Log-Buckets konfigurieren

In diesem Dokument wird beschrieben, wie Sie Cloud Logging-Buckets mit der Cloud de Confiance -Konsole, der Google Cloud CLI und der Logging API erstellen und verwalten. Außerdem enthält sie eine Anleitung zum Erstellen und Verwalten von Log-Buckets aufCloud de Confiance -Projektebene. Sie können keine Log-Buckets auf Ordner- oder Organisationsebene erstellen. Cloud Logging erstellt jedoch automatisch die Log-Buckets _Default und _Required auf Ordner- und Organisationsebene für Sie.

Eine konzeptionelle Übersicht über Buckets finden Sie unter Routing und Speicherübersicht: Log-Buckets.

In diesem Dokument wird nicht beschrieben, wie Sie einen Log-Bucket erstellen, der einen vom Kunden verwalteten Verschlüsselungsschlüssel (Customer-Managed Encryption Key, CMEK) verwendet. Wenn Sie sich für dieses Thema interessieren, lesen Sie den Abschnitt CMEK für die Logspeicherung konfigurieren.

Hinweise

Gehen Sie für einen Einstieg in Buckets folgendermaßen vor:

Bucket erstellen

Sie können maximal 100 Buckets proCloud de Confiance -Projekt erstellen.

So erstellen Sie einen benutzerdefinierten Log-Bucket für Ihr Cloud de Confiance -Projekt:

Cloud de Confiance Console

So erstellen Sie einen Log-Bucket in Ihrem Cloud de Confiance -Projekt:

  1. Rufen Sie in der Cloud de Confiance Console die Seite Logspeicher auf:

    Zum Log-Speicher

    Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift Logging ist.

  2. Klicken Sie auf Log-Bucket erstellen.

  3. Geben Sie unter Name einen Namen und unter Beschreibung eine Beschreibung für den Bucket ein.

  4. Optional: Wenn Sie die Region für die Speicherung Ihrer Logs auswählen möchten, klicken Sie auf das Menü Log-Bucket-Region auswählen und wählen Sie eine Region aus. Wenn Sie keine Region auswählen, wird die Region global verwendet. Das bedeutet, dass sich die Logs in einer beliebigen unterstützten Region befinden können.

  5. Klicken Sie auf Bucket erstellen.

    Es kann einen Moment dauern, bis diese Schritte abgeschlossen sind.

gcloud

Führen Sie den Befehl gcloud logging buckets create aus, um einen Log-Bucket zu erstellen:

gcloud logging buckets create BUCKET_ID --location=LOCATION

Wenn Sie zum Beispiel einen Bucket mit der BUCKET_ID my-bucket in der Region global erstellen möchten, würde Ihr Befehl so aussehen:

gcloud logging buckets create my-bucket --location global --description "My first bucket"

REST

Verwenden Sie zum Erstellen eines Buckets die Methode projects.locations.buckets.create. Bereiten Sie die Argumente für die Methode so vor:

  1. Legen Sie den Parameter parent auf die Ressource fest, in der der Bucket erstellt werden soll: projects/PROJECT_ID/locations/LOCATION

    Die Variable LOCATION bezieht sich auf die Region, in der Ihre Logs gespeichert werden sollen.

    Wenn Sie beispielsweise einen Bucket für das Projekt my-project in der Region global erstellen möchten, sieht der Parameter parent so aus: projects/my-project/locations/global

  2. Legen Sie den Parameter bucketId fest, z. B. my-bucket.

  3. Rufen Sie die synchrone Methode projects.locations.buckets.create auf, um den Bucket zu erstellen.

Nachdem Sie einen Bucket erstellt haben, erstellen Sie eine Senke, um Logeinträge an den Bucket weiterzuleiten, und konfigurieren Sie Logansichten, um zu bestimmen, wer auf die Logs in dem neuen Bucket zugreifen kann und auf welche Logs sie Zugriff haben.

Buckets verwalten

In diesem Abschnitt wird beschrieben, wie Sie Ihre Log-Buckets mit der Google Cloud CLI oder der Cloud de Confiance -Konsole verwalten.

