esplora concetti aggiuntivi basati sulla località, ad esempio le zone, che si applicano ad altri servizi Google Cloud.

• Leggi i seguenti white paper che forniscono best practice per la governance dei dati:

  • Dati dei log: una guida passo passo per superare i problemi di conformità più comuni

  • Governance dei dati: principi per la protezione e la gestione dei log