Einige oder alle Informationen auf dieser Seite gelten möglicherweise nicht für Cloud de Confiance von S3NS. Weitere Informationen finden Sie unter Unterschiede zu Google Cloud.

Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Logansichten für einen Log-Bucket konfigurieren

In diesem Dokument wird beschrieben, wie Sie Logansichten für Ihre Cloud Logging-Buckets erstellen und verwalten. Mit Logansichten haben Sie erweiterte und detaillierte Kontrolle darüber, wer auf die Logs in Ihren Log-Buckets zugreifen kann.

Sie können Ihre Logansichten mit der Cloud de Confiance -Console, der gcloud CLI, Terraform oder der Cloud Logging API konfigurieren und verwalten.

Allgemeine Informationen zum Logging-Speichermodell finden Sie unter Routing und Speicher.

Logansichten

Mit Log-Ansichten können Sie einem Nutzer Zugriff auf nur eine Teilmenge der in einem Log-Bucket gespeicherten Logs gewähren. Stellen Sie sich beispielsweise vor, Sie speichern die Logs Ihrer Organisation in einem zentralen Projekt. Sie können für jedes Projekt, das Logs zum Log-Bucket beiträgt, eine Logansicht erstellen. Anschließend können Sie jedem Nutzer Zugriff auf eine oder mehrere Logansichten gewähren und so einschränken, welche Logs die Nutzer sehen können.

Sie können pro Log-Bucket maximal 30 Logansichten erstellen.

Zugriff auf eine Logansicht steuern

In Cloud Logging wird mit IAM-Richtlinien gesteuert, wer Zugriff auf Logansichten hat. IAM-Richtlinien können auf Ressourcen-, Projekt-, Ordner- und Organisationsebene vorhanden sein. Für Cloud Logging können Sie für jede Logansicht eine IAM-Richtlinie erstellen. Um festzustellen, ob ein Hauptkonto für eine Aktion autorisiert ist, wertet IAM alle anwendbaren Richtlinien aus. Die erste Auswertung erfolgt auf Ressourcenebene.

Hauptkonten mit der Rolle roles/logging.viewAccessor für einCloud de Confiance -Projekt können auf Ansichten und Logs in jedem Log-Bucket im Projekt zugreifen.

Wenn Sie einem Hauptkonto Zugriff auf nur eine bestimmte Logansicht gewähren möchten, haben Sie folgende Möglichkeiten:

Erstellen Sie eine IAM-Richtlinie für die Logansicht und fügen Sie dann eine IAM-Bindung zu dieser Richtlinie hinzu, die dem Prinzipal Zugriff auf die Logansicht gewährt.

Wenn Sie viele Log-Ansichten erstellen, empfehlen wir diesen Ansatz.
Weisen Sie dem Prinzipal die IAM-Rolle roles/logging.viewAccessor für das Projekt zu, das die Logansicht enthält, aber fügen Sie eine IAM-Bedingung hinzu, um die Zuweisung auf die jeweilige Logansicht zu beschränken. Wenn Sie die Bedingung weglassen, gewähren Sie dem Prinzipal Zugriff auf alle Logansichten. Die Richtliniendatei für ein Cloud de Confiance -Projekt darf maximal 20 Rollenbindungen enthalten, die dieselbe Rolle und dasselbe Hauptkonto, aber unterschiedliche Bedingungsausdrücke beinhalten.

Weitere Informationen finden Sie in den folgenden Abschnitten dieses Dokuments:

Zugriff auf eine Logansicht gewähren
Alle Rollenbindungen für eine Logansicht auflisten

Automatisch erstellte Logansichten

Cloud Logging erstellt automatisch eine _AllLogs-Ansicht für jeden Log-Bucket und eine _Default-Ansicht für den _Default-Log-Bucket:

_AllLogs-Ansicht: Sie können alle Logs im Log-Bucket ansehen.
_Default-Ansicht: Sie können alle Audit-Logs, die nicht zum Datenzugriff gehören, im Log-Bucket ansehen.

Sie können Ansichten, die automatisch von Cloud Logging erstellt werden, nicht ändern. Sie können jedoch die Ansicht _AllLogs löschen.

Filter für Logansichten

Jede Logansicht enthält einen Filter, der bestimmt, welche Logeinträge in der Ansicht sichtbar sind. Filter werden mit der Logging-Abfragesprache geschrieben.

Ihre Logansicht kann entweder einen einfachen oder einen flexiblen Filter haben:

Ein einfacher Filter verwendet eine sehr eingeschränkte Gruppe von Befehlen der Logging-Abfragesprache. In den meisten Fällen reicht dieser Satz von Befehlen aus.
Ein flexibler Filter bietet Unterstützung für zusätzliche Befehle und Operatoren. Wenn Sie jedoch den erweiterten Befehlssatz verwenden, werden die Menüs Alle Ressourcen und Alle Lognamen im Log-Explorer deaktiviert.

Einfacher Filter

Ein einfacher Filter kann Folgendes enthalten:

Eine Datenquelle, in der die Funktion source verwendet wird. Die Funktion source gibt Logeinträge aus einer bestimmten Ressource in der Hierarchie der Organisationen, Ordner und Cloud de Confiance Projekte zurück.
Eine Log-ID mit der Funktion log_id. Die Funktion log_id gibt Logbucheinträge zurück, die dem angegebenen LOG_ID-Argument aus dem Feld logName entsprechen.
Konjunktive AND-Klauseln.
Ein gültiger Ressourcentyp mit dem Vergleich resource.type= FIELD_NAME.

Sie können den Negationsoperator auf eine Datenquelle, eine Log-ID oder einen Ressourcentyp anwenden. Sie können diesen Operator nicht auf eine zusammengesetzte Anweisung anwenden. Sie können beispielsweise keine Anweisung der Form NOT (A AND B) verwenden. Außerdem können Sie keine logischen OR-Operatoren in Filtern für die Logansicht verwenden.

Weitere Informationen zur Filtersyntax finden Sie unter Vergleiche.

