Configura i bucket di log

Questo documento descrive come creare e gestire i bucket Cloud Logging utilizzando la console Trusted Cloud , Google Cloud CLIe l'API Logging. Fornisce inoltre istruzioni per la creazione e la gestione dei bucket di log a Trusted Cloud livello di progetto. Non puoi creare bucket di log a livello di cartella o organizzazione. Tuttavia, Cloud Logging crea automaticamente i bucket di log _Default e _Required a livello di cartella e organizzazione.

Per una panoramica concettuale dei bucket, consulta Panoramica su routing e archiviazione: bucket di log.

Questo documento non descrive come creare un bucket di log che utilizza una chiave di crittografia gestita dal cliente (CMEK). Se ti interessa l'argomento, consulta Configurare CMEK per l'archiviazione dei log.

Prima di iniziare

Per iniziare a utilizzare i bucket:

• Configura il tuo progetto Trusted Cloud :

  1. Verify that billing is enabled for your Trusted Cloud project.

  2. Per ottenere le autorizzazioni necessarie per creare, eseguire l'upgrade e collegare un bucket log, chiedi all'amministratore di concederti il ruolo IAM Logs Configuration Writer (roles/logging.configWriter) nel progetto. Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

     Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

     Per l'elenco completo di autorizzazioni e ruoli, consulta Controllo dell'accesso con IAM.

• Scopri le regioni supportate in cui puoi archiviare i log.

• Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Trusted Cloud console to access Trusted Cloud by S3NS services and APIs, you don't need to set up authentication.

  gcloud

  Installa Google Cloud CLI, quindi accedi a gcloud CLI con la tua identità federata. Dopo aver eseguito l'accesso, inizializza Google Cloud CLI eseguendo il seguente comando:

  gcloud init

  REST

  Per utilizzare gli esempi di API REST in questa pagina in un ambiente di sviluppo locale, devi utilizzare le credenziali che fornisci a gcloud CLI.

  Installa Google Cloud CLI, quindi accedi a gcloud CLI con la tua identità federata. Dopo aver eseguito l'accesso, inizializza Google Cloud CLI eseguendo il seguente comando:

  gcloud init

  Per saperne di più, consulta Autenticarsi per l'utilizzo di REST nella documentazione sull'autenticazione di Trusted Cloud .

  Se prevedi di utilizzare Google Cloud CLI o l'API Cloud Logging per creare o gestire i bucket log, comprendi i requisiti di formattazione LogBucket.

Crea un bucket

Puoi creare un massimo di 100 bucket per progettoTrusted Cloud .

Per creare un bucket di log definito dall'utente per il tuo progetto Trusted Cloud :

gcloud logging buckets create BUCKET_ID --location=LOCATION

gcloud logging buckets create my-bucket --location global --description "My first bucket"

Dopo aver creato un bucket, crea un sink per indirizzare le voci di log al bucket e configura le visualizzazioni dei log per controllare chi può accedere ai log nel nuovo bucket e quali log sono accessibili.

Gestire i bucket

Questa sezione descrive come gestire i bucket di log utilizzando la Google Cloud CLI o la console Trusted Cloud .

Aggiorna un bucket

gcloud logging buckets update BUCKET_ID --location=LOCATION UPDATED_ATTRIBUTES

gcloud logging buckets update my-bucket --location=global --description "Updated description"

Bloccare un bucket

Quando blocchi un bucket per impedire gli aggiornamenti, blocchi anche la relativa policy di conservazione. Una volta bloccato un criterio di conservazione, non puoi eliminare il bucket finché ogni voce di log nel bucket non ha soddisfatto il periodo di conservazione del bucket. Se vuoi impedire l'eliminazione accidentale di un progetto che contiene un bucket di log bloccato, aggiungi un blocco al progetto. Per scoprire di più, consulta l'articolo Protezione dei progetti con blocchi.

Per impedire a chiunque di aggiornare o eliminare un bucket di log, bloccalo. Per bloccare il secchio:

gcloud logging buckets update BUCKET_ID --location=LOCATION --locked

gcloud logging buckets update my-bucket --location=global --locked

Elenca bucket

Per elencare i bucket di log associati a un progetto Trusted Cloud e visualizzare dettagli come le impostazioni di conservazione, procedi nel seguente modo:

gcloud logging buckets list

gcloud logging buckets describe _Default --location=global

Visualizzare i dettagli di un bucket

Per visualizzare i dettagli di un singolo bucket di log:

gcloud logging buckets describe _Default --location=global

Eliminare un bucket

Puoi eliminare i bucket di log che soddisfano uno dei seguenti requisiti:

• Il bucket di log è sbloccato.
• Il bucket di log è bloccato e tutte le voci di log nel bucket hanno soddisfatto il periodo di conservazione del bucket.

Non puoi eliminare un bucket di log bloccato contro gli aggiornamenti quando questo bucket di log archivia voci di log che non hanno soddisfatto il periodo di conservazione del bucket.

