VPC Flow Logs を構成する

このページでは、VPC Flow Logs を構成する方法について説明します。このページは、VPC Flow Logs と VPC Flow Logs のレコードについてで説明されているコンセプトを理解していることを前提としています。

始める前に

VPC Flow Logs を使用すると、Virtual Private Cloud（VPC）サブネット、Cloud Interconnect の VLAN アタッチメント（プレビュー）、Cloud VPN トンネル（プレビュー）のフローログを構成できます。

VPC Flow Logs を構成する前に、次のタスクを完了します。

• サブネットで VPC Flow Logs を構成する場合は、次の操作を行います。

  1. Google Cloud プロジェクトで Compute Engine API を有効にします。

     Compute Engine API を有効にする

  2. プロジェクトで次のいずれかのロールがあることを確認します。

     • Compute 管理者のロール（roles/compute.admin）
     • Compute ネットワーク管理者のロール（roles/compute.networkAdmin）

• VLAN アタッチメントまたは Cloud VPN トンネルの VPC Flow Logs を構成する場合は、次の操作を行います。

  1. Google Cloud プロジェクトで Network Management API を有効にします。

     Network Management API を有効にする

  2. プロジェクトで Network Management 管理者のロール（roles/networkmanagement.admin）があることを確認します。

• 省略可: Google Cloud CLI を使用して VPC Flow Logs を構成する場合は、次の操作を行います。

  • In the Google Cloud console, activate Cloud Shell.

    Activate Cloud Shell

    At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

VPC Flow Logs を有効にする

VPC Flow Logs は、サブネット、VLAN アタッチメント、または Cloud VPN トンネルごとに有効にします。サブネットで VPC Flow Logs を有効にすると、サブネット内のすべての仮想マシン（VM）に対してロギングが有効になります。

ロギングに書き込まれる情報の量は変更できます。制御できるパラメータの詳細については、ログのサンプリングと処理をご覧ください。メタデータ フィールドをカスタマイズするには、gcloud CLI または API を使用します。

サブネットの VPC Flow Logs を有効にする

VPC Flow Logs は、サブネットの作成時に有効にするか、既存のサブネットに対して有効にできます。

サブネットの作成時に VPC Flow Logs を有効にする

コンソール

1. Google Cloud コンソールの [VPC ネットワーク] ページに移動します。

   [VPC ネットワーク] に移動

2. サブネットを追加するネットワークをクリックします。

3. [サブネットを追加] をクリックします。

4. [フローログ] で [オン] を選択します。

5. 省略可: [集計間隔] と、[詳細設定] セクションの次のいずれかの設定を調整します。

   • ログのフィルタリングを構成するかどうか。デフォルトでは、[フィルタに一致するログのみ保持] は選択されていません。
   • 最終ログエントリにメタデータを含めるかどうか。デフォルトでは、[メタデータ アノテーション] にはすべてのフィールドが含まれます。
   • セカンダリ サンプリング レート。50% では、プライマリ フローログのサンプリング プロセスによって生成されたエントリの半分が保持されます。プライマリ フローログのサンプリング レートは構成できません。詳細については、ログのサンプリングと処理をご覧ください。

6. 必要に応じて他のフィールドに値を入力します。

7. [追加] をクリックします。

gcloud

次のコマンドを実行します。

gcloud compute networks subnets create SUBNET_NAME \
    --enable-flow-logs \
    [--logging-aggregation-interval=AGGREGATION_INTERVAL] \
    [--logging-flow-sampling=SAMPLING_RATE] \
    [--logging-filter-expr=FILTER_EXPRESSION] \
    [--logging-metadata=LOGGING_METADATA] \
    [--logging-metadata-fields=METADATA_FIELDS] \
    [other flags as needed]

次のように置き換えます。

• AGGREGATION_INTERVAL: サブネットのフローログの集計間隔。間隔は、5 秒（デフォルト）、30 秒、1 分、5 分、10 分、15 分のいずれかに設定できます。
• SAMPLING_RATE: セカンダリ フローのサンプリング レート。セカンダリ フローのサンプリングは、0.0（サンプリングなし）から 1.0（すべてのログ）の範囲で設定できます。デフォルトは 0.5 です。詳細については、ログのサンプリングと処理をご覧ください。
• FILTER_EXPRESSION: 保持するログを定義する式です。式は 2,048 文字以内に制限されています。詳細については、ログのフィルタリングをご覧ください。

• LOGGING_METADATA: ログに含めるメタデータ アノテーション。

  • すべてのメタデータ アノテーションを含める場合は、include-all を使用します。
  • すべてのメタデータ アノテーションを除外するには、exclude-all を使用します（デフォルト）。
  • METADATA_FIELDS で指定するメタデータ フィールドのカスタムリストを含める場合は、custom を使用します。
  注: 2021 年 3 月 1 日より前にサブネットでフローログを有効にしていて、LOGGING_METADATA が明示的に構成されていない場合、LOGGING_METADATA のデフォルト値は include-all です。

• METADATA_FIELDS: ログに含めるメタデータ フィールドのカンマ区切りのリスト。たとえば、src_instance,dst_instance のようにします。LOGGING_METADATA が custom に設定されている場合にのみ設定できます。

API

新しいサブネットの作成時に VPC Flow Logs を有効にします。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks
{
  "logConfig": {
    "aggregationInterval": "AGGREGATION_INTERVAL",
    "flowSampling": SAMPLING_RATE,
    "filterExpr": EXPRESSION,
    "metadata": METADATA_SETTING,
    "metadataFields": METADATA_FIELDS,
    "enable": true
  },
  "ipCidrRange": "IP_RANGE",
  "network": "NETWORK_URL",
  "name": "SUBNET_NAME"
}

次のように置き換えます。

• PROJECT_ID: サブネットを作成するプロジェクトの ID。
• REGION: サブネットが作成されるリージョン。
• AGGREGATION_INTERVAL: サブネット内のフローログの集計間隔。間隔は、INTERVAL_5_SEC、INTERVAL_30_SEC、INTERVAL_1_MIN、INTERVAL_5_MIN、INTERVAL_10_MIN、INTERVAL_15_MIN のいずれかに設定できます。
• SAMPLING_RATE: フロー サンプリング レート。フロー サンプリングは、0.0（サンプリングなし）から1.0（すべてのログ）の範囲で設定できます。デフォルトは .0.5 です。
• EXPRESSION: 実際に書き込まれるログをフィルタリングするために使用するフィルタ式。式は 2,048 文字以内に制限されています。詳細については、ログのフィルタリングをご覧ください。

