יצירה וניהול של היקפי יומנים

במסמך הזה מוסבר איך ליצור ולנהל היקפי יומנים, שבעזרתם אפשר למצוא ביעילות את רשומות היומן שרוצים לראות או לנתח. אם אתם רוצים רק להציג ולנתח את רשומות היומן שמקורן בפרויקט, בתיקייה או בארגון, המאמר הזה לא רלוונטי עבורכם. עם זאת, אם אתם מסתמכים על יעדי יומנים כדי לנתב יומנים לפרויקטים אחרים או למאגרי יומנים שהוגדרו על ידי משתמשים, או אם אתם משתמשים בתצוגות יומנים, המידע במסמך הזה יכול לעזור לכם למצוא ביעילות רשומות יומן ספציפיות.

במאמר הזה לא מוסבר איך לצפות ביומנים. מידע נוסף על הנושא הזה זמין במאמר צפייה ביומנים באמצעות Logs Explorer.

מידע על היקפי היומן

היקפי יומנים הם משאבים קבועים ברמת הפרויקט שמפרטים קבוצה של משאבים. המשאבים האלה יכולים להיות פרויקטים, תיקיות, ארגונים ותצוגות של יומנים. לדוגמה, אפשר להגדיר אוסף תצוגות יומן (log scope) שמפרט את הפרויקטים שמכילים משאבים שמשמשים לייצור, או אוסף שמפרט את תצוגות היומן שכוללות רשומות ביומן של סוג משאב ספציפי.

כשיוצרים משאב של Cloud de Confiance פרויקט, תיקייה או ארגון, Logging יוצר אוסף תצוגות יומן (log scope) בשם _Default. ההיקף הזה כולל את הפרויקט, התיקייה או הארגון שנוצרו. כשמחפשים משאב שהוא פרויקט, תיקייה או ארגון, התוצאות כוללות את רשומות היומן שמקורן במשאב ואז מאוחסנות בקטגוריה ביומן. Cloud de Confiance קטגוריית היומנים יכולה להיות בכל פרויקט. כשמחפשים פרויקט, התוצאות כוללות גם רשומות ביומן שמועברות לפרויקט על ידי יעד בפרויקט אחר, ואז מאוחסנות בקטגוריית יומנים.

אפשר ליצור היקפי יומן. אפשר גם לערוך ולמחוק את היקפי היומן שיוצרים. עם זאת, אי אפשר לערוך או למחוק את אוסף תצוגות היומן (log scope) שנקרא _Default.

היקף היומן מאפשר לקבוע באילו משאבים יתבצע חיפוש של נתוני יומן בדף Logs Explorer. כשפותחים את הדף הזה ובוחרים אוסף תצוגות יומן (log scope), המערכת מחפשת בדף את המשאבים שמופיעים בהיקף הזה ואז מרעננת את התצוגה.

בפרויקטים, היקף היומן שמוגדר כברירת מחדל קובע את קבוצת המשאבים שבדף Logs Explorer מתבצע חיפוש כשפותחים אותו. עם זאת, התפקידים שלכם ב-IAM (הפלטפורמה לניהול זהויות והרשאות גישה) במשאבים שחיפשתם והגדרת טווח הזמן קובעים אילו רשומות ביומן יאוחזרו מהאחסון. כשיוצרים פרויקטים, אוסף תצוגות היומן (log scope) שנקרא _Default מוגדר כאוסף תצוגות היומן (log scope) שמוגדר כברירת מחדל.

מה ההבדל בין היקפי יומנים לבין אחסון יומנים מרכזי

אחסון מרכזי של יומנים והיקפי יומנים מאפשרים לכם לצפות בנתוני יומנים שמקורם בפרויקטים שונים.

כשמרכזים את האחסון של היומנים, מגדירים את ה-sinks בארגון או בתיקייה כדי לנתב את רשומות היומן למיקום אחסון יחיד. אחסון מרכזי מספק מקום אחד לשאילתות של נתוני יומן, וכך מפשט את השאילתות כשמחפשים מגמות או בודקים בעיות. מבחינת אבטחה, יש גם מיקום אחסון אחד, מה שמפשט את המשימות של אנליסטים בתחום האבטחה.

