Inoltra gli eventi dei log di controllo a GKE

Console

1. Nella console Google Cloud , nella pagina di selezione del progetto, seleziona o crea un progetto Google Cloud .

   Vai al selettore dei progetti

2. Abilita le API Eventarc, Eventarc Publishing, Google Kubernetes Engine e Resource Manager.

   Abilita le API

3. Se applicabile, abilita l'API correlata agli eventi Cloud Audit Logs. Ad esempio, per gli audit log delle funzioni Cloud Run, abilita l'API Cloud Functions.

4. Se non ne hai già uno, crea un service account gestito dall'utente, poi concedigli i ruoli e le autorizzazioni necessari affinché Eventarc possa gestire gli eventi per il servizio target.

   1. Nella console Google Cloud , vai alla pagina Crea service account.

      Vai a Crea service account

   2. Seleziona il progetto.

   3. Nel campo Nome service account, inserisci un nome. La console Google Cloud compila il campo ID service account in base a questo nome.

      Nel campo Descrizione service account, inserisci una descrizione. Ad esempio, Service account for event trigger.

   4. Fai clic su Crea e continua.

   5. Per fornire l'accesso appropriato, nell'elenco Seleziona un ruolo, seleziona i ruoli Identity and Access Management (IAM) richiesti da concedere al service account. Per maggiori informazioni, consulta Ruoli e autorizzazioni per i target GKE.

      Per altri ruoli, fai clic su add Aggiungi un altro ruolo e aggiungi ogni ruolo aggiuntivo.

   6. Fai clic su Continua.

   7. Per completare la creazione dell'account, fai clic su Fine.

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Abilita le API Eventarc, Eventarc Publishing, Google Kubernetes Engine e Resource Manager.

   gcloud services enable eventarc.googleapis.com \
       eventarcpublishing.googleapis.com \
       container.googleapis.com \
       cloudresourcemanager.googleapis.com

3. Se applicabile, abilita l'API correlata agli eventi Cloud Audit Logs. Ad esempio, per gli audit log di Cloud Run Functions, attiva cloudfunctions.googleapis.com.

4. Se non ne hai già uno, crea un service account gestito dall'utente, poi concedigli i ruoli e le autorizzazioni necessari affinché Eventarc possa gestire gli eventi per la destinazione GKE target.

   1. Crea il service account:

      gcloud iam service-accounts create SERVICE_ACCOUNT_NAME

      Sostituisci SERVICE_ACCOUNT_NAME con il nome del service account. Deve contenere da 6 a 30 caratteri e può contenere caratteri alfanumerici minuscoli e trattini. Una volta creato un account di servizio, non puoi modificarne il nome.

   2. Concedi i ruoli o le autorizzazioni IAM (Identity and Access Management) richiesti. Per maggiori informazioni, consulta la sezione Ruoli e autorizzazioni per i target GKE.

Console

1. Nella Google Cloud console, vai alla pagina Trigger di Eventarc.

   Vai ai trigger

2. Fai clic su add_box Crea trigger.
3. Digita un Nome trigger.

   Questo è l'ID del trigger e deve iniziare con una lettera. Può contenere fino a 63 lettere minuscole, numeri o trattini.

4. Per Tipo di trigger, seleziona Origini Google.
5. Seleziona un fornitore di eventi.

   Questo è il servizio Google che è l'origine degli eventi tramite i suoi audit log. Ad esempio, seleziona BigQuery.

   Tieni presente che il nome del fornitore di eventi utilizzato nella Google Cloud documentazione associata potrebbe non avere un prefisso di Cloud o Google Cloud. Ad esempio, nella console, Memorystore for Redis è indicato come Google Cloud Memorystore for Redis.

6. Nell'elenco Tipo di evento, seleziona un tipo di evento tra quelli tramite audit log di Cloud.
7. Seleziona una delle seguenti opzioni:
   • Qualsiasi risorsa: questa è l'impostazione predefinita e include risorse create dinamicamente con identificatori generati al momento della creazione.
   • Risorsa specifica: devi fornire il nome completo della risorsa.
   • Pattern del percorso: puoi filtrare le risorse utilizzando un pattern del percorso. Ad esempio, digita projects/_/buckets/eventarc-bucket/objects/random.txt o projects/_/buckets/**/r*.txt.
8. Per specificare la codifica del payload dell'evento, nell'elenco Tipo di contenuti dei dati evento, seleziona application/json o application/protobuf.

   Tieni presente che un payload evento formattato in JSON è più grande di uno formattato in Protobuf. Ciò potrebbe influire sull'affidabilità a seconda della destinazione dell'evento e dei suoi limiti di dimensione. Per saperne di più, vedi Problemi noti.