• METADATA_SETTING: ログに含めるメタデータ アノテーション。

  • すべてのメタデータ アノテーションを含める場合は、INCLUDE_ALL_METADATA を使用します。
  • すべてのメタデータ アノテーションを除外するには、EXCLUDE_ALL_METADATA を使用します（デフォルト）。
  • METADATA_FIELDS で指定するメタデータ フィールドのカスタムリストを含める場合は、CUSTOM_METADATA を使用します。
  注: 2021 年 3 月 1 日より前にサブネットでフローログを有効にしていて、METADATA_SETTING が明示的に構成されていない場合、METADATA_SETTING のデフォルト値は INCLUDE_ALL_METADATA です。

• METADATA_FIELDS: metadata: CUSTOM_METADATA を設定したときにキャプチャするメタデータ フィールド。これは、src_instance, src_vpc.project_id などのメタデータ フィールドのカンマ区切りのリストです。

• IP_RANGE: サブネットのプライマリ内部 IP アドレスの範囲。

• NETWORK_URL: サブネットが作成される VPC ネットワーク URL。

• SUBNET_NAME: サブネットの名前。

詳細については、subnetworks.insert メソッドをご覧ください。

Terraform

Terraform モジュールを使用して、カスタムモードの VPC ネットワークとサブネットを作成できます。

次の例では、3 つのサブネットを作成します。

• subnet-01 では VPC Flow Logs が無効になっています。サブネットの作成時、明示的に有効にしない限り、VPC Flow Logs は無効になります。
• subnet-02 では、デフォルトのフローログ設定で VPC Flow Logs が有効になっています。
• subnet-03 では、一部のカスタム設定で VPC Flow Logs が有効になっています。

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 9.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-custom-mode-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "subnet-01"
      subnet_ip     = "10.10.10.0/24"
      subnet_region = "us-west1"
    },
    {
      subnet_name           = "subnet-02"
      subnet_ip             = "10.10.20.0/24"
      subnet_region         = "us-west1"
      subnet_private_access = "true"
      subnet_flow_logs      = "true"
    },
    {
      subnet_name               = "subnet-03"
      subnet_ip                 = "10.10.30.0/24"
      subnet_region             = "us-west1"
      subnet_flow_logs          = "true"
      subnet_flow_logs_interval = "INTERVAL_10_MIN"
      subnet_flow_logs_sampling = 0.7
      subnet_flow_logs_metadata = "INCLUDE_ALL_METADATA"
      subnet_flow_logs_filter   = "false"
    }
  ]
}

Terraform 構成を適用または削除する方法については、基本的な Terraform コマンドをご覧ください。

既存のサブネットの VPC Flow Logs を有効にする

コンソール

1. Google Cloud コンソールの [VPC ネットワーク] ページに移動します。

   [VPC ネットワーク] に移動

2. 更新するサブネットをクリックします。

3. [編集] をクリックします。

4. [フローログ] で [オン] を選択します。

5. 省略可: [集計間隔] と、[詳細設定] セクションの次のいずれかの設定を調整します。

   • ログのフィルタリングを構成するかどうか。デフォルトでは、[フィルタに一致するログのみ保持] は選択されていません。
   • 最終ログエントリにメタデータを含めるかどうか。デフォルトでは、[メタデータ アノテーション] にはすべてのフィールドが含まれます。
   • セカンダリ サンプリング レート。50% では、プライマリ フローログのサンプリング プロセスによって生成されたエントリの半分が保持されます。プライマリ フローログのサンプリング レートは構成できません。詳細については、ログのサンプリングと処理をご覧ください。

6. [保存] をクリックします。

gcloud

次のコマンドを実行します。

gcloud compute networks subnets update SUBNET_NAME \
    --enable-flow-logs \
    [--logging-aggregation-interval=AGGREGATION_INTERVAL] \
    [--logging-flow-sampling=SAMPLING_RATE] \
    [--logging-filter-expr=FILTER_EXPRESSION] \
    [--logging-metadata=LOGGING_METADATA] \
    [--logging-metadata-fields=METADATA_FIELDS] \
    [other flags as needed]

次のように置き換えます。

• AGGREGATION_INTERVAL: サブネットのフローログの集計間隔。間隔は、5 秒（デフォルト）、30 秒、1 分、5 分、10 分、15 分のいずれかに設定できます。
• SAMPLING_RATE: セカンダリ フローのサンプリング レート。セカンダリ フローのサンプリングは、0.0（サンプリングなし）から 1.0（すべてのログ）の範囲で設定できます。デフォルトは 0.5 です。詳細については、ログのサンプリングと処理をご覧ください。
• FILTER_EXPRESSION: 保持するログを定義する式です。式は 2,048 文字以内に制限されています。詳細については、ログのフィルタリングをご覧ください。

• LOGGING_METADATA: ログに含めるメタデータ アノテーション。

  • すべてのメタデータ アノテーションを含める場合は、include-all を使用します。
  • すべてのメタデータ アノテーションを除外するには、exclude-all を使用します（デフォルト）。
  • METADATA_FIELDS で指定するメタデータ フィールドのカスタムリストを含める場合は、custom を使用します。
  注: 2021 年 3 月 1 日より前にサブネットでフローログを有効にしていて、LOGGING_METADATA が明示的に構成されていない場合、LOGGING_METADATA のデフォルト値は include-all です。

• METADATA_FIELDS: ログに含めるメタデータ フィールドのカンマ区切りのリスト。たとえば、src_instance,dst_instance のようにします。LOGGING_METADATA が custom に設定されている場合にのみ設定できます。

API

既存のサブネットの VPC Flow Logs を有効にします。

PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME
{
  "logConfig": {
    "enable": true
    ...other logging fields.
  },
  "fingerprint": "SUBNETWORK_FINGERPRINT"
}

次のように置き換えます。

• PROJECT_ID: サブネットが存在するプロジェクトの ID。
• REGION: サブネットが配置されているリージョン。
• SUBNET_NAME: 既存のサブネットの名前。
• SUBNET_FINGERPRINT: 既存のサブネットのフィンガー プリント ID。サブネットの詳細を取得するときに指定します。
• 他のロギング フィールドについては、サブネット作成時の VPC フローログの有効化を参照してください。

詳細については、subnetworks.patch メソッドをご覧ください。

VLAN アタッチメントの VPC Flow Logs を有効にする

プレビュー

このプロダクトまたは機能には、サービス固有の利用規約の「一般的なサービス規約」の「pre-GA サービス規約」が適用されます。 一般提供前のプロダクトと機能は「現状のまま」ご利用いただけますが、サポートが制限される場合があります。 詳しくは、リリース ステージの説明をご覧ください。

コンソール

1. Google Cloud コンソールで、[相互接続] ページに移動します。

   [相互接続] に移動

2. [VLAN アタッチメント] タブで VLAN アタッチメントを 1 つ以上選択し、リストの上部にある選択バーの [フローログを管理する] をクリックします。

