Afficher les journaux d'audit pour les sauvegardes automatiques

Cette page explique comment afficher le journal d'audit d'une sauvegarde automatique de votre instance Cloud SQL.

Vous pouvez utiliser les journaux d'audit pour effectuer les opérations suivantes :

Afficher un journal d'audit pour vérifier si la sauvegarde a abouti.
Configurer une alerte basée sur les journaux pour vous informer de l'état de la sauvegarde.

Consulter un journal d'audit

Vous pouvez utiliser la console Google Cloud, gcloud CLI ou l'API pour afficher un journal d'audit et vérifier si une sauvegarde a bien été effectuée dans un intervalle de sauvegarde.

Console

Dans la console Google Cloud, sélectionnez Logging, puis Explorateur de journaux.

Accéder à l'explorateur de journaux
Pour filtrer les journaux d'audit pour les sauvegardes automatiques des instances Cloud SQL, exécutez la requête suivante :
```
logName="projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event"
protoPayload.methodName="cloudsql.instances.automatedBackup"
resource.type="cloudsql_database"
```
Remplacez PROJECT_ID par l'ID de votre projet Google Cloud.

La première expression filtre les journaux d'audit des événements système. La deuxième expression filtre les journaux d'audit pour les sauvegardes automatiques. L'expression finale filtre les journaux d'audit des instances Cloud SQL.

Pour en savoir plus sur l'utilisation de la console Google Cloud pour interroger des journaux d'audit, consultez la page Afficher les journaux.
Affichez l'état d'une sauvegarde créée pendant l'intervalle de sauvegarde. Cet état s'affiche dans le champ windowStatus. Pour afficher ce champ, procédez comme suit :
1. Cliquez sur le journal d'audit.
2. Cliquez sur le champ metadata.

gcloud

Pour filtrer les journaux d'audit pour les sauvegardes automatiques des instances Cloud SQL, exécutez la requête suivante :
```
gcloud logging read \
"logName=projects/PROJECT_NAME/logs/cloudaudit.googleapis.com%2Fsystem_event
AND protoPayload.methodName=cloudsql.instances.automatedBackup AND
resource.type=cloudsql_database" \
    --project=PROJECT_NAME
```
Remplacez PROJECT_NAME par le nom de votre projet Google Cloud.

La première expression filtre les journaux d'audit des événements système. La deuxième expression filtre les journaux d'audit pour les sauvegardes automatiques. L'expression finale filtre les journaux d'audit des instances Cloud SQL.

Pour en savoir plus sur l'utilisation de gcloud pour interroger des journaux d'audit, consultez la page Afficher les journaux.
Affichez l'état d'une sauvegarde créée pendant l'intervalle de sauvegarde. Cet état s'affiche dans le champ windowStatus.

API

Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :

PROJECT_ID : ID de votre projet Google Cloud.

Pour le corps JSON de la requête, la première expression filtre les journaux d'audit des événements système. La deuxième expression filtre les journaux d'audit pour les sauvegardes automatiques. L'expression finale filtre les journaux d'audit des instances Cloud SQL.

Pour en savoir plus sur l'utilisation de l'API pour interroger des journaux d'audit, consultez la page Afficher les journaux.

Méthode HTTP et URL :

POST https://logging.googleapis.com/v2/entries:list

Corps JSON de la requête :

{
     "resourceNames": [
     "projects/PROJECT_ID"
      ],
     "pageSize": 5,
     "filter": "logName=projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event AND protoPayload.methodName = cloudsql.instances.automatedBackup AND resource.type=cloudsql_database",
     "orderBy": "timestamp desc"
}

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Remarque : La commande suivante suppose que vous êtes connecté à la gcloud CLI avec votre compte utilisateur, via la commande gcloud init ou gcloud auth login, ou en utilisant Cloud Shell, qui vous connecte automatiquement à la gcloud CLI. Vous pouvez exécuter la commande gcloud auth list pour vérifier quel est le compte actuellement actif.

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante :

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://logging.googleapis.com/v2/entries:list"

PowerShell (Windows)

Remarque : La commande suivante suppose que vous vous êtes connecté à la gcloud CLI avec votre compte utilisateur en exécutant la commande gcloud init ou gcloud auth login. Vous pouvez exécuter la commande gcloud auth list pour vérifier quel est le compte actuellement actif.

