Logs Ihrer Organisation zusammenfassen und speichern

In diesem Dokument wird beschrieben, wie Sie die von den Ressourcen in Ihrer Cloud de Confiance by S3NS -Organisation generierten Logeinträge mithilfe einer nicht abfangenden aggregierten Senke verwalten.

Sie können eine aggregierte Senke so konfigurieren, dass sie Logs abfängt oder nicht, je nachdem, ob Sie steuern möchten, welche Logeinträge in den Senken in untergeordneten Ressourcen abgefragt oder weitergeleitet werden können. In diesem Tutorial erstellen Sie eine aggregierte Senke, die die Audit-Logs Ihrer Organisation an einCloud de Confiance -Projekt weiterleitet, das die aggregierten Audit-Logs dann an einen Log-Bucket weiterleitet. Weitere Informationen finden Sie unter Aggregierte Senken – Übersicht.

In dieser Anleitung führen Sie die folgenden Schritte aus:

  1. Erstellen Sie zuerst einen Log-Bucket und eine Logsenke imCloud de Confiance -Projekt, in dem Sie Ihre aggregierten Logeinträge speichern möchten.

  2. Als Nächstes erstellen Sie eine nicht abfangende aggregierte Senke auf Organisationsebene, um Logeinträge an das Cloud de Confiance Projekt weiterzuleiten, das den Log-Bucket enthält.

  3. Anschließend konfigurieren Sie den Lesezugriff auf Log-Ansichten im neuen Log-Bucket.

  4. Schließlich können Sie Ihre Logeinträge auf der Seite „Log-Explorer“ abfragen und ansehen.

Hinweis

Prüfen Sie dabei Folgendes:

Log-Bucket erstellen

In Log-Buckets werden die Logeinträge gespeichert, die aus anderenCloud de Confiance Projekten, Ordnern oder Organisationen weitergeleitet werden. Weitere Informationen finden Sie unter Log-Buckets konfigurieren.

So erstellen Sie den Log-Bucket im Cloud de Confiance -Projekt, in dem Sie Logeinträge zusammenfassen möchten:

  1. Öffnen Sie eine Shell.

  2. Führen Sie in der Shell den Befehl gcloud logging buckets create aus.

    Bevor Sie den folgenden Befehl ausführen, ersetzen Sie die folgenden Werte:

    • BUCKET_NAME: Der Name des Log-Buckets.
    • LOCATION: der Speicherort des Log-Buckets Nachdem Sie den Log-Bucket erstellt haben, können Sie seinen Standort nicht mehr ändern.
    • PROJECT_ID: Die Kennung des Projekts, in dem der Log-Bucket erstellt werden soll.

    Führen Sie den Befehl gcloud logging buckets create aus:

     gcloud logging buckets create BUCKET_NAME \
   --location=LOCATION --project=PROJECT_ID

  3. Prüfen Sie, ob der Log-Bucket erstellt wurde:

    gcloud logging buckets list --project=PROJECT_ID

    Die Antwort des Befehls ist eine Liste der Log-Buckets in Ihrem Projekt.

  4. Log-Buckets haben konfigurierbare Aufbewahrungsdauern. Wenn Sie die Aufbewahrungsdauer der Logeinträge in Ihrem Log-Bucket festlegen möchten, verwenden Sie den Befehl gcloud logging buckets update. Mit dem folgenden Befehl wird beispielsweise die Aufbewahrungsdauer von im Log-Bucket gespeicherten Logeinträgen auf 365 Tage verlängert:

    gcloud logging buckets update BUCKET_NAME \
   --location=LOCATION --project=PROJECT_ID \
   --retention-days=365

    Weitere Informationen zu Optionen finden Sie unter gcloud logging buckets update.

Logsenke auf Projektebene erstellen

Sie leiten Logeinträge an einen Log-Bucket weiter, indem Sie eine Senke erstellen. Eine Senke enthält einen Einschlussfilter, Ausschlussfilter und ein Ziel. In dieser Anleitung konfigurieren Sie einen „Einschließen“-Filter und das Ziel für Ihren neuen Log-Bucket. Ihre Senke enthält keine „Ausschließen“-Filter. Weitere Informationen zu Senken finden Sie unter Logs an unterstützte Ziele weiterleiten.

Führen Sie den Befehl gcloud logging sinks create aus, um eine Senke zu erstellen, die Logeinträge an den gerade erstellten Log-Bucket weiterleitet.

Bevor Sie den folgenden Befehl ausführen, ersetzen Sie die folgenden Werte:

  • PROJECT_LEVEL_SINK_NAME: Der Name der Logsenke auf Projektebene.

  • SINK_DESTINATION: Der Log-Bucket, in den Ihre Logeinträge weitergeleitet werden. Der Zielpfad für einen Log-Bucket hat folgendes Format:

    logging.googleapis.com/projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME

  • PROJECT_ID: Die Kennung des Projekts, in dem die Logsenke erstellt werden soll. Legen Sie diese Option auf dasselbe Projekt fest, in dem Sie den Log-Bucket erstellt haben.