Flexibler Filter

Ein flexibler Filter kann Folgendes enthalten:

Eine Datenquelle, in der die Funktion source verwendet wird. Die Funktion source gibt Logeinträge aus einer bestimmten Ressource in der Hierarchie der Organisationen, Ordner und Cloud de Confiance Projekte zurück.
Eine Log-ID mit der Funktion log_id. Die Funktion log_id gibt Logbucheinträge zurück, die dem angegebenen LOG_ID-Argument aus dem Feld logName entsprechen.
Konjunktive AND-Klauseln.
Disjunktive OR-Klauseln.
Negations-NOT-Anweisungen, die auf die Datenquelle, die Log-ID oder auf Felder angewendet werden, in denen Werte verglichen werden. Sie können diesen Operator nicht auf eine zusammengesetzte Anweisung anwenden.

Mit Filtern können auch die folgenden Vergleiche mit Werten angestellt werden:

Ressourcentypen
Ressourcenlabels
Labels
App Hub-Labels

Sie können jeden Vergleichsoperator verwenden, der von der Logging-Abfragesprache unterstützt wird. Sie können beispielsweise einen der folgenden Operatoren verwenden:

=           -- equal
!=          -- not equal
> < >= <=   -- numeric ordering
:           -- "has" matches any substring in the log entry field
=~          -- regular expression search for a pattern
!~          -- regular expression search not for a pattern

Weitere Informationen zur Filtersyntax finden Sie unter Vergleiche.

Beispiele für Filter

In diesem Abschnitt finden Sie Beispiele für Filter für Logansichten.

Beispiel: Filter mit mehreren Anweisungen

Der folgende Filter veranschaulicht die Struktur eines Filters mit mehreren Anweisungen. Die einzelnen Anweisungen werden durch logische AND-Operatoren verknüpft. Dieser Filter enthält nur Compute Engine-stdout-Logeinträge aus einem Cloud de Confiance -Projekt mit dem Namen myproject:

source("projects/myproject") AND
resource.type = "gce_instance" AND
log_id("stdout")

Beispiel: Filter mit mehreren Anweisungen und disjunktiven Klauseln

Die folgenden Beispiele veranschaulichen, wie Sie die disjunktive OR-Klausel verwenden können. Im Beispiel werden mit der Klausel OR Logeinträge ausgewählt, die aus einem Cloud de Confiance Projekt namens myproject geschrieben wurden. Diese Logeinträge wurden entweder von App Engine oder von Google Kubernetes Engine geschrieben:

source("projects/myproject") AND
(resource.type="gae_app" OR resource.type="gke_cluster")

Beispiel: Nach Ressourcenlabel filtern

Der folgende Anweisungsfilter enthält nur Logeinträge mit einem container_name von mycontainer:

resource.labels.container_name="mycontainer"

Beispiel: Nach Label filtern

Der folgende Anweisungsfilter enthält nur Logeinträge, deren nutzerdefiniertes Label test den Wert FALSE hat:

labels.test="FALSE"

Beispiel: Nach App Hub-Label filtern

Der folgende Anweisungsfilter enthält nur die Logeinträge, deren App Hub-application.location als global aufgeführt ist:

apphub.application.location="global"

Beispiel: Logeinträge mit einem Negationsoperator ausschließen

Sie können den Negationsoperator auch auf unterstützte Filterfelder anwenden. Mit dem folgenden Filter werden beispielsweise Compute Engine-Logeinträge aus der Logansicht ausgeschlossen:

NOT resource.type = "gce_instance"

Sie können den Negationsoperator nicht auf eine zusammengesetzte Anweisung anwenden. Eine Anweisung der Form NOT (A AND B) wird beispielsweise nicht unterstützt.

Hinweis

Führen Sie die folgenden Schritte aus, bevor Sie eine Logansicht erstellen oder aktualisieren:

Falls noch nicht geschehen, erstellen Sie im entsprechenden Cloud de Confiance -Projekt einen Logging-Bucket , für den Sie eine benutzerdefinierte Logansicht konfigurieren möchten.
Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihr Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Erstellen und Verwalten von Logansichten und zum Gewähren des Zugriffs auf Logansichten benötigen:
- Autor von Log-Konfigurationen (roles/logging.configWriter)
- So fügen Sie einem Projekt eine Rollenbindung hinzu: Projekt-IAM-Administrator (roles/resourcemanager.projectIamAdmin)
- So fügen Sie einer Logansicht eine Rollenbindung hinzu: Logging-Administrator (roles/logging.admin)
Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.
Wählen Sie die Schnittstelle aus, die Sie verwenden möchten:
Console

Wenn Sie über die Cloud de Confiance Console auf Cloud de Confiance by S3NS -Dienste und -APIs zugreifen, müssen Sie die Authentifizierung nicht einrichten.
gcloud

Installieren Sie die Google Cloud CLI und melden Sie sich dann mit Ihrer föderierten Identität in der gcloud CLI an. Nach der Anmeldung initialisieren Sie die Google Cloud CLI mit dem folgenden Befehl:
gcloud init
Hinweis:Wenn Sie die gcloud CLI zuvor installiert haben, prüfen Sie, ob Sie die aktuelle Version haben, indem Sie gcloud components update ausführen.
Terraform

Wenn Sie die Terraform-Beispiele auf dieser Seite in einer lokalen Entwicklungsumgebung verwenden möchten, installieren und initialisieren Sie die gcloud CLI und richten Sie dann die Standardanmeldedaten für Anwendungen mit Ihren Nutzeranmeldedaten ein.
1. Installieren Sie die Google Cloud CLI.
2. Konfigurieren Sie die gcloud CLI für die Verwendung Ihrer föderierten Identität.
  
