Questa pagina è stata tradotta dall'API Cloud Translation.

Configurare il logging multi-tenant

Autopilot Standard

Questa pagina spiega come configurare il logging multi-tenant per i cluster di Google Kubernetes Engine (GKE).

È normale che più team condividano un singolo cluster GKE. La condivisione di un cluster offre diversi vantaggi, tra cui il rilevamento più facile dei servizi, la sicurezza semplificata e la possibilità per gli amministratori di cluster di gestire meno cluster. Tuttavia, i singoli team di applicazioni hanno spesso un proprio progetto separato. Questa struttura, che ha un cluster GKE principale, ma spazi dei nomi distinti per ogni team di applicazioni, è chiamata multitenancy. Il progetto del team di applicazioni è chiamato tenant.

Con Google Cloud, gli amministratori dei cluster GKE possono creare un sistema in cui i log del cluster rimangono nel progetto GKE principale e i log dei tenant vengono distribuiti ai progetti tenant. Per configurare i log in questo modo, utilizza il router dei log. Lo strumento Log Router ti consente di controllare il flusso dei log all'interno del tuo progetto Google Cloud e il loro inoltro alle destinazioni supportate.

Per creare log specifici per tenant, l'amministratore del cluster crea un sink per instradare le voci di log al progetto di ciascun tenant. In ogni progetto del tenant, i singoli team possono controllare la modalità di archiviazione e utilizzo dei log, ad esempio monitorandoli mediante la configurazione di metriche e avvisi basati su log.

Consigliamo che i sink _Default nei progetti GKE principali includano un filtro di esclusione. Il filtro di esclusione impedisce l'importazione dei log del tenant sia nel progetto GKE principale sia nel progetto del tenant.

Prerequisiti

Acquisisci familiarità con i seguenti documenti relativi al multitenancy e al routing:
Assicurati di avere un progetto tenant e un progetto principale esistenti.

Configurare il logging multi-tenant

Puoi configurare la registrazione multi-tenant utilizzando Google Cloud CLI o la console Google Cloud .

gcloud

Per configurare il logging multi-tenant per i cluster GKE, completa i seguenti passaggi:

Imposta le seguenti variabili di ambiente:
```
export TENANT_NAMESPACE="TENANT_NAMESPACE"
export MAIN_PROJECT="MAIN_PROJECT_ID"
export TENANT_PROJECT="TENANT_PROJECT_ID"
```
Sostituisci quanto segue:
- TENANT_NAMESPACE: il nome dello spazio dei nomi del progetto tenant
- MAIN_PROJECT_ID: l'ID del progetto principale
- TENANT_PROJECT_ID: l'ID del progetto tenant
Crea uno spazio dei nomi nel cluster multi-tenant:
```
kubectl create namespace $TENANT_NAMESPACE
```
Crea un sink di log nel progetto GKE principale:
```
gcloud logging sinks create gke-$TENANT_NAMESPACE-sink \
logging.googleapis.com/projects/$TENANT_PROJECT \
    --project=$MAIN_PROJECT \
    --log-filter=resource.labels.namespace_name="$TENANT_NAMESPACE" \
    --description="Log sink to $TENANT_PROJECT for $TENANT_NAMESPACE namespace"
```
Questo comando crea un sink di log che invia tutti i log relativi allo spazio dei nomi $TENANT_NAMESPACE al progetto tenant.

Potresti dover utilizzare un --log-filter più restrittivo. Ad esempio, se il cluster e il tenant hanno lo stesso spazio dei nomi, aggiungi un filtro per cluster.

Per ulteriori informazioni su questi campi, consulta la documentazione dell'API gcloud logging sinks create.

Recupera l'identità dell'autore dal sink nel progetto principale e assegnala a una variabile di ambiente.

export SERVICE_ACCOUNT=$(gcloud logging sinks describe gke-$TENANT_NAMESPACE-sink \
    --project=$MAIN_PROJECT \
    --format='value(writerIdentity)')

Concedi il ruolo Scrittore di log (logging.bucketWriter) all'account di servizio utilizzato dal sink. Il seguente comando concede al progetto principale le autorizzazioni per scrivere log nel progetto tenant:

 gcloud projects add-iam-policy-binding $TENANT_PROJECT \
     --member=$SERVICE_ACCOUNT --role='roles/logging.logWriter' \
     --condition="expression=resource.name.endsWith(\"projects/$TENANT_PROJECT\"),title=Log writer for $TENANT_NAMESPACE,description=Grants Logs Writer role to service account $SERVICE_ACCOUNT used by gke-$TENANT_NAMESPACE-sink"

Per ulteriori informazioni su questi campi, consulta la documentazione dell'API gcloud projects add-iam-policy-binding.

