Agrupar e encaminhar registros no nível da organização e da pasta para destinos compatíveis

Console

Para criar um coletor agregado para sua pasta ou organização, faça o seguinte:

1. No console do Cloud de Confiance , acesse a página Roteador de registros.

   Acessar o roteador de registros

   Se você usar a barra de pesquisa para encontrar essa página, selecione o resultado com o subtítulo Logging.

2. Selecione uma pasta ou organização existente.

3. Selecione Criar coletor.

4. No painel Detalhes do coletor, insira os seguintes detalhes:

   • Nome do coletor: forneça um identificador para o coletor. Depois de criar o coletor, não será possível renomeá-lo, mas será possível excluí-lo e criar um novo.

   • Descrição do coletor (opcional): descreva a finalidade ou o caso de uso do coletor.

5. No menu Selecionar serviço do coletor, selecione o tipo de destino e preencha a caixa de diálogo para especificar o destino. Você pode selecionar um destino existente ou criar um.

   • Para um gravador de interceptação, selecione Cloud de Confiance project e insira o nome totalmente qualificado doCloud de Confiance projeto de destino:

     logging.googleapis.com/projects/DESTINATION_PROJECT_ID
     

   • Para um gravador não interceptador, selecione o destino e insira o nome totalmente qualificado dele. Os seguintes destinos são compatíveis:

     • Cloud de Confiance project

       logging.googleapis.com/projects/DESTINATION_PROJECT_ID
       

     • Bucket do Logging

       logging.googleapis.com/projects/DESTINATION_PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME
       

     • Tópico do Pub/Sub

       Não insira o nome de um tópico do Pub/Sub que aplique restrições em trânsito.

       pubsub.googleapis.com/projects/DESTINATION_PROJECT_ID/topics/TOPIC_ID
       

6. No painel Escolher os registros para incluir no coletor, selecione os recursos que serão incluídos no coletor.

   • Para um gravador de interceptação, selecione Interceptar registros ingeridos por esta organização e todos os recursos filhos.

   • Para um coletor que não intercepta, selecione Incluir registros ingeridos por este recurso e todos os recursos filhos.

7. No campo Criar filtro de inclusão, insira uma expressão de filtro que corresponda às entradas de registro que você quer incluir. Se você não definir um filtro, todas as entradas de registro do recurso selecionado serão encaminhadas para o destino.

   Por exemplo, talvez você queira criar um filtro para encaminhar todos os registros de auditoria de acesso a dados para um único bucket do Logging. Esse filtro é semelhante ao seguinte:

   LOG_ID("cloudaudit.googleapis.com/data_access") OR LOG_ID("externalaudit.googleapis.com/data_access")
   

   Para ver exemplos, consulte Filtros para coletores agregados.

   O comprimento de um filtro não pode exceder 20.000 caracteres.

8. Opcional: para verificar se você inseriu o filtro correto, selecione Visualizar registros. Isso abre a Análise de Registros em uma nova guia com o filtro pré-preenchido.

9. Opcional: no painel Escolher registros para excluir do coletor, faça o seguinte:

   1. No campo Nome do filtro de exclusão, insira um nome.

   2. No campo Criar um filtro de exclusão, insira uma expressão de filtro que corresponda às entradas de registro que você quer excluir. Também é possível usar a função sample para selecionar uma parte das entradas de registro a serem excluídas.

      Por exemplo, para impedir que as entradas de registro de um projeto específico sejam roteadas para o destino, adicione o seguinte filtro de exclusão:

      logName:projects/PROJECT_ID
      

      Para excluir entradas de registro de vários projetos, use o operador lógico OR para unir cláusulas logName.

   É possível criar até 50 filtros de exclusão por coletor. O comprimento de um filtro não pode exceder 20.000 caracteres.

10. Selecione Criar coletor.

11. Para concluir a configuração do coletor agregado, conceda à conta de serviço dele a permissão para gravar entradas de registro no destino do coletor. Para mais informações, consulte Definir permissões de destino.

gcloud

Para criar um coletor agregado, use o comando logging sinks create:

1. Para criar um coletor, execute o comando gcloud logging sinks create e inclua a flag --include-children.

   Antes de usar o comando a seguir, faça estas substituições:

   • SINK_NAME: o nome do coletor de registros. Não é possível mudar o nome de um coletor depois que ele é criado.
   • SINK_DESTINATION: o serviço ou projeto para onde você quer rotear as entradas de registro. Para informações sobre o formato desses destinos, consulte Formatos de caminho de destino.
   • INCLUSION_FILTER: o filtro de inclusão para um gravador. Para ver exemplos, consulte Filtros para coletores agregados.
   • FOLDER_ID: o ID da pasta. Se você quiser criar um coletor no nível da organização, substitua --folder=FOLDER_ID por --organization=ORGANIZATION_ID.

   Execute o comando gcloud logging sinks create:

   gcloud logging sinks create SINK_NAME \
     SINK_DESTINATION  --include-children \
     --folder=FOLDER_ID --log-filter="INCLUSION_FILTER"
   

   Para criar um coletor de interceptação, inclua também a flag --intercept-children.

   Por exemplo, se você estiver criando um coletor agregado no nível da pasta cujo destino é um tópico do Pub/Sub, o comando será semelhante a este:

   gcloud logging sinks create SINK_NAME \
     pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID --include-children \
     --folder=FOLDER_ID --log-filter="logName:activity"

2. Conceda à conta de serviço do coletor permissão para gravar no destino do coletor. Para mais informações, consulte Definir permissões de destino.

