Cloud Logging utilise des conteneurs appelés buckets de journaux pour stocker et organiser vos données de journaux. Comprendre le fonctionnement des buckets de journaux créés par le système et définis par l'utilisateur vous aide à configurer la conservation des données, les emplacements de stockage régionaux, les clés de chiffrement et les contrôles d'accès Identity and Access Management (IAM). Pour les organisations et les dossiers, vous pouvez également utiliser les règles d'administration et les paramètres de ressources par défaut pour Cloud Logging afin d'appliquer des exigences concernant l'emplacement et le chiffrement des nouveaux buckets de journaux.
À propos des buckets de journaux
Cloud Logging chiffre le contenu client stocké au repos. Les données stockées dans des buckets de journaux par Logging sont chiffrées à l'aide de clés de chiffrement de clé, un processus appelé chiffrement encapsulé. L'accès à vos données de journalisation nécessite l'accès à ces clés de chiffrement de clé.
Les buckets de journaux sont des ressources régionales avec un emplacement fixe. Ils sont chiffrés avec une clé de chiffrement gérée par le client (CMEK) ou unGoogle Cloud-powered encryption key. Une fois un bucket de journaux créé, vous ne pouvez plus modifier son emplacement ni la façon dont sa clé de chiffrement est gérée. Cloud de Confiance by S3NS gère l'infrastructure de sorte que vos données de journaux soient disponibles de manière redondante dans les zones de cette région.
Votre organisation peut avoir des exigences de conformité, réglementaires ou de sécurité qui régissent l'emplacement des buckets de journaux et leur utilisation de CMEK. Pour appliquer ces exigences à l'ensemble d'une organisation ou d'un dossier, consultez Prise en charge des organisations et des dossiers.
La période de conservation des données stockées dans un bucket de journaux dépend du type de bucket de journaux. La période de conservation du bucket de journaux _Required est fixe, tandis que vous pouvez configurer une période de conservation personnalisée pour le bucket de journaux _Default et pour les buckets de journaux définis par l'utilisateur.
Vous pouvez créer des vues de journaux dans un bucket de journaux.
Une vue de journaux ne donne accès qu'à un sous-ensemble des données de journaux stockées dans un bucket de journaux. Pour chaque bucket de journaux, Cloud Logging crée automatiquement la vue _AllLogs qui donne accès à chaque entrée de journal du bucket.
Vous contrôlez l'accès à une vue des journaux à l'aide d'IAM.
Pour interroger et afficher vos données de journaux, utilisez la page Explorateur de journaux. Cette page vous aide à résoudre les problèmes et à analyser les performances de vos services et applications. Vous pouvez afficher des entrées de journal individuelles et filtrer vos données de journaux. Cette interface comporte un paramètre de champ d'application qui vous permet de rechercher des données de journaux par projet, bucket de journaux ou vue de journaux.
Pour en savoir plus, consultez Interroger et afficher les entrées de journaux.
Buckets de journaux créés par le système
Lorsque le système crée un projet, un compte de facturation, un dossier ou une organisation Cloud de Confiance , la journalisation crée deux buckets de journaux : l'un nommé _Required et l'autre _Default.
Emplacement : Cloud Logging sélectionne l'emplacement de ces buckets, sauf si les paramètres de ressources par défaut pour Cloud Logging sont configurés. Vous ne pouvez pas modifier l'emplacement une fois les buckets créés.
Chiffrement : ces buckets utilisentGoogle Cloud-powered encryption keys , sauf si les paramètres de ressources par défaut pour Cloud Logging spécifient une clé CMEK. Vous ne pourrez plus modifier cette configuration une fois les buckets créés.
Vous ne pouvez pas supprimer les buckets de journaux créés par le système.
Bucket de journaux _Required
Le bucket de journaux _Required stocke les entrées de journal requises à des fins de conformité ou d'audit. C'est pourquoi vous ne pouvez pas supprimer ce bucket de journaux ni modifier les entrées de journaux qui y sont stockées.
Les entrées de journal de ce bucket de journaux sont conservées pendant 400 jours. Vous ne pouvez pas modifier cette période de conservation.
Les entrées de journal stockées dans le bucket de journaux _Required d'une ressource proviennent également de cette ressource. En d'autres termes, le bucket de journaux _Required d'un projet Cloud de Confiance ne peut stocker que les entrées de journal provenant de ce projet.
Le bucket de journaux _Required stocke les types d'entrées de journal suivants :
- Journaux d'audit pour les activités d'administration
- Journaux d'audit d'événements système
- Journaux d'audit d'administration Google Workspace
- Journaux d'audit des groupes Enterprise
- Journaux d'audit de connexion
Bucket de journaux _Default
Le bucket de journaux _Default stocke les entrées de journaux qui ne sont pas automatiquement stockées dans le bucket de journaux _Required. Étant donné que le bucket de journaux _Default est créé par le système, vous ne pouvez pas le supprimer. Toutefois, vous pouvez modifier les entrées de journal stockées dans ce bucket de journaux.
