Utilizzo dei log di flusso VPC

I log di flusso VPC registrano un campione di flussi di rete inviati e ricevuti dalle istanze VM, incluse le istanze utilizzate come nodi GKE. Questi log possono essere utilizzati per monitoraggio della rete, analisi forense, analisi della sicurezza in tempo reale e ottimizzazione delle spese.

Questa pagina presuppone che tu conosca i concetti descritti nella panoramica dei log di flusso VPC.

Abilitazione dei log di flusso VPC

Quando abiliti i log di flusso VPC, abiliti per tutte le VM in una subnet. Tuttavia, puoi ridurre la quantità di informazioni scritte nel logging. Per maggiori dettagli sui parametri che puoi controllare, consulta Campionamento e aggregazione dei log.

Log di flusso VPC e annotazioni GKE

La visualizzazione delle annotazioni Google Kubernetes Engine nei log di flusso VPC è supportata da GKE versione 1.12.7. La versione di GKE utilizzata determina se è necessario abilitare Cloud Operations for GKE.

  • Cluster GKE versione 1.15 o successiva: Cloud Operations for GKE non è richiesto per visualizzare le annotazioni GKE.

  • Cluster GKE GKE versione 1.14: Cloud Operations for GKE è necessario per visualizzare le annotazioni GKE, ma è abilitato per impostazione predefinita. Non sono richieste ulteriori azioni.

  • Versione del cluster GKE precedente alla 1.14: Cloud Operations for GKE è necessario per visualizzare le annotazioni GKE. L'abilitazione del supporto di Cloud Operations for GKE nel cluster GKE assicura che gli aggiornamenti dei metadati di GKE vengano inviati a Logging.

    Il supporto di Cloud Operations for GKE può essere configurato quando crei nuovi cluster o quando modifichi cluster esistenti. Per ulteriori informazioni, consulta Configurazione di Cloud Operations for GKE.

Abilitazione dei log di flusso VPC quando crei una subnet

console

  1. Vai alla pagina Reti VPC in Google Cloud Console.
    Vai alla pagina Reti VPC
  2. Fai clic sulla rete in cui vuoi aggiungere una subnet.
  3. Fai clic su Aggiungi subnet.
  4. In Log di flusso, seleziona Attivati.
  5. Se vuoi modificare campionamento e aggregazione dei log, fai clic su Configura log e modifica una delle seguenti opzioni:
    • L'Intervallo di aggregazione
    • Indica se include i metadati nelle voci di log finali
      Per impostazione predefinita, Includi i metadati include tutti i campi. Per personalizzare i campi dei metadati, devi utilizzare l'interfaccia a riga di comando di Google Cloud o l'API.
    • la Frequenza di campionamento. 100% significa che tutte le voci sono conservate.
  6. Compila gli altri campi in base alle necessità.
  7. Fai clic su Aggiungi.

gcloud

gcloud compute networks subnets create SUBNET_NAME \
    --enable-flow-logs \
    [--logging-aggregation-interval=AGGREGATION_INTERVAL \
    [--logging-flow-sampling=SAMPLE_RATE] \
    [--logging-filter-expr=FILTER_EXPRESSION] \
    [--logging-metadata=LOGGING_METADATA \
    [--logging-metadata-fields=METADATA_FIELDS] \
    [other flags as needed]

Sostituisci quanto segue:

  • AGGREGATION_INTERVAL: l'intervallo di aggregazione per i log di flusso in quella subnet. L'intervallo può essere impostato su uno dei seguenti valori: 5 sec (predefinito), 30 sec, 1 min, 5 min, 10 min o 15 min.
  • SAMPLE_RATE: la frequenza di campionamento del flusso. Il campionamento del flusso può essere impostato da 0.0 (senza campionamento) su 1.0 (tutti i log). Il valore predefinito è 0.5.
  • FILTER_EXPRESSION è un'espressione che definisce i log che vuoi conservare. Per maggiori dettagli, consulta l'articolo relativo al filtro dei log.
  • LOGGING_METADATA: le annotazioni dei metadati che vuoi includere nei log:

    • include-all per includere tutte le annotazioni di metadati
    • exclude-all per escludere tutte le annotazioni dei metadati (impostazione predefinita)
    • custom per includere un elenco personalizzato di campi di metadati specificati in METADATA_FIELDS.
  • METADATA_FIELDS: un elenco di campi di metadati separati da virgole che vuoi includere nei log. Ad esempio, src_instance,dst_instance. Può essere impostato solo se LOGGING_METADATA è impostato su custom.

