Creare e gestire gli ambiti dei log

Questo documento descrive come creare e gestire gli ambiti dei log, che puoi utilizzare per trovare in modo efficiente le voci di log che vuoi visualizzare o analizzare. Se vuoi solo visualizzare e analizzare le voci di log che hanno origine in un progetto, una cartella o un'organizzazione, questo documento non fa al caso tuo. Tuttavia, se utilizzi i sink di log per indirizzare i log ad altri progetti o a bucket di log definiti dall'utente oppure se utilizzi le visualizzazioni log, le informazioni contenute in questo documento potrebbero aiutarti a trovare in modo efficiente voci di log specifiche.

Questo documento non descrive come visualizzare i log. Per informazioni su questo argomento, vedi Visualizzare i log utilizzando Esplora log.

Informazioni sugli ambiti dei log

Gli ambiti dei log sono risorse permanenti a livello di progetto che elencano un insieme di risorse. Queste risorse possono essere progetti, cartelle, organizzazioni e visualizzazioni log. Ad esempio, puoi definire un ambito dei log che elenca i progetti che contengono risorse utilizzate per la produzione oppure uno che elenca le visualizzazioni log che includono voci di log per un tipo di risorsa specifico.

Quando crei una risorsa progetto, cartella o organizzazione Trusted Cloud , Logging crea un ambito log denominato _Default. Questo ambito include il progetto, la cartella o l'organizzazione che è stata creata. Quando una risorsa cercata è un progetto, una cartella o un'organizzazione Trusted Cloud , i risultati includono le voci di log che hanno origine nella risorsa e vengono poi archiviate in un bucket di log. Il bucket di log può trovarsi in qualsiasi progetto. Quando viene eseguita la ricerca in un progetto, i risultati includono anche le voci di log instradate al progetto da un sink in un altro progetto e poi archiviate in un bucket di log.

Puoi creare ambiti dei log. Puoi anche modificare ed eliminare gli ambiti dei log che crei. Tuttavia, non puoi modificare o eliminare l'ambito del log denominato _Default.

Utilizzi un ambito di log per controllare le risorse in cui la pagina Esplora log cerca i dati di log. Quando apri questa pagina e selezioni un ambito dei log, la pagina esegue la ricerca nelle risorse elencate in quell'ambito e poi aggiorna la visualizzazione.

Per i progetti, l'ambito di log predefinito determina l'insieme di risorse in cui la pagina Esplora log esegue la ricerca quando viene aperta. Tuttavia, i ruoli IAM (Identity and Access Management) nelle risorse cercate e l'impostazione dell'intervallo di tempo determinano quali voci di log vengono recuperate dallo spazio di archiviazione. Quando vengono creati i progetti, l'ambito dei log denominato _Default viene designato come ambito dei log predefinito.

Differenze tra gli ambiti dei log e l'archiviazione centralizzata dei log

Sia l'archiviazione centralizzata dei log che gli ambiti dei log ti consentono di visualizzare i dati di log provenienti da progetti diversi.

Quando centralizzi l'archiviazione dei log, configuri i sink in un'organizzazione o una cartella per indirizzare le voci di log a un'unica posizione di archiviazione. L'archiviazione centralizzata fornisce un'unica posizione per eseguire query sui dati di log, il che semplifica le query quando cerchi tendenze o esamini problemi. Dal punto di vista della sicurezza, hai anche una posizione di archiviazione, che semplifica le attività degli analisti della sicurezza.

Quando viene eseguita una query sulle risorse elencate in un ambito dei log, i singoli risultati della query vengono combinati. Un ambito dei log facilita l'aggregazione in fase di lettura dei dati di log che potrebbero essere archiviati in posizioni diverse. Tuttavia, un ambito del log può essere utilizzato anche per fornire l'accesso in lettura a una o più visualizzazioni dei log in un bucket di log centralizzato.

Quando si apre la pagina Esplora log, vengono eseguite query per le risorse elencate nell'ambito di log predefinito. Pertanto, configura l'ambito predefinito in modo che la pagina mostri i dati che di solito vuoi visualizzare. Ad esempio, puoi impostare l'ambito dei log predefinito per elencare una visualizzazione dei log che, quando viene eseguita una query, restituisce i dati dei log per un'applicazione App Hub.

Best practice

Poiché gli ambiti dei log ti consentono di definire e salvare una configurazione per un utilizzo futuro, ti consigliamo di creare ambiti dei log per configurazioni di ricerca complesse.

Ad esempio, supponi di risolvere un problema e di voler visualizzare le voci di log per tutte le istanze di macchine virtuali (VM) di proprietà del tuo team. Per completare questa attività, puoi procedere nel seguente modo:

1. Determini che le voci di log che vuoi visualizzare sono archiviate in più bucket di log e in più progetti. Per la maggior parte dei bucket di log, esiste una visualizzazione di log che include le voci di log che vuoi analizzare. Se non esiste una visualizzazione dei log, puoi crearne una.

2. Decidi di creare un ambito dei log perché prevedi di dover svolgere un'attività di risoluzione dei problemi simile in futuro.

3. Apri la pagina Esplora log nella console Trusted Cloud e poi utilizza il menu Perfeziona ambito per selezionare il nuovo ambito dei log.