3. [フローログを管理する] で、[新しい構成を追加] をクリックします。

4. 新しい VPC Flow Logs 構成の名前を入力します。

5. 省略可: [集計間隔] と、[詳細設定] セクションのいずれかの設定を調整します。

   • ログのフィルタリングを構成するかどうか。デフォルトでは、[フィルタに一致するログのみ保持] は選択されていません。
   • 最終ログエントリにメタデータを含めるかどうか。デフォルトでは、[メタデータ アノテーション] にはすべてのフィールドが含まれます。
   • セカンダリ サンプリング レート。100% では、プライマリ フローログのサンプリング プロセスによって生成されたすべてのエントリが保持されます。プライマリ フローログのサンプリング レートは構成できません。詳細については、ログのサンプリングと処理をご覧ください。

6. [保存] をクリックします。

gcloud

VLAN アタッチメントの VPC Flow Logs 構成を作成するには、gcloud beta network-management vpc-flow-logs-configs create コマンドを使用します。すべてのパラメータをデフォルト値に設定して VPC Flow Logs 構成を作成することも、構成の作成時にデフォルト値をカスタマイズすることもできます。

gcloud CLI で、プロジェクトを VLAN アタッチメントの Google Cloud プロジェクト ID に設定し、次のいずれかのコマンドを実行します。

• デフォルトの VPC Flow Logs 構成を作成するには、次のコマンドを実行します。

  gcloud beta network-management vpc-flow-logs-configs create CONFIG_NAME \
      --location=global \
      --interconnect-attachment=VLAN_ATTACHMENT
  

• カスタム VPC Flow Logs 構成を作成するには、カスタマイズする各パラメータを指定します。

  たとえば、VPC Flow Logs 構成を作成するときに、集計間隔、フィルタリング、セカンダリ サンプリング レート、メタデータのパラメータをカスタマイズするには、次のコマンドを実行します。

  gcloud beta network-management vpc-flow-logs-configs create CONFIG_NAME \
      --location=global \
      --interconnect-attachment=VLAN_ATTACHMENT \
      --aggregation-interval=AGGREGATION_INTERVAL \
      --filter-expr=FILTER_EXPRESSION \
      --flow-sampling=SAMPLING_RATE \
      --metadata=LOGGING_METADATA
  

  次のように置き換えます。

  • CONFIG_NAME: VPC Flow Logs 構成の名前。
  • VLAN_ATTACHMENT: ロギングする VLAN アタッチメント。projects/PROJECT_ID/regions/REGION/interconnectAttachments/NAME の形式で指定する必要があります。次のように置き換えます。
    • PROJECT_ID: VLAN アタッチメントを含む Google Cloud プロジェクトの ID。VPC Flow Logs 構成はこのプロジェクトで作成する必要があります。
    • REGION: VLAN アタッチメントのリージョン。
    • NAME: VLAN アタッチメントの名前。

  カスタム構成でオプション パラメータを設定するには、次のように置き換えます。

  • AGGREGATION_INTERVAL: この構成によって生成されるフローログの集計間隔。間隔は、interval-5-sec（デフォルト）、interval-30-sec、interval-1-min、interval-5-min、interval-10-min、interval-15-min のいずれかに設定できます。
  • FILTER_EXPRESSION: 保持するログを定義する式です。式は 2,048 文字以内に制限されています。詳細については、ログのフィルタリングをご覧ください。
  • SAMPLING_RATE: セカンダリ フローのサンプリング レート。セカンダリ フローのサンプリングは、0.0 より大きい値から 1.0（すべてのログ、デフォルト）の範囲で設定できます。詳細については、ログのサンプリングと処理をご覧ください。
  • LOGGING_METADATA: ログに含めるメタデータ アノテーション。
    • すべてのメタデータ アノテーションを含めるには、include-all-metadata を使用します（デフォルト）。
    • すべてのメタデータ アノテーションを除外するには、exclude-all-metadata を使用します。
    • メタデータ フィールドのカスタムリストを含めるには、custom-metadata を使用します。メタデータ フィールドを指定するには、--metadata-fields パラメータを使用します。
      • --metadata-fields=METADATA_FIELDS: METADATA_FIELDS は、ログに含めるメタデータ フィールドのカンマ区切りのリストに置き換えます。たとえば、src_instance,dst_instance のようにします。metadata が custom-metadata に設定されている場合にのみ設定できます。

API

VLAN アタッチメントの VPC Flow Logs 構成を作成するには、projects.locations.vpcFlowLogsConfigs.create メソッドを使用します。すべてのパラメータをデフォルト値に設定して VPC Flow Logs 構成を作成することも、構成の作成時にデフォルト値をカスタマイズすることもできます。

デフォルトの VPC Flow Logs 構成を作成するには、API 呼び出しに次のパラメータを含めます。

POST https://networkmanagement.googleapis.com/v1beta1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs?vpc_flow_logs_config_id=CONFIG_NAME
{
  "interconnectAttachment": "VLAN_ATTACHMENT"
}

カスタム VPC Flow Logs 構成を作成するには、カスタマイズする各パラメータを指定します。

たとえば、VPC Flow Logs 構成を作成するときに、集計間隔、フィルタリング、セカンダリ サンプリング レート、メタデータのパラメータをカスタマイズするには、API 呼び出しに次のパラメータを含めます。

POST https://networkmanagement.googleapis.com/v1beta1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs?vpc_flow_logs_config_id=CONFIG_NAME
{
  "interconnectAttachment": "VLAN_ATTACHMENT",
  "aggregationInterval": "AGGREGATION_INTERVAL",
  "filterExpr": "FILTER_EXPRESSION",
  "flowSampling": SAMPLING_RATE,
  "metadata": "LOGGING_METADATA"
}

次のように置き換えます。

• PROJECT_ID: VPC Flow Logs 構成を作成する Google Cloud プロジェクトの ID。VLAN アタッチメントと同じプロジェクトに存在する必要があります。
• CONFIG_NAME: VPC Flow Logs 構成の名前。
• VLAN_ATTACHMENT: ロギングする VLAN アタッチメント。projects/PROJECT_ID/regions/REGION/interconnectAttachments/NAME の形式で指定する必要があります。
  • PROJECT_ID: VLAN アタッチメントを含む Google Cloud プロジェクトの ID。
  • REGION: VLAN アタッチメントのリージョン。
  • NAME: VLAN アタッチメントの名前。