API

Abilita i log di flusso VPC quando crei una nuova subnet.

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks
{
  "logConfig": {
    "aggregationInterval": "AGGREGATION_INTERVAL",
    "flowSampling": SAMPLING_RATE,
    "filterExpr": EXPRESSION,
    "metadata": METADATA_SETTING,
    "metadataFields": METADATA_FIELDS,
    "enable": true
  },
  "ipCidrRange": "IP_RANGE",
  "network": "NETWORK_URL",
  "name": "SUBNET_NAME"
}

Sostituisci i segnaposto con valori validi:

  • PROJECT_ID è l'ID del progetto in cui verrà creata la subnet.
  • REGION è l'area geografica in cui verrà creata la subnet.
  • AGGREGATION_INTERVAL imposta l'intervallo di aggregazione per i log di flusso nella subnet. L'intervallo può essere impostato su uno dei seguenti valori: INTERVAL_5_SEC, INTERVAL_30_SEC, INTERVAL_1_MIN, INTERVAL_5_MIN, INTERVAL_10_MIN o INTERVAL_15_MIN.
  • SAMPLING_RATE è la frequenza di campionamento del flusso. Il campionamento del flusso può essere impostato da 0.0 (nessun campionamento) su 1.0 (tutti i log). Il valore predefinito è .0.5.
  • EXPRESSION è l'espressione di filtro che utilizzi per filtrare i log scritti. Per maggiori dettagli, consulta l'articolo relativo al filtro dei log.
  • METADATA_SETTING specifica se vengono registrati tutti i metadati (INCLUDE_ALL_METADATA), non vengono registrati metadati (EXCLUDE_ALL_METADATA) o vengono registrati solo metadati specifici (CUSTOM_METADATA). Se questo campo è impostato su CUSTOM_METADATA, compila anche il campo metadataFields. Il valore predefinito è EXCLUDE_ALL_METADATA. Per informazioni dettagliate, consulta le annotazioni relative ai metadati.

  • METADATA_FIELDS sono i campi dei metadati che vuoi acquisire una volta impostato metadata: CUSTOM_METADATA. Si tratta di un elenco di campi di metadati separati da virgole, come src_instance, src_vpc.project_id.

  • IP_RANGE è l'intervallo di indirizzi IP interni principali della subnet.

  • NETWORK_URL è l'URL della rete VPC in cui verrà creata la subnet.

  • SUBNET_NAME è un nome per la subnet.

Per ulteriori informazioni, consulta il metodo subnetworks.insert.

Terraform

Puoi utilizzare un modulo Terraform per creare una rete VPC e una subnet in modalità personalizzata.

L'esempio seguente crea tre subnet come segue:

  • subnet-01 i log di flusso VPC sono disabilitati. Quando crei una subnet, i log di flusso VPC sono disabilitati, a meno che tu non li abiliti esplicitamente.
  • I log di flusso VPC di subnet-02 sono abilitati con le impostazioni del log di flusso predefinite.
  • In subnet-03 sono abilitati i log di flusso VPC con alcune impostazioni personalizzate.
module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 4.0.1"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "my-custom-mode-network"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "subnet-01"
      subnet_ip     = "10.10.10.0/24"
      subnet_region = "us-west1"
    },
    {
      subnet_name           = "subnet-02"
      subnet_ip             = "10.10.20.0/24"
      subnet_region         = "us-west1"
      subnet_private_access = "true"
      subnet_flow_logs      = "true"
    },
    {
      subnet_name               = "subnet-03"
      subnet_ip                 = "10.10.30.0/24"
      subnet_region             = "us-west1"
      subnet_flow_logs          = "true"
      subnet_flow_logs_interval = "INTERVAL_10_MIN"
      subnet_flow_logs_sampling = 0.7
      subnet_flow_logs_metadata = "INCLUDE_ALL_METADATA"
      subnet_flow_logs_filter   = "false"
    }
  ]
}

Abilitazione dei log di flusso VPC per una subnet esistente

console

  1. Vai alla pagina Reti VPC in Google Cloud Console.
    Vai alla pagina Reti VPC
  2. Fai clic sulla subnet da aggiornare.
  3. Fai clic su Modifica.
  4. In Log di flusso, seleziona Attivati.
  5. Se vuoi modificare campionamento e aggregazione dei log, fai clic su Configura log e modifica una delle seguenti opzioni:
    • L'Intervallo di aggregazione
    • Indica se include i metadati nelle voci di log finali
      Per impostazione predefinita, Includi i metadati include tutti i campi. Per personalizzare i campi dei metadati, devi utilizzare l'interfaccia a riga di comando di Google Cloud o l'API.
    • la Frequenza di campionamento. 100% significa che tutte le voci sono conservate.
  6. Fai clic su Salva.

