Configurar segmentos de registros

En este documento se describe cómo crear y gestionar segmentos de Cloud Logging con la Cloud de Confiance consola, la CLI de Google Cloud y la API de Logging. También se proporcionan instrucciones para crear y gestionar segmentos de registro a nivel deCloud de Confiance proyecto. No puedes crear contenedores de registro a nivel de carpeta ni de organización. Sin embargo, Cloud Logging crea automáticamente contenedores de registro _Default y _Required a nivel de carpeta y de organización.

Para obtener una descripción general conceptual de los segmentos, consulta Descripción general del enrutamiento y el almacenamiento: segmentos de registro.

En este documento no se describe cómo crear un segmento de registro que use una clave de cifrado gestionada por el cliente (CMEK). Si te interesa este tema, consulta el artículo sobre cómo configurar CMEK para el almacenamiento de registros.

Antes de empezar

Para empezar a usar los contenedores, haz lo siguiente:

• Configura tu proyecto de Cloud de Confiance :

  1. Verify that billing is enabled for your Cloud de Confiance project.

  2. Para obtener los permisos que necesitas para crear, actualizar y vincular un segmento de registro, pide a tu administrador que te conceda el rol de gestión de identidades y accesos Escritor de configuración de registros (roles/logging.configWriter) en tu proyecto. Para obtener más información sobre cómo conceder roles, consulta el artículo Gestionar acceso a proyectos, carpetas y organizaciones.

     También puedes conseguir los permisos necesarios a través de roles personalizados u otros roles predefinidos.

     Para ver la lista completa de permisos y roles, consulta Control de acceso con gestión de identidades y accesos.

• Consulta las regiones admitidas en las que puedes almacenar tus registros.

• Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Cloud de Confiance console to access Cloud de Confiance by S3NS services and APIs, you don't need to set up authentication.

  gcloud

  Instala Google Cloud CLI y, a continuación, inicia sesión en gcloud CLI con tu identidad federada. Después de iniciar sesión, inicializa la CLI de Google Cloud ejecutando el siguiente comando:

  gcloud init

  REST

  Para usar las muestras de la API REST de esta página en un entorno de desarrollo local, debes usar las credenciales que proporciones a la CLI de gcloud.

  Instala Google Cloud CLI y, a continuación, inicia sesión en gcloud CLI con tu identidad federada. Después de iniciar sesión, inicializa la CLI de Google Cloud ejecutando el siguiente comando:

  gcloud init

  Para obtener más información, consulta el artículo Autenticarse para usar REST de la documentación sobre autenticación de Cloud de Confiance .

  Si tienes previsto usar Google Cloud CLI o la API Cloud Logging para crear o gestionar tus cubos de registro, consulta los requisitos de formato de LogBucket.

Crear un segmento

Puedes crear un máximo de 100 contenedores porCloud de Confiance proyecto.

Para crear un bucket de registro definido por el usuario para tu Cloud de Confiance proyecto, haz lo siguiente:

gcloud logging buckets create BUCKET_ID --location=LOCATION

gcloud logging buckets create my-bucket --location global --description "My first bucket"

Después de crear un segmento, crea un receptor para dirigir las entradas de registro a tu segmento y configura vistas de registro para controlar quién puede acceder a los registros de tu nuevo segmento y a qué registros puede acceder.

Gestionar segmentos

En esta sección se describe cómo gestionar los segmentos de registro con la CLI de Google Cloud o la Cloud de Confiance consola.

Actualizar un contenedor

gcloud logging buckets update BUCKET_ID --location=LOCATION UPDATED_ATTRIBUTES

gcloud logging buckets update my-bucket --location=global --description "Updated description"

Bloquear un segmento

Cuando bloqueas un segmento para que no se actualice, también bloqueas su política de retención. Una vez que se bloquea una política de retención, no puedes eliminar el segmento hasta que todas las entradas de registro del segmento hayan cumplido el periodo de retención del segmento. Si quieres evitar que se elimine accidentalmente un proyecto que contenga un bucket de registro bloqueado, añade una retención al proyecto. Para obtener más información, consulte Proteger proyectos mediante retenciones.

Para evitar que nadie actualice o elimine un segmento de registro, bloquéalo. Para bloquear el segmento, haz lo siguiente:

gcloud logging buckets update BUCKET_ID --location=LOCATION --locked

gcloud logging buckets update my-bucket --location=global --locked

Mostrar segmentos

Para enumerar los contenedores de registro asociados a un proyecto Cloud de Confiance y ver detalles como la configuración de retención, haz lo siguiente:

gcloud logging buckets list

gcloud logging buckets describe _Default --location=global

Ver los detalles de un segmento

Para ver los detalles de un solo contenedor de registro, sigue estos pasos:

gcloud logging buckets describe _Default --location=global

Eliminar un segmento

Puede eliminar los contenedores de registro que cumplan una de las siguientes condiciones:

• El log bucket está desbloqueado.
• El segmento de registro está bloqueado y todas las entradas de registro del segmento han cumplido el periodo de conservación del segmento.

