Crea y administra alcances de registro

En este documento, se describe cómo puedes crear y administrar los alcances de registros, que puedes usar para encontrar de manera eficiente las entradas de registro que deseas ver o analizar. Si solo deseas ver y analizar las entradas de registro que se originan en un proyecto, una carpeta o una organización, este documento no es para ti. Sin embargo, si dependes de los receptores de registros para enrutar registros a otros proyectos o a buckets de registros definidos por el usuario, o si usas vistas de registros, la información de este documento puede ayudarte a encontrar entradas de registro específicas de manera eficiente.

En este documento, no se describe cómo ver tus registros. Para obtener información sobre ese tema, consulta Visualiza registros con el Explorador de registros.

Acerca de los permisos de registro

Los permisos de registro son recursos persistentes a nivel del proyecto que enumeran un conjunto de recursos. Estos recursos pueden ser proyectos, carpetas, organizaciones y vistas de registros. Por ejemplo, podrías definir un ámbito de registros que enumere los proyectos que contienen recursos utilizados para la producción o uno que enumere las vistas de registro que incluyen entradas de registro para un tipo de recurso específico.

Cuando creas un recurso de Cloud de Confiance proyecto, carpeta u organización, Logging crea un ámbito de registros llamado _Default. Este alcance incluye el proyecto, la carpeta o la organización que se creó. Cuando el recurso buscado es un Cloud de Confiance proyecto, una carpeta o una organización, los resultados incluyen las entradas de registro que se originan en el recurso y, luego, se almacenan en un bucket de registros. El bucket de registros puede estar en cualquier proyecto. Cuando se busca un proyecto, los resultados también incluyen las entradas de registro que se enrutan al proyecto a través de un receptor en otro proyecto y, luego, se almacenan en un bucket de registros.

Puedes crear alcances de registro. También puedes editar y borrar los permisos de registro que crees. Sin embargo, no puedes editar ni borrar el ámbito de registros llamado _Default.

Usas un alcance de registros para controlar en qué recursos busca datos de registro la página del Explorador de registros. Cuando abres esa página y seleccionas un ámbito de registros, la página busca los recursos que se enumeran en ese ámbito y, luego, actualiza la pantalla.

En el caso de los proyectos, el ámbito de registros predeterminado determina el conjunto de recursos que busca la página Explorador de registros cuando se abre. Sin embargo, tus roles de Identity and Access Management (IAM) en los recursos buscados y la configuración del período determinan qué entradas de registro se recuperan del almacenamiento. Cuando se crean proyectos, el permiso de registros llamado _Default se designa como el permiso de registros predeterminado.

En qué se diferencian los alcances de registros del almacenamiento de registros centralizado

Tanto el almacenamiento de registros centralizado como los alcances de registros te permiten ver los datos de registro que se originan en diferentes proyectos.

Cuando centralizas el almacenamiento de registros, configuras los receptores en una organización o carpeta para enrutar las entradas de registro a una sola ubicación de almacenamiento. El almacenamiento centralizado proporciona un solo lugar para consultar los datos de registro, lo que simplifica tus consultas cuando buscas tendencias o investigas problemas. Desde una perspectiva de seguridad, también tienes una ubicación de almacenamiento, lo que simplifica las tareas de tus analistas de seguridad.

Cuando se emite una consulta a los recursos que se enumeran en un ámbito de registros, se combinan los resultados de la consulta individual. Un ámbito de registro facilita la agregación en tiempo de lectura de los datos de registro que se pueden almacenar en diferentes ubicaciones. Sin embargo, también se puede usar un ámbito de registros para proporcionar acceso de lectura a una o más vistas de registro en un bucket de registros centralizado.

Cuando se abre la página Explorador de registros, se envían consultas a los recursos que se indican en el ámbito de registros predeterminado. Por lo tanto, configura el alcance predeterminado para que la página te muestre los datos que sueles consultar. Por ejemplo, puedes establecer el alcance de registro predeterminado para enumerar una vista de registro que, cuando se consulta, devuelve los datos de registro de una aplicación de App Hub.

Prácticas recomendadas

Dado que los alcances de registro te permiten definir y guardar una configuración para usarla en el futuro, te recomendamos que crees alcances de registro para las configuraciones de búsqueda complejas.

Por ejemplo, supongamos que estás solucionando un problema y deseas ver las entradas de registro de todas las instancias de máquina virtual (VM) que son propiedad de tu equipo. Para completar esta tarea, puedes hacer lo siguiente:

1. Determinas que las entradas de registro que deseas ver se almacenan en varios buckets de registros y en varios proyectos. En la mayoría de los buckets de registros, existe una vista de registros que incluye las entradas de registro que deseas analizar. Si no existe una vista de registros, puedes crear una.

2. Decides crear un ámbito de registros porque esperas tener una tarea de solución de problemas similar en el futuro.

3. Abre la página Explorador de registros en la consola de Cloud de Confiance y, luego, usa el menú Refine scope para seleccionar tu nuevo ámbito de registros.

4. Revisas las entradas de registro y encuentras la información que necesitas para resolver el problema que estabas investigando.

5. Después de resolver el problema, comparte la causa de la falla con tus colegas. También compartes que esperas ver fallas similares en el futuro, por lo que creaste un ámbito de registros que te permitirá a ti, o a quien investigue la falla, encontrar rápidamente las entradas de registro pertinentes.