gcloud

gcloud compute networks subnets update SUBNET_NAME \
    --enable-flow-logs \
    [--logging-aggregation-interval=AGGREGATION_INTERVAL \
    [--logging-flow-sampling=SAMPLE_RATE] \
    [--logging-filter-expr=FILTER_EXPRESSION] \
    [--logging-metadata=LOGGING_METADATA \
    [--logging-metadata-fields=METADATA_FIELDS] \
    [other flags as needed]

Sostituisci quanto segue:

  • AGGREGATION_INTERVAL: l'intervallo di aggregazione per i log di flusso in quella subnet. L'intervallo può essere impostato su uno dei seguenti valori: 5 sec (predefinito), 30 sec, 1 min, 5 min, 10 min o 15 min.
  • SAMPLE_RATE: la frequenza di campionamento del flusso. Il campionamento del flusso può essere impostato da 0.0 (senza campionamento) su 1.0 (tutti i log). Il valore predefinito è 0.5.
  • FILTER_EXPRESSION è un'espressione che definisce i log che vuoi conservare. Per maggiori dettagli, consulta l'articolo relativo al filtro dei log.
  • LOGGING_METADATA: le annotazioni dei metadati che vuoi includere nei log:

    • include-all per includere tutte le annotazioni di metadati
    • exclude-all per escludere tutte le annotazioni dei metadati (impostazione predefinita)
    • custom per includere un elenco personalizzato di campi di metadati specificati in METADATA_FIELDS.
  • METADATA_FIELDS: un elenco di campi di metadati separati da virgole che vuoi includere nei log. Ad esempio, src_instance,dst_instance. Può essere impostato solo se LOGGING_METADATA è impostato su custom.

API

Abilita i log di flusso VPC per una subnet esistente.

PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME
{
  "logConfig": {
    "enable": true
    ...other logging fields.
  },
  "fingerprint": "SUBNETWORK_FINGERPRINT"
}

Sostituisci i segnaposto con valori validi:

Per ulteriori informazioni, consulta il metodo subnetworks.patch.

Visualizzazione del volume di log stimato per le subnet esistenti

Google Cloud Console fornisce una stima del volume di log per le subnet esistenti, che puoi utilizzare per stimare il costo dell'abilitazione dei log di flusso. La stima si basa sui flussi acquisiti a intervalli di 5 secondi per la subnet nei sette giorni precedenti. Inoltre, le dimensioni di ogni log dipendono da se attivi le annotazioni dei metadati.

  1. Vai alla pagina Reti VPC in Google Cloud Console.
    Vai alla pagina Reti VPC
  2. Fai clic sulla subnet per cui vuoi stimare i costi.
  3. Fai clic su Modifica.
  4. In Log di flusso, seleziona Attivati.
  5. Fai clic su Configura i log.
  6. Visualizza i log stimati generati ogni giorno per visualizzare la stima.
  7. Fai clic su Annulla per non salvare nessuna modifica.

Visualizzazione delle subnet per cui sono abilitati i log di flusso VPC

Puoi controllare quali subnet di una rete hanno i log di flusso VPC abilitati.

console

  1. Vai alla pagina Reti VPC in Google Cloud Console.
    Vai alla pagina Reti VPC
  2. Visualizza la colonna Log di flusso per verificare se il logging è attivo o meno.

gcloud

gcloud compute networks subnets list \
    --project PROJECT_ID \
    --network="NETWORK" \
    --format="csv(name,region,logConfig.enable)"

Sostituisci quanto segue:

  • PROJECT_ID: l'ID del progetto per il quale stai eseguendo la query.
  • NETWORK: il nome della rete che contiene le subnet.