4. Esamini le voci dei log e trovi le informazioni necessarie per risolvere il problema che stavi esaminando.

5. Una volta risolto il problema, condividi la causa dell'errore con i tuoi colleghi. Inoltre, prevedi di riscontrare errori simili in futuro, quindi hai creato un ambito dei log che consentirà a te o a chiunque stia indagando sull'errore di trovare rapidamente le voci di log pertinenti.

Applicazioni App Hub e ambiti dei log

Le tue applicazioni App Hub potrebbero scrivere dati di log in più progetti. I dati dei log potrebbero essere archiviati nel progetto in cui hanno origine oppure un amministratore dell'organizzazione potrebbe aver configurato l'archiviazione centralizzata. Per visualizzare i dati di log della tua applicazione, crea un ambito di log, configuralo in modo che elenchi i progetti o le visualizzazioni log che archiviano i dati di log della tua applicazione e poi configuralo come ambito di log predefinito. Una volta completati questi passaggi, la pagina Explorer log mostra automaticamente i dati scritti dalla tua applicazione, anche se questi dati sono archiviati in progetti diversi o in un bucket di log centralizzato.

Crea l'ambito dei log personalizzato nel progetto da cui visualizzerai i dati dei log. Questo progetto è il progetto host di App Hub o il progetto di gestione della cartella abilitata per le app. Ad esempio, se il nome visualizzato della cartella è My Folder, il nome visualizzato del progetto di gestione è My Folder-mp.

Limitazioni

• Non puoi eliminare o modificare l'ambito dei log denominato _Default.
• Solo i progetti Trusted Cloud supportano un ambito dei log predefinito.
• Non puoi aggiungere cartelle o organizzazioni a un ambito dei log definito dall'utente.
• Gli ambiti di log vengono creati nella località global.

Prima di iniziare

• Per ottenere le autorizzazioni necessarie per creare e visualizzare gli ambiti dei log, chiedi all'amministratore di concederti il ruolo IAM Logs Configuration Writer (roles/logging.configWriter) nel progetto, nella cartella o nell'organizzazione. Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

  Questo ruolo predefinito contiene le autorizzazioni necessarie per creare e visualizzare gli ambiti dei log. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

  Autorizzazioni obbligatorie

  Per creare e visualizzare gli ambiti dei log sono necessarie le seguenti autorizzazioni:

  • Per creare e gestire gli ambiti dei log: logging.logScopes.{create, delete, get, list, update}

  Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

• Select the tab for how you plan to use the samples on this page:

  gcloud

  After installing the Google Cloud CLI, sign in to the gcloud CLI with your federated identity and then initialize it by running the following command:

  gcloud init

  Terraform

  Per utilizzare gli esempi di Terraform in questa pagina in un ambiente di sviluppo locale, installa e inizializza gcloud CLI, quindi configura le Credenziali predefinite dell'applicazione con le tue credenziali utente.

  1. Install the Google Cloud CLI.

  2. Configure the gcloud CLI to use your federated identity.

     For more information, see Sign in to the gcloud CLI with your federated identity.

  3. To initialize the gcloud CLI, run the following command:

     gcloud init

  4. Create local authentication credentials for your user account:

     gcloud auth application-default login

     If an authentication error is returned, and you are using an external identity provider (IdP), confirm that you have signed in to the gcloud CLI with your federated identity.

  Per saperne di più, consulta Configura ADC per un ambiente di sviluppo locale nella documentazione sull'autenticazione Trusted Cloud .

  REST

  Per utilizzare gli esempi di API REST in questa pagina in un ambiente di sviluppo locale, utilizzi le credenziali che fornisci a gcloud CLI.

  After installing the Google Cloud CLI, sign in to the gcloud CLI with your federated identity and then initialize it by running the following command:

  gcloud init

  Per saperne di più, consulta la sezione Autenticarsi per l'utilizzo di REST nella documentazione sull'autenticazione di Trusted Cloud .

Elenca gli ambiti dei log

 gcloud logging scopes list --project=PROJECT_ID

 gcloud logging scopes describe LOG_SCOPE_ID --project=PROJECT_ID

projects/PROJECT_ID/locations/LOCATION_ID

Crea un ambito di log

Puoi creare 100 ambiti dei log per progetto. Un ambito di log può includere un totale di 100 visualizzazioni di log e progetti, ma può includere solo 5 progetti. Non puoi aggiungere cartelle o organizzazioni a un ambito dei log.

 gcloud logging scopes create LOG_SCOPE_ID --project=PROJECT_ID \
   --description=DESCRIPTION \
   --resource-names=RESOURCE_NAMES

projects/PROJECT_ID/locations/LOCATION_ID

Modificare o eliminare un ambito log

 gcloud logging scopes update LOG_SCOPE_ID --project=PROJECT_ID \
   --description=DESCRIPTION \
   --resource-names=RESOURCE_NAMES

 gcloud logging scopes delete LOG_SCOPE_ID --project=PROJECT_ID

projects/PROJECT_ID/locations/LOCATION_ID/logScopes/LOG_SCOPE_ID

Passaggi successivi

• Visualizza i log utilizzando Esplora log
• Configura le visualizzazioni log in un bucket log