Bucket aktualisieren

So aktualisieren Sie die Eigenschaften Ihres Buckets, z. B. die Beschreibung:

Cloud de Confiance Console

So aktualisieren Sie die Eigenschaften Ihres Buckets:

  1. Rufen Sie in der Cloud de Confiance Console die Seite Logspeicher auf:

    Zum Log-Speicher

    Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift Logging ist.

  2. Klicken Sie für den Bucket, den Sie aktualisieren möchten, auf  Mehr.

  3. Klicken Sie auf Bucket bearbeiten.

  4. Bearbeiten Sie den Bucket nach Bedarf.

  5. Klicken Sie auf Bucket aktualisieren.

gcloud

Führen Sie zum Aktualisieren der Eigenschaften Ihres Buckets den Befehl gcloud logging buckets update aus:

gcloud logging buckets update BUCKET_ID --location=LOCATION UPDATED_ATTRIBUTES

Beispiel:

gcloud logging buckets update my-bucket --location=global --description "Updated description"

REST

Verwenden Sie zum Aktualisieren der Eigenschaften Ihres Buckets projects.locations.buckets.patch in der Logging API.

Bucket sperren

Wenn Sie einen Bucket vor Aktualisierungen sperren, wird auch die Aufbewahrungsrichtlinie des Buckets gesperrt. Nachdem eine Aufbewahrungsrichtlinie gesperrt wurde, können Sie den Bucket erst löschen, wenn die Aufbewahrungsdauer für jeden Logeintrag im Bucket abgelaufen ist. Wenn Sie verhindern möchten, dass ein Projekt, das einen gesperrten Log-Bucket enthält, versehentlich gelöscht wird, fügen Sie dem Projekt eine Sperre hinzu. Weitere Informationen finden Sie unter Projekte mit Sperren schützen.

Wenn Sie verhindern möchten, dass ein Log-Bucket aktualisiert oder gelöscht wird, sperren Sie den Bucket. So sperren Sie den Bucket:

Cloud de Confiance Console

Die Cloud de Confiance Console unterstützt das Sperren eines Log-Buckets nicht.

gcloud

Führen Sie zum Sperren des Buckets den Befehl gcloud logging buckets update mit dem Flag --locked aus:

gcloud logging buckets update BUCKET_ID --location=LOCATION --locked

Beispiel:

gcloud logging buckets update my-bucket --location=global --locked

REST

Verwenden Sie projects.locations.buckets.patch in der Logging API, um die Attribute Ihres Buckets zu sperren. Setzen Sie den Parameter locked auf true.

Buckets auflisten

So listen Sie die mit einem Cloud de Confiance -Projekt verknüpften Log-Buckets auf und rufen Details z. B. zu Aufbewahrungseinstellungen auf:

Cloud de Confiance Console

Rufen Sie in der Cloud de Confiance Console die Seite Logspeicher auf:

Zum Log-Speicher

Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift Logging ist.

In der Tabelle Log-Buckets werden die Buckets aufgeführt, die dem aktuellenCloud de Confiance -Projekt zugeordnet sind.

In der Tabelle sind die folgenden Attribute für jeden Log-Bucket aufgeführt:

  • Name: Der Name des Log-Buckets.
  • Beschreibung: Die Beschreibung des Buckets.
  • Aufbewahrungsdauer: Wie viel Tage lang die Daten des Buckets von Cloud Logging gespeichert werden.
  • Region: Der geografische Ort, an dem die Daten des Buckets gespeichert sind.
  • Status: Gibt an, ob der Bucket gesperrt oder nicht gesperrt ist.

Wenn ein Bucket zum Löschen durch Cloud Logging ansteht, wird sein Tabelleneintrag mit dem -Symbol für Warnung versehen.

gcloud

Führen Sie den Befehl gcloud logging buckets list aus:

gcloud logging buckets list

Für die Log-Buckets werden die folgenden Attribute angezeigt:

  • LOCATION ist die Region, in der die Daten des Buckets gespeichert werden.
  • BUCKET_ID: Der Name des Log-Buckets.
  • RETENTION_DAYS: Wie viel Tage lang die Daten des Buckets von Cloud Logging gespeichert werden.
  • LIFECYCLE_STATE: Gibt an, ob der Bucket von Cloud Logging gelöscht werden soll.
  • LOCKED: Gibt an, ob der Bucket gesperrt oder nicht gesperrt ist.
  • CREATE_TIME: Ein Zeitstempel, der angibt, wann der Bucket erstellt wurde.
  • UPDATE_TIME: Ein Zeitstempel, der angibt, wann der Bucket zuletzt geändert wurde.