Cloud Logging conserve les entrées de journal dans le bucket _Default pendant 30 jours, sauf si vous configurez une conservation personnalisée pour le bucket.
Par exemple, ce bucket de journaux stocke les types d'entrées de journal suivants :
- Journaux d'audit pour l'accès aux données
- Journaux d'audit des refus de règles
- Journaux générés par les applications et les services Cloud de Confiance by S3NS
Buckets de journaux définis par l'utilisateur
Vous pouvez créer des buckets de journaux définis par l'utilisateur dans n'importe quel projetCloud de Confiance . Lorsque vous créez un bucket de journaux défini par l'utilisateur, vous sélectionnez l'emplacement et définissez la période de conservation des données. Vous pouvez fournir une clé CMEK.
Vous pouvez modifier et supprimer les buckets de journaux définis par l'utilisateur. Pour éviter de supprimer un bucket de journaux qui stocke des entrées de journal dont la période de conservation n'est pas terminée, vous pouvez empêcher les mises à jour du bucket de journaux.
Prise en charge des organisations et des dossiers
Pour aider votre organisation à répondre à ses besoins de conformité et réglementaires, Logging est compatible avec les paramètres de ressources par défaut et les règles d'administration :
Paramètres de ressources par défaut : pour les organisations et les dossiers, les paramètres de ressources par défaut pour Cloud Logging contrôlent l'emplacement des nouveaux buckets de journaux créés par le système. Ils vous permettent également de spécifier une clé CMEK, qui s'applique à la fois aux nouveaux buckets de journaux définis par l'utilisateur et à ceux créés par le système.
Règles d'administration : une règle d'administration peut restreindre l'emplacement des nouveaux buckets de journaux définis par l'utilisateur. La journalisation est compatible avec les règles d'administration qui spécifient les régions dans lesquelles les buckets de journaux peuvent ou ne peuvent pas être créés.
Contrôler l'accès à un bucket de journaux
Les autorisations et les rôles IAM contrôlent l'accès aux données de journaux. Par exemple, vous pouvez effectuer les opérations suivantes :
- Accorder un accès en lecture et en modification à un bucket de journaux.
- Accorder l'accès en modification à un bucket de journaux en fonction de l'appartenance à un groupe en utilisant des tags.
- Contrôlez l'accès à des champs spécifiques d'une entrée de journal en configurant l'accès au niveau du champ sur un bucket de journaux.
Accordez l'accès à un sous-ensemble d'entrées de journal dans un bucket de journaux en créant une vue de journal sur ce bucket de journaux.
Chaque bucket de journaux dispose d'une vue de journaux par défaut, qui inclut généralement chaque entrée de journal du bucket de journaux. Pour le bucket de journaux
_Default, la vue de journaux par défaut exclut les entrées de journaux d'audit des accès aux données.
Pour accorder à un utilisateur les autorisations nécessaires pour afficher et analyser les entrées de journaux, vous devez généralement lui attribuer l'un des rôles IAM suivants :
Rôle Lecteur de journaux (
roles/logging.viewer) : accorde l'accès à toutes les entrées de journaux du bucket_Requiredet à la vue des journaux par défaut du bucket_Default.Rôle Lecteur de journaux privés (
roles/logging.privateLogViewer) : accorde l'accès à tous les journaux des buckets_Requiredet_Default, y compris les journaux d'audit d'accès aux données.
Si vous créez des buckets de journaux ou des vues de journaux définis par l'utilisateur sur des buckets de journaux, des autorisations supplémentaires sont requises. Pour en savoir plus sur les rôles, consultez Contrôle des accès avec IAM.
Liste des régions disponibles
Les buckets de journaux sont des ressources régionales. L'infrastructure qui stocke, indexe et recherche vos entrées de journal est située dans une zone géographique spécifique. À l'exception des buckets de journaux dans les régions global, eu ou us, Cloud de Confiance by S3NS gère l'infrastructure de sorte que vos données de journaux soient disponibles de manière redondante dans les zones de la région du bucket de journaux.
Les régions suivantes sont compatibles avec Cloud Logging :
| Nom de la région | Description de la région |
|---|---|
u-france-east1 |
France |
global |
Journaux stockés dans des centres de données situés dans une région prise en charge. Les journaux peuvent être déplacés vers différents centres de données. Aucune garantie de redondance supplémentaire. Si vous souhaitez choisir l'emplacement de stockage de vos données de journaux, utilisez un bucket de journaux régional. |