Logs auf Organisations- und Ordnerebene zusammenführen und an unterstützte Ziele weiterleiten

Console

So erstellen Sie eine aggregierte Senke für Ihren Ordner oder Ihre Organisation:

1. Rufen Sie in der Cloud de Confiance Console die Seite Logs Router auf.

   Zu Logs Router

   Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis mit der Zwischenüberschrift Logging aus.

2. Wählen Sie einen vorhandenen Ordner oder eine vorhandene Organisation aus.

3. Wählen Sie Senke erstellen aus.

4. Geben Sie im Bereich Senkendetails die folgenden Details ein:

   • Senkenname: Geben Sie eine Kennzeichnung für die Senke an. Nachdem Sie die Senke erstellt haben, können Sie sie nicht mehr umbenennen, aber löschen und eine neue erstellen.

   • Senkenbeschreibung (optional): Beschreiben Sie den Zweck oder den Anwendungsfall für die Senke.

5. Wählen Sie im Menü Senkendienst auswählen den Zieltyp aus und füllen Sie dann das Dialogfeld aus, um das Ziel anzugeben. Sie können ein vorhandenes Ziel auswählen oder ein neues erstellen.

   • Wählen Sie für eine abfangende Senke Cloud de Confiance -Projekt aus und geben Sie dann den vollständig qualifizierten Namen des Ziel-Cloud de Confiance -Projekts ein:

     logging.googleapis.com/projects/DESTINATION_PROJECT_ID
     

   • Wählen Sie für ein nicht abfangendes Ziel das Ziel aus und geben Sie dann den vollständig qualifizierten Namen des Ziels ein. Die folgenden Ziele werden unterstützt:

     • Cloud de Confiance -Projekt

       logging.googleapis.com/projects/DESTINATION_PROJECT_ID
       

     • Logging-Bucket

       logging.googleapis.com/projects/DESTINATION_PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME
       

     • Pub/Sub-Thema

       Geben Sie nicht den Namen eines Pub/Sub-Themas ein, für das Einschränkungen für die Übertragung gelten.

       pubsub.googleapis.com/projects/DESTINATION_PROJECT_ID/topics/TOPIC_ID
       

6. Wählen Sie im Bereich Logs auswählen, die in der Senke enthalten sind die Ressourcen aus, die in die Senke aufgenommen werden sollen.

   • Wählen Sie für eine abfangende Senke die Option Logs abfangen, die von dieser Organisation und allen untergeordneten Ressourcen aufgenommen wurden aus.

   • Wählen Sie für eine nicht abfangende Senke die Option Logs einschließen, die von dieser Ressource und allen untergeordneten Ressourcen aufgenommen wurden aus.

7. Geben Sie im Feld „Einschließen“-Filter erstellen einen Filterausdruck ein, der den Logeinträgen entspricht, die Sie einschließen möchten. Wenn Sie keinen Filter festlegen, werden alle Logeinträge aus der ausgewählten Ressource an das Ziel weitergeleitet.

   Sie können beispielsweise einen Filter erstellen, um alle Audit-Logs für den Datenzugriff an einen einzelnen Logging-Bucket weiterzuleiten. Dieser Filter sieht so aus:

   LOG_ID("cloudaudit.googleapis.com/data_access") OR LOG_ID("externalaudit.googleapis.com/data_access")
   

   Beispiele finden Sie unter Filter für aggregierte Senken.

   Beachten Sie, dass ein Filter nicht länger als 20.000 Zeichen sein darf.

8. Optional: Wenn Sie prüfen möchten, ob Sie den richtigen Filter eingegeben haben, wählen Sie Logvorschau ansehen aus. Dadurch wird der Log-Explorer in einem neuen Tab geöffnet, auf dem der Filter bereits vorab ausgefüllt ist.

9. Optional: Führen Sie im Bereich Logs auswählen, die aus der Senke ausgeschlossen werden sollen die folgenden Schritte aus:

   1. Geben Sie in das Feld Name des Ausschlussfilters einen Namen ein.

   2. Geben Sie im Feld „Ausschließen“-Filter erstellen einen Filterausdruck ein, der mit den Logeinträgen übereinstimmt, die Sie ausschließen möchten. Mit der Funktion sample können Sie auch einen Teil der Logeinträge auswählen, die ausgeschlossen werden sollen.

      Wenn Sie beispielsweise die Logeinträge aus einem bestimmten Projekt vom Routing zum Ziel ausschließen möchten, fügen Sie den folgenden Ausschlussfilter hinzu:

      logName:projects/PROJECT_ID
      

      Wenn Sie Logeinträge aus mehreren Projekten ausschließen möchten, verwenden Sie den logischen ODER-Operator, um logName-Klauseln zu verknüpfen.

   Sie können bis zu 50 Ausschlussfilter pro Senke erstellen. Beachten Sie, dass ein Filter nicht länger als 20.000 Zeichen sein darf.