  • Folgende Optionen sind verfügbar:

    • --log-filter : Mit dieser Option können Sie einen Filter festlegen, der mit den Logeinträgen übereinstimmt, die in die Senke aufgenommen werden sollen. In diesem Tutorial ist der Filter so festgelegt, dass alle Audit-Log-Einträge ausgewählt werden. Wenn Sie keinen Filter festlegen, werden alle Logeinträge aus Ihrem Cloud de Confiance Projekt an das Ziel weitergeleitet.
    • --description: Verwenden Sie diese Option, um den Zweck oder Anwendungsfall für das Ziel zu beschreiben.

Führen Sie den Befehl gcloud logging sinks create aus.

gcloud logging sinks create PROJECT_LEVEL_SINK_NAME SINK_DESTINATION
--project=PROJECT_ID
--log-filter='logName:cloudaudit.googleapis.com' \
--description="Audit logs from my organization" \

Aggregierte Senke erstellen

Aggregierte Senken kombinieren und leiten Logeinträge aus den Ressourcen einer Organisation oder eines Ordners an ein Ziel weiter.

In dieser Anleitung erstellen Sie ein nicht abfangendes aggregiertes Senken. Das bedeutet, dass jeder Logeintrag, der von der aggregierten Senke weitergeleitet wird, auch von den Senken in der Ressource weitergeleitet wird, in der der Logeintrag stammt. Ein Audit-Log, das in einem Projekt erstellt wird, wird beispielsweise von der aggregierten Senke und den Senken in diesem Projekt weitergeleitet. Daher ist es möglich, mehrere Kopien eines Logeintrags zu speichern.

Sie können abfangende Senken erstellen. Weitere Informationen finden Sie unter Aggregierte Senken – Übersicht.

Senke auf Organisationsebene einrichten

So erstellen Sie ein nicht abfangendes aggregiertes Senken, das Logeinträge an ein Projekt weiterleitet:

  1. Führen Sie den Befehl gcloud logging sinks create aus.

    Bevor Sie den folgenden Befehl ausführen, ersetzen Sie die folgenden Werte:

    • SINK_NAME: Der Name der Logsenke. Sie können den Namen einer Senke nach dem Erstellen nicht mehr ändern.
    • PROJECT_ID: Die Kennung des Projekts, in dem der Log-Bucket gespeichert ist.
    • ORGANIZATION_ID: Die Kennung der Organisation.

    Führen Sie den Befehl gcloud logging sinks create aus.

    gcloud logging sinks create SINK_NAME \
logging.googleapis.com/projects/PROJECT_ID  \
  --log-filter='logName:cloudaudit.googleapis.com' \
  --description="Audit logs from my organization" \
  --organization=ORGANIZATION_ID \
  --include-children

    Die Option --include-children ist wichtig. Mit dieser Option werden Logeinträge aus allenCloud de Confiance Projekten und ‑Ordnern in Ihrer Organisation weitergeleitet. Weitere Informationen finden Sie unter Logs auf Organisationsebene sortieren und an unterstützte Ziele weiterleiten.

  2. Prüfen Sie, ob die Senke erstellt wurde:

    gcloud logging sinks list --organization=ORGANIZATION_ID

  3. Rufen Sie den Namen des Dienstkontos ab:

    gcloud logging sinks describe SINK_NAME --organization=ORGANIZATION_ID

    Die Ausgabe sieht dann ungefähr so aus:

    writerIdentity: serviceAccount:o1234567890-ORGANIZATION_ID@gcp-sa-logging.s3ns-system.iam.gserviceaccount.com

  4. Kopieren Sie den Wert des Felds serviceAccount in die Zwischenablage.

Zugriff auf die Senke gewähren

Nachdem Sie die aggregierte Senke erstellt haben, müssen Sie ihr die Berechtigung zum Schreiben von Logeinträgen in das Projekt erteilen, das Sie als Ziel festgelegt haben. Sie können Berechtigungen über die Cloud de Confiance Console oder durch Bearbeiten der IAM-Richtlinie (Identity and Access Management) gewähren, wie unter Zielberechtigungen festlegen beschrieben.

So erteilen Sie Ihrer Senke die Berechtigung zum Schreiben von Logeinträgen:

  1. Rufen Sie in der Cloud de Confiance Console die Seite IAM auf:

    IAM aufrufen

    Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift IAM & Admin lautet.

  2. Wählen Sie das Cloud de Confiance -Projekt aus, das Ihren Log-Bucket enthält.

  3. Klicken Sie auf Zugriff gewähren und fügen Sie das Dienstkonto als neues Hauptkonto hinzu. Geben Sie nicht das Präfix serviceAccount: an.