כשמריצים שאילתה על המשאבים שמופיעים באוסף תצוגות היומן (log scope), התוצאות של כל שאילתה משולבות. אוסף תצוגות יומן (log scope) מאפשר צבירה בזמן הקריאה של נתוני יומן שאולי מאוחסנים במיקומים שונים. עם זאת, אפשר להשתמש בהיקף יומן גם כדי לספק גישת קריאה לתצוגת יומן אחת או יותר בדלי יומנים מרכזי.

כשפותחים את הדף Logs Explorer, המערכת מריצה שאילתות על המשאבים שמופיעים בהיקף ברירת המחדל של היומן. לכן, כדאי להגדיר את היקף ברירת המחדל כך שבדף יוצגו הנתונים שאתם בדרך כלל רוצים לראות. לדוגמה, אפשר להגדיר את אוסף תצוגות היומן (log scope) של ברירת המחדל להצגת תצוגת יומן, שאחרי שליחת שאילתה עליה מחזירה את נתוני היומן של אפליקציה ב-מרכז האפליקציות.

שיטות מומלצות

היקפי יומנים מאפשרים לכם להגדיר ולשמור הגדרות לשימוש עתידי, ולכן מומלץ ליצור היקפי יומנים להגדרות חיפוש מורכבות.

לדוגמה, נניח שאתם מנסים לפתור בעיה ורוצים לראות את רשומות היומן של כל המכונות הווירטואליות (VM) שבבעלות הצוות שלכם. כדי לבצע את המשימה הזו, אפשר לעשות את הפעולות הבאות:

1. אתם קובעים שהרשומות ביומן שאתם רוצים לראות מאוחסנות בכמה קטגוריות של יומנים ובכמה פרויקטים. ברוב מאגרי היומנים, יש תצוגת יומן שכוללת את רשומות היומן שרוצים לנתח. אם אין תצוגת יומן, אפשר ליצור אחת.

2. אתם מחליטים ליצור אוסף תצוגות יומן (log scope) כי אתם צופים שתצטרכו לבצע משימת פתרון בעיות דומה בעתיד.

3. פותחים את הדף Logs Explorer במסוף Cloud de Confiance ומשתמשים בתפריט Refine scope כדי לבחור את היקף היומן החדש.

4. בודקים את הרשומות ביומן ומחפשים את המידע שדרוש לפתרון הבעיה שנבדקה.

5. אחרי שפותרים את הבעיה, משתפים את הסיבה לכשל עם הקולגות. ציינת גם שאתה מצפה לראות כשלים דומים בעתיד, ולכן יצרת אוסף תצוגות יומן (log scope) שיאפשר לך או למי שיחקור את הכשל למצוא במהירות רשומות יומן רלוונטיות.

אפליקציות של מרכז האפליקציות והיקפי יומן

יכול להיות שהאפליקציות שלכם ב-מרכז האפליקציות יכתבו נתוני יומן לכמה פרויקטים. יכול להיות שנתוני היומן מאוחסנים בפרויקט שממנו הם מגיעים, או שאדמין בארגון הגדיר אחסון מרכזי. כדי לראות את נתוני היומן של האפליקציה, צריך ליצור אוסף תצוגות יומן (log scope), להגדיר אותו כך שיציג את הפרויקטים או את תצוגות היומן שבהם מאוחסנים נתוני היומן של האפליקציה, ואז להגדיר אותו כאוסף תצוגות יומן (log scope) שמוגדר כברירת מחדל. כשמשלימים את השלבים האלה, הדף Logs Explorer מציג באופן אוטומטי את הנתונים שנכתבו על ידי האפליקציה, גם אם הנתונים האלה מאוחסנים בפרויקטים שונים או בדלי מרכזי של יומנים.

יוצרים את אוסף תצוגות יומן (log scope) המותאם אישית בפרויקט שממנו תצפו בנתוני היומן. הפרויקט הזה הוא פרויקט המארח או פרויקט הניהול של מרכז האפליקציות. לדוגמה, אם השם המוצג של תיקייה הוא My Folder, אז השם המוצג של פרויקט הניהול של התיקייה הוא My Folder-mp.

מגבלות

• אי אפשר למחוק או לשנות את אוסף תצוגות היומן (log scope) שנקרא _Default.
• רק Cloud de Confiance פרויקטים תומכים באוסף תצוגות יומן (log scope) ברירת מחדל.
• אי אפשר להוסיף תיקיות או ארגונים לאוסף תצוגות יומן (log scope) שמוגדר על ידי המשתמש.
• היקפי היומן נוצרים במיקום global.

