Ricezione di un evento Cloud Audit Logs

Questo tutorial mostra come eseguire il deployment di un servizio Cloud Run autenticato che riceve eventi da Cloud Storage utilizzando Cloud Audit Logs. Utilizza questo tutorial per eseguire il deployment dei workload di produzione. Il trigger Eventarc filtra gli eventi in base alle voci di Cloud Audit Logs. Per saperne di più, vedi Determinare i filtri eventi per Cloud Audit Logs.

Puoi completare questo tutorial utilizzando la console Google Cloud o Google Cloud CLI.

Obiettivi

In questo tutorial, imparerai a:

  1. Crea un bucket Cloud Storage come origine evento.

  2. Eseguire il deployment di un servizio di ricezione di eventi in Cloud Run.

  3. Crea un trigger Eventarc.

  4. Generare un evento caricando un file nel bucket Cloud Storage e visualizzarlo nei log di Cloud Run.

Costi

In questo documento, utilizzi i seguenti componenti fatturabili di Google Cloud:

Per generare una stima dei costi in base all'utilizzo previsto, utilizza il calcolatore prezzi.

I nuovi Google Cloud utenti potrebbero avere diritto a una prova gratuita.

Prima di iniziare

I vincoli di sicurezza definiti dalla tua organizzazione potrebbero impedirti di completare i passaggi seguenti. Per informazioni sulla risoluzione dei problemi, vedi Sviluppare applicazioni in un ambiente Google Cloud vincolato.

Se hai creato il progetto, ti viene assegnato il ruolo di base Proprietario (roles/owner). Per impostazione predefinita, questo ruolo Identity and Access Management (IAM) include le autorizzazioni necessarie per l'accesso completo alla maggior parte delle risorse Google Cloud e puoi saltare questo passaggio.

Se non sei il creatore del progetto, le autorizzazioni richieste devono essere concesse al principal appropriato. Ad esempio, un'entità può essere un Account Google (per gli utenti finali) o un account di servizio (per applicazioni e carichi di lavoro di calcolo). Per saperne di più, consulta la pagina Ruoli e autorizzazioni per la destinazione eventi.

Tieni presente che per impostazione predefinita, le autorizzazioni di Cloud Build includono le autorizzazioni per caricare e scaricare gli artefatti di Artifact Registry.

Autorizzazioni obbligatorie

Per ottenere le autorizzazioni necessarie per completare questo tutorial, chiedi all'amministratore di concederti i seguenti ruoli IAM nel progetto:

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Completa i seguenti passaggi utilizzando la console Google Cloud o gcloud CLI:

Console

  1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  3. Make sure that billing is enabled for your Google Cloud project.

  4. Enable the Artifact Registry, Cloud Build, Logging, Pub/Sub, Cloud Run, Cloud Storage, and Eventarc APIs.

    Enable the APIs

  5. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Go to project selector

  6. Make sure that billing is enabled for your Google Cloud project.

  7. Enable the Artifact Registry, Cloud Build, Logging, Pub/Sub, Cloud Run, Cloud Storage, and Eventarc APIs.

    Enable the APIs

    8.
  8. Per configurare quali accessi ai dati vengono registrati negli audit log, abilita i tipi di log Lettura amministratore, Lettura dati e Scrittura dati per Google Cloud Storage:

    Vai agli audit log

  9. Nella Google Cloud console, vai alla pagina Service account.

    Vai a Service account

  10. Fai clic su Crea account di servizio.

  11. Inserisci il nome di un service account da visualizzare nella Google Cloud console.

    La Google Cloud console genera un ID account di servizio in base a questo nome. Modifica l'ID, se necessario. Non potrai modificare l'ID in un secondo momento.

  12. (Facoltativo) Inserisci una descrizione del service account.

  13. Se non vuoi impostare i controlli dell'accesso, fai clic su Fine per completare la creazione del account di servizio.

    Per impostare i controlli dell'accesso ora, fai clic su Crea e continua e vai al passaggio successivo.

  14. Seleziona i ruoli Cloud Run Invoker e Eventarc Event Receiver da concedere al progetto al account di servizio associato al trigger Eventarc.

    A scopo di test, questo concede il ruolo Invoker di Cloud Run su tutti i servizi e i job Cloud Run nel progetto; tuttavia, puoi concedere il ruolo sul servizio. Per saperne di più, consulta Concedere le autorizzazioni del servizio Cloud Run.