Sie können auch die Attribute für nur einen Bucket aufrufen. Um beispielsweise die Details für den Log-Bucket _Default in der Region global aufzurufen, führen Sie den Befehl gcloud logging buckets describe aus:

gcloud logging buckets describe _Default --location=global

REST

Verwenden Sie projects.locations.buckets.list in der Logging API, um die mit einem Cloud de Confiance -Projekt verknüpften Log-Buckets aufzulisten.

Details eines Buckets anzeigen lassen

So rufen Sie die Details eines einzelnen Log-Buckets auf:

Cloud de Confiance Console

Rufen Sie in der Cloud de Confiance Console die Seite Logspeicher auf:

Zum Log-Speicher

Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift Logging ist.

Klicken Sie für den Log-Bucket auf  Mehr und wählen Sie dann Bucket-Details ansehen aus.

Im Dialogfeld sind die folgenden Attribute für den Log-Bucket aufgeführt:

  • Name: Der Name des Log-Buckets.
  • Beschreibung: Die Beschreibung des Log-Buckets.
  • Aufbewahrungsdauer: Wie viel Tage lang die Daten des Buckets von Cloud Logging gespeichert werden.
  • Region: Der geografische Ort, an dem die Daten des Buckets gespeichert sind.

gcloud

Führen Sie den Befehl gcloud logging buckets describe aus.

Mit dem folgenden Befehl werden beispielsweise die Details des Buckets _Default ausgegeben:

gcloud logging buckets describe _Default --location=global

Für den Log-Bucket werden die folgenden Attribute angezeigt:

  • createTime: Ein Zeitstempel, der angibt, wann der Bucket erstellt wurde.
  • description: Die Beschreibung des Log-Buckets.
  • lifecycleState: Gibt an, ob der Bucket von Cloud Logging gelöscht werden soll.
  • name: Der Name des Log-Buckets.
  • retentionDays: Wie viel Tage lang die Daten des Buckets von Cloud Logging gespeichert werden.
  • updateTime: Ein Zeitstempel, der angibt, wann der Bucket zuletzt geändert wurde.

REST

Wenn Sie die Details eines einzelnen Log-Buckets aufrufen möchten, verwenden Sie projects.locations.buckets.get in der Logging API.

Buckets löschen

Sie können Log-Buckets löschen, die eine der folgenden Bedingungen erfüllen:

  • Der Log-Bucket ist entsperrt.
  • Der Log-Bucket ist gesperrt und alle Logeinträge im Log-Bucket haben die Aufbewahrungsdauer des Buckets erfüllt.

Sie können einen Log-Bucket, der vor Aktualisierungen gesperrt ist, nicht löschen, wenn in diesem Log-Bucket Logeinträge gespeichert sind, die die Aufbewahrungsdauer des Buckets noch nicht erreicht haben.

Nachdem Sie den Löschbefehl ausgegeben haben, wechselt der Log-Bucket in den Status DELETE_REQUESTED und verbleibt 7 Tage lang in diesem Status. Während dieses Zeitraums werden die Logs weiterhin von Logging an den Log-Bucket weitergeleitet. Sie können das Routing von Logs an den Log-Bucket beenden, indem Sie die Logsenken löschen oder ändern, die Logeinträge an den Bucket weiterleiten.

Sie können keinen neuen Log-Bucket mit demselben Namen wie ein Log-Bucket im Status DELETE_REQUESTED erstellen.

So löschen Sie einen Log-Bucket:

Cloud de Confiance Console

So löschen Sie einen Log-Bucket:

  1. Rufen Sie in der Cloud de Confiance Console die Seite Logspeicher auf:

    Zum Log-Speicher

    Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift Logging ist.