לפני שמתחילים

1. In the Cloud de Confiance console, on the project selector page, select or create a Cloud de Confiance project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

   Go to project selector

2. Verify that billing is enabled for your Cloud de Confiance project.

3. Enable the Observability API.

   Roles required to enable APIs

   To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

   Enable the API

4. כדי לקבל את ההרשאות שדרושות ליצירה ולהצגה של היקפי יומנים, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים בפרויקט:

   • Logs Configuration Writer (roles/logging.configWriter`)
   • עורך יכולת הצפייה (roles/observability.editor)

   להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

   התפקידים המוגדרים מראש האלה כוללים את ההרשאות שנדרשות ליצירה ולצפייה בהיקפי יומנים. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

   ההרשאות הנדרשות

   כדי ליצור היקפי יומן ולצפות בהם, צריך את ההרשאות הבאות:

   • כדי להגדיר את היקף ברירת המחדל של היומן: observability.scopes.{get, update}
   • כדי ליצור ולנהל היקפי יומן: logging.logScopes.{create, delete, get, list, update}

   יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

5. צריך לבחור את הכרטיסייה הרלוונטית לאופן שבו תכננתם להשתמש בדוגמאות בדף הזה:

   gcloud

   התקינו את ה-CLI של Google Cloud ואז היכנסו ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם. אחרי שנכנסתם לחשבון, אתחלו את ה-CLI של Google Cloud באמצעות הפקודה הבאה:

   gcloud init

   Terraform

   כדי להשתמש בסביבת פיתוח מקומית בדוגמאות של Terraform שבדף הזה, מתקינים ומפעילים את ה-CLI של gcloud, ואז מגדירים את Application Default Credentials באמצעות פרטי הכניסה של המשתמש.

   1. התקינו את ה-CLI של Google Cloud.

   2. הגדירו שה-CLI של gcloud ישתמש בזהות המאוחדת שלכם.

      איך נכנסים ל-CLI של gcloud באמצעות הזהות המאוחדת?

   3. יוצרים פרטי כניסה לאימות מקומי עבור חשבון המשתמש:

      gcloud auth application-default login

      אם מוחזרת שגיאת אימות ואתם משתמשים בספק זהויות חיצוני (IdP), ודאו ש נכנסתם ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.

   למידע נוסף, ראו הגדרת ADC לסביבת פיתוח מקומית במאמרי העזרה בנושא אימות Cloud de Confiance .

   REST

   כדי להשתמש בסביבת פיתוח מקומית בדוגמאות של API בארכיטקטורת REST שבדף הזה, צריך להשתמש בפרטי הכניסה שאתם נותנים ל-CLI של gcloud.

   התקינו את ה-CLI של Google Cloud ואז היכנסו ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם.

   מידע נוסף מופיע במאמר אימות לשימוש ב-REST במסמכי האימות של Cloud de Confiance .

הצגת היקפי היומן

gcloud logging scopes list --project=PROJECT_ID

gcloud logging scopes describe LOG_SCOPE_ID --project=PROJECT_ID

projects/PROJECT_ID/locations/LOCATION_ID

יצירת היקף של יומן

אפשר ליצור 100 היקפי יומן לכל פרויקט. אוסף תצוגות יומן (log scope) יכול לכלול סך של 100 תצוגות יומן ופרויקטים, אבל הוא יכול לכלול רק 5 פרויקטים. אי אפשר להוסיף תיקיות או ארגונים לאוסף תצוגות יומן (log scope).

gcloud logging scopes create LOG_SCOPE_ID --project=PROJECT_ID \
  --description=DESCRIPTION \
  --resource-names=RESOURCE_NAMES

projects/PROJECT_ID/locations/LOCATION_ID

איך משנים או מוחקים אוסף תצוגות יומן (log scope)

gcloud logging scopes update LOG_SCOPE_ID --project=PROJECT_ID \
  --description=DESCRIPTION \
  --resource-names=RESOURCE_NAMES

gcloud logging scopes delete LOG_SCOPE_ID --project=PROJECT_ID

projects/PROJECT_ID/locations/LOCATION_ID/logScopes/LOG_SCOPE_ID

המאמרים הבאים

• איך צופים ביומנים באמצעות Logs Explorer
• הגדרת תצוגות יומן בקטגוריה ביומן