    Tieni presente che se crei un trigger per un servizio Cloud Run autenticato senza concedere il ruolo Invoker di Cloud Run, il trigger viene creato correttamente ed è attivo. Tuttavia, il trigger non funzionerà come previsto e nei log verrà visualizzato un messaggio simile al seguente:

    The request was not authenticated. Either allow unauthenticated invocations or set the proper Authorization header.
  15. Quando hai finito di aggiungere i ruoli, fai clic su Continua e Fine per completare la creazione dell'account di servizio.

gcloud

  1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

  2. Install the Google Cloud CLI.

  3. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  4. To initialize the gcloud CLI, run the following command: 

    gcloud init

  5. Create or select a Google Cloud project.

    • Create a Google Cloud project:

      gcloud projects create PROJECT_ID

      Replace PROJECT_ID with a name for the Google Cloud project you are creating.

    • Select the Google Cloud project that you created:

      gcloud config set project PROJECT_ID

      Replace PROJECT_ID with your Google Cloud project name.

  6. Make sure that billing is enabled for your Google Cloud project.

  7. Enable the Artifact Registry, Cloud Build, Logging, Pub/Sub, Cloud Run, Cloud Storage, and Eventarc APIs: 

    gcloud services enable artifactregistry.googleapis.com cloudbuild.googleapis.com 
      logging.googleapis.com  pubsub.googleapis.com  run.googleapis.com 
      storage.googleapis.com  and eventarc.googleapis.com

  8. Install the Google Cloud CLI.

  9. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  10. To initialize the gcloud CLI, run the following command: 

    gcloud init

  11. Create or select a Google Cloud project.

    • Create a Google Cloud project:

      gcloud projects create PROJECT_ID

      Replace PROJECT_ID with a name for the Google Cloud project you are creating.

    • Select the Google Cloud project that you created:

      gcloud config set project PROJECT_ID

      Replace PROJECT_ID with your Google Cloud project name.

  12. Make sure that billing is enabled for your Google Cloud project.

  13. Enable the Artifact Registry, Cloud Build, Logging, Pub/Sub, Cloud Run, Cloud Storage, and Eventarc APIs: 

    gcloud services enable artifactregistry.googleapis.com cloudbuild.googleapis.com 
      logging.googleapis.com  pubsub.googleapis.com  run.googleapis.com 
      storage.googleapis.com  and eventarc.googleapis.com
  14. Aggiorna i componenti di gcloud: 
    gcloud components update
  15. Accedi utilizzando il tuo account: 
    gcloud auth login
  16. Imposta le variabili di configurazione utilizzate in questo tutorial: 
    export REGION=us-central1
gcloud config set run/region ${REGION}
gcloud config set run/platform managed
gcloud config set eventarc/location ${REGION}
export SERVICE_NAME=helloworld-events
  17. Per configurare gli accessi ai dati registrati negli audit log, attiva i tipi di log ADMIN_READ, DATA_READ e DATA_WRITE per il servizio storage.googleapis.com:
    1. Leggi il criterio IAM del progetto e archivialo in un file: 
      gcloud projects get-iam-policy PROJECT_ID > /tmp/policy.yaml
    2. Modifica la policy in /tmp/policy.yaml, aggiungendo o modificando solo la configurazione degli audit log di accesso ai dati. 
      auditConfigs:
- auditLogConfigs:
- logType: ADMIN_READ
- logType: DATA_WRITE
- logType: DATA_READ
service: storage.googleapis.com
    3. Scrivi il nuovo criterio IAM: 
      gcloud projects set-iam-policy PROJECT_ID /tmp/policy.yaml
       Se il comando precedente segnala un conflitto con un'altra modifica, ripeti questi passaggi, a partire dalla lettura del criterio IAM del progetto.
  18. Crea un account di servizio per il progetto: 
    gcloud iam service-accounts create sample-service-account \
    --description="A sample service account" \
    --display-name="Sample service account"
     Dopo aver creato un account di servizio, possono essere necessari fino a sette minuti prima di poterlo utilizzare. Se provi a utilizzare un account di servizio subito dopo averlo creato e ricevi un errore, attendi almeno 60 secondi e riprova.
  19. Per confermare che sample-service-account è stato creato, esegui: 
    gcloud iam service-accounts list
     L'output dovrebbe essere simile al seguente: 
    DISPLAY NAME                     EMAIL                                                               DISABLED
Default compute service account  PROJECT_NUMBER-compute@developer.gserviceaccount.com                False
Sample service account           sample-service-account@PROJECT_ID.iam.gserviceaccount.com           False
  20. Concedi i ruoli Cloud Run Invoker (run.invoker) e Eventarc Event Receiver (roles/eventarc.eventReceiver) nel progetto al account di servizio associato al trigger Eventarc: 
    gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="serviceAccount:sample-service-account@PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/run.invoker"
     
    gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="serviceAccount:sample-service-account@PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/eventarc.eventReceiver"