Se vuoi, crea un filtro di esclusione per il sink che inoltra i log al bucket _Default del progetto principale. Se non crei un filtro di esclusione nel bucket _Default, i log con routing verranno visualizzati sia nel bucket _Default del progetto principale sia nel bucket di log del tenant. Per creare un filtro di esclusione:
```
gcloud logging sinks update _Default --project=$MAIN_PROJECT \
    --add-exclusion="name=gke-$TENANT_NAMESPACE-default-exclusion,description=\"Exclusion filter on the _Default bucket for $TENANT_NAMESPACE\",filter=resource.labels.namespace_name=\"$TENANT_NAMESPACE\""
```
Per ulteriori informazioni su questi campi, consulta la documentazione dell'API gcloud logging sinks update.

Console

Per implementare il logging multi-tenant per GKE, completa i seguenti passaggi:

Crea il sink di log nel progetto principale:
1. Utilizza il selettore di progetti della console Google Cloud per selezionare il progetto GKE principale.
2. Nella console Google Cloud , vai alla pagina Log Router:
  Vai a Router dei log
  
  Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Logging.
3. Nella pagina Router dei log, fai clic su Crea sink.
4. Inserisci un Nome e una Descrizione per la destinazione e poi fai clic su Avanti.
5. Nel menu Seleziona il servizio sink, seleziona Altro progetto.
6. Nel campo Destinazione sink, aggiungi la seguente destinazione:
```
logging.googleapis.com/projects/TENANT_PROJECT_ID
```
  Sostituisci TENANT_PROJECT_ID con l'ID del progetto del tuo tenant.
7. Fai clic su Avanti.
8. In Crea filtro di inclusione, aggiungi il seguente filtro:
```
resource.labels.namespace_name="TENANT_NAMESPACE"
```
  Sostituisci TENANT_NAMESPACE con il nome dello spazio dei nomi del progetto del tenant.
  
  Potresti voler utilizzare un filtro di inclusione più restrittivo. Ad esempio, se il tuo cluster e il tuo tenant hanno lo stesso spazio dei nomi, valuta la possibilità di aggiungere una clausola per includere solo le voci di log per un cluster specifico.
9. Fai clic su Crea sink. Il nuovo sink viene visualizzato nell'elenco Sink del router dei log.
Copia l'identità dello scrittore della destinazione negli appunti:
1. Nella pagina Router dei log, individua il sink di log.
2. Per il sink, fai clic su Altro e poi seleziona Visualizza dettagli sink.
3. Nel riquadro Dettagli della destinazione, individua il campo Identità autore, quindi copia il valore nella clipboard. Ometti serviceAccount: dal valore copiato.
Nota: se il campo Identità autore per lo scommettitore elenca il valore Nessuna, significa che lo scommettitore inoltra le voci di log a un bucket di log nel attuale Google Cloud project. In altre parole, non hai configurato il sink per instradare le voci di log a un progetto tenant. Per informazioni su come indirizzare le voci di log a un bucket di log nello stesso progetto Google Cloud , consulta Configurare e gestire i sink.
Nel progetto del tenant, concedi il ruolo Scrittore di log (roles/logging.logWriter) all'account di servizio utilizzato dal sink del progetto principale. Il progetto principale ha bisogno di questa autorizzazione per scrivere log nel progetto del tenant.
1. Nella console Google Cloud , vai alla pagina IAM:
  Vai a IAM
  
  Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo IAM e amministrazione.
2. Fai clic su Concedi accesso.
3. Nel campo Nuove entità, aggiungi l'account di servizio dell'eseguiamo.
4. Nell'elenco a discesa Seleziona un ruolo, seleziona Logging e scegli Scrittore di log.
5. Fai clic su Salva.
Se vuoi, crea un filtro di esclusione nel bucket _Default del progetto principale per impedire la scrittura dei log instradati a un progetto tenant nel bucket di log _Default del progetto principale:
1. Nella console Google Cloud , vai alla pagina Log Router:
  Vai a Router dei log
  
  Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Logging.
2. Accanto al bucket _Default, fai clic su Altro e seleziona Modifica destinazione.
3. Nella sezione Scegli i log da escludere dal sink, fai clic su Aggiungi esclusione.
4. Aggiungi un nome al filtro.
5. Nella casella Crea un filtro di esclusione, aggiungi quanto segue:
```
resource.labels.namespace_name="TENANT_NAMESPACE"
```
6. Fai clic su Aggiorna destinazione.