  4. Wählen Sie im Menü Rolle auswählen die Option Logs Writer aus.

  5. Klicken Sie auf Speichern.

Logeinträge generieren, um die Senkenüberprüfung zu unterstützen

So prüfen Sie, ob Ihre aggregierte Senke richtig konfiguriert ist:

  1. Generieren Sie Audit-Logeinträge, die an Ihren Log-Bucket weitergeleitet werden sollen.

    • Wenn Sie viele Cloud de Confiance Projekte in Ihrer Organisation haben, ist möglicherweise genügend Audit-Log-Traffic vorhanden, sodass Sie keine für Validierungszwecke erstellen müssen. Fahren Sie mit dem nächsten Schritt fort.

    • Andernfalls wechseln Sie zu einem anderen Projekt, erstellen Sie eine Compute Engine-VM-Instanz und löschen Sie die erstellte Instanz wieder. Audit-Logs werden geschrieben, wenn eine VM erstellt, gestartet und gelöscht wird.

  2. Folgen Sie der Anleitung im Abschnitt Logs auf der Seite „Log-Explorer“ ansehen, um Ihre Audit-Logs aufzurufen. Achten Sie darauf, dass Sie die Ansicht _AllLogs auswählen.

Lesezugriff auf eine Logansicht in einem Log-Bucket konfigurieren

Wenn Sie einen Log-Bucket erstellen, erstellt Cloud Logging automatisch eine Log-Ansicht mit dem Namen _AllLogs. Diese Ansicht enthält alle Logeinträge, die im Log-Bucket gespeichert sind.

Wenn Sie den Zugriff eines Principals auf bestimmte Logeinträge beschränken möchten, erstellen Sie eine Logansicht und führen Sie dann einen der folgenden Schritte aus:

  • Weisen Sie ihnen die Rolle roles/logging.viewAccessor zusammen mit einer IAM-Bedingung zu, die die Zuweisung auf die Logansicht beschränkt.

  • Gewähren Sie einem Hauptkonto Zugriff auf die IAM-Richtlinie, die mit der Logansicht verknüpft ist. Wir empfehlen diesen Ansatz, wenn Sie eine große Anzahl von Logansichten erstellen.

Weitere Informationen zu diesen beiden Ansätzen finden Sie unter Zugriff auf eine Logansicht steuern.

In den folgenden Schritten weisen Sie einem Hauptkonto die Rolle roles/logging.viewAccessor zusammen mit einer IAM-Bedingung zu, die die Zuweisung auf die Ansicht mit dem Namen _AllLogs beschränkt:

  1. Rufen Sie in der Cloud de Confiance Console die Seite IAM auf:

    IAM aufrufen

    Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift IAM & Admin lautet.

  2. Wählen Sie das Cloud de Confiance -Projekt aus, das den Log-Bucket enthält.

  3. Klicken Sie auf Hinzufügen.

  4. Fügen Sie im Feld Neues Hauptkonto ein Hauptkonto hinzu.

  5. Wählen Sie im Menü Rolle auswählen die Option Logs Views Accessor aus.

    Wenn Sie dieser Rolle keine Bedingung hinzufügen, hat das Hauptkonto Zugriff auf alle Logansichten für alle benutzerdefinierten Log-Buckets im Cloud de Confiance -Projekt.

  6. Fügen Sie der Bindung eine IAM-Bedingung hinzu:

    1. Klicken Sie auf Bedingung hinzufügen und geben Sie einen Titel und eine Beschreibung ein.
    2. Scrollen Sie im Menü Bedingungstyp zu Ressource und wählen Sie dann Name aus.
    3. Wählen Sie im Menü Operator die Option Endet mit aus.

    4. Geben Sie im Feld Wert den vollständigen Namen der Logansicht ein:

      locations/LOCATION/buckets/BUCKET_NAME/views/_AllLogs

    5. Klicken Sie auf Speichern, um die Bedingung zu speichern.

  7. Klicken Sie auf Speichern, um die Bindung zu speichern.

Logeinträge auf der Seite „Log-Explorer“ ansehen

So rufen Sie die Logeinträge in Ihrem Log-Bucket auf:

  1. Rufen Sie in der Cloud de Confiance Console das und die Seite Log-Explorer auf:

    Zum Log-Explorer

    Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis mit der Zwischenüberschrift Logging aus.

  2. Wählen Sie Bereich eingrenzen aus.

  3. Wählen Sie im Bereich Bereich eingrenzen die Option Logansicht aus.

  4. Wählen Sie die Logansicht(en) aus, deren Logeinträge Sie sehen möchten. Wenn Sie beispielsweise alle Logeinträge aufrufen möchten, wählen Sie die Ansicht mit dem Namen _AllLogs aus.

  5. Klicken Sie auf Übernehmen.

    Der Log-Explorer wird aktualisiert und zeigt Logeinträge aus Ihrem Log-Bucket an. Informationen zur Verwendung des Log-Explorers finden Sie unter Log-Explorer verwenden.