    Sostituisci PROJECT_ID con l'ID progetto Google Cloud.

    A scopo di test, questo concede il ruolo Invoker di Cloud Run a tutti i servizi e i job Cloud Run nel progetto; tuttavia, puoi concedere il ruolo al servizio. Per maggiori informazioni, vedi Concedere le autorizzazioni del servizio Cloud Run.

    Tieni presente che se crei un trigger per un servizio Cloud Run autenticato senza concedere il ruolo Invoker di Cloud Run, il trigger viene creato correttamente ed è attivo. Tuttavia, il trigger non funzionerà come previsto e nei log verrà visualizzato un messaggio simile al seguente:

    The request was not authenticated. Either allow unauthenticated invocations or set the proper Authorization header.

Crea un repository standard Artifact Registry

Crea un repository standard Artifact Registry per archiviare l'immagine container.

Console

  1. Nella console Google Cloud , vai alla pagina Repository.

    Vai a Repository

  2. Fai clic su Crea repository.
  3. Configura il repository:
    1. Inserisci un nome univoco.
    2. Per Formato, scegli Docker.
    3. Per Modalità, scegli Standard.
    4. Per Tipo di località, scegli Regione.
    5. Nell'elenco Regione, seleziona us-central1 (Iowa).
  4. Accetta le altre impostazioni predefinite e fai clic su Crea.

gcloud

gcloud artifacts repositories create REPOSITORY \
    --repository-format=docker \
    --location=$REGION

Sostituisci REPOSITORY con un nome univoco per il repository Artifact Registry.

Crea un bucket Cloud Storage

Questo tutorial utilizza Cloud Storage come origine evento. Per creare un bucket di archiviazione:

Console

  1. Nella console Google Cloud , vai alla pagina Bucket.

    Vai a Bucket

  2. Fai clic su Crea bucket.
  3. Inserisci le informazioni sul bucket e fai clic su Continua per completare ogni passaggio:
    1. Inserisci un nome univoco. Ad esempio, eventarcbucket.
    2. Seleziona Regione come Tipo di località.
    3. Seleziona us-central1 (Iowa) come località.
    4. Seleziona Standard come classe di archiviazione predefinita.
    5. Seleziona Uniforme per Controllo dell'accesso.
  4. Fai clic su Crea.

gcloud

gcloud storage buckets create gs://events-tutorial-PROJECT_ID/ --location=$REGION

Dopo aver creato l'origine evento, puoi eseguire il deployment del servizio di ricezione di eventi su Cloud Run.

Esegui il deployment del servizio di ricezione di eventi in Cloud Run

Esegui il deployment di un servizio Cloud Run che riceve e registra gli eventi. Per eseguire il deployment del servizio di ricezione di eventi di esempio:

Console

  1. Clona il repository di esempio nel tuo account GitHub:

    2. Vai

    1. Su GitHub, vai a GoogleCloudPlatform/golang-samples.
    2. Fai clic su Fork.
      3. Screenshot del pulsante Fork.
    3. Se richiesto, seleziona la posizione in cui vuoi creare il fork del repository.

    Java

    1. Su GitHub, vai a GoogleCloudPlatform/java-docs-samples.
    2. Fai clic su Fork.
      3. Screenshot del pulsante Fork.
    3. Se richiesto, seleziona la posizione in cui vuoi creare il fork del repository.

    .NET

    1. Su GitHub, vai a GoogleCloudPlatform/dotnet-docs-samples.
    2. Fai clic su Fork.
      3. Screenshot del pulsante Fork.
    3. Se richiesto, seleziona la posizione in cui vuoi creare il fork del repository.

    Node.js

    1. Su GitHub, vai a GoogleCloudPlatform/nodejs-docs-samples.
    2. Fai clic su Fork.
      3. Screenshot del pulsante Fork.
    3. Se richiesto, seleziona la posizione in cui vuoi creare il fork del repository.