カスタム構成でオプション パラメータを設定するには、次のように置き換えます。

• AGGREGATION_INTERVAL: この構成によって生成されるフローログの集計間隔。間隔は、INTERVAL_5_SEC（デフォルト）、INTERVAL_30_SEC、INTERVAL_1_MIN、INTERVAL_5_MIN、INTERVAL_10_MIN、INTERVAL_15_MIN のいずれかに設定できます。
• FILTER_EXPRESSION: 保持するログを定義する式です。式は 2,048 文字以内に制限されています。詳細については、ログのフィルタリングをご覧ください。
• SAMPLING_RATE: セカンダリ フローのサンプリング レート。セカンダリ フローのサンプリングは、0.0 より大きい値から 1.0（すべてのログ、デフォルト）の範囲で設定できます。詳細については、ログのサンプリングと処理をご覧ください。
• LOGGING_METADATA: ログに含めるメタデータ アノテーション。
  • すべてのメタデータ アノテーションを含めるには、INCLUDE_ALL_METADATA を使用します（デフォルト）。
  • すべてのメタデータ アノテーションを除外するには、EXCLUDE_ALL_METADATA を使用します。
  • メタデータ フィールドのカスタムリストを含めるには、CUSTOM_METADATA を使用します。メタデータ フィールドを指定するには、metadataFields パラメータを使用します。
    • metadataFields: METADATA_FIELDS: METADATA_FIELDS は、ログに含めるメタデータ フィールドのカンマ区切りリストに置き換えます。たとえば、src_instance,dst_instance のようにします。metadata が CUSTOM_METADATA に設定されている場合にのみ設定できます。

1 つの VLAN アタッチメントに複数の VPC Flow Logs 構成を追加できます。VPC Flow Logs 構成ごとに個別のフローログ セットが生成されます。

Cloud VPN トンネルの VPC Flow Logs を有効にする

プレビュー

このプロダクトまたは機能には、サービス固有の利用規約の「一般的なサービス規約」の「pre-GA サービス規約」が適用されます。 一般提供前のプロダクトと機能は「現状のまま」ご利用いただけますが、サポートが制限される場合があります。 詳しくは、リリース ステージの説明をご覧ください。

コンソール

1. Google Cloud コンソールで、[VPN] ページに移動します。

   [VPN] に移動

2. [ClOUD VPN トンネル] タブで Cloud VPN トンネルを 1 つ以上選択し、リストの上部にある選択バーの [フローログを管理する] をクリックします。

3. [フローログを管理する] で、[新しい構成を追加] をクリックします。

4. 新しい VPC Flow Logs 構成の名前を入力します。

5. 省略可: [集計間隔] と、[詳細設定] セクションのいずれかの設定を調整します。

   • ログのフィルタリングを構成するかどうか。デフォルトでは、[フィルタに一致するログのみ保持] は選択されていません。
   • 最終ログエントリにメタデータを含めるかどうか。デフォルトでは、[メタデータ アノテーション] にはすべてのフィールドが含まれます。
   • セカンダリ サンプリング レート。100% では、プライマリ フローログのサンプリング プロセスによって生成されたすべてのエントリが保持されます。プライマリ フローログのサンプリング レートは構成できません。詳細については、ログのサンプリングと処理をご覧ください。

6. [保存] をクリックします。

gcloud

Cloud VPN トンネルの VPC Flow Logs 構成を作成するには、gcloud beta network-management vpc-flow-logs-configs create コマンドを使用します。すべてのパラメータをデフォルト値に設定して VPC Flow Logs 構成を作成することも、構成の作成時にデフォルト値をカスタマイズすることもできます。

gcloud CLI で、プロジェクトを Cloud VPN トンネルの Google Cloud プロジェクト ID に設定し、次のいずれかのコマンドを実行します。

• デフォルトの VPC Flow Logs 構成を作成するには、次のコマンドを実行します。

  gcloud beta network-management vpc-flow-logs-configs create CONFIG_NAME \
      --location=global \
      --vpn-tunnel=VPN_TUNNEL
  

• カスタム VPC Flow Logs 構成を作成するには、カスタマイズする各パラメータを指定します。

  たとえば、VPC Flow Logs 構成を作成するときに、集計間隔、フィルタリング、セカンダリ サンプリング レート、メタデータのパラメータをカスタマイズするには、次のコマンドを実行します。

  gcloud beta network-management vpc-flow-logs-configs create CONFIG_NAME \
      --location=global \
      --vpn-tunnel=VPN_TUNNEL \
      --aggregation-interval=AGGREGATION_INTERVAL \
      --filter-expr=FILTER_EXPRESSION \
      --flow-sampling=SAMPLING_RATE \
      --metadata=LOGGING_METADATA
  

  次のように置き換えます。

  • CONFIG_NAME: VPC Flow Logs 構成の名前。
  • VPN_TUNNEL: ロギングする Cloud VPN トンネル。projects/PROJECT_ID/regions/REGION/vpnTunnels/NAME の形式で指定する必要があります。次のように置き換えます。
    • PROJECT_ID: Cloud VPN トンネルを含む Google Cloud プロジェクトの ID。VPC Flow Logs 構成はこのプロジェクトで作成する必要があります。
    • REGION: Cloud VPN トンネルのリージョン。
    • NAME: Cloud VPN トンネルの名前。

  カスタム構成でオプション パラメータを設定するには、次のように置き換えます。

  • AGGREGATION_INTERVAL: この構成によって生成されるフローログの集計間隔。間隔は、interval-5-sec（デフォルト）、interval-30-sec、interval-1-min、interval-5-min、interval-10-min、interval-15-min のいずれかに設定できます。
  • FILTER_EXPRESSION: 保持するログを定義する式です。式は 2,048 文字以内に制限されています。詳細については、ログのフィルタリングをご覧ください。
  • SAMPLING_RATE: セカンダリ フローのサンプリング レート。セカンダリ フローのサンプリングは、0.0 より大きい値から 1.0（すべてのログ、デフォルト）の範囲で設定できます。詳細については、ログのサンプリングと処理をご覧ください。
  • LOGGING_METADATA: ログに含めるメタデータ アノテーション。
    • すべてのメタデータ アノテーションを含めるには、include-all-metadata を使用します（デフォルト）。
    • すべてのメタデータ アノテーションを除外するには、exclude-all-metadata を使用します。
    • メタデータ フィールドのカスタムリストを含めるには、custom-metadata を使用します。メタデータ フィールドを指定するには、--metadata-fields パラメータを使用します。
      • --metadata-fields=METADATA_FIELDS: METADATA_FIELDS は、ログに含めるメタデータ フィールドのカンマ区切りのリストに置き換えます。たとえば、src_instance,dst_instance のようにします。metadata が custom-metadata に設定されている場合にのみ設定できます。

API

Cloud VPN トンネルの VPC Flow Logs 構成を作成するには、projects.locations.vpcFlowLogsConfigs.create メソッドを使用します。すべてのパラメータをデフォルト値に設定して VPC Flow Logs 構成を作成することも、構成の作成時にデフォルト値をカスタマイズすることもできます。

デフォルトの VPC Flow Logs 構成を作成するには、API 呼び出しに次のパラメータを含めます。

POST https://networkmanagement.googleapis.com/v1beta1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs?vpc_flow_logs_config_id=CONFIG_NAME
{
  "vpnTunnel": "VPN_TUNNEL"
}

カスタム VPC Flow Logs 構成を作成するには、カスタマイズする各パラメータを指定します。

たとえば、VPC Flow Logs 構成を作成するときに、集計間隔、フィルタリング、セカンダリ サンプリング レート、メタデータのパラメータをカスタマイズするには、API 呼び出しに次のパラメータを含めます。

