ログバケットを構成する

このドキュメントでは、 Trusted Cloud コンソール、Google Cloud CLI、Logging API を使用して Cloud Logging バケットを作成して管理する方法について説明します。また、Trusted Cloud プロジェクト レベルでログバケットを作成して管理する手順についても説明します。フォルダまたは組織のレベルではログバケットを作成できません。Cloud Logging は、フォルダと組織のレベルで _Default と _Required のバケットを自動的に作成します。

バケットのコンセプトの概要については、転送と保存の概要: ログバケットをご覧ください。

このドキュメントでは、顧客管理の暗号鍵（CMEK）を使用するログバケットの作成方法については説明しません。このトピックの詳細については、ログストレージに CMEK を構成するをご覧ください。

始める前に

ログバケットを使用する前に、次のことを行う必要があります。

• Trusted Cloud プロジェクトを構成します。

  1. Make sure that billing is enabled for your Trusted Cloud project.

  2. ログバケットの作成、アップグレード、リンクに必要な権限を取得するには、プロジェクトに対するログ構成書き込み（roles/logging.configWriter）の IAM ロールを付与するように管理者へ依頼してください。ロールの付与については、プロジェクト、フォルダ、組織に対するアクセス権の管理をご覧ください。

     必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

     権限とロールの完全なリストについては、IAM によるアクセス制御をご覧ください。

• ログの保存がサポートされているリージョンを確認します。

• Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Trusted Cloud console to access Trusted Cloud by S3NS services and APIs, you don't need to set up authentication.

  gcloud

  After installing the Google Cloud CLI, sign in to the gcloud CLI with your federated identity and then initialize it by running the following command:

  gcloud init

  REST

  このページの REST API サンプルをローカル開発環境で使用するには、gcloud CLI に指定した認証情報を使用します。

  After installing the Google Cloud CLI, sign in to the gcloud CLI with your federated identity and then initialize it by running the following command:

  gcloud init

  詳細については、 Trusted Cloud 認証ドキュメントの REST を使用して認証するをご覧ください。

  1. Google Cloud CLI または Cloud Logging API を使用してログバケットを作成または管理する場合は、LogBucket のフォーマット要件を確認してください。

バケットを作成する

Trusted Cloud プロジェクトあたり最大 100 個のバケットを作成できます。

Trusted Cloud プロジェクトにユーザー定義のログバケットを作成するには、次の操作を行います。

gcloud logging buckets create BUCKET_ID --location=LOCATION

gcloud logging buckets create my-bucket --location global --description "My first bucket"

バケットを作成したら、ログエントリをバケットに転送するシンクを作成し、ログビューを構成して、新しいバケットのログにアクセスできるユーザーとアクセス可能なログを制御します。

バケットを管理する

このセクションでは、Google Cloud CLI または Trusted Cloud コンソールでログバケットを管理する方法について説明します。

バケットを更新する

gcloud logging buckets update BUCKET_ID --location=LOCATION UPDATED_ATTRIBUTES

gcloud logging buckets update my-bucket --location=global --description "Updated description"

バケットをロックする

更新されないようにバケットをロックすると、バケットの保持ポリシーもロックされます。保持ポリシーがロックされると、バケット内のすべてのログエントリがバケットの保持期間を満了するまでバケットを削除できません。ロックされたログバケットを含むプロジェクトが誤って削除されないようにするには、プロジェクトにリーエンを追加します。詳しくは、リーエンによるプロジェクトの保護をご覧ください。

他のユーザーがログバケットを更新または削除できないようにするには、バケットをロックします。バケットをロックする手順は次のとおりです。

gcloud logging buckets update BUCKET_ID --location=LOCATION --locked

gcloud logging buckets update my-bucket --location=global --locked

バケットを一覧表示する

Trusted Cloud プロジェクトに関連付けられたログバケットを一覧表示し、保持設定などの詳細を確認するには、次のようにします。

gcloud logging buckets list

gcloud logging buckets describe _Default --location=global

バケットの詳細を表示する

単一ログバケットの詳細を表示するには、次の操作を行います。

gcloud logging buckets describe _Default --location=global

バケットを削除する

次のいずれかの条件を満たすログバケットを削除できます。

• ログバケットがロック解除されている。
• ログバケットがロックされており、ログバケット内のすべてのログエントリがバケットの保持期間を満たしている。

更新されないようにロックされたログバケットに、バケットの保持期間を満たしていないログエントリが保存されている場合、そのログバケットを削除することはできません。

削除コマンドを実行すると、ログバケットは DELETE_REQUESTED 状態に移行し、7 日間その状態を維持します。この間、Logging は引き続きログをログバケットに転送します。ログエントリをバケットに転送するログシンクを削除または変更すると、ログバケットへのログの転送を停止できます。

