Logeinträge speichern

Cloud Logging verwendet Container namens Log-Buckets, um Ihre Logdaten zu speichern und zu organisieren. Wenn Sie wissen, wie systemerstellte und nutzerdefinierte Log-Buckets funktionieren, können Sie die Datenaufbewahrung, regionale Speicherorte, Verschlüsselungsschlüssel und IAM-Zugriffssteuerungen (Identity and Access Management) konfigurieren. Für Organisationen und Ordner können Sie auch Organisationsrichtlinien und Standardressourceneinstellungen für Cloud Logging verwenden, um Standort- und Verschlüsselungsanforderungen für neue Log-Buckets zu erzwingen.

Log-Buckets

Cloud Logging verschlüsselt Kundendaten im Ruhezustand. In Log-Buckets von Logging gespeicherte Daten werden mit Schlüsselverschlüsselungsschlüsseln verschlüsselt. Dieser Vorgang wird als Envelope-Verschlüsselung bezeichnet. Der Zugriff auf Ihre Logging-Daten erfordert den Zugriff auf diese Schlüsselverschlüsselungsschlüssel.

Log-Buckets sind regionale Ressourcen mit einem festen Standort und werden entweder mit einem vom Kunden verwalteten Verschlüsselungsschlüssel (Customer-Managed Encryption Key, CMEK) oder mitGoogle Cloud-powered encryption keyverschlüsselt. Nachdem ein Log-Bucket erstellt wurde, können Sie seinen Standort oder die Verwaltung des Verschlüsselungsschlüssels nicht mehr ändern. Cloud de Confiance by S3NS verwaltet die Infrastruktur so, dass Ihre Logdaten in den Zonen innerhalb dieser Region redundant verfügbar sind.

Ihre Organisation hat möglicherweise Compliance-, behördliche oder Sicherheitsanforderungen, die regeln, wo sich Log-Buckets befinden und ob sie CMEK verwenden. Informationen zum Erzwingen dieser Anforderungen für eine Organisation oder einen Ordner finden Sie unter Unterstützung für Organisationen und Ordner.

Die Aufbewahrungsdauer für die in einem Log-Bucket gespeicherten Daten hängt vom Typ des Log-Buckets ab. Die Aufbewahrungsdauer für den Log-Bucket _Required ist festgelegt. Für den Log-Bucket _Default und für benutzerdefinierte Log-Buckets können Sie jedoch eine benutzerdefinierte Aufbewahrungsdauer konfigurieren.

Sie können Logansichten für einen Log-Bucket erstellen. Eine Log-Ansicht bietet Zugriff auf nur eine Teilmenge der Logdaten, die in einem Log-Bucket gespeichert sind. Für jeden Log-Bucket erstellt Cloud Logging automatisch die Ansicht _AllLogs, die Zugriff auf jeden Logeintrag im Log-Bucket bietet. Sie steuern den Zugriff auf eine Logansicht mit IAM.

Auf der Seite Log-Explorer können Sie Ihre Logdaten abfragen und ansehen. Auf dieser Seite finden Sie Informationen zur Fehlerbehebung und Analyse der Leistung Ihrer Dienste und Anwendungen. Sie können sich einzelne Logeinträge ansehen und Ihre Logdaten filtern. Diese Benutzeroberfläche hat eine Bereichseinstellung, mit der Sie Logdaten nach Projekt, Log-Bucket oder Logansicht suchen können.

Weitere Informationen finden Sie unter Logeinträge abfragen und ansehen.

Vom System erstellte Log-Buckets

Wenn das System ein Cloud de Confiance Projekt, ein Rechnungskonto, einen Ordner oder eine Organisation erstellt, erstellt Logging zwei Log-Buckets, eines mit dem Namen _Required und das andere mit dem Namen _Default:

  • Standort: Cloud Logging wählt den Standort dieser Buckets aus, sofern keine Standardressourceneinstellungen für Cloud Logging konfiguriert sind. Sie können den Standort nach dem Erstellen der Buckets nicht mehr ändern.

  • Verschlüsselung: Für diese Buckets wirdGoogle Cloud-powered encryption keys verwendet, sofern in den Standardressourceneinstellungen für Cloud Logging kein CMEK angegeben ist. Diese Konfiguration kann nach dem Erstellen der Buckets nicht mehr geändert werden.

Sie können die vom System erstellten Log-Buckets nicht löschen.

_Required Log-Bucket

Im Log-Bucket _Required werden Logeinträge gespeichert, die für Compliance- oder Prüfungszwecke erforderlich sind. Aus diesem Grund können Sie diesen Log-Bucket nicht löschen und auch nicht ändern, welche Logeinträge darin gespeichert werden. Logeinträge in diesem Log-Bucket werden 400 Tage lang aufbewahrt. Diese Aufbewahrungsdauer kann nicht geändert werden.