POST https://networkmanagement.googleapis.com/v1beta1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs?vpc_flow_logs_config_id=CONFIG_NAME
{
  "vpnTunnel": "VPN_TUNNEL",
  "aggregationInterval": "AGGREGATION_INTERVAL",
  "filterExpr": "FILTER_EXPRESSION",
  "flowSampling": SAMPLING_RATE,
  "metadata": "LOGGING_METADATA"
}

次のように置き換えます。

• PROJECT_ID: VPC Flow Logs 構成を作成する Google Cloud プロジェクトの ID。Cloud VPN トンネルと同じプロジェクトに存在する必要があります。
• CONFIG_NAME: VPC Flow Logs 構成の名前。
• VPN_TUNNEL: ロギングする Cloud VPN トンネル。projects/PROJECT_ID/regions/REGION/vpnTunnels/NAME の形式で指定する必要があります。
  • PROJECT_ID: Cloud VPN トンネルを含む Google Cloud プロジェクトの ID。
  • REGION: Cloud VPN トンネルのリージョン。
  • NAME: Cloud VPN トンネルの名前。

カスタム構成でオプション パラメータを設定するには、次のように置き換えます。

• AGGREGATION_INTERVAL: この構成によって生成されるフローログの集計間隔。間隔は、INTERVAL_5_SEC（デフォルト）、INTERVAL_30_SEC、INTERVAL_1_MIN、INTERVAL_5_MIN、INTERVAL_10_MIN、INTERVAL_15_MIN のいずれかに設定できます。
• FILTER_EXPRESSION: 保持するログを定義する式です。式は 2,048 文字以内に制限されています。詳細については、ログのフィルタリングをご覧ください。
• SAMPLING_RATE: セカンダリ フローのサンプリング レート。セカンダリ フローのサンプリングは、0.0 より大きい値から 1.0（すべてのログ、デフォルト）の範囲で設定できます。詳細については、ログのサンプリングと処理をご覧ください。
• LOGGING_METADATA: ログに含めるメタデータ アノテーション。
  • すべてのメタデータ アノテーションを含めるには、INCLUDE_ALL_METADATA を使用します（デフォルト）。
  • すべてのメタデータ アノテーションを除外するには、EXCLUDE_ALL_METADATA を使用します。
  • メタデータ フィールドのカスタムリストを含めるには、CUSTOM_METADATA を使用します。メタデータ フィールドを指定するには、metadataFields パラメータを使用します。
    • metadataFields: METADATA_FIELDS: METADATA_FIELDS は、ログに含めるメタデータ フィールドのカンマ区切りリストに置き換えます。たとえば、src_instance,dst_instance のようにします。metadata が CUSTOM_METADATA に設定されている場合にのみ設定できます。

1 つの Cloud VPN トンネルに複数の VPC Flow Logs 構成を追加できます。VPC Flow Logs 構成ごとに個別のフローログ セットが生成されます。

VPC Flow Logs 構成のステータスを表示する

表示される情報は次のとおりです。

• VPC Flow Logs が有効になっているサブネット
• VPC Flow Logs が有効になっている VLAN アタッチメントと Cloud VPN トンネル（プレビュー）

VPC Flow Logs が有効になっているネットワーク内のサブネットを表示する

VPC Flow Logs が有効になっている VPC ネットワーク内のサブネットを確認できます。VPC Flow Logs が有効になっている Google Cloud プロジェクト内のすべてのサブネットを表示するには、VPC Flow Logs の構成を表示するをご覧ください。

コンソール

1. Google Cloud コンソールの [VPC ネットワーク] ページに移動します。

   [VPC ネットワーク] に移動

2. サブネットを表示する VPC ネットワークをクリックします。

3. [サブネット] タブをクリックし、[フローログ] 列を表示して、ロギングがオンかオフかを確認します。

gcloud

次のコマンドを実行します。

gcloud compute networks subnets list \
    --project PROJECT_ID \
    --network="NETWORK" \
    --format="csv(name,region,logConfig.enable)"

次のように置き換えます。

• PROJECT_ID: クエリするプロジェクトの ID。
• NETWORK: サブネットを含むネットワークの名前。

VPC Flow Logs が有効になっているプロジェクト内のアタッチメントとトンネルを表示する

プレビュー

このプロダクトまたは機能には、サービス固有の利用規約の「一般的なサービス規約」の「pre-GA サービス規約」が適用されます。 一般提供前のプロダクトと機能は「現状のまま」ご利用いただけますが、サポートが制限される場合があります。 詳しくは、リリース ステージの説明をご覧ください。

VPC Flow Logs が有効になっている Google Cloud プロジェクト内の VLAN アタッチメントと Cloud VPN トンネルを確認できます。Google Cloud プロジェクト内の VLAN アタッチメントと Cloud VPN トンネルのすべての VPC Flow Logs 構成を表示するには、VPC Flow Logs 構成を表示するをご覧ください。

コンソール

Google Cloud コンソールで次の操作を行います。

• VPC Flow Logs が有効になっている VLAN アタッチメントを表示するには、次のようにします。

  1. [相互接続] ページに移動します。

     [相互接続] に移動

  2. [VLAN アタッチメント] タブをクリックし、[フローログ] 列を表示して、ロギングがオンかオフかを確認します。

• VPC Flow Logs が有効になっている Cloud VPN トンネルを表示するには、次のようにします。

  1. [VPN] ページに移動します。

     [VPN] に移動

  2. [CLOUD VPN トンネル] タブをクリックし、[フローログ] 列を表示して、ロギングがオンかオフかを確認します。

VPC Flow Logs 構成を表示する

プレビュー

このプロダクトまたは機能には、サービス固有の利用規約の「一般的なサービス規約」の「pre-GA サービス規約」が適用されます。 一般提供前のプロダクトと機能は「現状のまま」ご利用いただけますが、サポートが制限される場合があります。 詳しくは、リリース ステージの説明をご覧ください。

サブネット、VLAN アタッチメント、または Cloud VPN トンネルの VPC Flow Logs を構成すると、Google Cloud では、設定した構成値を使用して、サブネット、VLAN アタッチメント、または VPN トンネルの VPC Flow Logs 構成が作成されます。1 つの VLAN アタッチメントまたは Cloud VPN トンネルに複数の VPC Flow Logs 構成を設定できます。VPC Flow Logs が有効になっているサブネットには、VPC Flow Logs 構成を 1 つだけ設定できます。

VPC Flow Logs 構成のステータスを確認すると、フローログがオンまたはオフになっている VLAN アタッチメントと Cloud VPN トンネルを確認できます。VPC Flow Logs 構成のステータスがオンの場合、この構成を使用する VLAN アタッチメントまたは Cloud VPN トンネルのフローログがオンになっています。サブネットの VPC Flow Logs 構成はオフにできません。削除のみ可能です。

