彙整機構和資料夾層級記錄，並將其轉送至支援的目的地

控制台

如要為資料夾或機構建立匯總接收器，請按照下列步驟操作：

1. 前往 Cloud de Confiance 控制台的「Log Router」(記錄檔路由器) 頁面：

   前往「記錄檔路由器」

   如果您是使用搜尋列尋找這個頁面，請選取子標題為「Logging」的結果。

2. 選取現有的資料夾或機構。

3. 選取「建立接收器」。

4. 在「接收器詳細資料」面板中，輸入下列詳細資料：

   • 「Sink name」(接收器名稱)：提供接收器的 ID；請注意，建立接收器後就無法重新命名，但可以刪除並建立新的接收器。

   • 接收器說明 (選填)：說明接收器的用途或用途。

5. 在「選取接收器服務」選單中，選取目的地類型，然後完成對話方塊以指定目的地。您可以選取現有目的地或建立目的地。

   • 如果是攔截用接收器，請選取「Cloud de Confiance 專案」，然後輸入目的地 Cloud de Confiance 專案的完整名稱：

     logging.googleapis.com/projects/DESTINATION_PROJECT_ID
     

   • 如果是非攔截接收器，請選取目的地，然後輸入目的地的完整名稱。系統支援下列目的地：

     • Cloud de Confiance 專案

       logging.googleapis.com/projects/DESTINATION_PROJECT_ID
       

     • Cloud Logging 值區

       logging.googleapis.com/projects/DESTINATION_PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME
       

     • Pub/Sub 主題

       pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID
       

6. 在「Choose logs to include in sink」(選擇要納入接收器的記錄檔) 面板中，選取要納入接收器的資源。

   • 如果是攔截接收器，請選取「攔截這個機構和所有子資源擷取的記錄檔」。

   • 如果是非攔截接收器，請選取「收錄這個資源和所有子資源擷取的記錄檔」。

7. 在「Build inclusion filter」(建立「包含」篩選器) 欄位中，輸入與要納入的記錄項目相符的篩選器運算式。如未設定篩選器，所選資源的所有記錄項目都會轉送至目的地。

   舉例來說，您可能想建立篩選條件，將所有資料存取稽核記錄傳送至單一記錄值區。這個篩選器如下所示：

   LOG_ID("cloudaudit.googleapis.com/data_access") OR LOG_ID("externalaudit.googleapis.com/data_access")
   

   如需篩選器範例，請參閱本頁的「為匯總接收器建立篩選器」一節。

   請注意，篩選器的長度不得超過 20,000 個字元。

8. 選用：如要確認輸入的篩選器正確無誤，請選取「預覽記錄」。系統會在新的分頁中開啟記錄檔探索工具，並預先填入篩選條件。

9. 選用：在「選擇要從接收器排除的記錄檔」面板中，執行下列操作：

   1. 在「排除條件篩選器名稱」欄位中輸入名稱。

   2. 在「Build an exclusion filter」(建立排除篩選器) 欄位中，輸入與您想排除的記錄項目相符的篩選器運算式。您也可以使用 sample 函式選取要排除的記錄項目。

      舉例來說，如要排除特定專案的記錄項目，避免系統將這些項目傳送至目的地，請新增下列排除篩選器：

      logName:projects/PROJECT_ID
      

      如要排除多個專案的記錄項目，請使用邏輯 OR 運算子來聯結 logName 子句。

   每個接收器最多可建立 50 個排除篩選器。請注意，篩選器的長度不得超過 20,000 個字元。

10. 選取「建立接收器」。

11. 如要完成匯總接收器的設定，請將記錄項目寫入接收器目的地的權限，授予接收器的服務帳戶。詳情請參閱「設定目的地權限」。

gcloud

如要建立匯總接收器，請使用 logging sinks create 指令：

1. 如要建立接收器，請呼叫 gcloud logging sinks create 指令，並務必加入 --include-children 選項。

   使用下列指令前，請先替換以下項目：

   • SINK_NAME：記錄接收器的名稱。水槽名稱一經建立即無法變更。
   • SINK_DESTINATION：要將記錄項目傳送至的服務或專案。如要瞭解這些目的地的格式，請參閱「目的地路徑格式」。
   • INCLUSION_FILTER：接收器的納入篩選器。 如需篩選器範例，請參閱「為匯總接收器建立篩選器」。
   • FOLDER_ID：資料夾 ID。如要在機構層級建立接收器，請將 --folder=FOLDER_ID 替換為 -- organization=ORGANIZATION_ID。

   執行 gcloud logging sinks create 指令：

   gcloud logging sinks create SINK_NAME \
     SINK_DESTINATION  --include-children \
     --folder=FOLDER_ID --log-filter="INCLUSION_FILTER"
   

   你也可以提供下列選項：

   • 如要建立攔截接收器，請加入 --intercept-children 選項。

   舉例來說，如果您要在資料夾層級建立匯總接收器，且目的地為 Pub/Sub 主題，則指令可能如下所示：

   gcloud logging sinks create SINK_NAME \
     pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID --include-children \
     --folder=FOLDER_ID --log-filter="logName:activity"

2. 授予接收器服務帳戶寫入接收器目的地的權限。詳情請參閱「設定目的地權限」。

REST

如要建立匯總接收器，請使用 organizations.sinks.create 或 folders.sinks.create Logging API 方法。如下準備方法的引數：

