使用防火牆政策規則記錄

控制台

1. 前往 Cloud de Confiance 控制台的「Firewall policies」(防火牆政策) 頁面。

   前往「防火牆政策」頁面

2. 在「記錄」資料欄中，判斷每項防火牆規則的記錄功能是否已開啟。

3. 如要為一或多個防火牆規則啟用記錄功能，請找出要更新的規則，然後勾選旁邊的核取方塊。

4. 在「虛擬私有雲防火牆規則」動作列中，按一下「設定記錄」。

5. 在「設定記錄」對話方塊中，選取「開啟」。

6. 如要省略中繼資料欄位，請展開「顯示記錄詳細資料」，然後取消勾選「包含中繼資料」核取方塊。

7. 點選 [Save configuration] (儲存設定)。

gcloud

gcloud compute firewall-rules update RULE_NAME \
    --enable-logging \
    --logging-metadata=LOGGING_METADATA

更改下列內容：

• RULE_NAME：防火牆規則的名稱。
• LOGGING_METADATA：防火牆政策規則記錄是否包含防火牆規則記錄中的中繼資料欄位。只有在啟用記錄功能時，才能設定這個欄位。這個值必須是 exclude-all 或 include-all。根據預設，系統會納入中繼資料欄位。

詳情請參閱 SDK 參考說明文件。

Terraform

您可以使用 Terraform 資源建立已啟用記錄功能的防火牆規則。

resource "google_compute_firewall" "rules" {
  project     = var.project_id # Replace this with your project ID in quotes
  name        = "my-firewall-rule"
  network     = "default"
  description = "Creates firewall rule targeting tagged instances"

  log_config {
    metadata = "INCLUDE_ALL_METADATA"
  }

  allow {
    protocol = "tcp"
    ports    = ["80", "8080", "1000-2000"]
  }
  target_tags = ["web"]
}

如要瞭解如何套用或移除 Terraform 設定，請參閱「基本 Terraform 指令」。

API

為現有防火牆規則啟用防火牆政策規則記錄功能。

PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls/RULE_NAME
{
  "name": "RULE_NAME",
  "logConfig": {
    "enable": true,
    "metadata": "LOGGING_METADATA"
  }
}

將預留位置替換為有效值：

• PROJECT_ID：防火牆規則所在的專案 ID。
• RULE_NAME：防火牆規則的名稱。
• LOGGING_METADATA：防火牆政策規則記錄是否包含防火牆規則記錄中的中繼資料欄位。只有在啟用記錄功能時，才能設定這個欄位。這個值必須是 exclude-all 或 include-all。根據預設，系統會納入中繼資料欄位。

詳情請參閱 firewalls.patch 方法。

控制台

1. 前往 Cloud de Confiance 控制台的「Firewall policies」(防火牆政策) 頁面。

   前往「防火牆政策」頁面

2. 在「記錄」資料欄中，判斷每項防火牆規則的防火牆記錄功能是否開啟。

3. 如要為一或多個防火牆規則停用記錄功能，請勾選要更新的規則旁邊的核取方塊。

4. 在「虛擬私有雲防火牆規則」動作列中，按一下「設定記錄」。

5. 在「設定記錄」對話方塊中選取「關閉」，然後按一下「儲存設定」。

gcloud

gcloud compute firewall-rules update RULE_NAME \
    --no-enable-logging

將 RULE_NAME 替換為防火牆規則的名稱。

API

為現有防火牆規則停用防火牆政策規則記錄。

PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/firewalls/RULE_NAME
{
  "name": "RULE_NAME",
  "logConfig": {
    "enable": false
  }
}

更改下列內容：

• PROJECT_ID：防火牆規則所在的專案 ID。
• RULE_NAME：防火牆規則的名稱。

詳情請參閱 firewalls.patch 方法。

選項 1

1. 前往 Cloud de Confiance 控制台的「Logs Explorer」頁面。

   前往「Logs Explorer」頁面

2. 按一下「Resource」(資源)。

3. 在「選取資源」清單中，按一下「子網路」，然後按一下「套用」。

4. 按一下「記錄檔名稱」，然後在清單中選取「firewall」。

5. 按一下「套用」。

選項 2

1. 前往 Cloud de Confiance 控制台的「Logs Explorer」頁面。

   前往「Logs Explorer」頁面

2. 點選「查詢」。

3. 如果「查詢」窗格中沒有顯示查詢編輯器欄位，請點選「顯示查詢」切換鈕。

4. 將下列內容貼到「查詢」窗格的查詢編輯器欄位。 將 PROJECT_ID 替換為專案 ID。

   resource.type="gce_subnetwork"
   logName="projects/PROJECT_ID/logs/compute.googleapis.com%2Ffirewall"
   

5. 點選「執行查詢」

選項 1

1. 前往 Cloud de Confiance 控制台的「Logs Explorer」頁面。

   前往「Logs Explorer」頁面

2. 按一下「Resource」(資源)。

3. 在「選取資源」清單中，按一下「子網路」。

4. 選取要查看記錄的子網路，然後按一下「套用」。

5. 按一下「記錄檔名稱」，然後在清單中選取「firewall」。

6. 按一下「套用」。

選項 2

1. 前往 Cloud de Confiance 控制台的「Logs Explorer」頁面。

   前往「Logs Explorer」頁面

2. 點選「查詢」。

3. 如果「查詢」窗格中沒有顯示查詢編輯器欄位，請點選「顯示查詢」切換鈕。

4. 將下列內容貼到「查詢」窗格的查詢編輯器欄位。 將 PROJECT_ID 替換為專案 ID，並將 SUBNET_NAME 替換為子網路。

   resource.type="gce_subnetwork"
   logName="projects/PROJECT_ID/logs/compute.googleapis.com%2Ffirewall"
   resource.labels.subnetwork_name="SUBNET_NAME"
   

5. 點選「執行查詢」

選項 1

1. 前往 Cloud de Confiance 控制台的「Logs Explorer」頁面。

   前往「Logs Explorer」頁面

2. 按一下「Resource」(資源)。

3. 在「選取資源」清單中，按一下「VM 執行個體」。

4. 選取要查看記錄的執行個體，然後按一下「套用」。

5. 按一下「記錄檔名稱」，然後在清單中選取「firewall」。

6. 按一下「套用」。

選項 2

1. 前往 Cloud de Confiance 控制台的「Logs Explorer」頁面。

   前往「Logs Explorer」頁面

2. 點選「查詢」。

3. 如果「查詢」窗格中沒有顯示查詢編輯器欄位，請點選「顯示查詢」切換鈕。

4. 將下列內容貼到「查詢」窗格的查詢編輯器欄位。 請將 PROJECT_ID 替換為專案 ID，並將 INSTANCE_ID 替換為要查看記錄的 VM ID。

   resource.type="gce_subnetwork"
   logName="projects/PROJECT_ID/logs/compute.googleapis.com%2Ffirewall"
   jsonPayload.instance.vm_name="INSTANCE_ID"
   

5. 點選「執行查詢」