10. Wählen Sie Senke erstellen aus.

11. Um die Konfiguration Ihrer aggregierten Senke abzuschließen, gewähren Sie dem Dienstkonto für die Senke die Berechtigung, Logeinträge in das Ziel der Senke zu schreiben. Weitere Informationen finden Sie unter Zielberechtigungen festlegen.

gcloud

Verwenden Sie den Befehl logging sinks create, um ein aggregiertes Senken zu erstellen:

1. Wenn Sie eine Senke erstellen möchten, führen Sie den Befehl gcloud logging sinks create aus und fügen Sie das Flag --include-children ein.

   Bevor Sie den folgenden Befehl verwenden, ersetzen Sie die folgenden Werte:

   • SINK_NAME: Der Name der Logsenke. Sie können den Namen einer Senke nach dem Erstellen nicht mehr ändern.
   • SINK_DESTINATION: Der Dienst oder das Projekt, an den bzw. das Ihre Logeinträge weitergeleitet werden sollen. Informationen zum Format dieser Ziele finden Sie unter Formate für Zielpfade.
   • INCLUSION_FILTER: Der „Einschließen“-Filter für eine Senke. Beispiele finden Sie unter Filter für aggregierte Senken.
   • FOLDER_ID: Die ID des Ordners. Wenn Sie einen Senken auf Organisationsebene erstellen möchten, ersetzen Sie --folder=FOLDER_ID durch --organization=ORGANIZATION_ID.

   Führen Sie den Befehl gcloud logging sinks create aus:

   gcloud logging sinks create SINK_NAME \
     SINK_DESTINATION  --include-children \
     --folder=FOLDER_ID --log-filter="INCLUSION_FILTER"
   

   Wenn Sie eine abfangende Senke erstellen möchten, fügen Sie auch das Flag --intercept-children ein.

   Wenn Sie beispielsweise eine aggregierte Senke auf Ordnerebene erstellen, deren Ziel ein Pub/Sub-Thema ist, könnte Ihr Befehl so aussehen:

   gcloud logging sinks create SINK_NAME \
     pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID --include-children \
     --folder=FOLDER_ID --log-filter="logName:activity"

2. Gewähren Sie dem Dienstkonto für die Senke die Berechtigung, in das Ziel der Senke zu schreiben. Weitere Informationen finden Sie unter Berechtigungen für das Ziel festlegen.

REST

Verwenden Sie zum Erstellen einer aggregierten Senke die Logging API-Methode organizations.sinks.create oder folders.sinks.create. Bereiten Sie die Argumente für die Methode so vor:

1. Legen Sie im Feld parent die Organisation oder den Ordner Cloud de Confiance fest, in der bzw. dem die Senke erstellt werden soll. Geben Sie als übergeordnete Ressource eine der folgenden an:

   • organizations/ORGANIZATION_ID
   • folders/FOLDER_ID

2. Führen Sie im Objekt LogSink im Anfragetext der Methode einen der folgenden Schritte aus:

   • Setzen Sie includeChildren auf true.

   • Wenn Sie eine abfangende Senke erstellen möchten, legen Sie das Feld interceptChildren auf true fest.

3. Legen Sie das Feld filter so fest, dass es mit den Logeinträgen übereinstimmt, die Sie einschließen möchten.

   Beispiele finden Sie unter Filter für aggregierte Senken.

   Die Länge eines Filters darf 20.000 Zeichen nicht überschreiten.

4. Legen Sie die verbleibenden LogSink-Felder wie für jede andere Senke fest. Weitere Informationen finden Sie unter Logs an unterstützte Ziele weiterleiten.

5. Rufen Sie organizations.sinks.create oder folders.sinks.create auf, um die Senke zu erstellen.

6. Gewähren Sie dem Dienstkonto für die Senke die Berechtigung, in das Ziel der Senke zu schreiben. Weitere Informationen finden Sie unter Berechtigungen für das Ziel festlegen.

Console

1. So rufen Sie Informationen zum Dienstkonto für Ihre Senke ab:

   1. Rufen Sie in der Cloud de Confiance Console die Seite Logs Router auf.

      Zu Logs Router

      Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis mit der Zwischenüberschrift Logging aus.

   2. Wählen Sie more_vert Menü und dann Senkendetails ansehen aus. Die Identität des Autors wird im Feld Senkendetails angezeigt.

   3. Wenn der Wert des Felds writerIdentity eine E-Mail-Adresse enthält, fahren Sie mit dem nächsten Schritt fort. Wenn der Wert None ist, müssen Sie keine Berechtigungen für das Ziel konfigurieren.