Aggiornamento dei parametri dei log di flusso VPC

Puoi modificare i parametri di campionamento dei log. Consulta la sezione Campionamento e aggregazione dei log per i dettagli sui parametri che puoi controllare.

console

  1. Vai alla pagina Reti VPC in Google Cloud Console.
    Vai alla pagina Reti VPC
  2. Fai clic sulla subnet da aggiornare.
  3. Fai clic su Modifica.
  4. Fai clic su Configura log per modificare il campionamento e l'aggregazione dei log:
    • L'Intervallo di aggregazione
    • Indica se include i metadati nelle voci di log finali
      Per impostazione predefinita, Includi i metadati include tutti i campi. Per personalizzare i campi dei metadati, devi utilizzare l'interfaccia a riga di comando di Google Cloud o l'API.
    • la Frequenza di campionamento. 100% significa che tutte le voci sono conservate.
  5. Fai clic su Salva.

gcloud

gcloud compute networks subnets update SUBNET_NAME \
    [--logging-aggregation-interval=AGGREGATION_INTERVAL \
    [--logging-flow-sampling=SAMPLE_RATE] \
    [--logging-filter-expr=FILTER_EXPRESSION] \
    [--logging-metadata=LOGGING_METADATA \
    [--logging-metadata-fields=METADATA_FIELDS] \

Sostituisci quanto segue:

  • AGGREGATION_INTERVAL: l'intervallo di aggregazione per i log di flusso in quella subnet. L'intervallo può essere impostato su uno dei seguenti valori: 5 sec (predefinito), 30 sec, 1 min, 5 min, 10 min o 15 min.
  • SAMPLE_RATE: la frequenza di campionamento del flusso. Il campionamento del flusso può essere impostato da 0.0 (senza campionamento) su 1.0 (tutti i log). Il valore predefinito è 0.5.
  • FILTER_EXPRESSION è un'espressione che definisce i log che vuoi conservare. Per maggiori dettagli, consulta l'articolo relativo al filtro dei log.
  • LOGGING_METADATA: le annotazioni dei metadati che vuoi includere nei log:

    • include-all per includere tutte le annotazioni di metadati
    • exclude-all per escludere tutte le annotazioni dei metadati (impostazione predefinita)
    • custom per includere un elenco personalizzato di campi di metadati specificati in METADATA_FIELDS.
  • METADATA_FIELDS: un elenco di campi di metadati separati da virgole che vuoi includere nei log. Ad esempio, src_instance,dst_instance. Può essere impostato solo se LOGGING_METADATA è impostato su custom.

API

Modifica i campi di campionamento dei log per aggiornare i comportamenti dei log di flusso VPC.

PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME
{
  "logConfig": {
    ...fields to modify
  },
  "fingerprint": "SUBNETWORK_FINGERPRINT"
}

Sostituisci i segnaposto con valori validi:

Per ulteriori informazioni, consulta il metodo subnetworks.patch.

Disabilitazione dei log di flusso VPC per una subnet

console

  1. Vai alla pagina Reti VPC in Google Cloud Console.
    Vai alla pagina Reti VPC
  2. Fai clic sulla subnet da aggiornare.
  3. Fai clic su Modifica.
  4. In Log di flusso, seleziona Off.
  5. Fai clic su Salva.

gcloud

gcloud compute networks subnets update SUBNET_NAME \
    --no-enable-flow-logs

API

Disabilita i log di flusso VPC su una subnet per interrompere la raccolta dei record di log.

PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME
{
  "logConfig": {
    "enable": false
  },
  "fingerprint": "SUBNETWORK_FINGERPRINT"
}

Sostituisci i segnaposto con valori validi:

  • PROJECT_ID è l'ID del progetto in cui si trova la subnet.
  • REGION è l'area geografica in cui si trova la subnet.
  • SUBNET_NAME è il nome della subnet esistente.
  • SUBNET_FINGERPRINT è l'ID impronta per la subnet esistente, che viene fornito quando descrivi una subnet.

Per ulteriori informazioni, consulta il metodo subnetworks.patch.

Accesso ai log tramite Logging

Configurazione di IAM

Segui la guida al controllo dell'accesso per Logging.

Visualizza i log tramite la pagina Esplora log.

Per questi comandi, devi avere l'ID progetto del progetto.

Accesso a tutti i log di flusso

  1. Vai a Esplora log in Google Cloud Console.
    Vai a Esplora log
  2. Seleziona Subnet nel primo menu a discesa.
  3. Seleziona compute.googleapis.com/vpc_flows nel secondo menu a discesa.
  4. Fai clic su OK.

