Log-Bereiche erstellen und verwalten

In diesem Dokument wird beschrieben, wie Sie Logbereiche erstellen und verwalten können, um die Logeinträge, die Sie ansehen oder analysieren möchten, effizient zu finden. Wenn Sie nur die Logeinträge ansehen und analysieren möchten, die in einem Projekt, Ordner oder einer Organisation erstellt wurden, ist dieses Dokument nicht für Sie geeignet. Wenn Sie jedoch Logsenken verwenden, um Logs an andere Projekte oder benutzerdefinierte Log-Buckets weiterzuleiten, oder wenn Sie Logansichten verwenden, können Sie mit den Informationen in diesem Dokument bestimmte Logeinträge effizient finden.

In diesem Dokument wird nicht beschrieben, wie Sie Ihre Logs aufrufen. Weitere Informationen zu diesem Thema finden Sie unter Logs mit dem Log-Explorer aufrufen.

Logbereiche

Logbereiche sind persistente Ressourcen auf Projektebene, in denen eine Reihe von Ressourcen aufgeführt ist. Diese Ressourcen können Projekte, Ordner, Organisationen und Logansichten sein. Sie können beispielsweise einen Logbereich definieren, in dem die Projekte aufgeführt sind, die Ressourcen für die Produktion enthalten, oder einen, in dem die Logansichten aufgeführt sind, die Logeinträge für einen bestimmten Ressourcentyp enthalten.

Wenn Sie ein Trusted Cloud Projekt, einen Ordner oder eine Organisationsressource erstellen, erstellt Logging einen Logbereich mit dem Namen _Default. Dieser Bereich umfasst das erstellte Projekt, den erstellten Ordner oder die erstellte Organisation. Wenn es sich bei der gesuchten Ressource um ein Trusted Cloud Projekt, einen Ordner oder eine Organisation handelt, enthalten die Ergebnisse die Logeinträge, die in der Ressource erstellt und dann in einem Log-Bucket gespeichert werden. Der Log-Bucket kann sich in einem beliebigen Projekt befinden. Wenn nach einem Projekt gesucht wird, enthalten die Ergebnisse auch Logeinträge, die von einer Senke in einem anderen Projekt an das Projekt weitergeleitet und dann in einem Log-Bucket gespeichert werden.

Sie können Protokollbereiche erstellen. Sie können die von Ihnen erstellten Protokollbereiche auch bearbeiten und löschen. Sie können den Log-Bereich mit dem Namen _Default jedoch nicht bearbeiten oder löschen.

Mit einem Logbereich legen Sie fest, in welchen Ressourcen auf der Seite Log-Explorer nach Logdaten gesucht wird. Wenn Sie diese Seite öffnen und einen Protokollbereich auswählen, werden die in diesem Bereich aufgeführten Ressourcen durchsucht und die Anzeige wird aktualisiert.

Bei Projekten wird durch den Standardlogbereich festgelegt, in welchen Ressourcen auf der Seite Log-Explorer gesucht wird, wenn sie geöffnet wird. Welche Logeinträge aus dem Speicher abgerufen werden, hängt jedoch von Ihren IAM-Rollen (Identity and Access Management) für die durchsuchten Ressourcen und der Einstellung für den Zeitraum ab. Wenn Projekte erstellt werden, wird der Logbereich mit dem Namen _Default als Standardlogbereich festgelegt.

Unterschiede zwischen Log-Bereichen und zentralisierter Log-Speicherung

Sowohl die zentralisierte Logspeicherung als auch Logbereiche bieten Ihnen die Möglichkeit, Logdaten aus verschiedenen Projekten aufzurufen.

Wenn Sie die Logspeicherung zentralisieren, konfigurieren Sie die Senken in einer Organisation oder einem Ordner so, dass Logeinträge an einen einzelnen Speicherort weitergeleitet werden. Durch die zentrale Speicherung können Sie Logdaten an einem einzigen Ort abfragen. Das vereinfacht Ihre Abfragen, wenn Sie nach Trends suchen oder Probleme untersuchen. Aus Sicherheitssicht haben Sie auch einen Speicherort, was die Aufgaben Ihrer Sicherheitsanalysten vereinfacht.