REST

Para criar um coletor agregado, use o método organizations.sinks.create ou folders.sinks.create da API Logging. Prepare os argumentos do método da seguinte maneira:

1. Defina o campo parent como a organização ou pasta do Cloud de Confiance em que o coletor será criado. O pai precisa ser um dos seguintes parâmetros:

   • organizations/ORGANIZATION_ID
   • folders/FOLDER_ID

2. No objeto LogSink no corpo da solicitação do método, faça uma destas ações:

   • Defina includeChildren como true.

   • Para criar um coletor de interceptação, defina também o campo interceptChildren como true.

3. Defina o campo filter para corresponder às entradas de registro que você quer incluir.

   Para exemplos, consulte Filtros para gravadores agregados.

   O tamanho de um filtro não pode exceder 20.000 caracteres.

4. Defina os campos LogSink restantes como faria com qualquer gravador. Para mais informações, consulte Rotear registros para destinos compatíveis.

5. Chame organizations.sinks.create ou folders.sinks.create para criar o gravador.

6. Conceda à conta de serviço do coletor permissão para gravar no destino do coletor. Para mais informações, consulte Definir permissões de destino.

Console

1. Para receber informações sobre a conta de serviço do seu gravador, faça o seguinte:

   1. No console do Cloud de Confiance , acesse a página Roteador de registros.

      Acessar o roteador de registros

      Se você usar a barra de pesquisa para encontrar essa página, selecione o resultado com o subtítulo Logging.

   2. Selecione more_vert Menu e, depois, Ver detalhes do coletor. A identidade do gravador é exibida no painel Detalhes do coletor.

   3. Se o valor do campo writerIdentity contiver um endereço de e-mail, prossiga para a próxima etapa. Quando o valor é None, não é necessário configurar as permissões de destino.

   4. Copie a identidade do gravador do coletor para a área de transferência. As identidades do gravador podem parecer diferentes dependendo do recurso a que o coletor pertence, mas sempre têm o prefixo serviceAccount:. Veja a seguir um exemplo de identidade de gravador:

      serviceAccount:service-123456789012@gcp-sa-logging.s3ns-system.iam.gserviceaccount.com
      

2. Conceda ao principal especificado pela identidade do gravador do coletor a permissão para gravar dados de registro no destino:

   1. No console do Cloud de Confiance , acesse a página IAM:

      Acesse o IAM

      Se você usar a barra de pesquisa para encontrar essa página, selecione o resultado com o subtítulo IAM e administrador.

   2. Na barra de ferramentas do console do Cloud de Confiance , selecione o projeto que armazena o destino do coletor agregado. Quando o destino for um projeto, selecione-o.

   3. Clique em person_add Conceder acesso.

   4. Insira o principal especificado pela identidade do gravador do coletor e conceda um papel do IAM:

      • Para todos os destinos, conceda o papel de Gravador de registros (roles/logging.logWriter). Especificamente, um principal precisa da permissão logging.logEntries.route.
      • Conceda um dos seguintes papéis com base no destino:
        • Bucket de registros: conceda o papel de Gravador de bucket de registros (roles/logging.bucketWriter).
        • Tópico do Pub/Sub: conceda o papel de Publicador do Pub/Sub (roles/pubsub.publisher).

gcloud

1. Verifique se você tem acesso de proprietário ao projetoCloud de Confiance que contém o destino. Se você não tiver acesso de Proprietário ao destino do gravador, peça a um proprietário do projeto para adicionar a identidade do gravador como um principal.

2. Para receber informações sobre a conta de serviço do seu gravador, execute o comando gcloud logging sinks describe.

   Antes de usar o comando a seguir, faça estas substituições:

   • SINK_NAME: o nome do coletor de registros. Não é possível mudar o nome de um coletor depois que ele é criado.

   Execute o comando gcloud logging sinks describe:

   gcloud logging sinks describe SINK_NAME
   

3. Se os detalhes do coletor tiverem um campo chamado writerIdentity, prossiga para a próxima etapa. Quando os detalhes não incluem um campo writerIdentity, não é necessário configurar as permissões de destino para o coletor.

4. Copie a identidade do gravador do coletor para a área de transferência. Veja a seguir uma identidade de gravador:

   serviceAccount:service-123456789012@gcp-sa-logging.s3ns-system.iam.gserviceaccount.com
   

5. Conceda à identidade de gravador do coletor a permissão para gravar dados de registro no destino executando o comando gcloud projects add-iam-policy-binding.

   Antes de usar o comando a seguir, faça as seguintes substituições:

   • PROJECT_ID: o identificador do projeto. Selecione o projeto que armazena o destino do coletor agregado. Quando o destino for um projeto, selecione-o.
   • PRINCIPAL: um identificador do principal a quem você quer conceder o papel. Os identificadores dos principais geralmente têm o seguinte formato: PRINCIPAL-TYPE:ID. Por exemplo, principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com. Para uma lista completa dos formatos que PRINCIPAL pode ter, consulte Identificadores principais.

   • ROLE: um papel do IAM. Conceda à identidade do gravador do coletor um papel do IAM com base no destino do coletor de registros:

     • Para todos os destinos, conceda o papel de Gravador de registros (roles/logging.logWriter). Especificamente, um principal precisa da permissão logging.logEntries.route.
     • Conceda um dos seguintes papéis com base no destino:
       • Bucket de registros: conceda o papel de Gravador de bucket de registros (roles/logging.bucketWriter).
       • Tópico do Pub/Sub: conceda o papel de editor do Pub/Sub (roles/pubsub.publisher).

   Execute o comando gcloud projects add-iam-policy-binding:

   gcloud projects add-iam-policy-binding PROJECT_ID --member=PRINCIPAL --role=ROLE
   

REST

Recomendamos que você use o console do Cloud de Confiance ou a Google Cloud CLI para conceder um papel à conta de serviço.