In alternativa:

  1. Vai a Esplora log in Google Cloud Console.
    Vai a Esplora log
  2. Sul lato destro del campo Filtra per etichetta o testo, fai clic sulla freccia rivolta verso il basso e seleziona Converti in filtro avanzato.
  3. Incolla nel campo quanto segue. Sostituisci PROJECT_ID con l'ID progetto.
    resource.type="gce_subnetwork"
    logName="projects/PROJECT_ID/logs/compute.googleapis.com%2Fvpc_flows"
    
  4. Fai clic su Invia filtro.

Accesso ai log per una subnet specifica

  1. Vai a Esplora log in Google Cloud Console.
    Vai a Esplora log
  2. Nel primo menu a discesa, sposta il cursore su Subnet, quindi spostalo a destra per aprire il menu di selezione delle singole subnet.
  3. Nel secondo menu a discesa, seleziona compute.googleapis.com/vpc_flows.
  4. Fai clic su OK.

In alternativa:

  1. Vai a Esplora log in Google Cloud Console.
    Vai a Esplora log
  2. Sul lato destro del campo Filtra per etichetta o testo, fai clic sulla freccia rivolta verso il basso e seleziona Converti in filtro avanzato.
  3. Incolla nel campo quanto segue. Sostituisci PROJECT_ID con l'ID progetto e SUBNET_NAME con la subnet.
    resource.type="gce_subnetwork"
    logName="projects/PROJECT_ID/logs/compute.googleapis.com%2Fvpc_flows"
    resource.labels.subnetwork_name="SUBNET_NAME"
    
  4. Fai clic su Invia filtro.

Accesso ai log per una VM specifica

  1. Vai a Esplora log in Google Cloud Console.
    Vai a Esplora log
  2. Sul lato destro del campo Filtra per etichetta o testo, fai clic sulla freccia rivolta verso il basso e seleziona Converti in filtro avanzato.
  3. Incolla nel campo quanto segue. Sostituisci PROJECT_ID con l'ID progetto e VM_NAME con la tua VM.
    resource.type="gce_subnetwork"
    logName="projects/PROJECT_ID/logs/compute.googleapis.com%2Fvpc_flows"
    jsonPayload.src_instance.vm_name="VM_NAME"
    
  4. Fai clic su Invia filtro.

Accesso ai log per il traffico verso un intervallo di subnet specifico

  1. Vai a Esplora log in Google Cloud Console.
    Vai a Esplora log
  2. Sul lato destro del campo Filtra per etichetta o testo, fai clic sulla freccia rivolta verso il basso e seleziona Converti in filtro avanzato.
  3. Incolla nel campo quanto segue. Sostituisci PROJECT_ID con l'ID progetto e SUBNET_RANGE con un intervallo CIDR (192.168.1.0/24).
    resource.type="gce_subnetwork"
    logName="projects/PROJECT_ID/logs/compute.googleapis.com%2Fvpc_flows"
    ip_in_net(jsonPayload.connection.dest_ip, SUBNET_RANGE)
    
  4. Fai clic su Invia filtro.

Accesso ai log per un cluster GKE specifico

  1. Vai a Esplora log in Google Cloud Console.
    Vai a Esplora log
  2. Sul lato destro del campo Filtra per etichetta o testo, fai clic sulla freccia rivolta verso il basso e seleziona Converti in filtro avanzato.
  3. Incolla nel campo quanto segue. Sostituisci PROJECT_ID con l'ID progetto e SUBNET_NAME con la subnet.
    resource.type="gce_subnetwork"
    logName="projects/{#project_id}/logs/vpc_flows"
    jsonPayload.src_gke_details.cluster.cluster_name="{#cluster_name}" OR jsonPayload.dest_gke_details.cluster.cluster_name="{#cluster_name}"
    
  4. Fai clic su Invia filtro.

Accesso ai log per protocolli e porte specifici

Per una singola porta di destinazione

  1. Vai a Esplora log in Google Cloud Console.
    Vai a Esplora log
  2. Sul lato destro del campo Filtra per etichetta o testo, fai clic sulla freccia rivolta verso il basso e seleziona Converti in filtro avanzato.
  3. Incolla nel campo quanto segue. Sostituisci PROJECT_ID con l'ID progetto, PORT con la porta di destinazione e PROTOCOL con il protocollo.
    resource.type="gce_subnetwork"
    logName="projects/PROJECT_ID/logs/compute.googleapis.com%2Fvpc_flows"
    jsonPayload.connection.dest_port=PORT
    jsonPayload.connection.protocol=PROTOCOL
    