Aplicaciones de App Hub y permisos de registro

Tus aplicaciones de App Hub pueden escribir datos de registro en varios proyectos. Es posible que tus datos de registro se almacenen en el proyecto en el que se originaron, o bien que un administrador de la organización haya configurado un almacenamiento centralizado. Para ver los datos de registro de tu aplicación, crea un ámbito de registros, configúralo para que muestre los proyectos o las vistas de registros que almacenan los datos de registro de tu aplicación y, luego, configúralo como el ámbito de registros predeterminado. Cuando completes esos pasos, la página del Explorador de registros mostrará automáticamente los datos que escribió tu aplicación, incluso cuando esos datos se almacenen en diferentes proyectos o en un bucket de registros centralizado.

Crea el ámbito de registros personalizado en el proyecto desde el que verás tus datos de registro. Este proyecto es tu proyecto host o de administración de App Hub. Por ejemplo, si el nombre visible de una carpeta es My Folder, el nombre visible del proyecto de administración de la carpeta es My Folder-mp.

Limitaciones

• No puedes borrar ni modificar el ámbito de registros llamado _Default.
• Solo los proyectos Cloud de Confiance admiten un ámbito de registros predeterminado.
• No puedes agregar carpetas ni organizaciones a un ámbito de registros definido por el usuario.
• Los alcances de registro se crean en la ubicación global.

Antes de comenzar

1. In the Cloud de Confiance console, on the project selector page, select or create a Cloud de Confiance project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

   Go to project selector

2. Verify that billing is enabled for your Cloud de Confiance project.

3. Enable the Observability API.

   Roles required to enable APIs

   To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

   Enable the API

4. Para obtener los permisos que necesitas para crear y ver ámbitos de registros, pídele a tu administrador que te otorgue los siguientes roles de IAM en tu proyecto:

   • Escritor de configuración de registros (roles/logging.configWriter`)
   • Editor de Observability (roles/observability.editor)

   Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

   Estos roles predefinidos contienen los permisos necesarios para crear y ver ámbitos de registros. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:

   Permisos necesarios

   Se requieren los siguientes permisos para crear y ver ámbitos de registros:

   • Para establecer el ámbito de registros predeterminado, haz lo siguiente: observability.scopes.{get, update}
   • Para crear y administrar los permisos de registros, haz lo siguiente: logging.logScopes.{create, delete, get, list, update}

   También puedes obtener estos permisos con roles personalizados o con otros roles predefinidos.

5. Selecciona la pestaña que corresponda a la forma en que planeas usar las muestras de esta página:

   gcloud

   Instala Google Cloud CLI y, luego, accede a gcloud CLI con tu identidad federada. Después de acceder, inicializa Google Cloud CLI con el siguiente comando:

   gcloud init

   Terraform

   Para usar las muestras de Terraform de esta página en un entorno de desarrollo local, instala e inicializa la gcloud CLI y, luego, configura las credenciales predeterminadas de la aplicación con tus credenciales de usuario.

   1. Instala Google Cloud CLI.

   2. Configura gcloud CLI para usar tu identidad federada.

      Para obtener más información, consulta Accede a la gcloud CLI con tu identidad federada.

   3. Crea credenciales de autenticación locales para tu cuenta de usuario:

      gcloud auth application-default login

      Si se devuelve un error de autenticación y usas un proveedor de identidad (IdP) externo, confirma que accediste a la gcloud CLI con tu identidad federada.

   Para obtener más información, consulta Configura ADC para un entorno de desarrollo local en la documentación de autenticación de Cloud de Confiance .

   REST

   Para usar las muestras de la API de REST incluidas en esta página en un entorno de desarrollo local, debes usar las credenciales que proporciones a la gcloud CLI.

   Instala Google Cloud CLI y, luego, accede a gcloud CLI con tu identidad federada.

   Para obtener más información, consulta Autentícate para usar REST en la documentación de autenticación de Cloud de Confiance .

Enumera los ámbitos de registros

gcloud logging scopes list --project=PROJECT_ID

gcloud logging scopes describe LOG_SCOPE_ID --project=PROJECT_ID

projects/PROJECT_ID/locations/LOCATION_ID

Crea un permiso de registro

Puedes crear 100 ámbitos de registros por proyecto. Un ámbito de registro puede incluir un total de 100 vistas de registro y proyectos; sin embargo, solo puede incluir 5 proyectos. No puedes agregar carpetas ni organizaciones a un ámbito de registros.

gcloud logging scopes create LOG_SCOPE_ID --project=PROJECT_ID \
  --description=DESCRIPTION \
  --resource-names=RESOURCE_NAMES

projects/PROJECT_ID/locations/LOCATION_ID

Cómo modificar o borrar un ámbito de registros

gcloud logging scopes update LOG_SCOPE_ID --project=PROJECT_ID \
  --description=DESCRIPTION \
  --resource-names=RESOURCE_NAMES

gcloud logging scopes delete LOG_SCOPE_ID --project=PROJECT_ID

projects/PROJECT_ID/locations/LOCATION_ID/logScopes/LOG_SCOPE_ID

¿Qué sigue?

• Visualiza registros con el explorador de registros
• Configura vistas de registro en un bucket de registro