1. 將 parent 欄位設為要在其中建立接收器的 Cloud de Confiance 機構或資料夾。父項必須是下列其中一項：

   • organizations/ORGANIZATION_ID
   • folders/FOLDER_ID

2. 在方法要求主體的 LogSink 物件中，執行下列其中一項操作：

   • 將 includeChildren 設為 True。

   • 如要建立攔截接收器，請將 interceptChildren 欄位設為 True。

3. 設定 filter 欄位，比對要納入的記錄項目。

   如需篩選器範例，請參閱「為匯總接收器建立篩選器」。

   篩選條件長度不得超過 20,000 個字元。

4. 設定剩餘的 LogSink 欄位，方法與為任何接收器設定時相同。 詳情請參閱「將記錄檔轉送至支援的目的地」。

5. 呼叫 organizations.sinks.create 或 folders.sinks.create 以建立接收器。

6. 授予接收器服務帳戶寫入接收器目的地的權限。詳情請參閱「設定目的地權限」。

控制台

1. 如要取得接收器的服務帳戶資訊，請按照下列步驟操作：

   1. 前往 Cloud de Confiance 控制台的「Log Router」(記錄檔路由器) 頁面：

      前往「記錄檔路由器」

      如果您是使用搜尋列尋找這個頁面，請選取子標題為「Logging」的結果。

   2. 選取「選單」圖示 more_vert，然後選取「查看接收器詳細資料」。寫入者身分會顯示在「接收器詳細資料」面板中。

   3. 如果 writerIdentity 欄位的值包含電子郵件地址，請繼續下一個步驟。如果值為 None，則不需要設定目的地權限。

   4. 將接收器的寫入者身分複製到剪貼簿。Writer Identity 可能會因接收器所屬的資源而異，但一律以 serviceAccount: 為前置字元。以下是寫入者身分的範例：

      serviceAccount:service-123456789012@gcp-sa-logging.s3ns-system.iam.gserviceaccount.com
      

2. 將記錄資料寫入目的地所需的權限，授予接收器寫入者身分所指定的主體：

   1. 前往 Cloud de Confiance 控制台的「IAM」頁面：

      前往 IAM

      如果您是使用搜尋列尋找這個頁面，請選取子標題為「IAM & Admin」(IAM 與管理) 的結果。

   2. 在 Cloud de Confiance 控制台的工具列中，選取儲存匯總接收器目的地的專案。如果目的地是專案，請選取該專案。

   3. 按一下 person_add「授予存取權」。

   4. 輸入接收器寫入者身分指定的主體，然後授予 IAM 角色：

      • 針對所有目的地，請授予記錄檔寫入者角色 (roles/logging.logWriter)。具體來說，主體需要 logging.logEntries.route 權限。
      • 根據目的地授予下列其中一個角色：
        • 記錄檔值區：授予 記錄檔值區寫入者角色 (roles/logging.bucketWriter)。
        • Pub/Sub 主題：授予 Pub/Sub 發布者角色 (roles/pubsub.publisher)。

gcloud

1. 確認您在包含目的地的Cloud de Confiance 專案中具有「擁有者」存取權。如果您不具有接收器目的地位置的擁有者存取權，請要求專案擁有者將寫入者身分新增為主體。

2. 如要取得接收器的服務帳戶相關資訊，請呼叫 gcloud logging sinks describe 方法。

   使用下列指令前，請先替換以下項目：

   • SINK_NAME：記錄接收器的名稱。水槽名稱一經建立即無法變更。

   執行 gcloud logging sinks describe 指令：

   gcloud logging sinks describe SINK_NAME
   

3. 如果接收器詳細資料包含標示為 writerIdentity 的欄位，請繼續下一個步驟。如果詳細資料不包含writerIdentity欄位，您就不需要為接收器設定目的地權限。

4. 將接收器的寫入者身分複製到剪貼簿。以下說明寫入者身分：

   serviceAccount:service-123456789012@gcp-sa-logging.s3ns-system.iam.gserviceaccount.com
   

5. 呼叫 gcloud projects add-iam-policy-binding 指令，將記錄資料寫入目的地的權限授予接收器的寫入者身分。

   使用下列指令前，請先替換以下項目：

   • PROJECT_ID：專案的 ID。選取儲存匯總接收器目的地的專案。如果目的地是專案，請選取該專案。
   • PRINCIPAL：要授予角色的主體 ID。主體 ID 通常採用以下格式： PRINCIPAL-TYPE:ID。 例如：principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com。如需 PRINCIPAL 的完整格式清單，請參閱「主體 ID」。

   • ROLE：IAM 角色。根據記錄接收器的目的地，將 IAM 角色授予接收器的寫入者身分：

     • 針對所有目的地，請授予記錄檔寫入者角色 (roles/logging.logWriter)。具體來說，主體需要 logging.logEntries.route 權限。
     • 根據目的地授予下列其中一個角色：
       • 記錄檔值區：授予 記錄檔值區寫入者角色 (roles/logging.bucketWriter)。
       • Pub/Sub 主題：授予 Pub/Sub 發布者角色 (roles/pubsub.publisher)。

   執行 gcloud projects add-iam-policy-binding 指令：

   gcloud projects add-iam-policy-binding PROJECT_ID --member=PRINCIPAL --role=ROLE
   

REST

建議您使用 Cloud de Confiance 控制台或 Google Cloud CLI，將角色授予服務帳戶。