9. Nell'elenco Regione, seleziona una regione.

   I trigger Cloud Audit Logs per Eventarc sono disponibili in regioni specifiche e nella regione globale, ma non sono disponibili in località a due regioni e multiregionali. Per evitare problemi di rendimento e residenza dei dati causati da un trigger globale, Google consiglia che la località corrisponda a quella del servizio Google Cloud che genera eventi. Per saperne di più, consulta Località Eventarc.

   Se specifichi la posizione globale, riceverai eventi da tutte le posizioni che corrispondono ai filtri degli eventi. Ad esempio, creando un trigger Eventarc globale, puoi ricevere eventi da risorse nelle multi-regioni UE e USA.

   Tieni presente che esiste un problema noto con i trigger di Cloud Audit Logs per Compute Engine che genera eventi provenienti da una singola regione: us-central1. Indipendentemente dalla posizione effettiva dell'istanza di macchina virtuale. Quando crei il trigger, imposta la posizione del trigger su us-central1 o global.

10. Seleziona l'account di servizio che richiamerà il tuo servizio o flusso di lavoro.

    In alternativa, puoi creare un nuovo account di servizio.

    Specifica l'indirizzo email del account di servizio Identity and Access Management (IAM) associato al trigger e a cui hai precedentemente concesso ruoli specifici richiesti da Eventarc.

11. Nell'elenco Destinazione evento, seleziona Cloud Run.
12. Seleziona un servizio.
    

    Il nome del servizio che riceve gli eventi per l'attivatore. Il servizio deve trovarsi nello stesso progetto del trigger e riceverà gli eventi come richieste HTTP POST inviate al percorso URL principale (/), ogni volta che l'evento viene generato.

13. Se vuoi, puoi specificare il percorso dell'URL del servizio a cui inviare la richiesta in entrata.

    Questo è il percorso relativo nel servizio di destinazione a cui devono essere inviati gli eventi per il trigger. Ad esempio: /, /route, route, route/subroute.

14. (Facoltativo) Per aggiungere un'etichetta, puoi fare clic su add Aggiungi etichetta. Le etichette sono coppie chiave/valore che ti aiutano a organizzare le tue risorseGoogle Cloud . Per saperne di più, vedi Che cosa sono le etichette?
15. Fai clic su Crea.

Una volta creato un trigger, i filtri dell'origine eventi non possono essere modificati. Crea invece un nuovo trigger ed elimina quello precedente. Per saperne di più, consulta Gestire i trigger.

gcloud

Puoi creare un trigger eseguendo un comando gcloud eventarc triggers create insieme ai flag obbligatori e facoltativi.

gcloud eventarc triggers create TRIGGER \
    --location=LOCATION \
    --destination-gke-cluster=DESTINATION_GKE_CLUSTER \
    --destination-gke-location=DESTINATION_GKE_LOCATION \
    --destination-gke-namespace=DESTINATION_GKE_NAMESPACE \
    --destination-gke-service=DESTINATION_GKE_SERVICE \
    --destination-gke-path=DESTINATION_GKE_PATH \
    --event-filters="type=google.cloud.audit.log.v1.written" \
    --event-filters="serviceName=SERVICE_NAME" \
    --event-filters="methodName=METHOD_NAME" \
    --event-data-content-type="EVENT_DATA_CONTENT_TYPE" \
    --service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

Sostituisci quanto segue:

• TRIGGER: l'ID dell'attivatore o un identificatore completo
• LOCATION: la posizione del trigger Eventarc. In alternativa, puoi impostare la proprietà eventarc/location; ad esempio gcloud config set eventarc/location us-central1.

  I trigger Cloud Audit Logs per Eventarc sono disponibili in regioni specifiche e nella regione globale, ma non sono disponibili in località con due regioni e più regioni. Per evitare problemi di rendimento e residenza dei dati causati da un trigger globale, Google consiglia che la posizione corrisponda a quella del servizio che genera eventi. Google Cloud Per saperne di più, consulta Località Eventarc.

  Se specifichi la posizione globale, riceverai eventi da tutte le posizioni che generano corrispondenze per i filtri eventi. Ad esempio, creando un trigger Eventarc globale, puoi ricevere eventi da risorse nelle multi-regioni UE e Stati Uniti.

  Tieni presente che esiste un problema noto con i trigger di Cloud Audit Logs per Compute Engine che genera eventi provenienti da una singola regione: us-central1. Indipendentemente da dove si trova effettivamente l'istanza di macchina virtuale. Quando crei il trigger, imposta la posizione del trigger su us-central1 o global.