Dopo aver emesso il comando di eliminazione, il bucket dei log passa allo stato DELETE_REQUESTED e rimane in questo stato per 7 giorni. Durante questo periodo di tempo, Logging continua a instradare i log al bucket dei log. Puoi interrompere il routing dei log al bucket eliminando o modificando i sink di log che indirizzano le voci di log al bucket.

Non puoi creare un nuovo bucket dei log che utilizzi lo stesso nome di un bucket dei log che si trova nello stato DELETE_REQUESTED.

Per eliminare un bucket log:

gcloud logging buckets delete BUCKET_ID --location=LOCATION

Ripristinare un bucket eliminato

Puoi ripristinare o annullare l'eliminazione di un bucket di log nello stato In attesa di eliminazione. Per ripristinare un bucket di log:

gcloud logging buckets undelete BUCKET_ID --location=LOCATION

Scrivere in un bucket

Non scrivi direttamente i log in un bucket di log. Scrivi invece i log nella risorsaTrusted Cloud : un progetto, una cartella o un'organizzazione. Trusted Cloud I sink nella risorsa padre indirizzano quindi i log alle destinazioni, inclusi i bucket di log. Un sink esegue il routing dei log in una destinazione del bucket di log quando i log corrispondono al filtro del sink e il sink dispone dell'autorizzazione per eseguire il routing dei log nel bucket di log.

Leggere da un bucket

Ogni bucket di log ha un insieme di visualizzazioni di log. Per leggere i log da un bucket di log, devi avere accesso a una visualizzazione di log nel bucket di log. Le visualizzazioni dei log ti consentono di concedere a un utente l'accesso solo a un sottoinsieme dei log archiviati in un bucket dei log. Per informazioni su come configurare le visualizzazioni log e concedere l'accesso a visualizzazioni log specifiche, consulta Configurare le visualizzazioni log in un bucket log.

Per leggere i log da un bucket di log:

gcloud logging read LOG_FILTER --bucket=BUCKET_ID --location=LOCATION --view=LOG_VIEW_ID

Per informazioni dettagliate sulla sintassi di filtro, vedi Linguaggio delle query di Logging.

Risolvere i problemi comuni

Se riscontri problemi durante l'utilizzo dei bucket dei log, consulta i seguenti passaggi per la risoluzione dei problemi e le risposte alle domande frequenti.

Perché non riesco a eliminare questo bucket?

Se stai tentando di eliminare un bucket:

• Verifica di disporre delle autorizzazioni corrette per eliminare il bucket. Per l'elenco delle autorizzazioni necessarie, consulta Controllo dell'accesso con IAM.

• Determina se il bucket è bloccato elencando gli attributi del bucket. Se il bucket è bloccato, controlla il periodo di conservazione. Non puoi eliminare un bucket bloccato finché tutti i log nel bucket non hanno soddisfatto il periodo di conservazione del bucket.

Quali service account eseguono il routing dei log al mio bucket?

Per determinare se alcuni service account dispongono delle autorizzazioni IAM per instradare i log al tuo bucket, procedi nel seguente modo:

1. Nella console Trusted Cloud , vai alla pagina IAM:

   Vai a IAM

   Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo IAM e amministrazione.

2. Nella scheda Autorizzazioni, visualizza i dati per Ruoli. Viene visualizzata una tabella con tutti i ruoli IAM e le entità associati al tuo progettoTrusted Cloud .

3. Nella casella di testo filter_list del filtro della tabella, inserisci Logs Bucket Writer.

   Vengono visualizzate tutte le entità con il ruolo Writer bucket log. Se un'entità è un account di servizio, il suo ID contiene la stringa s3ns-system.iam.gserviceaccount.com.

4. (Facoltativo) Se vuoi impedire a un account di servizio di instradare i log al tuo progetto Trusted Cloud , seleziona la casella di controllo check_box_outline_blank per il account di servizio e fai clic su Rimuovi.

Perché vedo i log per un progetto Trusted Cloud anche se li ho esclusi dal mio sink _Default?

Potresti visualizzare i log in un bucket di log in un progetto centralizzato, che aggrega i log di tutta l'organizzazione. Trusted Cloud

Se utilizzi Esplora log per accedere a questi log e visualizzare i log che hai escluso dal sink _Default, la visualizzazione potrebbe essere impostata a livello di progettoTrusted Cloud .

Per risolvere il problema, seleziona Visualizzazione log nel menu Definisci ambito e poi seleziona la visualizzazione log associata al bucket _Default nel tuo progettoTrusted Cloud . Non dovresti più visualizzare i log esclusi.

Passaggi successivi

Per informazioni sui metodi API del bucket dei log, consulta la documentazione di riferimento di LogBucket.

Se gestisci un'organizzazione o una cartella, puoi specificare la posizione dei bucket di log _Default e _Required delle risorse secondarie. Puoi anche configurare se i bucket di log utilizzano CMEK e il comportamento del sink di log _Default. Per ulteriori informazioni, consulta la pagina Configurare le impostazioni predefinite per organizzazioni e cartelle.

Per informazioni su come gestire i casi d'uso comuni con i bucket di log, consulta i seguenti argomenti:

• Aggrega e archivia i log della tua organizzazione.

• Regionalizza i log.