Verifica i log del tenant

Dopo aver iniziato a utilizzare i workload che utilizzano TENANT_NAMESPACE, puoi verificare che il progetto del tenant riceva log specifici del tenant:

Seleziona il progetto del tenant utilizzando il selettore di progetti della console Google Cloud .
Nella console Google Cloud , vai alla pagina Esplora log:
Vai a Esplora log

Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Logging.
Nel campo dell'editor di query, esegui la seguente query:
```
resource.labels.namespace_name="TENANT_NAMESPACE"
```
Nel riquadro Risultati delle query, dovresti vedere i log specifici del tenant che sono stati indirizzati dal progetto principale.

Utilizzare i log del tenant

Nei progetti del tenant, ogni team può controllare in che modo i log vengono instradati, archiviati e analizzati. Dopo che i log sono stati inoltrati ai progetti del tenant, i singoli team di applicazioni possono scegliere di inoltrarli a destinazioni supportate come i bucket di log o a destinazioni di terze parti utilizzando Pub/Sub. Per informazioni sull'instradamento delle voci di log, consulta Eseguire il routing dei log verso destinazioni supportate.

I singoli team di applicazioni possono anche configurare avvisi in base ai contenuti dei log o alle metriche ricavate dai log. Per ulteriori informazioni, consulta Monitorare i log.

Esegui la pulizia

Puoi rimuovere gli oggetti che hai creato per la registrazione multi-tenant utilizzando la consolegcloud o Google Cloud .

gcloud

Per rimuovere gli oggetti che hai creato per la registrazione multi-tenant, completa i seguenti passaggi:

Imposta le variabili per semplificare i seguenti comandi:
```
export TENANT_NAMESPACE="TENANT_NAMESPACE"
export MAIN_PROJECT="MAIN_PROJECT_ID"
export TENANT_PROJECT="TENANT_PROJECT_ID"
```
Sostituisci quanto segue:
- TENANT_NAMESPACE: il nome dello spazio dei nomi del progetto tenant
- MAIN-PROJECT-ID: l'ID del progetto principale
- TENANT-PROJECT-ID: l'ID del progetto tenant

Rimuovi il ruolo Scrittore di log (roles/logging.logWriter) dall'account di servizio nel progetto dell'account cliente:

export SERVICE_ACCOUNT=$(gcloud logging sinks describe gke-$TENANT_NAMESPACE-sink \
    --project=$MAIN_PROJECT | \
    --format='value(writerIdentity)'

gcloud projects remove-iam-policy-binding $TENANT_PROJECT \
    --member=$SERVICE_ACCOUNT \
    --role='roles/logging.logWriter' \
    --all

Elimina il sink di log:

gcloud logging sinks delete gke-$TENANT_NAMESPACE-sink \
    --project=$MAIN_PROJECT

Elimina lo spazio dei nomi:

kubectl delete namespace $TENANT_NAMESPACE

Console

Nel progetto del tenant, rimuovi il ruolo Scrittore di log (roles/logging.logWriter) dall'account di servizio:
1. Nella console Google Cloud , vai alla pagina IAM:
  Vai a IAM
  
  Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo IAM e amministrazione.
2. Per l'account di servizio che vuoi eliminare, fai clic su Modifica entità.
3. Nel riquadro Modifica accesso, fai clic su Elimina ruolo accanto al ruolo Scrittore di log e poi su Salva.
Nel progetto principale, elimina l'sink di log:
1. Utilizza il selettore di progetti della console Google Cloud per selezionare il progetto GKE del tenant.
2. Nella console Google Cloud , vai alla pagina Log Router:
  Vai a Router dei log
  
  Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Logging.
3. In corrispondenza della cassetta di scarico che vuoi eliminare, fai clic su Altro.
4. Seleziona Elimina destinazione.
5. Nel riquadro di conferma, fai clic su Elimina.

Limitazioni

Il logging multi-tenant presenta le seguenti limitazioni:

La quota per il numero di destinazioni dei log per progetto è di 200. Se hai bisogno di più di 200 tenant, richiedi un aumento della quota aprendo una richiesta di assistenza.
Esiste un limite di 50 filtri di esclusione per separazione log. Se prevedi di avere più di 50 tenant, l'approccio del filtro di esclusione per il bucket _Default deve essere rivisto. In alternativa, puoi procedere nel seguente modo:
- Crea un singolo filtro di esclusione che escluda tutti gli spazi dei nomi non di sistema o non predefiniti utilizzando questo comando:
```
gcloud logging sinks update _Default \
--project=$MAIN_PROJECT \
--add-exclusion="name=gke-all-tenant-default-exclusion,description=\"Exclusion filter on the _Default bucket for all tenants\",filter=resource.labels.namespace_name !~ \"kube\" AND resource.labels.namespace_name !~ \"system\ AND resource.labels.namespace_name != \"Default\""
```
- Duplica i log tra il progetto del tenant e il progetto principale non creando il filtro di esclusione.

Passaggi successivi

Scopri le best practice per l'architettura multi-tenancy aziendale su GKE.