  4. Fai clic su Invia filtro.

Per più porte di destinazione

  1. Vai a Esplora log in Google Cloud Console.
    Vai a Esplora log
  2. Sul lato destro del campo Filtra per etichetta o testo, fai clic sulla freccia rivolta verso il basso e seleziona Converti in filtro avanzato.
  3. Incolla nel campo quanto segue. Sostituisci PROJECT_ID con l'ID progetto, PORT1 e PORT2 con le porte di destinazione e PROTOCOL con il protocollo.
    resource.type="gce_subnetwork"
    logName="projects/PROJECT_ID/logs/compute.googleapis.com%2Fvpc_flows"
    jsonPayload.connection.dest_port=(PORT1 OR PORT2)
    jsonPayload.connection.protocol=PROTOCOL
    
  4. Fai clic su Invia filtro.

Routing dei log a BigQuery, Pub/Sub e target personalizzati

Puoi instradare i log di flusso da Logging a una destinazione a tua scelta, come descritto nella documentazione di Logging. Fai riferimento alla sezione precedente per esempi di filtri.

Risolvere i problemi

Nessun vpc_flows viene visualizzato in Logging nella risorsa gce_subnetwork

  • Verifica che il logging sia attivato per la subnet specificata.
  • I flussi VPC sono supportati solo per le reti VPC. Se hai una rete legacy, non vedrai alcun log.
  • Nelle reti VPC condivise, i log vengono visualizzati solo nel progetto host, non nei progetti di servizio. Assicurati di cercare i log nel progetto host.
  • I filtri di esclusione dei log bloccano i log specificati. Assicurati che non esistano regole di esclusione che eliminino i log di flusso VPC.
    1. Vai a Utilizzo delle risorse.
    2. Fai clic sulla scheda Esclusioni.
    3. Assicurati che non esistano regole di esclusione che potrebbero ignorare i log di flusso VPC.

Nessun valore RTT o byte su alcuni log

  • Le misurazioni RTT potrebbero risultare mancanti se non è stato campionato un numero sufficiente di pacchetti per acquisire l'RTT. Questo scenario si verifica con più probabilità in caso di connessioni a basso volume.
  • I valori RTT sono disponibili solo per i flussi TCP.
  • Alcuni pacchetti vengono inviati senza payload. Se sono stati campionati pacchetti solo nell'intestazione, il valore dei byte sarà 0.

Alcuni flussi sono mancanti

  • Sono supportati solo i protocolli TCP, UDP, ICMP, ESP e GRE. I log di flusso VPC non supportano altri protocolli.
  • I log vengono campionati. Alcuni pacchetti in flussi di volume molto basso potrebbero non essere rilevati.

Annotazioni GKE mancanti in alcuni log

  • Assicurati che il cluster GKE abbia la versione 1.12.7 o successiva.
  • Se il tuo cluster GKE è in versione 1.14 o precedente, assicurati che Cloud Operations for GKE sia abilitato nel cluster. In alcuni casi, alcune annotazioni potrebbero mancare se Cloud Operations for GKE non è abilitato. Per verificare se Cloud Operations for GKE è abilitato nel cluster, consulta la sezione Quale supporto di monitoraggio e logging utilizza il mio cluster.

  • Se Cloud Operations for GKE è abilitato nel cluster e continui a notare delle annotazioni GKE mancanti, potrebbe esserci un problema con le quote o le autorizzazioni.

Log mancanti per alcuni flussi GKE

Assicurati che la visibilità dei nodi sia attivata nel cluster. In caso contrario, i flussi tra i pod sullo stesso nodo non vengono registrati.

I log di flusso risultano disabilitati anche se li hai attivati

  • Quando configuri una subnet solo proxy per i bilanciatori del carico HTTP(S) interni e utilizzi il comando gcloud compute networks subnets per abilitare i log di flusso VPC, il comando ha esito positivo, ma i log di flusso non sono effettivamente abilitati. Il flag --enable-flow-logs non ha effetto se includi anche il flag --purpose=INTERNAL_HTTPS_LOAD_BALANCER.

    Quando utilizzi Google Cloud Console o l'API per abilitare i log di flusso, viene visualizzato il messaggio di errore: "Valore non valido per il campo 'resource.enableFlowLogs': 'true'. Campo non valido impostato nella subnet con scopo INTERNAL_HTTPS_LOAD_BALANCER."

    Poiché le subnet solo proxy non hanno VM, i log di flusso VPC non sono supportati. Questo è il funzionamento previsto.

Passaggi successivi