コンソール

1. Google Cloud コンソールで、[VPC Flow Logs] ページに移動します。

   [VPC Flow Logs] に移動

2. [サブネット]、[VLAN アタッチメント]、または [CLOUD VPN トンネル] タブをクリックします。

   • [サブネット] には、有効な VPC Flow Logs 構成を持つサブネットが表示されます。
   • [VLAN アタッチメント] には、VPC Flow Logs 構成が有効または一時停止されている Cloud Interconnect の VLAN アタッチメントが表示されます。
   • [CLOUD VPN トンネル] には、VPC Flow Logs 構成が有効または一時停止されている Cloud VPN トンネルが表示されます。

gcloud

VLAN アタッチメントと Cloud VPN トンネルの VPC Flow Logs 構成を表示するには、gcloud beta network-management vpc-flow-logs-configs list コマンドと gcloud beta network-management vpc-flow-logs-configs describe コマンドを使用します。

次のいずれかのコマンドを実行します。

• Google Cloud プロジェクト内のすべての VPC Flow Logs 構成を表示するには、次のコマンドを実行します。

  gcloud beta network-management vpc-flow-logs-configs list --location=global
  

• 単一の VPC Flow Logs 構成を表示するには、次のコマンドを実行します。

  gcloud beta network-management vpc-flow-logs-configs describe CONFIG_NAME \
      --location=global
  

  CONFIG_NAME は、表示する VPC Flow Logs 構成の名前に置き換えます。

API

Google Cloud プロジェクト内の VLAN アタッチメントと Cloud VPN トンネルのすべての VPC Flow Logs 構成を表示するには、projects.locations.vpcFlowLogsConfigs.list メソッドを使用します。

GET https://networkmanagement.googleapis.com/v1beta1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs

単一の VPC Flow Logs 構成を表示するには、projects.locations.vpcFlowLogsConfigs.get メソッドを使用します。

GET https://networkmanagement.googleapis.com/v1beta1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs/CONFIG_NAME

次のように置き換えます。

• PROJECT_ID: 表示する VPC Flow Logs 構成を含む Google Cloud プロジェクトの ID。
• CONFIG_NAME: VPC Flow Logs 構成の名前。

VPC Flow Logs 構成を更新する

ログ サンプリング パラメータを変更できます。制御できるパラメータについては、ログのサンプリングと処理をご覧ください。メタデータ フィールドをカスタマイズするには、gcloud CLI または API を使用します。

サブネットの構成パラメータを更新する

コンソール

1. Google Cloud コンソールの [VPC ネットワーク] ページに移動します。

   [VPC ネットワーク] に移動

2. [現在のプロジェクトのサブネット] で、更新するサブネットをクリックします。

3. [編集] をクリックします。

4. 省略可: 次のいずれかの設定を調整します。

   • 集計間隔。デフォルトでは、集計間隔は [5 秒] に設定されています。
   • ログのフィルタリングを構成するかどうか。デフォルトでは、[フィルタに一致するログのみ保持] は選択されていません。
   • 最終ログエントリにメタデータを含めるかどうか。デフォルトでは、[メタデータ アノテーション] にはすべてのフィールドが含まれます。
   • セカンダリ サンプリング レート。50% では、プライマリ フローログのサンプリング プロセスによって生成されたエントリの半分が保持されます。プライマリ フローログのサンプリング レートは構成できません。詳細については、ログのサンプリングと処理をご覧ください。

5. [保存] をクリックします。

または、[VPC ネットワーク] ページの [現在のプロジェクトのサブネット] にある [フローログを管理する] メニューを使用して、VPC Flow Logs 構成パラメータを更新することもできます。

gcloud

次のコマンドを実行します。

gcloud compute networks subnets update SUBNET_NAME \
    [--logging-aggregation-interval=AGGREGATION_INTERVAL] \
    [--logging-flow-sampling=SAMPLING_RATE] \
    [--logging-filter-expr=FILTER_EXPRESSION] \
    [--logging-metadata=LOGGING_METADATA] \
    [--logging-metadata-fields=METADATA_FIELDS] \

次のように置き換えます。

• AGGREGATION_INTERVAL: サブネットのフローログの集計間隔。間隔は、5 秒（デフォルト）、30 秒、1 分、5 分、10 分、15 分のいずれかに設定できます。
• SAMPLING_RATE: セカンダリ フローのサンプリング レート。セカンダリ フローのサンプリングは、0.0（サンプリングなし）から 1.0（すべてのログ）の範囲で設定できます。デフォルトは 0.5 です。詳細については、ログのサンプリングと処理をご覧ください。
• FILTER_EXPRESSION: 保持するログを定義する式です。式は 2,048 文字以内に制限されています。詳細については、ログのフィルタリングをご覧ください。

• LOGGING_METADATA: ログに含めるメタデータ アノテーション。

  • すべてのメタデータ アノテーションを含める場合は、include-all を使用します。
  • すべてのメタデータ アノテーションを除外するには、exclude-all を使用します（デフォルト）。
  • METADATA_FIELDS で指定するメタデータ フィールドのカスタムリストを含める場合は、custom を使用します。
  注: 2021 年 3 月 1 日より前にサブネットでフローログを有効にしていて、LOGGING_METADATA が明示的に構成されていない場合、LOGGING_METADATA のデフォルト値は include-all です。

• METADATA_FIELDS: ログに含めるメタデータ フィールドのカンマ区切りのリスト。たとえば、src_instance,dst_instance のようにします。LOGGING_METADATA が custom に設定されている場合にのみ設定できます。

API

ログ サンプリング フィールドを変更して、VPC Flow Logs の動作を更新します。

PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME
{
  "logConfig": {
    ...fields to modify
  },
  "fingerprint": "SUBNETWORK_FINGERPRINT"
}

次のように置き換えます。

• PROJECT_ID: サブネットが存在するプロジェクトの ID。
• REGION: サブネットが配置されているリージョン。
• SUBNET_NAME: 既存のサブネットの名前。
• SUBNET_FINGERPRINT: 既存のサブネットのフィンガー プリント ID。サブネットの詳細を取得するときに指定します。
• 変更可能なフィールドについては、サブネット作成時の VPC フローログの有効化を参照してください。

詳細については、subnetworks.patch メソッドをご覧ください。

VLAN アタッチメントと Cloud VPN トンネルの構成パラメータを更新する

プレビュー

このプロダクトまたは機能には、サービス固有の利用規約の「一般的なサービス規約」の「pre-GA サービス規約」が適用されます。 一般提供前のプロダクトと機能は「現状のまま」ご利用いただけますが、サポートが制限される場合があります。 詳しくは、リリース ステージの説明をご覧ください。