Wenn eine Abfrage für die in einem Logbereich aufgeführten Ressourcen ausgegeben wird, werden die einzelnen Abfrageergebnisse kombiniert. Ein Logbereich ermöglicht die Aggregation von Logdaten zur Lesezeit, die an verschiedenen Orten gespeichert sein können. Ein Log-Bereich kann jedoch auch verwendet werden, um Lesezugriff auf eine oder mehrere Logansichten in einem zentralen Log-Bucket zu gewähren.

Wenn die Seite Log-Explorer geöffnet wird, werden Anfragen an die Ressourcen gesendet, die im Standardlogbereich aufgeführt sind. Konfigurieren Sie daher den Standardbereich so, dass auf der Seite die Daten angezeigt werden, die Sie normalerweise sehen möchten. Sie können beispielsweise den Standard-Logbereich festlegen, um eine Logansicht aufzulisten, die bei einer Abfrage die Logdaten für eine App Hub-Anwendung zurückgibt.

Best Practices

Da Sie mit Log-Bereichen eine Konfiguration für die zukünftige Verwendung definieren und speichern können, empfehlen wir, Log-Bereiche für komplexe Suchkonfigurationen zu erstellen.

Angenommen, Sie beheben ein Problem und möchten die Logeinträge für alle VM-Instanzen (Virtual Machine) aufrufen, die Ihrem Team gehören. Dazu können Sie Folgendes tun:

1. Sie stellen fest, dass die Logeinträge, die Sie ansehen möchten, in mehreren Log-Buckets und in mehreren Projekten gespeichert sind. Für die meisten Log-Buckets gibt es eine Log-Ansicht, die die Logeinträge enthält, die Sie analysieren möchten. Wenn keine Logansicht vorhanden ist, können Sie eine erstellen.

2. Sie entscheiden sich, einen Log-Bereich zu erstellen, da Sie in Zukunft mit einer ähnlichen Aufgabe zur Fehlerbehebung rechnen.

3. Sie öffnen in der Trusted Cloud Console die Seite Log-Explorer und wählen dann im Menü Bereich eingrenzen den neuen Log-Bereich aus.

4. Sie sehen sich die Logeinträge an und finden die Informationen, die Sie zum Beheben des Problems benötigen, das Sie untersucht haben.

5. Nachdem Sie das Problem behoben haben, teilen Sie die Fehlerursache Ihren Kollegen mit. Sie gehen davon aus, dass in Zukunft ähnliche Fehler auftreten werden. Deshalb haben Sie einen Logbereich erstellt, mit dem Sie oder die Person, die den Fehler untersucht, schnell relevante Logeinträge finden können.

App Hub-Anwendungen und Log-Bereiche

Ihre App Hub-Anwendungen schreiben möglicherweise Logdaten in mehrere Projekte. Ihre Logdaten werden möglicherweise in dem Projekt gespeichert, in dem sie generiert wurden. Es kann aber auch sein, dass ein Organisationsadministrator eine zentrale Speicherung konfiguriert hat. Wenn Sie die Logdaten Ihrer Anwendung aufrufen möchten, erstellen Sie einen Logbereich, konfigurieren Sie ihn so, dass die Projekte oder Logansichten aufgeführt werden, in denen die Logdaten Ihrer Anwendung gespeichert sind, und legen Sie ihn dann als Standardlogbereich fest. Wenn Sie diese Schritte ausführen, werden auf der Seite Logs Explorer automatisch die von Ihrer Anwendung geschriebenen Daten angezeigt, auch wenn diese Daten in verschiedenen Projekten oder in einem zentralen Log-Bucket gespeichert sind.

Erstellen Sie den benutzerdefinierten Logbereich in dem Projekt, in dem Sie Ihre Logdaten ansehen möchten. Dieses Projekt ist entweder Ihr App Hub-Hostprojekt oder das Verwaltungsprojekt Ihres für Anwendungen aktivierten Ordners. Wenn der Anzeigename des Ordners beispielsweise My Folder ist, lautet der Anzeigename des Verwaltungsprojekts My Folder-mp.