  2. Suchen Sie den Bucket, den Sie löschen möchten, und klicken Sie auf das Dreipunkt-Menü.

  3. Klicken Sie auf Bucket löschen.

  4. Klicken Sie im Bestätigungsfeld auf Löschen.

  5. Auf der Seite Logspeicher wird der Hinweis angezeigt, dass der Löschvorgang des Buckets aussteht. Der Bucket mit allen darin enthaltenen Logs wird dann nach sieben Tagen gelöscht.

gcloud

Führen Sie den Befehl gcloud logging buckets delete aus, um einen Log-Bucket zu löschen:

gcloud logging buckets delete BUCKET_ID --location=LOCATION

Sie können einen Log-Bucket nicht löschen, wenn er mit einem BigQuery-Dataset verknüpft ist:

REST

Verwenden Sie projects.locations.buckets.delete in der Logging API, um einen Bucket zu löschen.

Gelöschten Bucket wiederherstellen

Sie können einen Log-Bucket mit dem Status "Ausstehend" wiederherstellen oder den Löschvorgang aufheben. So stellen Sie einen Log-Bucket wieder her:

Cloud de Confiance Console

So stellen Sie einen Log-Bucket wieder her, dessen Löschvorgang aussteht:

  1. Rufen Sie in der Cloud de Confiance Console die Seite Logspeicher auf:

    Zum Log-Speicher

    Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift Logging ist.

  2. Klicken Sie für den Bucket, den Sie wiederherstellen möchten, auf  Mehr und wählen Sie dann Gelöschten Bucket wiederherstellen aus.

  3. Klicken Sie im Bestätigungsfeld auf Wiederherstellen.

  4. Auf der Seite Logspeicher wird dann die Anzeige für den ausstehenden Löschvorgang aus dem Log-Bucket entfernt.

gcloud

Wenn Sie einen Log-Bucket wiederherstellen möchten, dessen Löschvorgang aussteht, führen Sie den Befehl gcloud logging buckets undelete aus:

gcloud logging buckets undelete BUCKET_ID --location=LOCATION

REST

Verwenden Sie projects.locations.buckets.undelete in der Logging API, um einen Bucket wiederherzustellen, dessen Löschvorgang aussteht.

In einen Bucket schreiben

Sie schreiben Logs nicht direkt in einen Log-Bucket. Stattdessen schreiben Sie Logs in dieCloud de Confiance -Ressource: ein Cloud de Confiance -Projekt, einen Ordner oder eine Organisation. Die Senken in der übergeordneten Ressource leiten dann die Logs an Ziele weiter, einschließlich Log-Buckets. Eine Senke leitet Logs an ein Log-Bucket-Ziel weiter, wenn die Logs mit dem Filter der Senke übereinstimmen und die Senke berechtigt ist, die Logs an den Log-Bucket weiterzuleiten.

Aus einem Bucket lesen

Jeder Log-Bucket verfügt über eine Reihe von Logansichten. Zum Lesen von Logs aus einem Log-Bucket benötigen Sie Zugriff auf eine Logansicht des Log-Buckets. Mit Logansichten können Sie einem Nutzer Zugriff auf nur eine Teilmenge der in einem Log-Bucket gespeicherten Logs gewähren. Informationen zum Konfigurieren von Logansichten und zum Gewähren des Zugriffs auf bestimmte Logansichten finden Sie unter Logansichten für einen Log-Bucket konfigurieren.

So lesen Sie Logs aus einem Log-Bucket:

Cloud de Confiance Console

  1. Rufen Sie in der Cloud de Confiance Console die Seite Log-Explorer auf:

    Zum Log-Explorer

    Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift Logging ist.

  2. Wenn Sie anpassen möchten, welche Logs im Log-Explorer angezeigt werden, klicken Sie auf Bereich verfeinern und wählen Sie eine Option aus. Sie können sich beispielsweise Logs ansehen, die in einem Projekt oder in einer Logansicht gespeichert sind.

  3. Klicken Sie auf Übernehmen. Der Bereich Abfrageergebnisse wird mit Logs neu geladen, die der ausgewählten Option entsprechen.

