Configurar el registro multicliente

gcloud

Para configurar el registro multicliente en clústeres de GKE, sigue estos pasos:

1. Define las siguientes variables de entorno:

   export TENANT_NAMESPACE="TENANT_NAMESPACE"
   export MAIN_PROJECT="MAIN_PROJECT_ID"
   export TENANT_PROJECT="TENANT_PROJECT_ID"
   

   Haz los cambios siguientes:

   • TENANT_NAMESPACE: nombre del espacio de nombres del proyecto de inquilino
   • MAIN_PROJECT_ID: el ID de proyecto de tu proyecto principal
   • TENANT_PROJECT_ID: el ID del proyecto de tu arrendatario

2. Crea un espacio de nombres en tu clúster multicliente:

   kubectl create namespace $TENANT_NAMESPACE
   

3. Crea un sumidero de registro en el proyecto de GKE main:

   gcloud logging sinks create gke-$TENANT_NAMESPACE-sink \
   logging.googleapis.com/projects/$TENANT_PROJECT \
       --project=$MAIN_PROJECT \
       --log-filter=resource.labels.namespace_name="$TENANT_NAMESPACE" \
       --description="Log sink to $TENANT_PROJECT for $TENANT_NAMESPACE namespace"
   

   Este comando crea un sumidero de registros que envía todos los registros relacionados con el espacio de nombres $TENANT_NAMESPACE al proyecto de inquilino.

   Es posible que tengas que usar un --log-filter más restrictivo. Por ejemplo, si tu clúster y tu arrendatario tienen el mismo espacio de nombres, añade un filtro de clúster.

   Para obtener más información sobre estos campos, consulta la documentación de la API gcloud logging sinks create.

4. Obtén la identidad de escritura del receptor del proyecto principal y asígnala a una variable de entorno.

   export SERVICE_ACCOUNT=$(gcloud logging sinks describe gke-$TENANT_NAMESPACE-sink \
       --project=$MAIN_PROJECT \
       --format='value(writerIdentity)')
   

5. Asigna el rol Escritor de registros (logging.bucketWriter) a la cuenta de servicio que usa el sumidero. El siguiente comando concede al proyecto principal permisos para escribir registros en el proyecto de inquilino:

    gcloud projects add-iam-policy-binding $TENANT_PROJECT \
        --member=$SERVICE_ACCOUNT --role='roles/logging.logWriter' \
        --condition="expression=resource.name.endsWith(\"projects/$TENANT_PROJECT\"),title=Log writer for $TENANT_NAMESPACE,description=Grants Logs Writer role to service account $SERVICE_ACCOUNT used by gke-$TENANT_NAMESPACE-sink"
   

   Para obtener más información sobre estos campos, consulta la documentación de la API gcloud projects add-iam-policy-binding.

6. Si quieres, crea un filtro de exclusión para el sumidero que enrute los registros al segmento _Default del proyecto principal. Si no crea un filtro de exclusión en el _Default, los registros enrutados aparecerán tanto en el _Default del proyecto principal como en el del inquilino. Para crear un filtro de exclusión, siga estos pasos:

   gcloud logging sinks update _Default --project=$MAIN_PROJECT \
       --add-exclusion="name=gke-$TENANT_NAMESPACE-default-exclusion,description=\"Exclusion filter on the _Default bucket for $TENANT_NAMESPACE\",filter=resource.labels.namespace_name=\"$TENANT_NAMESPACE\""
   

   Para obtener más información sobre estos campos, consulta la documentación de la API gcloud logging sinks update.

Consola

Para implementar el registro multicliente en GKE, sigue estos pasos:

1. Crea el sumidero de registro en el proyecto principal:

   1. Usa el Trusted Cloud selector de proyectos de la consola para seleccionar el proyecto principal de GKE.

   2. En la Trusted Cloud consola, ve a la página Enrutador de registros:

      Ve a Enrutador de registros.

      Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuya sección sea Registro.

   3. En la página Log Router (Enrutador de registros), haz clic en Create sink (Crear sumidero).
   4. Escribe un nombre y una descripción para el receptor y, a continuación, haz clic en Siguiente.
   5. En el menú Seleccionar servicio de receptor, selecciona Otro proyecto.

   6. En el campo Sink destination (Destino de receptor), añade el siguiente destino:

      logging.googleapis.com/projects/TENANT_PROJECT_ID
      

      Sustituye TENANT_PROJECT_ID por el ID del proyecto de tu inquilino.

   7. Haz clic en Siguiente.

   8. En Crear filtro de inclusión, añada el siguiente filtro:

      resource.labels.namespace_name="TENANT_NAMESPACE"
      

      Sustituye TENANT_NAMESPACE por el nombre del espacio de nombres del proyecto de tu arrendatario.