No puedes eliminar un segmento de registro que esté bloqueado contra actualizaciones cuando almacene entradas de registro que no hayan cumplido el periodo de conservación del segmento.

Después de ejecutar el comando de eliminación, el contenedor de registro pasa al estado DELETE_REQUESTED y permanece en ese estado durante 7 días. Durante este periodo, Logging sigue enviando registros al contenedor de registros. Para dejar de enrutar registros al segmento de registro, puedes eliminar o modificar los sumideros de registro que enrutan las entradas de registro al segmento.

No puedes crear un nuevo contenedor de registro que tenga el mismo nombre que un contenedor de registro que esté en el estado DELETE_REQUESTED.

Para eliminar un segmento de registro, siga estos pasos:

gcloud logging buckets delete BUCKET_ID --location=LOCATION

Restaurar un segmento eliminado

Puedes restaurar o recuperar un segmento de registro que esté en estado de eliminación pendiente. Para restaurar un contenedor de registro, siga estos pasos:

gcloud logging buckets undelete BUCKET_ID --location=LOCATION

Escribir en un segmento

No escribes registros directamente en un segmento de registro. En su lugar, escribe los registros en unCloud de Confiance recurso: Cloud de Confiance un proyecto, una carpeta o una organización. Los receptores del recurso principal dirigen los registros a destinos, incluidos los contenedores de registros. Un sumidero enruta los registros a un segmento de registro de destino cuando los registros coinciden con el filtro del sumidero y el sumidero tiene permiso para enrutar los registros al segmento de registro.

Leer de un segmento

Cada contenedor de registro tiene un conjunto de vistas de registro. Para leer los registros de un segmento de registro, debes tener acceso a una vista de registro del segmento. Las vistas de registro te permiten conceder a un usuario acceso solo a un subconjunto de los registros almacenados en un segmento de registro. Para obtener información sobre cómo configurar vistas de registro y cómo conceder acceso a vistas de registro específicas, consulta el artículo Configurar vistas de registro en un contenedor de registro.

Para leer los registros de un contenedor de registro, haz lo siguiente:

gcloud logging read LOG_FILTER --bucket=BUCKET_ID --location=LOCATION --view=LOG_VIEW_ID

Para obtener información detallada sobre la sintaxis de filtrado, consulta el artículo Lenguaje de consultas de registro.

Solucionar problemas frecuentes

Si tienes problemas al usar los contenedores de registro, consulta los siguientes pasos para solucionar problemas y las respuestas a las preguntas frecuentes.

¿Por qué no puedo eliminar este contenedor?

Si intentas eliminar un contenedor, haz lo siguiente:

• Verifica que tienes los permisos correctos para eliminar el segmento. Para ver la lista de permisos que necesitas, consulta el artículo sobre el control de acceso con gestión de identidades y accesos.

• Determina si el contenedor está bloqueado consultando sus atributos. Si el segmento está bloqueado, comprueba su periodo de conservación. No puedes eliminar un segmento bloqueado hasta que todos los registros del segmento hayan cumplido el periodo de conservación del segmento.

¿Qué cuentas de servicio están enviando registros a mi segmento?

Para determinar si alguna cuenta de servicio tiene permisos de gestión de identidades y accesos para enrutar registros a tu bucket, haz lo siguiente:

1. En la Cloud de Confiance consola, ve a la página Gestión de identidades y accesos:

   Ve a Gestión de identidades y accesos.

   Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuya sección sea IAM y administrador.

2. En la pestaña Permisos, selecciona Roles. Verás una tabla con todos los roles de gestión de identidades y accesos y los principales asociados a tuCloud de Confiance proyecto.

3. En el cuadro de texto filter_list Filtro de la tabla, introduce Escritor de cubos de registro.

   Verá las entidades de seguridad que tengan el rol Escritor de cubos de registro. Si un principal es una cuenta de servicio, su ID contiene la cadena s3ns-system.iam.gserviceaccount.com.

4. Opcional: Si quieres impedir que una cuenta de servicio pueda enrutar registros a tu proyecto Cloud de Confiance , selecciona la casilla check_box_outline_blank de la cuenta de servicio y haz clic en Quitar.