• DESTINATION_GKE_CLUSTER: il nome del cluster GKE in cui è in esecuzione il servizio GKE di destinazione che riceve gli eventi.
• DESTINATION_GKE_LOCATION: (facoltativo) la regione Compute Engine del cluster GKE in cui è in esecuzione il servizio GKE di destinazione. Se non specificato, si presume che il cluster sia un cluster regionale e si trovi nella stessa regione del trigger.
• DESTINATION_GKE_NAMESPACE: (facoltativo) lo spazio dei nomi in cui è in esecuzione il servizio GKE di destinazione. Se non specificato, viene utilizzato lo spazio dei nomi default.
• DESTINATION_GKE_SERVICE: il nome del servizio GKE che riceve gli eventi per il trigger. Il servizio può trovarsi in una qualsiasi delle località supportate da GKE e non deve trovarsi nella stessa località del trigger. Tuttavia, il servizio deve trovarsi nello stesso progetto del trigger e riceverà gli eventi come richieste HTTP POST inviate al percorso URL principale (/), ogni volta che l'evento viene generato.
• DESTINATION_GKE_PATH: (facoltativo) il percorso relativo che specifichi nel servizio GKE di destinazione a cui devono essere inviati gli eventi per il trigger. Ad esempio: /, /route, route, route/subroute.

• SERVICE_NAME: l'identificatore del Google Cloud servizio
• METHOD_NAME: l'identificatore dell'operazione

• EVENT_DATA_CONTENT_TYPE: (facoltativo) la codifica del payload dell'evento. Può essere application/json o application/protobuf. La codifica predefinita è application/json.

  Tieni presente che un payload evento formattato in JSON è più grande di uno formattato in Protobuf. Ciò potrebbe influire sull'affidabilità a seconda della destinazione dell'evento e dei relativi limiti di dimensione. Per saperne di più, vedi Problemi noti.

• SERVICE_ACCOUNT_NAME: il nome del service account gestito dall'utente.
• PROJECT_ID: il tuo ID progetto Google Cloud .

Note:

• Questi flag sono obbligatori:

  • --event-filters="type=google.cloud.audit.log.v1.written"
  • --event-filters="serviceName=VALUE"
  • --event-filters="methodName=VALUE"

• (Facoltativo) Filtra gli eventi per una risorsa specifica utilizzando il flag --event-filters="resourceName=VALUE" e specificando il percorso completo della risorsa. Ometti il flag per le risorse create dinamicamente che hanno identificatori generati al momento della creazione. In alternativa, filtra gli eventi per un insieme di risorse utilizzando il flag --event-filters-path-pattern="resourceName=VALUE" e specificando il pattern del percorso della risorsa.

• Ogni attivatore può avere più filtri evento, separati da virgole in un unico --event-filters=[ATTRIBUTE=VALUE,...] flag, oppure puoi ripetere il flag per aggiungere altri filtri. Solo gli eventi che corrispondono a tutti i filtri vengono inviati alla destinazione. I caratteri jolly e le espressioni regolari non sono supportati.
• Una volta creato un trigger, non è possibile modificare il tipo di filtro eventi. Per un tipo di evento diverso, devi creare un nuovo trigger ed eliminare quello precedente.
• Il flag --service-account viene utilizzato per specificare l'email del account di servizio Identity and Access Management (IAM) associato al trigger.

Esempio:

  gcloud eventarc triggers create helloworld-trigger \
      --location=us-central1 \
      --destination-gke-cluster=gke-events-cluster \
      --destination-gke-location=us-central1-a \
      --destination-gke-namespace=default \
      --destination-gke-service=helloworld-events \
      --destination-gke-path=/ \
      --event-filters="type=google.cloud.audit.log.v1.written" \
      --event-filters="serviceName=bigquery.googleapis.com" \
      --event-filters="methodName=google.cloud.bigquery.v2.JobService.InsertJob" \
      --service-account=${SERVICE_ACCOUNT_NAME}@${PROJECT_ID}.iam.gserviceaccount.com

Viene creato un trigger denominato helloworld-trigger per gli audit log scritti da bigquery.googleapis.com e per l'operazione identificata come google.cloud.bigquery.v2.JobService.InsertJob.

Terraform

Puoi creare un trigger per una destinazione GKE utilizzando Terraform. Per maggiori dettagli, vedi Creare un trigger utilizzando Terraform.

Console

1. Nella Google Cloud console, vai alla pagina Trigger di Eventarc.

   Vai ai trigger

   Questa pagina elenca i trigger in tutte le posizioni e include dettagli come nomi, regioni, fornitori di eventi, destinazioni e altro ancora.

2. Per filtrare i trigger:

   1. Fai clic su filter_list Filtro o sul campo Trigger del filtro.
   2. Nell'elenco Proprietà, seleziona un'opzione per filtrare i trigger.

   Puoi selezionare una singola proprietà o utilizzare l'operatore logico OR per aggiungere altre proprietà.

3. Per ordinare i trigger, fai clic su arrow_upward Ordina accanto a un'intestazione di colonna supportata.

gcloud

Esegui questo comando per elencare i trigger:

gcloud eventarc triggers list --location=-

Questo comando elenca i trigger in tutte le posizioni e include dettagli come nomi, tipi, destinazioni e stati.