   4. Kopieren Sie die Identität des Autors der Senke in die Zwischenablage. Die Identitäten von Autoren können je nach Ressource, zu der die Senke gehört, unterschiedlich aussehen, haben aber immer das Präfix serviceAccount:. Hier ein Beispiel für eine Writer-Identität:

      serviceAccount:service-123456789012@gcp-sa-logging.s3ns-system.iam.gserviceaccount.com
      

2. Gewähren Sie dem Hauptkonto, das durch die Identität des Autors der Senke angegeben ist, die Berechtigung, Logdaten in das Ziel zu schreiben:

   1. Rufen Sie in der Cloud de Confiance Console die Seite IAM auf:

      IAM aufrufen

      Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift IAM & Admin lautet.

   2. Wählen Sie in der Symbolleiste der Cloud de Confiance Console das Projekt aus, in dem das Ziel der aggregierten Senke gespeichert ist. Wenn das Ziel ein Projekt ist, wählen Sie dieses Projekt aus.

   3. Klicken Sie auf person_add Zugriffsrechte erteilen.

   4. Geben Sie das Hauptkonto ein, das durch die Identität des Autors der Senke angegeben ist, und weisen Sie dann eine IAM-Rolle zu:

      • Weisen Sie für alle Ziele die Rolle „Log-Autor“ (roles/logging.logWriter) zu. Ein Hauptkonto benötigt insbesondere die Berechtigung logging.logEntries.route.
      • Weisen Sie je nach Ziel eine der folgenden Rollen zu:
        • Log-Bucket: Weisen Sie die Rolle „Log-Bucket-Autor“ (roles/logging.bucketWriter) zu.
        • Pub/Sub-Thema: Weisen Sie die Rolle „Pub/Sub-Publisher“ (roles/pubsub.publisher) zu.

gcloud

1. Sie benötigen Inhaberzugriff auf dasCloud de Confiance -Projekt, das das Ziel enthält. Wenn Sie keinen Owner Zugriff auf das Ziel der Senke haben, bitten Sie einen Project Owner, die Writer-Identität als Prinzipal hinzuzufügen.

2. Wenn Sie Informationen zum Dienstkonto für Ihr Ziel erhalten möchten, führen Sie den Befehl gcloud logging sinks describe aus.

   Bevor Sie den folgenden Befehl verwenden, ersetzen Sie die folgenden Werte:

   • SINK_NAME: Der Name der Logsenke. Sie können den Namen einer Senke nach dem Erstellen nicht mehr ändern.

   Führen Sie den Befehl gcloud logging sinks describe aus:

   gcloud logging sinks describe SINK_NAME
   

3. Wenn die Senkendetails ein Feld mit der Bezeichnung writerIdentity enthalten, fahren Sie mit dem nächsten Schritt fort. Wenn die Details kein writerIdentity-Feld enthalten, müssen Sie keine Zielberechtigungen für die Senke konfigurieren.

4. Kopieren Sie die Identität des Autors der Senke in die Zwischenablage. Im Folgenden wird eine Autorenidentität dargestellt:

   serviceAccount:service-123456789012@gcp-sa-logging.s3ns-system.iam.gserviceaccount.com
   

5. Erteilen Sie der Autorenidentität der Senke die Berechtigung, Logdaten in das Ziel zu schreiben, indem Sie den Befehl gcloud projects add-iam-policy-binding ausführen.

   Bevor Sie den folgenden Befehl verwenden, ersetzen Sie die folgenden Werte:

   • PROJECT_ID: Die Kennung des Projekts. Wählen Sie das Projekt aus, in dem das Ziel der aggregierten Senke gespeichert ist. Wenn das Ziel ein Projekt ist, wählen Sie dieses Projekt aus.
   • PRINCIPAL: Eine Kennzeichnung für das Hauptkonto, dem Sie die Rolle zuweisen möchten. Hauptkonto-Kennzeichnungen haben normalerweise das folgende Format: PRINCIPAL-TYPE:ID. Beispiel: principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com Eine vollständige Liste der Formate, die PRINCIPAL haben kann, finden Sie unter Hauptkonto-IDs.

   • ROLE: Eine IAM-Rolle. Weisen Sie der Identität des Autors der Senke eine IAM-Rolle basierend auf dem Ziel der Logsenke zu:

     • Weisen Sie für alle Ziele die Rolle „Log-Autor“ (roles/logging.logWriter) zu. Ein Hauptkonto benötigt insbesondere die Berechtigung logging.logEntries.route.
     • Weisen Sie je nach Ziel eine der folgenden Rollen zu:
       • Log-Bucket: Weisen Sie die Rolle „Log-Bucket-Autor“ (roles/logging.bucketWriter) zu.
       • Pub/Sub-Thema: Weisen Sie die Rolle „Pub/Sub-Publisher“ (roles/pubsub.publisher) zu.

   Führen Sie den Befehl gcloud projects add-iam-policy-binding aus:

   gcloud projects add-iam-policy-binding PROJECT_ID --member=PRINCIPAL --role=ROLE
   

REST

Wir empfehlen, die Cloud de Confiance -Konsole oder die Google Cloud CLI zu verwenden, um dem Dienstkonto eine Rolle zuzuweisen.