    Python

    1. Su GitHub, vai a GoogleCloudPlatform/python-docs-samples.
    2. Fai clic su Fork.
      3. Screenshot del pulsante Fork.
    3. Se richiesto, seleziona la posizione in cui vuoi creare il fork del repository.
  2. Nella console Google Cloud , vai alla pagina Servizi.

    3. Vai a Servizi

  3. Fai clic su Crea servizio per visualizzare il modulo Crea servizio.
  4. Seleziona Esegui il deployment continuo da un repository.

    Le modifiche apportate al repository GitHub vengono automaticamente integrate in immagini container in Artifact Registry e sottoposte a deployment in Cloud Run.

  5. Fai clic su Configura con Cloud Build per aprire il modulo Configura con Cloud Build.
    1. Se richiesto, abilita l'API Cloud Build e l'API Artifact Analysis.
    2. Seleziona GitHub come provider di repository.
    3. Se richiesto, fai clic su Installa Google Cloud Build.
    4. Seleziona il repository GitHub per cui hai creato un fork come Repository.
    5. Fai clic su Avanti.
    6. Nel campo Branch (Filiale), inserisci ^main$.
    7. Seleziona Dockerfile come Tipo di build e fornisci la posizione di origine del Dockerfile:
      • eventarc/audit-storage/Dockerfile

        o

      • eventarc/audit_storage/Dockerfile(Vai)
    8. Fai clic su Salva.
  6. Nel modulo Crea servizio, inserisci un nome per il servizio. Ad esempio, helloworld-events.
  7. Seleziona us-central1(Iowa) come regione in cui vuoi che si trovi il servizio.
  8. Seleziona una delle opzioni Traffico in entrata in base al traffico in entrata che vuoi consentire sul servizio Cloud Run.
  9. Seleziona Richiedi autenticazione.
  10. Fai clic su Crea.

gcloud

  1. Clona il repository GitHub:

    Vai

    git clone https://github.com/GoogleCloudPlatform/golang-samples.git
cd golang-samples/eventarc/audit_storage

    Java

    git clone https://github.com/GoogleCloudPlatform/java-docs-samples.git
cd java-docs-samples/eventarc/audit-storage

    .NET

    git clone https://github.com/GoogleCloudPlatform/dotnet-docs-samples.git
cd dotnet-docs-samples/eventarc/audit-storage

    Node.js

    git clone https://github.com/GoogleCloudPlatform/nodejs-docs-samples.git
cd nodejs-docs-samples/eventarc/audit-storage

    Python

    git clone https://github.com/GoogleCloudPlatform/python-docs-samples.git
cd python-docs-samples/eventarc/audit-storage
  2. Crea il container e caricalo in Cloud Build: 
    gcloud builds submit --tag $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/$SERVICE_NAME:v1
  3. Esegui il deployment dell'immagine container su Cloud Run: 
    gcloud run deploy $SERVICE_NAME \
    --image $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/$SERVICE_NAME:v1

    Quando ti viene chiesto di consentire chiamate non autenticate, inserisci n.

    Se il deployment ha esito positivo, la riga di comando visualizza l'URL del servizio.

Ora che hai eseguito il deployment del servizio di ricezione di eventi chiamato helloworld-events in Cloud Run, puoi configurare il trigger.

Crea un trigger Eventarc

Il trigger Eventarc invierà eventi dal bucket Cloud Storage al servizio Cloud Run helloworld-events.

Console

  1. Nella console Google Cloud , vai alla pagina Trigger.

    Vai ai trigger

  2. Fai clic su Crea trigger.
  3. Digita un Nome trigger.

    Questo è l'ID del trigger e deve iniziare con una lettera. Può contenere fino a 63 lettere minuscole, numeri o trattini.