DELETE_REQUESTED 状態のログバケットと同じ名前を使用して、新しいログバケットを作成することはできません。

ログバケットを削除するには、次の操作を行います。

gcloud logging buckets delete BUCKET_ID --location=LOCATION

削除したバケットを復元する

削除保留状態のバケットは、削除を取り消して復元できます。ログバケットの復元方法は次のとおりです。

gcloud logging buckets undelete BUCKET_ID --location=LOCATION

バケットに書き込む

ログバケットに直接ログを書き込むことはありません。代わりに、ログをTrusted Cloud リソース（ Trusted Cloud プロジェクト、フォルダ、または組織）に書き込みます。親リソースのシンクは、ログバケットを含む宛先にログを転送します。ログがシンクのフィルタと一致し、シンクにログをログバケットに転送する権限がある場合、シンクはログをログバケットの宛先に転送します。

バケットから読み取る

各ログバケットには、一連のログビューがあります。ログバケットからログを読み取るには、ログバケットのログビューへのアクセス権が必要です。ログビューを使用すると、ログバケットに保存されているログのサブセットに対してのみユーザーにアクセス権を付与できます。ログビューの構成方法と、特定のログビューへのアクセス権を付与する方法については、ログバケットのログビューを構成するをご覧ください。

ログバケットからログを読み取るには、次の操作を行います。

gcloud logging read LOG_FILTER --bucket=BUCKET_ID --location=LOCATION --view=LOG_VIEW_ID

フィルタリング構文の詳細については、Logging のクエリ言語をご覧ください。

一般的な問題のトラブルシューティング

ログバケットの使用中に問題が発生した場合は、次のトラブルシューティング手順と一般的な質問に対する回答をご覧ください。

このバケットを削除できません。なぜですか？

バケットを削除するには、次の操作を行います。

• バケットの削除に適切な権限があることを確認します。必要な権限のリストについては、IAM によるアクセス制御をご覧ください。

• バケットの属性を一覧表示して、バケットがロックされているかどうかを確認します。バケットがロックされている場合は、バケットの保持期間を確認します。ロックされたバケットを削除するには、そのバケット内のすべてのログがバケットの保持期間を満たしている必要があります。

どのサービス アカウントがバケットにログを転送するのですか？

ログをバケットに転送する IAM 権限がサービス アカウントにあるかどうかを確認するには、次の操作を行います。

1. Trusted Cloud コンソールで [IAM] ページに移動します。

   [IAM] に移動

   このページを検索バーで検索する場合は、小見出しが「IAM と管理」の結果を選択します。

2. [権限] タブで、ロール別に表示します。Trusted Cloud プロジェクトに関連付けられたすべての IAM ロールとプリンシパルを含む表が表示されます。

3. 表の [フィルタ] テキスト ボックス filter_list に「ログバケット書き込み」と入力します。

   ログバケット書き込みのロールを持つプリンシパルが表示されます。プリンシパルがサービス アカウントの場合、その ID には文字列 s3ns-system.iam.gserviceaccount.com が含まれます。

4. 省略可: Trusted Cloud プロジェクトにログを転送できないようにサービス アカウントを削除する場合は、サービス アカウントのチェックボックス check_box_outline_blank をオンにして、[削除] をクリックします。

ログが _Default シンクから除外されていても Trusted Cloud プロジェクトのログが表示されるのはなぜですか？

組織全体のログを集約する一元化された Trusted Cloud プロジェクトのログバケットでログを表示している可能性があります。

ログ エクスプローラを使用してこれらのログにアクセスしていて、_Default シンクから除外したログが表示される場合は、ビューがTrusted Cloud プロジェクト レベルに設定されている可能性があります。

この問題を解決するには、[範囲を絞り込む] メニューで [ログビュー] を選択し、Trusted Cloud プロジェクトの _Default バケットに関連付けられているログビューを選択します。これで、除外されたログが表示されなくなります。

次のステップ

Logs Bucket API メソッドの詳細については、LogBucket リファレンス ドキュメントをご覧ください。

組織またはフォルダを管理している場合は、子リソースの _Default ログバケットと _Required ログバケットのロケーションを指定できます。ログバケットで CMEK を使用するかどうかと、_Default ログシンクの動作を構成することもできます。詳しくは、組織とフォルダのデフォルト設定を構成するをご覧ください。

ログバケットを使用して一般的なユースケースに対応する方法については、次のトピックをご覧ください。

• 組織のログを集約して保存する

• ログをリージョン化する