  Weitere Informationen finden Sie unter Mit Ihrer föderierten Identität in der gcloud CLI anmelden.
3. Erstellen Sie lokale Anmeldedaten zur Authentifizierung für Ihr Nutzerkonto:
  
  gcloud auth application-default login
  
  Wenn ein Authentifizierungsfehler zurückgegeben wird, prüfen Sie, ob Sie sich mit Ihrer föderierten Identität in der gcloud CLI angemeldet haben.
Weitere Informationen finden Sie in der Dokumentation zur Cloud de Confiance -Authentifizierung unter ADC für eine lokale Entwicklungsumgebung einrichten.
Legen Sie mit dem Filter fest, welche Logs in die Ansicht aufgenommen werden sollen.
Legen Sie fest, wer Zugriff auf die Logansicht haben soll und ob Sie Bindungen zur IAM-Richtlinie der Logansicht oder des Cloud de Confiance Projekts hinzufügen möchten. Weitere Informationen finden Sie unter Zugriff auf eine Logansicht steuern.

Logansicht erstellen

Sie können pro Log-Bucket maximal 30 Logansichten erstellen.

Console

So erstellen Sie eine Logansicht:

Rufen Sie in der Cloud de Confiance -Console die Seite Logspeicher auf.
Zum Logspeicher

Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis mit der Zwischenüberschrift Logging aus.
Wählen Sie das Projekt, den Ordner oder die Organisation aus, in dem sich der Log-Bucket befindet.
Wählen Sie im Bereich Log-Buckets den Namen des Log-Buckets aus, für den Sie eine Log-Ansicht erstellen möchten.
Rufen Sie auf der Detailseite für den Log-Bucket den Bereich Log-Ansichten auf und klicken Sie dann auf Log-Ansicht erstellen.
Führen Sie auf der Seite Logansicht definieren die folgenden Schritte aus:
1. Geben Sie einen Namen für die Logansicht ein. Sie können diesen Namen nicht mehr ändern, nachdem die Logansicht erstellt wurde. Der Name darf maximal 100 Zeichen lang sein und darf nur Buchstaben, Ziffern, Unterstriche und Bindestriche enthalten.
2. Geben Sie eine Beschreibung für die Logansicht ein.
3. Geben Sie im Feld Filter erstellen einen Ausdruck ein, mit dem festgelegt wird, welche Logeinträge im Log-Bucket in die Logansicht aufgenommen werden. Informationen zur Struktur dieses Felds finden Sie in diesem Dokument im Abschnitt Filter für die Log-Ansicht.
Optional: So fügen Sie der Logansichtsressource eine Rollenbindung hinzu:
1. Klicken Sie auf Weiter, um zur Seite Berechtigungen festlegen zu gelangen.
2. Klicken Sie auf Zugriffsrechte erteilen.
3. Maximieren Sie im Abschnitt Hauptkonten hinzufügen das Menü Neue Hauptkonten und wählen Sie ein Hauptkonto aus.
4. Wählen Sie im Abschnitt Rollen zuweisen die Rolle Logs View Accessor aus.
5. Klicken Sie auf Speichern.
Klicken Sie auf Ansicht speichern.
Wenn Sie Hauptkonten im Rahmen des Erstellungsvorgangs keinen Zugriff auf Ihre Logansicht gewährt haben, führen Sie die Schritte im folgenden Abschnitt aus.

gcloud

So erstellen Sie eine Logansicht:

Führen Sie den Befehl gcloud logging views create aus:

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:
- LOG_VIEW_ID: Die Kennung der Logansicht. Sie ist auf 100 Zeichen begrenzt und darf nur Buchstaben, Ziffern, Unterstriche und Bindestriche enthalten.
- BUCKET_NAME: Der Name des Log-Buckets.
- LOCATION: der Speicherort des Log-Buckets
- FILTER: Ein Filter, der die Logansicht definiert. Wenn das Feld leer ist, enthält die Logansicht alle Logs. Wenn Sie beispielsweise nach Protokollen von Compute Engine-VM-Instanzen filtern möchten, geben Sie "resource.type=gce_instance" ein.
- DESCRIPTION: Eine Beschreibung der Logansicht. Für die Beschreibung "Compute logs" könnten Sie beispielsweise Folgendes eingeben.
- PROJECT_ID: Die Kennung des Projekts. Wenn Sie eine Logansicht in einem Ordner oder einer Organisation erstellen möchten, ersetzen Sie --project durch --folder oder --organization.
Führen Sie den Befehl gcloud logging views create aus:
Linux, macOS oder Cloud Shell
```
gcloud logging views create LOG_VIEW_ID --bucket=BUCKET_NAME \
 --location=LOCATION --log-filter=FILTER --description=DESCRIPTION \
 --project=PROJECT_ID
```
Windows (PowerShell)
```
gcloud logging views create LOG_VIEW_ID --bucket=BUCKET_NAME `
 --location=LOCATION --log-filter=FILTER --description=DESCRIPTION `
 --project=PROJECT_ID
```
Windows (cmd.exe)
```
gcloud logging views create LOG_VIEW_ID --bucket=BUCKET_NAME ^
 --location=LOCATION --log-filter=FILTER --description=DESCRIPTION ^
 --project=PROJECT_ID
```
Dieser Befehl gibt keine Antwort. Sie können die Änderungen mit dem Befehl gcloud logging views list bestätigen.
Hauptkonten Zugriff auf Ihre Logansicht gewähren Im folgenden Abschnitt finden Sie Informationen zu diesen Schritten.

Terraform

Informationen zum Anwenden oder Entfernen einer Terraform-Konfiguration finden Sie unter Grundlegende Terraform-Befehle. Weitere Informationen finden Sie in der Referenzdokumentation zum Terraform-Anbieter.

So erstellen Sie mit Terraform eine Logansicht in einem Projekt, Ordner oder einer Organisation:

Verwenden Sie die Terraform-Ressource google_logging_log_view.

Legen Sie im Befehl die folgenden Felder fest:
- name: Der vollständig qualifizierte Name der Logansicht. Bei Projekten hat das Feld beispielsweise das folgende Format:
```
"projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME/view/LOG_VIEW_ID"
```
  Im vorherigen Ausdruck ist LOCATION der Speicherort des Log-Buckets.
- bucket: Auf den vollständig qualifizierten Namen des Log-Buckets festgelegt. Dieses Feld kann beispielsweise folgende Werte enthalten:
```
"projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME"
```
- filter: Der Filter, der beschreibt, welche Logeinträge in der Logansicht enthalten sind.
- description: Eine kurze Beschreibung.
Hauptkonten Zugriff auf Ihre Logansicht gewähren Im folgenden Abschnitt finden Sie Informationen zu diesen Schritten.

Zugriff auf eine Logansicht gewähren

Es gibt zwei Möglichkeiten, einen Prinzipal auf eine bestimmte Logansicht in einem nutzerdefinierten Log-Bucket zu beschränken:

Fügen Sie auf der Ebene der Logansicht eine Rollenbindung hinzu.
Fügen Sie auf Projektebene eine bedingte Rollenbindung hinzu.

Wenn Sie eine große Anzahl von Log-Ansichten erstellen, empfehlen wir, den Zugriff über die IAM-Richtliniendatei der Log-Ansicht zu steuern.

Logansicht: Rollenbindungen hinzufügen

In diesem Abschnitt wird beschrieben, wie Sie mit der IAM-Richtliniendatei für eine Logansicht steuern, wer Zugriff auf die Logeinträge in dieser Logansicht hat. Bei dieser Methode fügen Sie der Richtliniendatei der Logansicht eine Bindung hinzu, die dem angegebenen Prinzipal Zugriff auf die Logansicht gewährt.

In diesem Abschnitt wird auch beschrieben, wie Sie die in der IAM-Richtliniendatei für eine Logansicht enthaltene Rollenbindung auflisten.

Console

So aktualisieren Sie die IAM-Richtliniendatei einer Logansicht:

Rufen Sie in der Cloud de Confiance -Console die Seite Logspeicher auf.
Zum Logspeicher

Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis mit der Zwischenüberschrift Logging aus.
Wählen Sie das Projekt, den Ordner oder die Organisation aus, in dem sich der Log-Bucket befindet.
Wählen Sie im Bereich Log-Buckets den Namen des Log-Buckets aus, in dem sich die Logansicht befindet.
Rufen Sie auf der Detailseite für den Log-Bucket den Bereich Log-Ansichten auf.
Klicken Sie für die Logansicht, deren IAM-Richtliniendatei Sie ändern möchten, auf Aktionen und wählen Sie dann Berechtigungen anpassen aus.

Das Flyout „Berechtigungen“ wird geöffnet und zeigt die Berechtigungen an, die mit der Logansicht verknüpft sind.
Klicken Sie im Flyout-Menü „Berechtigungen“ auf Hauptkonto hinzufügen.
Maximieren Sie im Abschnitt Hauptkonten hinzufügen das Menü Neue Hauptkonten und wählen Sie ein Hauptkonto aus.
Wählen Sie im Abschnitt Rollen zuweisen die Rolle Logs View Accessor aus.
Klicken Sie auf Speichern.

Das Berechtigungs-Flyout wird mit den neuen Berechtigungen aktualisiert.
- Im Abschnitt Logs View Accessor (N) werden die Hauptkonten mit Berechtigungen auf Projektebene für die Rolle „Logs View Accessor“ aufgeführt. Diese Hauptkonten haben Zugriff auf alle Logansichten im Projekt.
- In Abschnitten mit der Bezeichnung Logs View Accessor condition:Condition-specific descriptive text (N) werden die Principals aufgeführt, denen die Rolle „Logs View Accessor“ auf Projektebene unter bestimmten Bedingungen gewährt wurde. Diese Hauptkonten haben nur Zugriff auf die Logansicht, die durch die Bedingung angegeben wird.
- Im Abschnitt mit der Bezeichnung Log View Accessor condition:abcde (N) werden die Hauptkonten aufgeführt, denen Berechtigungen auf Ebene der Logansicht gewährt wurden.
Der folgende Screenshot zeigt ein Flyout mit Berechtigungen, in dem zwei Hauptkonten Rollenzuweisungen auf Projektebene haben, die durch das Projektsymbol gekennzeichnet sind, und ein Hauptkonto eine Zuweisung auf Protokollansichtsebene:
Klicken Sie auf X, um das Flyout zu schließen.

gcloud

So aktualisieren Sie die IAM-Richtliniendatei einer Logansicht:

Führen Sie den Befehl gcloud logging views add-iam-policy-binding aus:

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:
- LOG_VIEW_ID: Die Kennung der Logansicht. Sie ist auf 100 Zeichen begrenzt und darf nur Buchstaben, Ziffern, Unterstriche und Bindestriche enthalten.
- PRINCIPAL: Eine Kennzeichnung für das Hauptkonto, dem Sie die Rolle zuweisen möchten. Hauptkonto-Kennzeichnungen haben normalerweise das folgende Format: PRINCIPAL-TYPE:ID. Beispiel: principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com Eine vollständige Liste der Formate, die PRINCIPAL haben kann, finden Sie unter Hauptkonto-IDs.
- BUCKET_NAME: Der Name des Log-Buckets.
- LOCATION: der Speicherort des Log-Buckets
- PROJECT_ID: Die Kennung des Projekts. Ersetzen Sie bei Bedarf --project durch --folder oder --organization.
Führen Sie den Befehl gcloud logging views add-iam-policy-binding aus:
Linux, macOS oder Cloud Shell
```
gcloud logging views add-iam-policy-binding LOG_VIEW_ID \
  --member=PRINCIPAL --role='roles/logging.viewAccessor' \
  --bucket=BUCKET_NAME --location=LOCATION \
  --project=PROJECT_ID
```
Windows (PowerShell)
```
gcloud logging views add-iam-policy-binding LOG_VIEW_ID `
  --member=PRINCIPAL --role='roles/logging.viewAccessor' `
  --bucket=BUCKET_NAME --location=LOCATION `
  --project=PROJECT_ID
```
Windows (cmd.exe)

Hinweis: Wenn dieser Befehl ' als Anführungszeichen verwendet, ersetzen Sie diese einfachen Anführungszeichen durch doppelte Anführungszeichen. Wenn Anführungszeichen verschachtelt sind, verwenden Sie \", um die inneren Anführungszeichen zu maskieren.
```
gcloud logging views add-iam-policy-binding LOG_VIEW_ID ^
  --member=PRINCIPAL --role='roles/logging.viewAccessor' ^
  --bucket=BUCKET_NAME --location=LOCATION ^
  --project=PROJECT_ID
```
Im Folgenden wird die Antwort dargestellt, wenn eine einzelne Bindung hinzugefügt wird:
```
Updated IAM policy for logging view [projects/PROJECT_ID/locations/global/buckets/BUCKET_NAME/views/LOG_VIEW_ID].
bindings:
- members:
  - PRINCIPAL
  role: roles/logging.viewAccessor
etag: BwYXfSd9-Gw=
version: 1
```
Führen Sie den Befehl gcloud logging views get-iam-policy aus, um das Update zu überprüfen:

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:
- LOG_VIEW_ID: Die Kennung der Logansicht. Sie ist auf 100 Zeichen begrenzt und darf nur Buchstaben, Ziffern, Unterstriche und Bindestriche enthalten.
- BUCKET_NAME: Der Name des Log-Buckets.
- LOCATION: der Speicherort des Log-Buckets
- PROJECT_ID: Die Kennung des Projekts. Ersetzen Sie bei Bedarf --project durch --folder oder --organization.
Führen Sie den Befehl gcloud logging views get-iam-policy aus:
Linux, macOS oder Cloud Shell
```
gcloud logging views get-iam-policy LOG_VIEW_ID \
 --bucket=BUCKET_NAME --location=LOCATION \
 --project=PROJECT_ID
```
Windows (PowerShell)
```
gcloud logging views get-iam-policy LOG_VIEW_ID `
 --bucket=BUCKET_NAME --location=LOCATION `
 --project=PROJECT_ID
```
Windows (cmd.exe)
```
gcloud logging views get-iam-policy LOG_VIEW_ID ^
 --bucket=BUCKET_NAME --location=LOCATION ^
 --project=PROJECT_ID
```
Wenn eine Logansicht keine Bindungen enthält, enthält die Antwort nur ein etag-Feld. Im Folgenden wird die Antwort dargestellt, wenn eine Logansicht eine einzelne Bindung enthält:
```
bindings:
- members:
  - PRINCIPAL
  role: roles/logging.viewAccessor
etag: BwYXfSd9-Gw=
version: 1
```

Terraform

Für die Bereitstellung von IAM-Verknüpfungen für eine Logansicht mit Terraform sind mehrere verschiedene Ressourcen verfügbar:

google_logging_log_view_iam_policy
google_logging_log_view_iam_binding
google_logging_log_view_iam_member

Weitere Informationen finden Sie unter IAM-Richtlinie für Cloud Logging LogView.

Wenn Sie IAM-Zuordnungen für Log-Ansichten mit Terraform auflisten möchten, verwenden Sie die Datenquelle google_logging_log_view_iam_policy.

Cloud de Confiance project: Add role bindings

In diesem Abschnitt wird beschrieben, wie Sie einem Cloud de Confiance Projekt eine Rollenbindung hinzufügen und die an ein Projekt angehängten Bindungen auflisten. Wenn Sie diesen Ansatz verwenden, um den Zugriff eines Principals auf die in einer bestimmten Logansicht gespeicherten Logeinträge zu beschränken, müssen Sie der Zuweisung eine IAM-Bedingung hinzufügen.

Console

So fügen Sie der IAM-Richtliniendatei einesCloud de Confiance -Projekts in dem Projekt, in dem Sie den Log-Bucket erstellt haben, eine Rollenbindung hinzu:

Rufen Sie in der Cloud de Confiance Console die Seite IAM auf:
IAM aufrufen

Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift IAM & Admin lautet.

Auf der Seite IAM werden alle Hauptkonten, ihre IAM-Rollen und alle Bedingungen aufgeführt, die an diese Rollen gebunden sind und auf Projektebene angewendet werden. Auf dieser Seite werden keine Rollenbindungen angezeigt, die an die Richtliniendatei einer Logansicht angehängt sind.
Klicken Sie auf Zugriffsrechte erteilen.
Fügen Sie im Feld Neue Hauptkonten das E-Mail-Konto des Nutzers hinzu.
Wählen Sie im Drop-down-Menü Rolle auswählen die Option Logs View Accessor aus.

Diese Rolle gibt Nutzern Lesezugriff auf alle Ansichten. Um den Nutzerzugriff auf einen bestimmten Bucket zu beschränken, fügen Sie eine Bedingung auf Basis des Ressourcennamens hinzu.
1. Klicken Sie auf IAM-Bedingung hinzufügen.
2. Geben Sie für die Bedingung einen Titel und eineBeschreibung ein.
3. Wählen Sie im Drop-down-Menü Bedingungstyp die Option Ressource > Name aus.
4. Wählen Sie im Drop-down-Menü Operator die Option ist aus.
5. Geben Sie im Feld Wert die ID der Logansicht ein, einschließlich des vollständigen Pfads zur Ansicht.
  
  Beispiel:
```
projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME/views/LOG_VIEW_ID
```
6. Klicken Sie auf Speichern, um die Bedingung hinzuzufügen.
Klicken Sie auf Speichern, um die Berechtigungen festzulegen.

gcloud

So fügen Sie der IAM-Richtliniendatei einesCloud de Confiance -Projekts eine Rollenbindung hinzu:

Erstellen Sie eine JSON- oder YAML-Datei mit Ihrer Bedingung.

Sie könnten beispielsweise eine Datei mit dem Namen condition.yaml mit folgendem Inhalt erstellen:

expression: "resource.name == \"projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME/views/LOG_VIEW_ID\""
title: "My title"
description: "My description"

Optional: Führen Sie den folgenden Befehl aus, um zu prüfen, ob die JSON- oder YAML-Datei richtig formatiert ist:
```
gcloud alpha iam policies lint-condition --condition-from-file=condition.yaml
```
Aktualisieren Sie die IAM-Richtlinie für das Cloud de Confiance -Projekt, indem Sie die Methode gcloud projects add-iam-policy-binding aufrufen.

Bevor Sie den folgenden Befehl verwenden, ersetzen Sie die folgenden Werte:
- PROJECT_ID: Die Kennung des Projekts.
- PRINCIPAL: Eine Kennzeichnung für das Hauptkonto, dem Sie die Rolle zuweisen möchten. Hauptkonto-Kennzeichnungen haben normalerweise das folgende Format: PRINCIPAL-TYPE:ID. Beispiel: principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com Eine vollständige Liste der Formate, die PRINCIPAL haben kann, finden Sie unter Hauptkonto-IDs.
Führen Sie den Befehl gcloud projects add-iam-policy-binding aus.
```
gcloud projects add-iam-policy-binding PROJECT_ID --member=PRINCIPAL --role='roles/logging.viewAccessor' --condition-from-file=condition.yaml
```
Die Antwort auf den vorherigen Befehl enthält alle Rollenbindungen.
```
- condition:
    description: My description
    expression: resource.name == "projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME/views/LOG_VIEW_ID"
    title: My title
  members:
  - PRINCIPAL
  role: roles/logging.viewAccessor
```
Optional: Wenn Sie die Rollenbindungen für ein Cloud de Confiance -Projekt auflisten möchten, verwenden Sie den Befehl gcloud projects get-iam-policy:
```
gcloud projects get-iam-policy PROJECT_ID
```
Bevor Sie den folgenden Befehl verwenden, ersetzen Sie die folgenden Werte:
- PROJECT_ID: Die Kennung des Projekts.
Die Antwort auf den vorherigen Befehl enthält alle Rollenbindungen.
```
- condition:
    description: My description
    expression: resource.name == "projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME/views/LOG_VIEW_ID"
    title: My title
  members:
  - PRINCIPAL
  role: roles/logging.viewAccessor
```

Terraform

Für die Bereitstellung von IAM-Verknüpfungen für Projekte mit Terraform sind mehrere verschiedene Ressourcen verfügbar:

google_project_iam_policy
google_project_iam_binding
google_project_iam_member

Weitere Informationen finden Sie unter IAM-Richtlinie für Projekte.

Wenn Sie IAM-Zuweisungen für Projekte mit Terraform auflisten möchten, verwenden Sie die Datenquelle google_project_iam_policy.

Alle Rollenbindungen für eine Logansicht auflisten

Auf der Seite IAM in der Cloud de Confiance Console werden Rollenbindungen auf Projektebene aufgeführt. Auf dieser Seite werden keine Rollenbindungen aufgeführt, die an Ressourcen wie Logansichten angehängt sind. In diesem Abschnitt wird beschrieben, wie Sie alle Rollenbindungen für eine bestimmte Logansicht aufrufen können.

So rufen Sie die IAM-Bindungen auf, die einer Logansicht zugewiesen sind:

Rufen Sie in der Cloud de Confiance -Console die Seite Logspeicher auf.
Zum Logspeicher

Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis mit der Zwischenüberschrift Logging aus.
Wählen Sie das Projekt, den Ordner oder die Organisation aus, in dem sich der Log-Bucket befindet.
Wählen Sie im Bereich Log-Buckets den Namen des Log-Buckets aus, in dem sich die Logansicht befindet.
Rufen Sie auf der Detailseite für den Log-Bucket den Bereich Log-Ansichten auf.
Klicken Sie für die Logansicht, deren Rollenbindungen Sie aufrufen möchten, auf Aktionen und wählen Sie dann Berechtigungen anpassen aus.

Im Flyout „Berechtigungen“ werden alle Berechtigungen angezeigt, die mit der Logansicht verknüpft sind:
- Im Abschnitt Logs View Accessor (N) werden die Hauptkonten mit Berechtigungen auf Projektebene für die Rolle „Logs View Accessor“ aufgeführt. Diese Hauptkonten haben Zugriff auf alle Logansichten im Projekt.
- In Abschnitten mit der Bezeichnung Logs View Accessor condition:Condition-specific descriptive text (N) werden die Principals aufgeführt, denen die Rolle „Logs View Accessor“ auf Projektebene unter bestimmten Bedingungen gewährt wurde. Diese Hauptkonten haben nur Zugriff auf die Logansicht, die durch die Bedingung angegeben wird.
- Im Abschnitt mit der Bezeichnung Log View Accessor condition:abcde (N) werden die Hauptkonten aufgeführt, denen Berechtigungen auf Ebene der Logansicht gewährt wurden.
Der folgende Screenshot zeigt ein Flyout mit Berechtigungen, in dem zwei Hauptkonten Rollenzuweisungen auf Projektebene haben, die durch das Projektsymbol gekennzeichnet sind, und ein Hauptkonto eine Zuweisung auf Protokollansichtsebene:
Klicken Sie auf X, um das Flyout zu schließen.

Logansichten für einen Log-Bucket auflisten

Console

Rufen Sie in der Cloud de Confiance -Console die Seite Logspeicher auf.
Zum Logspeicher

Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis mit der Zwischenüberschrift Logging aus.
Wählen Sie das Projekt, den Ordner oder die Organisation aus, in dem sich der Log-Bucket befindet.
Wählen Sie im Bereich Log-Buckets den Namen des Log-Buckets aus, in dem sich die Logansicht befindet.

Die Detailseite für den Log-Bucket wird geöffnet. Im Bereich Logansichten werden die Logansichten für den Log-Bucket aufgeführt.

gcloud

Verwenden Sie den Befehl gcloud logging views list, um die für einen Log-Bucket erstellten Log-Ansichten aufzulisten.

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:

BUCKET_NAME: Der Name des Log-Buckets.
LOCATION: der Speicherort des Log-Buckets
PROJECT_ID: Die Kennung des Projekts. Ersetzen Sie bei Bedarf --project durch --folder oder --organization.

Führen Sie den Befehl gcloud logging views list aus:

Linux, macOS oder Cloud Shell

gcloud logging views list \
 --bucket=BUCKET_NAME --location=LOCATION \
 --project=PROJECT_ID

Windows (PowerShell)

gcloud logging views list `
 --bucket=BUCKET_NAME --location=LOCATION `
 --project=PROJECT_ID

Windows (cmd.exe)

gcloud logging views list ^
 --bucket=BUCKET_NAME --location=LOCATION ^
 --project=PROJECT_ID

Die Antwortdaten sind eine Liste von Logansichten. Für jede Log-Ansicht wird der Filter zusammen mit dem Erstellungs- und dem Datum der letzten Aktualisierung angezeigt. Wenn die Erstellungs- und Aktualisierungsdaten leer sind, wurde die Logansicht beim Erstellen des Cloud de Confiance -Projekts erstellt. Die folgende Beispielausgabe zeigt, dass der abgefragte Log-Bucket zwei Ansichts-IDs enthält: _AllLogs und compute.

VIEW_ID: _AllLogs
FILTER:
CREATE_TIME:
UPDATE_TIME:

VIEW_ID: compute
FILTER: resource.type="gce_instance"
CREATE_TIME: 2024-02-20T17:41:17.405162921Z
UPDATE_TIME: 2024-02-20T17:41:17.405162921Z

Terraform

Mit Terraform können Sie eine Logansicht erstellen und ändern. Sie können Terraform jedoch nicht verwenden, um Ihre Logansichten aufzulisten.

Logansicht aktualisieren

Console

Rufen Sie in der Cloud de Confiance -Console die Seite Logspeicher auf.
Zum Logspeicher

Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis mit der Zwischenüberschrift Logging aus.
Wählen Sie das Projekt, den Ordner oder die Organisation aus, in dem sich der Log-Bucket befindet.
Wählen Sie im Bereich Log-Buckets den Namen des Log-Buckets aus, in dem sich die Logansicht befindet.
Rufen Sie auf der Detailseite für den Log-Bucket den Bereich Log-Ansichten auf.
Klicken Sie in der Log-Ansicht, deren Details Sie aktualisieren möchten, auf Mehr und dann auf Ansicht bearbeiten.

Sie können die Beschreibung und den Filter für die Logansicht bearbeiten.
Wenn Sie alle Änderungen vorgenommen haben, klicken Sie auf Ansicht speichern.

gcloud

Verwenden Sie den Befehl gcloud logging views update, um eine Logansicht zu aktualisieren oder zu ändern. Wenn Sie die Ansichts-ID nicht kennen, lesen Sie den Abschnitt Logansichten auflisten.

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:

LOG_VIEW_ID: Die Kennung der Logansicht. Sie ist auf 100 Zeichen begrenzt und darf nur Buchstaben, Ziffern, Unterstriche und Bindestriche enthalten.
BUCKET_NAME: Der Name des Log-Buckets.
LOCATION: der Speicherort des Log-Buckets
FILTER: Ein Filter, der die Logansicht definiert. Wenn das Feld leer ist, enthält die Logansicht alle Logs. Wenn Sie beispielsweise nach Protokollen von Compute Engine-VM-Instanzen filtern möchten, geben Sie "resource.type=gce_instance" ein.
DESCRIPTION: Eine Beschreibung der Logansicht. Für die Beschreibung "New description for the log view" könnten Sie beispielsweise Folgendes eingeben.
PROJECT_ID: Die Kennung des Projekts. Ersetzen Sie bei Bedarf --project durch --folder oder --organization.

Führen Sie den Befehl gcloud logging views update aus:

Linux, macOS oder Cloud Shell

gcloud logging views update LOG_VIEW_ID \
 --bucket=BUCKET_NAME --location=LOCATION \
 --log-filter=FILTER --description=DESCRIPTION \
 --project=PROJECT_ID

Windows (PowerShell)

gcloud logging views update LOG_VIEW_ID `
 --bucket=BUCKET_NAME --location=LOCATION `
 --log-filter=FILTER --description=DESCRIPTION `
 --project=PROJECT_ID

Windows (cmd.exe)

gcloud logging views update LOG_VIEW_ID ^
 --bucket=BUCKET_NAME --location=LOCATION ^
 --log-filter=FILTER --description=DESCRIPTION ^
 --project=PROJECT_ID

Dieser Befehl gibt keine Antwort. Sie können die Änderungen mit dem Befehl gcloud logging views describe bestätigen.

Terraform

Wenn Sie eine Logansicht in einem Projekt, Ordner oder einer Organisation mit Terraform ändern möchten, verwenden Sie die Terraform-Ressource google_logging_log_view.

Logansicht löschen

Wenn Sie eine von Ihnen erstellte Logansicht nicht mehr benötigen, können Sie sie löschen. Bevor Sie eine Log-Ansicht löschen, sollten Sie jedoch prüfen, ob sie von einer anderen Ressource referenziert wird, z. B. von einer gespeicherten Abfrage.

Sie können die _Default-Logansicht im _Default-Log-Bucket nicht löschen.

Console

Rufen Sie in der Cloud de Confiance -Console die Seite Logspeicher auf.
Zum Logspeicher

Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis mit der Zwischenüberschrift Logging aus.
Wählen Sie das Projekt, den Ordner oder die Organisation aus, in dem sich der Log-Bucket befindet.
Wählen Sie im Bereich Log-Buckets den Namen des Log-Buckets aus, in dem sich die Logansicht befindet.
Rufen Sie auf der Detailseite für den Log-Bucket den Bereich Logansichten auf und aktivieren Sie das Kästchen für die Logansicht, die Sie löschen möchten.
Klicken Sie in der Symbolleiste des Bereichs Log-Ansichten auf Ansicht löschen und füllen Sie das Dialogfeld aus.

gcloud

So löschen Sie eine Logansicht:

Empfohlen: Prüfen Sie Ihr Cloud de Confiance -Projekt, um sicherzustellen, dass nicht auf die Logansicht verwiesen wird. Prüfen Sie Folgendes:
- Abfragen, die über die Seite Log-Explorer ausgeführt und gespeichert oder freigegeben wurden.
Führen Sie den Befehl gcloud logging views delete aus. Wenn Sie die Ansichts-ID nicht kennen, lesen Sie den Abschnitt Logansichten auflisten.

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:
- LOG_VIEW_ID: Die Kennung der Logansicht. Sie ist auf 100 Zeichen begrenzt und darf nur Buchstaben, Ziffern, Unterstriche und Bindestriche enthalten.
- BUCKET_NAME: Der Name des Log-Buckets.
- LOCATION: der Speicherort des Log-Buckets
- PROJECT_ID: Die Kennung des Projekts. Ersetzen Sie bei Bedarf --project durch --folder oder --organization.
Führen Sie den Befehl gcloud logging views delete aus:
Linux, macOS oder Cloud Shell
```
gcloud logging views delete LOG_VIEW_ID \
 --bucket=BUCKET_NAME --location=LOCATION \
 --project=PROJECT_ID
```
Windows (PowerShell)
```
gcloud logging views delete LOG_VIEW_ID `
 --bucket=BUCKET_NAME --location=LOCATION `
 --project=PROJECT_ID
```
Windows (cmd.exe)
```
gcloud logging views delete LOG_VIEW_ID ^
 --bucket=BUCKET_NAME --location=LOCATION ^
 --project=PROJECT_ID
```
Die Antwort bestätigt das Löschen. Im Folgenden sehen Sie beispielsweise die Antwort auf das Löschen einer Log-Ansicht mit dem Namen tester:
```
Deleted [tester].
```

Terraform

Logansicht beschreiben

Console

Rufen Sie in der Cloud de Confiance -Console die Seite Logspeicher auf.
Zum Logspeicher

Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis mit der Zwischenüberschrift Logging aus.
Wählen Sie im Bereich Log-Buckets den Namen des Log-Buckets aus, in dem sich die Logansicht befindet.
Rufen Sie auf der Detailseite für den Log-Bucket den Bereich Log-Ansichten auf.
Klicken Sie in der Logansicht, deren Details Sie sehen möchten, auf Mehr und dann auf Ansicht bearbeiten.
Wenn Sie das Dialogfeld schließen möchten, ohne Änderungen zu speichern, klicken Sie auf Abbrechen.

gcloud

Verwenden Sie den Befehl gcloud logging views describe, um detaillierte Informationen zu einer Logansicht abzurufen. Wenn Sie die Ansichts-ID nicht kennen, lesen Sie den Abschnitt Logansichten auflisten.

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:

LOG_VIEW_ID: Die Kennung der Logansicht. Sie ist auf 100 Zeichen begrenzt und darf nur Buchstaben, Ziffern, Unterstriche und Bindestriche enthalten.
BUCKET_NAME: Der Name des Log-Buckets.
LOCATION: der Speicherort des Log-Buckets
PROJECT_ID: Die Kennung des Projekts. Ersetzen Sie bei Bedarf --project durch --folder oder --organization.

Führen Sie den Befehl gcloud logging views describe aus:

Linux, macOS oder Cloud Shell

gcloud logging views describe LOG_VIEW_ID \
 --bucket=BUCKET_NAME --location=LOCATION\
 --project=PROJECT_ID

Windows (PowerShell)

gcloud logging views describe LOG_VIEW_ID `
 --bucket=BUCKET_NAME --location=LOCATION`
 --project=PROJECT_ID

Windows (cmd.exe)

gcloud logging views describe LOG_VIEW_ID ^
 --bucket=BUCKET_NAME --location=LOCATION^
 --project=PROJECT_ID

Die Antwort enthält immer die Beschreibung und den vollständig qualifizierten Namen der Protokollansicht. Außerdem wird der Filter einbezogen, wenn das Filterfeld nicht leer ist. Hier ist eine Beispielantwort:

createTime: '2024-02-20T17:41:17.405162921Z'
filter: resource.type="gce_instance"
name: projects/my-project/locations/global/buckets/my-bucket/views/compute
updateTime: '2024-02-20T17:41:17.405162921Z'

Terraform

Mit Terraform können Sie eine Logansicht erstellen und ändern. Sie können Terraform jedoch nicht verwenden, um die Details einer Logansicht aufzurufen.

Mit einer Log-Ansicht verknüpfte Logs ansehen

Sie können die Logeinträge mit dem Log-Explorer in einer Logansicht anzeigen lassen.

So fragen Sie eine Logansicht mit dem Log-Explorer ab:

Rufen Sie in der Cloud de Confiance Console das und die Seite Log-Explorer auf:
Zum Log-Explorer

Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis mit der Zwischenüberschrift Logging aus.
Wählen Sie die Ressourcen aus, die nach Logeinträgen durchsucht werden sollen:
- Wenn in der Symbolleiste Projektlogs angezeigt wird, maximieren Sie das Menü, wählen Sie Logansicht und dann die Logansicht aus, die Sie abfragen möchten.
- Wenn in der Symbolleiste etwas wie 1 Log-Aufruf angezeigt wird, maximieren Sie das Menü, wählen Sie Log-Aufruf und dann die Log-Aufrufe aus, die Sie abfragen möchten.
- Andernfalls wird in der Symbolleiste das Symbol und der Name eines Logbereichs wie _Default angezeigt. Maximieren Sie das Menü, wählen Sie Logansicht und dann die Logansicht aus, die Sie abfragen möchten.

Weitere Informationen finden Sie in der Dokumentation zum Log-Explorer.