  4. Seleziona un tipo di attivatore:
    • Proprietari: filtra gli eventi inviati da provider Google Cloud(direttamente o tramite voci di Cloud Audit Logs) o da provider che utilizzano messaggi Pub/Sub.
    • Terze parti: filtra gli eventi inviati da fornitori di terze parti.
  5. Nell'elenco Provider di eventi, seleziona Cloud Storage come origine degli eventi.
  6. Nell'elenco Tipo di evento, seleziona storage.objects.create.
  7. Nell'elenco Regione, seleziona us-central1 come regione da cui ricevere gli eventi.
  8. Seleziona l'account di servizio che hai creato. Ad esempio, SERVICE_ACCOUNT_ID@PROJECT_ID.iam.gserviceaccount.com.
  9. Nell'elenco Destinazione evento, seleziona Cloud Run.
  10. Nell'elenco Seleziona un servizio Cloud Run, seleziona helloworld-events.
  11. Fai clic su Crea.
    12. Tieni presente che puoi anche creare un trigger Eventarc utilizzando la pagina della console Cloud Run.

gcloud

  1. Crea un trigger che filtra gli eventi Cloud Storage e che utilizza il account di servizio che hai creato: 
    gcloud eventarc triggers create events-tutorial-trigger \
    --destination-run-service=$SERVICE_NAME \
    --destination-run-region=$REGION \
    --event-filters="type=google.cloud.audit.log.v1.written" \
    --event-filters="serviceName=storage.googleapis.com" \
    --event-filters="methodName=storage.objects.create" \
    --service-account=sample-service-account@PROJECT_ID.iam.gserviceaccount.com
     Sostituisci PROJECT_ID con l' Google Cloud ID progetto.

    Dove:

    • type: specifica che i log di controllo vengono creati quando vengono soddisfatti i criteri di filtro del trigger.
    • serviceName: il servizio che scrive l'audit log, ovvero Cloud Storage.
    • methodName: l'operazione sottoposta ad audit, ovvero storage.objects.create.
    Viene creato un trigger denominato events-tutorial-trigger.
  2. Per confermare che events-tutorial-trigger è stato creato correttamente, esegui: 
    gcloud eventarc triggers list --location=$REGION
    3. Il trigger events-tutorial-trigger è elencato con un target di helloworld-events.

Generare e visualizzare un evento

  1. Per generare un evento:

    Console

    1. Crea un file di testo con il nome file random.txt e il testo "Hello World".
    2. Nella console Google Cloud , vai alla pagina Bucket.

      Vai a Bucket

    3. Seleziona il bucket di archiviazione che hai creato.
    4. Nella scheda Oggetti, fai clic su Carica file e carica il file random.txt.

    gcloud

    Carica un file di testo su Cloud Storage:

    echo "Hello World" > random.txt
gcloud storage cp random.txt gs://events-tutorial-PROJECT_ID/random.txt
  2. Per visualizzare la voce di log:

    3. Console

    1. Nella console Google Cloud , vai alla pagina Servizi.

      Vai a Servizi

    2. Nell'elenco dei servizi, fai clic sul nome del servizio che hai creato per andare alla pagina Dettagli del servizio.
    3. Fai clic sulla scheda Log per visualizzare i log delle richieste e dei container per tutte le revisioni di questo servizio. Puoi filtrare in base al livello di gravità del log.
    4. Cerca una voce di log simile a: 
      Detected change in Cloud Storage bucket: storage.googleapis.com/projects/_/buckets/BUCKET_NAME/objects/random.txt
       dove BUCKET_NAME è il nome del bucket Cloud Storage.

    gcloud

    1. gcloud logging read "resource.labels.service_name=helloworld-events AND textPayload:random.txt" --format=json
    2. Cerca una voce di log simile a: 
      Detected change in Cloud Storage bucket: storage.googleapis.com/projects/_/buckets/BUCKET_NAME/objects/random.txt
       dove BUCKET_NAME è il nome del bucket Cloud Storage.

Hai eseguito correttamente il deployment di un servizio di ricezione di eventi in Cloud Run, creato un trigger Eventarc, generato un evento da Cloud Storage e visualizzato nei log di Cloud Run.

Esegui la pulizia

Sebbene non siano previsti addebiti per Cloud Run quando il servizio non è in uso, ti potrebbero comunque essere addebitati i costi per l'archiviazione dell'immagine container in Artifact Registry, l'archiviazione dei file nel bucket Cloud Storage e le risorse Eventarc.

Puoi:

  1. Elimina l'immagine container.

  2. Elimina il bucket di archiviazione.

  3. Elimina il trigger Eventarc.

In alternativa, puoi eliminare il tuo progetto Google Cloud per evitare addebiti. L'eliminazione del progetto Google Cloud interrompe la fatturazione di tutte le risorse utilizzate al suo interno.

Delete a Google Cloud project:

gcloud projects delete PROJECT_ID

Passaggi successivi