Beschränkungen

• Sie können den Logbereich mit dem Namen _Default nicht löschen oder ändern.
• Nur Trusted Cloud -Projekte unterstützen einen Standardlogbereich.
• Sie können einem benutzerdefinierten Log-Bereich keine Ordner oder Organisationen hinzufügen.
• Protokollbereiche werden am Standort global erstellt.

Hinweise

• Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle Logs Configuration Writer (roles/logging.configWriter) für Ihr Projekt, Ihren Ordner oder Ihre Organisation zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Erstellen und Aufrufen von Logbereichen benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

  Diese vordefinierte Rolle enthält die Berechtigungen, die zum Erstellen und Aufrufen von Log-Bereichen erforderlich sind. Erweitern Sie den Abschnitt Erforderliche Berechtigungen, um die erforderlichen Berechtigungen anzuzeigen:

  Erforderliche Berechtigungen

  Die folgenden Berechtigungen sind erforderlich, um Protokollbereiche zu erstellen und anzusehen:

  • So erstellen und verwalten Sie Logbereiche: logging.logScopes.{create, delete, get, list, update}

  Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

• Select the tab for how you plan to use the samples on this page:

  gcloud

  After installing the Google Cloud CLI, sign in to the gcloud CLI with your federated identity and then initialize it by running the following command:

  gcloud init

  Terraform

  Wenn Sie die Terraform-Beispiele auf dieser Seite in einer lokalen Entwicklungsumgebung verwenden möchten, installieren und initialisieren Sie die gcloud CLI und richten dann die Standardanmeldedaten für Anwendungen mit Ihren Nutzeranmeldedaten ein.

  1. Install the Google Cloud CLI.

  2. Configure the gcloud CLI to use your federated identity.

     For more information, see Sign in to the gcloud CLI with your federated identity.

  3. To initialize the gcloud CLI, run the following command:

     gcloud init

  4. Create local authentication credentials for your user account:

     gcloud auth application-default login

     If an authentication error is returned, and you are using an external identity provider (IdP), confirm that you have signed in to the gcloud CLI with your federated identity.

  Weitere Informationen finden Sie in der Dokumentation zur Trusted Cloud -Authentifizierung unter ADC für eine lokale Entwicklungsumgebung einrichten.

  REST

  Verwenden Sie die von der gcloud CLI bereitgestellten Anmeldedaten, um die REST API-Beispiele auf dieser Seite in einer lokalen Entwicklungsumgebung zu verwenden.

  After installing the Google Cloud CLI, sign in to the gcloud CLI with your federated identity and then initialize it by running the following command:

  gcloud init

  Weitere Informationen finden Sie in der Dokumentation zur Trusted Cloud -Authentifizierung unter Für die Verwendung von REST authentifizieren.

Logbereiche auflisten

 gcloud logging scopes list --project=PROJECT_ID

 gcloud logging scopes describe LOG_SCOPE_ID --project=PROJECT_ID

projects/PROJECT_ID/locations/LOCATION_ID

Logbereich erstellen

Sie können 100 Log-Bereiche pro Projekt erstellen. Ein Logbereich kann insgesamt 100 Logansichten und Projekte enthalten, aber nur 5 Projekte. Sie können einem Log-Bereich keine Ordner oder Organisationen hinzufügen.

 gcloud logging scopes create LOG_SCOPE_ID --project=PROJECT_ID \
   --description=DESCRIPTION \
   --resource-names=RESOURCE_NAMES

projects/PROJECT_ID/locations/LOCATION_ID

Protokollbereich ändern oder löschen

 gcloud logging scopes update LOG_SCOPE_ID --project=PROJECT_ID \
   --description=DESCRIPTION \
   --resource-names=RESOURCE_NAMES

 gcloud logging scopes delete LOG_SCOPE_ID --project=PROJECT_ID

projects/PROJECT_ID/locations/LOCATION_ID/logScopes/LOG_SCOPE_ID

Nächste Schritte

• Logs mit dem Log-Explorer aufrufen
• Logansichten für einen Log-Bucket konfigurieren