Enregistrez le corps de la requête dans un fichier nommé request.json, puis exécutez la commande suivante :

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://logging.googleapis.com/v2/entries:list" | Select-Object -Expand Content

Vous devriez recevoir une réponse JSON de ce type :

Réponse

{
  "entries": [
    {
      "protoPayload": {
        "@type": "type.googleapis.com/google.cloud.audit.AuditLog",
        "status": {
          "message": "OK"
        },
        "authenticationInfo": {},
        "requestMetadata": {
          "requestAttributes": {},
          "destinationAttributes": {}
        },
        "serviceName": "cloudsql.googleapis.com",
        "methodName": "cloudsql.instances.automatedBackup",
        "resourceName": "projects/PROJECT_ID/instances/INSTANCE_NAME",
        "metadata": {
          "windowStartTime": "2022-12-15T13:00:00Z",
          "message": "",
          "windowStatus": "STATUS_SUCCEEDED",
          "@type": "type.googleapis.com/speckle.AutomatedBackupEventLog",
          "windowEndTime": "2022-12-15T17:00:00Z",
          "backupCompletionTime": "2022-12-15T14:11:57.347Z",
          "backupStartTime": "2022-12-15T14:11:16.631Z"
        }
      },
      "insertId": "LOG_ENTRY_UNIQUE_IDENTIFIER",
      "resource": {
        "type": "cloudsql_database",
        "labels": {
          "region": "REGION_NAME",
          "project_id": "PROJECT_ID",
          "database_id": "DATABASE_ID"
        }
      },
      "timestamp": "2022-12-15T14:11:57.391565Z",
      "severity": "INFO",
      "logName": "projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event",
      "receiveTimestamp": "2022-12-15T14:11:57.785814800Z"
    },
 ],
}

Pour en savoir plus sur LOG_ENTRY_UNIQUE_IDENTIFIER pour le champ insertId, consultez l'élément LogEntry.

Affichez l'état d'une sauvegarde créée pendant l'intervalle de sauvegarde. Cet état s'affiche dans le champ windowStatus.

États des sauvegardes automatiques

STATUS_SUCCEEDED : la sauvegarde automatique a bien été effectuée.
STATUS_ATTEMPT_FAILED : Cloud SQL a tenté de créer la sauvegarde, mais la sauvegarde n'a pas démarré ou a échoué. Les raisons de cet état sont les suivantes :
- Une autre sauvegarde est en cours d'exécution sur l'instance.
- L'emplacement de sauvegarde est limité par votre règle d'administration.
- La sauvegarde de l'instance s'est terminée, mais renvoie une erreur.
- L'instance n'était pas en cours d'exécution lorsque Cloud SQL a tenté de créer la sauvegarde.
STATUS_FAILED : la sauvegarde automatique de l'instance n'a pas abouti ou ne peut pas être terminée dans l'intervalle de sauvegarde.

Par exemple, si vous avez activé les sauvegardes automatiques et que vous avez planifié l'intervalle de sauvegarde entre 1h et 5h, la sauvegarde peut échouer si vous avez de nombreuses opérations EXPORT pendant cette période. Les sauvegardes automatiques peuvent également échouer en cas de conflits trop nombreux avec une opération EXPORT qui s'exécute pendant une longue période.

Si Cloud SQL tente de créer une sauvegarde plusieurs fois au cours d'un intervalle de sauvegarde, mais que la sauvegarde ne peut pas être créée pour les raisons indiquées dans STATUS_ATTEMPT_FAILED, Cloud SQL génère un autre journal d'audit avec le champ windowStatus défini sur STATUS_FAILED.
STATUS_SKIPPED : l'instance Cloud SQL a cessé de s'exécuter depuis la dernière sauvegarde réussie. Par conséquent, aucune sauvegarde automatique n'a été créée.

Configurer une alerte basée sur les journaux

Vous pouvez configurer une alerte basée sur les journaux pour vous informer de l'état de la sauvegarde.

Si une sauvegarde affiche l'état STATUS_SUCCEEDED, vous pouvez être informé à des fins de suivi.
Si une sauvegarde affiche l'état STATUS_FAILED ou STATUS_ATTEMPT_FAILED, vous pouvez être invité à prendre des mesures correctives en fonction du message qui apparaît dans l'entrée de journal. Vous pouvez également effectuer une sauvegarde à la demande avant le prochain intervalle de sauvegarde planifiée.
Si une sauvegarde affiche l'état STATUS_SKIPPED, vous pouvez être invité à redémarrer l'instance Cloud SQL.

Afficher les journaux d'audit pour les sauvegardes automatiques

Consulter un journal d'audit

Console

gcloud

API

curl (Linux, macOS ou Cloud Shell)

PowerShell (Windows)

Réponse

États des sauvegardes automatiques

Configurer une alerte basée sur les journaux

Étapes suivantes