Die Logeinträge, die im _Required-Log-Bucket für eine Ressource gespeichert sind, stammen auch aus dieser Ressource. Das bedeutet, dass im _Required-Log-Bucket in einem Cloud de Confiance -Projekt nur Logeinträge gespeichert werden können, die aus diesem Projekt stammen.

Im _Required-Log-Bucket werden die folgenden Arten von Logeinträgen gespeichert:

_Default Log-Bucket

Im _Default-Log-Bucket werden Logeinträge gespeichert, die nicht automatisch im _Required-Log-Bucket gespeichert werden. Da der Log-Bucket _Default vom System erstellt wurde, können Sie ihn nicht löschen. Sie können jedoch ändern, welche Logeinträge in diesem Log-Bucket gespeichert werden.

Cloud Logging behält die Logeinträge im _Default-Bucket 30 Tage lang bei, sofern Sie keine benutzerdefinierte Aufbewahrung für den Bucket konfigurieren.

In diesem Log-Bucket werden beispielsweise die folgenden Arten von Logeinträgen gespeichert:

Benutzerdefinierte Log-Buckets

Sie können benutzerdefinierte Log-Buckets in jedemCloud de Confiance Projekt erstellen. Wenn Sie einen benutzerdefinierten Log-Bucket erstellen, wählen Sie den Standort aus und legen den Zeitraum für die Datenaufbewahrung fest. Sie haben die Möglichkeit, einen CMEK anzugeben.

Sie können benutzerdefinierte Log-Buckets ändern und löschen. Um zu verhindern, dass ein Log-Bucket gelöscht wird, in dem Logeinträge gespeichert sind, die sich innerhalb ihres Aufbewahrungszeitraums befinden, können Sie den Log-Bucket gegen Updates sperren.

Unterstützung für Organisationen und Ordner

Damit Ihre Organisation Compliance- und regulatorische Anforderungen erfüllen kann, unterstützt Logging sowohl Standardressourceneinstellungen als auch Organisationsrichtlinien:

Zugriff auf einen Log-Bucket steuern

Der Zugriff auf Logdaten wird über IAM-Berechtigungen und ‑Rollen gesteuert. Sie haben beispielsweise folgende Möglichkeiten:

  • Lese- und Bearbeitungszugriff auf einen Log-Bucket gewähren
  • Sie können Tags verwenden, um Bearbeitungszugriff auf einen Log-Bucket basierend auf der Gruppenmitgliedschaft zu gewähren.
  • Sie können den Zugriff auf bestimmte Felder in einem Logeintrag steuern, indem Sie den Zugriff auf Feldebene für einen Log-Bucket konfigurieren.

  • Sie können den Zugriff auf eine Teilmenge von Logeinträgen in einem Log-Bucket gewähren, indem Sie eine Logansicht für diesen Log-Bucket erstellen.

    Jeder Log-Bucket hat eine Standard-Logansicht, die in der Regel alle Logeinträge im Log-Bucket enthält. Für den _Default-Log-Bucket werden Audit-Logeinträge zum Datenzugriff in der Standardlogansicht ausgeschlossen.

Um einem Nutzer die Berechtigungen zu gewähren, die er zum Ansehen und Analysieren von Logeinträgen benötigt, weisen Sie ihm in der Regel eine der folgenden IAM-Rollen zu:

  • Rolle Log-Betrachter (roles/logging.viewer): Gewährt Zugriff auf alle Logeinträge im Bucket _Required und auf die Standardlogansicht im Bucket _Default.

  • Rolle Betrachter privater Logs (roles/logging.privateLogViewer): Gewährt Zugriff auf alle Logs in den Buckets _Required und _Default, einschließlich Audit-Logs zum Datenzugriff.

Wenn Sie benutzerdefinierte Log-Buckets oder Log-Ansichten für Log-Buckets erstellen, sind zusätzliche Berechtigungen erforderlich. Weitere Informationen zu Rollen finden Sie unter Zugriffssteuerung mit IAM.

Liste der unterstützten Regionen

Log-Buckets sind regionale Ressourcen. Die Infrastruktur, in der Ihre Logeinträge gespeichert, indexiert und durchsucht werden, befindet sich an einem bestimmten geografischen Standort. Mit Ausnahme von Log-Buckets in den Regionen global, eu oder us verwaltet Cloud de Confiance by S3NS die Infrastruktur so, dass Ihre Logdaten in den Zonen innerhalb der Region des Log-Buckets redundant verfügbar sind.

Die folgenden Regionen werden von Cloud Logging unterstützt:

Name der Region Beschreibung der Region
u-france-east1 Frankreich
global

Logs, die in Rechenzentren in einer unterstützten Region gespeichert sind. Logs können in andere Rechenzentren verschoben werden. Keine zusätzlichen Garantien für Redundanz.

Wenn Sie den Speicherort für Ihre Logdaten auswählen möchten, verwenden Sie einen regionalen Log-Bucket.

Nächste Schritte