      Puede que quieras un filtro de inclusión más restrictivo. Por ejemplo, si tu clúster y tu arrendatario tienen el mismo espacio de nombres, puedes añadir una cláusula para incluir solo las entradas de registro de un clúster específico.

   9. Haz clic en Crear sumidero. El nuevo receptor aparecerá en la lista Receptores de Log Router.

2. Copia la identidad de escritura del receptor en el portapapeles:

   1. En la página Enrutador de registros, busca el sumidero de registros.
   2. En ese receptor, haz clic en more_vert Más y, a continuación, selecciona Ver detalles del receptor.
   3. En el panel Sink details (Detalles del receptor), busca el campo Writer identity (Identidad del escritor) y copia el valor en el portapapeles. Omitir serviceAccount: del valor copiado.

3. En el proyecto de inquilino, asigna el rol Escritor de registros (roles/logging.logWriter) a la cuenta de servicio que usa el sumidero del proyecto principal. El proyecto principal necesita este permiso para escribir registros en el proyecto de inquilino.

   1. En la Trusted Cloud consola, ve a la página Gestión de identidades y accesos:

      Ve a Gestión de identidades y accesos.

      Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuyo subtítulo sea IAM y administrador.

   2. Haz clic en Conceder acceso.
   3. En el campo Nuevos principales, añade la cuenta de servicio del receptor.
   4. En el menú desplegable Selecciona un rol, selecciona Logging y elige Escritor de registros.
   5. Haz clic en Guardar.

4. También puede crear un filtro de exclusión en el segmento _Default del proyecto principal para evitar que los registros que se enrutan a un proyecto de arrendatario se escriban en el segmento de registros _Default del proyecto principal:

   1. En la Trusted Cloud consola, ve a la página Enrutador de registros:

      Ve a Enrutador de registros.

      Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuya sección sea Registro.

   2. Junto al contenedor _Default, haz clic en more_vert Más y selecciona Editar receptor.
   3. En la sección Seleccionar los registros que se excluirán del sumidero, haga clic en Añadir exclusión.
   4. Añade un nombre de filtro.

   5. En el cuadro Crear filtro de exclusión, añade lo siguiente:

      resource.labels.namespace_name="TENANT_NAMESPACE"
      

   6. Haz clic en Actualizar receptor.

gcloud

Para quitar los objetos que has creado para el registro multiempresa, sigue estos pasos:

1. Define variables para simplificar los siguientes comandos:

   export TENANT_NAMESPACE="TENANT_NAMESPACE"
   export MAIN_PROJECT="MAIN_PROJECT_ID"
   export TENANT_PROJECT="TENANT_PROJECT_ID"
   

   Haz los cambios siguientes:

   • TENANT_NAMESPACE: nombre del espacio de nombres del proyecto de inquilino
   • MAIN-PROJECT-ID: el ID de proyecto de tu proyecto principal
   • TENANT-PROJECT-ID: el ID del proyecto de tu arrendatario

2. Quita el rol Escritor de registros (roles/logging.logWriter) de la cuenta de servicio del proyecto de inquilino:

   export SERVICE_ACCOUNT=$(gcloud logging sinks describe gke-$TENANT_NAMESPACE-sink \
       --project=$MAIN_PROJECT | \
       --format='value(writerIdentity)'
   
   gcloud projects remove-iam-policy-binding $TENANT_PROJECT \
       --member=$SERVICE_ACCOUNT \
       --role='roles/logging.logWriter' \
       --all
   

3. Elimina el receptor de registro:

   gcloud logging sinks delete gke-$TENANT_NAMESPACE-sink \
       --project=$MAIN_PROJECT
   

4. Elimina el espacio de nombres:

   kubectl delete namespace $TENANT_NAMESPACE
   

Consola

1. En el proyecto de inquilino, quita el rol Escritor de registros (roles/logging.logWriter) de la cuenta de servicio:

   1. En la Trusted Cloud consola, ve a la página Gestión de identidades y accesos:

      Ve a Gestión de identidades y accesos.

      Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuyo subtítulo sea IAM y administrador.

   2. En la cuenta de servicio que quieras eliminar, haz clic en edit Editar principal.
   3. En el panel Editar acceso, haga clic en delete Eliminar rol junto al rol Escritor de registros y, a continuación, en Guardar.

2. En el proyecto principal, elimina el receptor de registro:

   1. Usa el selector de proyectos de la consola Trusted Cloud para seleccionar el proyecto de GKE del arrendatario.

   2. En la Trusted Cloud consola, ve a la página Enrutador de registros:

      Ve a Enrutador de registros.

      Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuya sección sea Registro.

   3. En el receptor que quieras eliminar, haz clic en more_vert Más.
   4. Selecciona Eliminar receptor.
   5. En el panel de confirmación, haz clic en Eliminar.