コンソール

1. Google Cloud コンソールで、[VPC Flow Logs] ページに移動します。

   [VPC Flow Logs] に移動

2. [VLAN アタッチメント] タブまたは [CLOUD VPN トンネル] タブを選択します。

   • VLAN アタッチメントの VPC Flow Logs パラメータを更新するには、[VLAN アタッチメント] を選択します。
   • Cloud VPN トンネルの VPC Flow Logs パラメータを更新するには、[CLOUD VPN トンネル] を選択します。

3. 更新する VPC Flow Logs 構成を 1 つ以上選択し、[編集] をクリックします。

4. 省略可: 次のいずれかを調整します。

   • 集計間隔。デフォルトでは、集計間隔は [5 秒] に設定されています。
   • VPC Flow Logs 構成の [ステータス] を [オン] または [オフ] に設定するかどうか。[オン] ステータスの場合、選択した VPC Flow Logs 構成がアクティブで、フローログが生成されます。
   • ログのフィルタリングを構成するかどうか。デフォルトでは、[フィルタに一致するログのみ保持] は選択されていません。
   • 最終ログエントリにメタデータを含めるかどうか。デフォルトでは、[メタデータ アノテーション] にはすべてのフィールドが含まれます。
   • セカンダリ サンプリング レート。100% では、プライマリ フローログのサンプリング プロセスによって生成されたすべてのエントリが保持されます。プライマリ フローログのサンプリング レートは構成できません。詳細については、ログのサンプリングと処理をご覧ください。

5. [保存] をクリックします。

または、[相互接続] ページの [VLAN アタッチメント] タブと [VPN] ページの [CLOUD VPN トンネル] タブにある [フローログを管理する] メニューを使用して、VPC Flow Logs 構成パラメータを更新することもできます。

gcloud

VLAN アタッチメントまたは Cloud VPN トンネルの VPC Flow Logs 構成を更新するには、gcloud beta network-management vpc-flow-logs-configs update コマンドを使用します。

次のオプション パラメータを 1 つ以上指定して gcloud beta network-management vpc-flow-logs-configs update コマンドを実行します。

gcloud beta network-management vpc-flow-logs-configs update CONFIG_NAME \
    --location=global \
    [--interconnect-attachment=VLAN_ATTACHMENT | --vpn-tunnel=VPN_TUNNEL] \
    [--aggregation-interval=AGGREGATION_INTERVAL] \
    [--filter-expr=FILTER_EXPRESSION] \
    [--flow-sampling=SAMPLING_RATE] \
    [--metadata=LOGGING_METADATA] \
    [--state=STATE]

たとえば、集計間隔パラメータを更新するには、次のコマンドを実行します。

gcloud beta network-management vpc-flow-logs-configs update CONFIG_NAME \
    --location=global \
    --aggregation-interval=AGGREGATION_INTERVAL

次のように置き換えます。

• CONFIG_NAME: 更新する VPC Flow Logs 構成の名前。構成は、構成が使用される VLAN_ATTACHMENT または VPN_TUNNEL と同じ Google Cloud プロジェクト内にあります。

オプション パラメータを更新するには、次のように置き換えます。

• VLAN_ATTACHMENT または VPN_TUNNEL:
  • VLAN アタッチメントの VPC Flow Logs 構成を更新するには、VLAN アタッチメントを projects/PROJECT_ID/regions/REGION/interconnectAttachments/NAME の形式で指定します。
  • Cloud VPN トンネルの VPC Flow Logs 構成を更新するには、Cloud VPN トンネルを projects/PROJECT_ID/regions/REGION/vpnTunnels/NAME の形式で指定します。
  • 次のように置き換えます。
    • PROJECT_ID: VLAN アタッチメントまたは Cloud VPN トンネルを含む Google Cloud プロジェクトの ID。
    • REGION: VLAN アタッチメントまたは Cloud VPN トンネルのリージョン。
    • NAME: VLAN アタッチメントまたは Cloud VPN トンネルの名前。
• AGGREGATION_INTERVAL: この構成によって生成されるフローログの集計間隔。間隔は、interval-5-sec（デフォルト）、interval-30-sec、interval-1-min、interval-5-min、interval-10-min、interval-15-min のいずれかに設定できます。
• FILTER_EXPRESSION: 保持するログを定義する式です。式は 2,048 文字以内に制限されています。詳細については、ログのフィルタリングをご覧ください。
• SAMPLING_RATE: セカンダリ フローのサンプリング レート。セカンダリ フローのサンプリングは、0.0 より大きい値から 1.0（すべてのログ、デフォルト）の範囲で設定できます。詳細については、ログのサンプリングと処理をご覧ください。
• LOGGING_METADATA: ログに含めるメタデータ アノテーション。
  • すべてのメタデータ アノテーションを含めるには、include-all-metadata を使用します（デフォルト）。
  • すべてのメタデータ アノテーションを除外するには、exclude-all-metadata を使用します。
  • メタデータ フィールドのカスタムリストを含めるには、custom-metadata を使用します。メタデータ フィールドを指定するには、--metadata-fields パラメータを使用します。
    • --metadata-fields=METADATA_FIELDS: METADATA_FIELDS は、ログに含めるメタデータ フィールドのカンマ区切りのリストに置き換えます。たとえば、src_instance,dst_instance のようにします。metadata が custom-metadata に設定されている場合にのみ設定できます。
• STATE: VPC Flow Logs 構成の状態。enabled（デフォルト）または disabled を指定できます。

API

VPC Flow Logs 構成を更新するには、projects.locations.vpcFlowLogsConfigs.patch メソッドを使用します。変更可能なフィールドについては、REST リソース: projects.locations.vpcFlowLogsConfigs をご覧ください。

VLAN アタッチメントまたは Cloud VPN トンネルの VPC Flow Logs 構成を更新します。

PATCH https://networkmanagement.googleapis.com/v1beta1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs/CONFIG_NAME?updateMask=FIELDS
{
  ...fields to modify
}

次のように置き換えます。

• PROJECT_ID: VPC Flow Logs 構成を含む Google Cloud プロジェクトの ID。この ID は、構成が使用される VLAN アタッチメントまたは Cloud VPN トンネルのプロジェクト ID と同じです。
• CONFIG_NAME: 更新する VPC Flow Logs 構成の名前。
• FIELDS: 更新するフィールドの名前（カンマ区切り）。たとえば、aggregationInterval,flowSampling,metadata のようにします。

たとえば、my-project の VPC Flow Logs 構成 my-config の aggregationInterval フィールドを更新するには、次の API 呼び出しを使用します。

PATCH https://networkmanagement.googleapis.com/v1beta1/projects/my-project/locations/global/vpcFlowLogsConfigs/my-config?updateMask=aggregationInterval
{
  aggregationInterval:AGGREGATION_INTERVAL
}

AGGREGATION_INTERVAL は、このパラメータでサポートされている値に置き換えます。

ログの収集を停止する

サブネットの VPC Flow Logs を無効にすると、ログの収集が停止し、VPC Flow Logs 構成が削除されます。

VLAN アタッチメントまたは Cloud VPN トンネルのログの収集を一時停止するには、有効なすべての VPC Flow Logs 構成を無効にします。サブネットのログの収集を一時停止することはできません。