Weitere Informationen finden Sie unter Log-Explorer – Übersicht: Bereich eingrenzen.

gcloud

Verwenden Sie den Befehl gcloud logging read und fügen Sie ein LOG_FILTER hinzu, um Daten aus einem Log-Bucket zu lesen:

gcloud logging read LOG_FILTER --bucket=BUCKET_ID --location=LOCATION --view=LOG_VIEW_ID

REST

Verwenden Sie die Methode entries.list, um Logs aus einem Log-Bucket zu lesen. Legen Sie resourceNames fest, um den entsprechenden Bucket und die entsprechende Logansicht anzugeben, und legen Sie filter fest, um Daten auszuwählen.

Ausführliche Informationen zur Filtersyntax finden Sie unter Logging-Abfragesprache.

Häufige Probleme beheben

Wenn bei der Verwendung von Log-Buckets Probleme auftreten, lesen Sie folgende Schritte zur Fehlerbehebung und Antworten auf häufig gestellte Fragen.

Warum kann ich diesen Bucket nicht löschen?

Wenn Sie versuchen, einen Bucket zu löschen, gehen Sie so vor:

  • Prüfen Sie, ob Sie die erforderlichen Berechtigungen zum Löschen des Buckets haben. Eine Liste der benötigten Berechtigungen finden Sie unter Zugriffssteuerung mit IAM.

  • Bestimmen Sie, ob der Bucket gesperrt ist. Listen Sie dazu die Attribute des Buckets auf. Wenn der Bucket gesperrt ist, prüfen Sie die Aufbewahrungsdauer. Sie können gesperrte Buckets erst löschen, wenn alle Logs im Bucket die Aufbewahrungsdauer des Buckets erreicht haben.

Welche Dienstkonten leiten Logs an meinen Bucket weiter?

So ermitteln Sie, ob Dienstkonten IAM-Berechtigungen zum Weiterleiten von Logs an Ihren Bucket haben:

  1. Rufen Sie in der Cloud de Confiance -Console die Seite IAM auf:

    Rufen Sie IAM auf.

    Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift IAM & Admin lautet.

  2. Wählen Sie aus dem Tab Berechtigungen die Ansicht nach Rollen. Sie sehen eine Tabelle mit allen IAM-Rollen und -Hauptkonten, die IhremCloud de Confiance -Projekt zugeordnet sind.

  3. Geben Sie in das Textfeld Filter der Tabelle Log-Bucket-Autor ein.

    Sie sehen alle Hauptkonten mit der Rolle Log-Bucket-Autor. Wenn ein Hauptkonto ein Dienstkonto ist, enthält dessen ID den String s3ns-system.iam.gserviceaccount.com.

  4. Optional: Wenn Sie ein Dienstkonto daran hindern möchten, Logs an Ihr Cloud de Confiance -Projekt weiterzuleiten, aktivieren Sie das Kästchen für das Dienstkonto und klicken Sie auf Entfernen.

Warum sehe ich Logs für ein Cloud de Confiance -Projekt, obwohl ich sie von meiner _Default-Senke ausgeschlossen habe?

Möglicherweise sehen Sie Logs in einem Log-Bucket in einem zentralisierten Cloud de Confiance Projekt, in dem Logs aus Ihrer Organisation zusammengefasst werden.

Wenn Sie mit dem Log-Explorer auf diese Logs zugreifen und Logs sehen, die Sie von der _Default-Senke ausgeschlossen haben, ist Ihre Ansicht möglicherweise auf dieCloud de Confiance -Projektebene festgelegt.

Um dieses Problem zu beheben, wählen Sie im Menü Bereich eingrenzen die Option Logansicht aus und wählen Sie dann die Logansicht aus, die dem _Default-Bucket in IhremCloud de Confiance -Projekt zugeordnet ist. Die ausgeschlossenen Logs sollten nun nicht mehr angezeigt werden.

Nächste Schritte

Informationen zu den Methoden der Logs Bucket API finden Sie in der LogBucket-Referenzdokumentation.

Wenn Sie eine Organisation oder einen Ordner verwalten, können Sie den Speicherort der _Default- und _Required-Log-Buckets untergeordneter Ressourcen angeben. Sie können auch konfigurieren, ob Log-Buckets CMEK verwenden, und das Verhalten des _Default-Log-Senken. Weitere Informationen finden Sie unter Standardeinstellungen für Organisationen und Ordner konfigurieren.

Informationen zur Bewältigung gängiger Anwendungsfälle mit Log-Buckets finden Sie in den folgenden Themen: