儲存記錄項目

Cloud Logging 使用稱為「記錄檔 bucket」的容器，儲存及整理記錄檔資料。瞭解系統建立和使用者定義的記錄檔儲存空間運作方式，有助於設定資料保留時間、區域儲存位置、加密金鑰，以及 Identity and Access Management (IAM) 存取權控管。對於機構和資料夾，您也可以使用 Cloud Logging 的機構政策和預設資源設定，強制執行新記錄儲存空間的位置和加密規定。

關於記錄檔 bucket

Cloud Logging 會加密靜態儲存的客戶內容。 Logging 儲存在記錄檔 bucket 中的資料會以金鑰加密金鑰進行加密，這個程序稱為「信封式加密」。如要存取記錄資料，必須具備對應的金鑰加密金鑰存取權。

記錄值區是具有固定位置的區域資源，並以客戶自行管理的加密金鑰 (CMEK) 或Google Cloud-powered encryption key加密。記錄檔 bucket 建立完成後，您就無法變更其位置或加密金鑰的管理方式。 Cloud de Confiance by S3NS 會管理基礎架構，確保記錄檔資料在該區域的各個可用區中都有備援。

貴機構可能設有法規遵循、監管或安全規定，規範記錄檔儲存區的位置，以及是否使用 CMEK。如要在整個機構或資料夾中強制執行這些規定，請參閱「機構和資料夾支援」。

記錄檔 bucket 中儲存資料的保留期限取決於記錄檔 bucket 的類型。_Required 記錄檔 bucket 的保留期限是固定的，但您可以為 _Default 記錄檔 bucket 和使用者定義的記錄檔 bucket 設定自訂保留期限。

您可以在記錄檔 bucket 中建立記錄檢視畫面。記錄檢視畫面只會提供記錄檔 bucket 中儲存的部分記錄資料存取權。Cloud Logging 會自動為每個記錄檔 bucket 建立 _AllLogs 檢視畫面，方便您存取記錄檔 bucket 中的每個記錄項目。您可以使用 IAM 控管記錄檢視區的存取權。

如要查詢及查看記錄資料，請使用「Logs Explorer」頁面。這個頁面可協助您排解及分析服務和應用程式的效能問題。您可以查看個別記錄項目，並篩選記錄資料。這個介面提供範圍設定，可依專案、記錄檔 bucket 或記錄檢視搜尋記錄資料。

詳情請參閱「查詢及查看記錄項目」。

系統建立的記錄檔 bucket

系統建立 Cloud de Confiance 專案、帳單帳戶、資料夾或機構時，記錄會建立兩個記錄儲存空間，分別命名為 _Required 和 _Default：

  • 位置：Cloud Logging 會選取這些 bucket 的位置，除非已設定 Cloud Logging 的預設資源設定。水桶建立後即無法變更位置。

  • 加密：這些值區會使用 Google Cloud-powered encryption keys ，除非 Cloud Logging 的預設資源設定指定 CMEK。 水桶建立後，您就無法變更這項設定。

您無法刪除系統建立的記錄 bucket。

_Required 記錄檔 bucket

_Required 記錄檔 bucket 會儲存法規遵循或稽核所需的記錄項目。因此，您無法刪除這個記錄檔 bucket，也無法修改儲存在這個記錄檔 bucket 中的記錄檔項目。這個記錄檔 bucket 中的記錄檔項目會保留 400 天，您無法變更保留期限。

儲存在資源的 _Required 記錄檔 bucket 中的記錄項目，也來自該資源。也就是說， Cloud de Confiance 專案中的 _Required 記錄 bucket 只能儲存該專案產生的記錄項目。

_Required 記錄檔 bucket 會儲存下列類型的記錄項目：

_Default 記錄檔 bucket

_Default記錄檔 bucket 會儲存未自動儲存在 _Required 記錄檔 bucket 中的記錄項目。_Default 記錄檔 bucket 是由系統建立，因此無法刪除。不過，您可以修改要儲存在這個記錄檔 bucket 中的記錄項目。

Cloud Logging 會將記錄項目保留在 _Default bucket 中 30 天，除非您為 bucket 設定自訂保留期限。

舉例來說，這個記錄檔 bucket 會儲存下列類型的記錄項目：

使用者定義的記錄檔 bucket

您可以在任何Cloud de Confiance 專案中建立使用者定義的記錄檔 bucket。建立使用者定義的記錄檔 bucket 時，請選取位置並設定資料保留期限。您可以選擇提供 CMEK。

您可以修改及刪除使用者定義的記錄檔儲存空間。為避免刪除儲存於保留期限內的記錄項目，您可以鎖定記錄檔 bucket，防止更新。

支援機構和資料夾

為協助貴機構滿足法規遵循和監管需求，Logging 支援預設資源設定和機構政策：

控管記錄檔 bucket 的存取權

IAM 權限和角色可控管記錄資料的存取權。舉例來說，您可以執行下列所有操作：

  • 授予記錄 bucket 的讀取和編輯權限。
  • 根據群組成員資格使用標記，授予記錄值區的編輯存取權。
  • 如要控管記錄項目中特定欄位的存取權，請在記錄檔 bucket 中設定欄位層級的存取權。

  • 如要授予記錄 bucket 中部分記錄項目的存取權，請在該記錄 bucket 中建立記錄檢視畫面。

    每個記錄檔 bucket 都有預設記錄檢視畫面，通常會包含記錄檔 bucket 中的所有記錄項目。對於 _Default 記錄檔 bucket，預設記錄檢視畫面會排除資料存取稽核記錄項目。

如要授予使用者查看及分析記錄檔項目所需的權限，通常會授予下列任一 IAM 角色：

  • 記錄檢視者 (roles/logging.viewer) 角色：授予 _Required bucket 中所有記錄項目的存取權，以及 _Default bucket 中預設記錄檢視畫面的存取權。

  • 私人記錄檢視者 (roles/logging.privateLogViewer) 角色：授予 _Required 和 _Default bucket 中所有記錄的存取權，包括資料存取稽核記錄。

如果您在記錄檔 bucket 中建立使用者定義的記錄檔 bucket 或記錄檢視，則需要額外權限。如要進一步瞭解角色，請參閱「使用 IAM 控管存取權」。

支援的地區清單

記錄檔值區是區域性資源。儲存、建立索引及搜尋記錄項目的基礎架構位於特定地理位置。除了 global、eu 或 us 區域中的記錄檔 bucket 外， Cloud de Confiance by S3NS 會管理基礎架構，確保記錄檔 bucket 區域內的可用區會備援記錄檔資料。

Cloud Logging 支援下列區域：

區域名稱 區域說明
u-france-east1 法國
global

儲存在任何支援區域的資料中心。記錄檔可能會移至其他資料中心。不提供額外的備援保證。

如要選擇記錄檔資料的儲存位置，請使用區域記錄檔 bucket。

後續步驟