VPC Flow Logs 構成が不要になった場合は、構成を削除できます。ログの収集が停止され、構成が削除されます。

サブネットの VPC Flow Logs を無効にする

コンソール

1. Google Cloud コンソールの [VPC ネットワーク] ページに移動します。

   [VPC ネットワーク] に移動

2. 更新するサブネットをクリックします。

3. [編集] をクリックします。

4. [フローログ] で [オフ] を選択します。

5. [保存] をクリックします。

gcloud

次のコマンドを実行します。

gcloud compute networks subnets update SUBNET_NAME \
    --no-enable-flow-logs

API

ログレコードの収集を停止するには、サブネットの VPC Flow Logs を無効にします。

PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME
{
  "logConfig": {
    "enable": false
  },
  "fingerprint": "SUBNETWORK_FINGERPRINT"
}

次のように置き換えます。

• PROJECT_ID: サブネットが存在するプロジェクトの ID。
• REGION: サブネットが配置されているリージョン。
• SUBNET_NAME: 既存のサブネットの名前。
• SUBNET_FINGERPRINT: 既存のサブネットのフィンガー プリント ID。サブネットの詳細を取得するときに指定します。

詳細については、subnetworks.patch メソッドをご覧ください。

VPC Flow Logs 構成を無効にする

プレビュー

このプロダクトまたは機能には、サービス固有の利用規約の「一般的なサービス規約」の「pre-GA サービス規約」が適用されます。 一般提供前のプロダクトと機能は「現状のまま」ご利用いただけますが、サポートが制限される場合があります。 詳しくは、リリース ステージの説明をご覧ください。

コンソール

1. Google Cloud コンソールで、[VPC Flow Logs] ページに移動します。

   [VPC Flow Logs] に移動

2. [VLAN アタッチメント] タブまたは [CLOUD VPN トンネル] タブを選択します。

   • VLAN アタッチメントの VPC Flow Logs 構成をオフにするには、[VLAN アタッチメント] を選択します。
   • Cloud VPN トンネルの VPC Flow Logs 構成をオフにするには、[CLOUD VPN トンネル] を選択します。
   注: サブネットの VPC Flow Logs 構成を無効にすることはできません。

3. 無効にする VPC Flow Logs 構成を 1 つ以上選択し、構成ステータスを [無効にする] または [すべて無効にする] に変更します。[Change configuration status] メニューの [すべて無効にする] オプションは、選択に有効な VPC Flow Logs 構成と無効な VPC Flow Logs 構成の両方が含まれている場合にのみ表示されます。

gcloud

VPC Flow Logs 構成のログの収集を一時停止するには、gcloud beta network-management vpc-flow-logs-configs update コマンドを使用します。

次のコマンドを実行します。

gcloud beta network-management vpc-flow-logs-configs update CONFIG_NAME \
    --location=global \
    --state=disabled

CONFIG_NAME は、更新する VPC Flow Logs 構成の名前に置き換えます。構成は、構成が使用される VLAN アタッチメントまたは Cloud VPN トンネルと同じ Google Cloud プロジェクトにあります。

API

VPC Flow Logs 構成のログの収集を一時停止するには、projects.locations.vpcFlowLogsConfigs.patch メソッドを使用します。

VPC Flow Logs 構成のログの収集を一時停止します。

PATCH https://networkmanagement.googleapis.com/v1beta1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs/CONFIG_NAME?updateMask=state
{
  "state": "DISABLED"
}

次のように置き換えます。

• PROJECT_ID: VPC Flow Logs 構成を含む Google Cloud プロジェクトの ID。この ID は、構成が使用される VLAN アタッチメントまたは Cloud VPN トンネルのプロジェクト ID と同じです。
• CONFIG_NAME: 更新する VPC Flow Logs 構成の名前。

VPC Flow Logs 構成を削除する

プレビュー

このプロダクトまたは機能には、サービス固有の利用規約の「一般的なサービス規約」の「pre-GA サービス規約」が適用されます。 一般提供前のプロダクトと機能は「現状のまま」ご利用いただけますが、サポートが制限される場合があります。 詳しくは、リリース ステージの説明をご覧ください。

コンソール

1. Google Cloud コンソールで、[VPC Flow Logs] ページに移動します。

   [VPC Flow Logs] に移動

2. [サブネット]、[VLAN アタッチメント]、または [CLOUD VPN トンネル] タブを選択します。

   • サブネットの VPC Flow Logs 構成を削除するには、[サブネット] を選択します。
   • VLAN アタッチメントの VPC Flow Logs 構成を削除するには、[VLAN アタッチメント] を選択します。
   • Cloud VPN トンネルの VPC Flow Logs 構成を削除するには、[CLOUD VPN トンネル] を選択します。

3. 削除する VPC Flow Logs 構成を 1 つ以上選択し、[削除] をクリックします。

gcloud

VLAN アタッチメントまたは Cloud VPN トンネルの VPC Flow Logs 構成を削除するには、gcloud beta network-management vpc-flow-logs-configs delete コマンドを使用します。

次のコマンドを実行します。

gcloud beta network-management vpc-flow-logs-configs delete CONFIG_NAME \
    --location=global

CONFIG_NAME は、削除する VPC Flow Logs 構成の名前に置き換えます。

API

VLAN アタッチメントまたは Cloud VPN トンネルの VPC Flow Logs 構成を削除するには、projects.locations.vpcFlowLogsConfigs.delete メソッドを使用します。

DELETE https://networkmanagement.googleapis.com/v1beta1/projects/PROJECT_ID/locations/global/vpcFlowLogsConfigs/CONFIG_NAME

次のように置き換えます。

• PROJECT_ID: 削除する VPC Flow Logs 構成を含む Google Cloud プロジェクトの ID。
• CONFIG_NAME: VPC Flow Logs 構成の名前。

トラブルシューティング

サブネットのフローログを有効にした場合でも無効として表示される

• 内部アプリケーション ロードバランサのプロキシ専用サブネットを構成し、gcloud compute networks subnets コマンドを使用して VPC Flow Logs を有効にした場合、コマンドは成功したように見えますが、フローログは実際には有効になりません。--purpose=INTERNAL_HTTPS_LOAD_BALANCER フラグも指定した場合、--enable-flow-logs フラグは有効になりません。

  Google Cloud コンソールまたは API を使用してフローログを有効にすると、「Invalid value for field 'resource.enableFlowLogs': 'true'.Invalid field set in subnetwork with purpose INTERNAL_HTTPS_LOAD_BALANCER.」というエラー メッセージが表示されます。

  プロキシ専用サブネットには VM がないため、VPC Flow Logs はサポートされません。これは想定どおりの挙動です。

次のステップ

• フローログにアクセスする