監査ログイベントを Workflows に転送する

コンソール

1. Google Cloud コンソールのプロジェクト セレクタ ページで、Google Cloud プロジェクトを選択または作成します。

   プロジェクト セレクタに移動

2. Eventarc API、Eventarc Publishing API、Workflows API、Workflow Executions API を有効にします。

   API を有効にする

3. 該当する場合は、Cloud Audit Logs イベントに関連する API を有効にします。たとえば、Cloud Run functions の監査ログの場合は、Cloud Functions API を有効にします。

4. アカウントがない場合は、ユーザー管理のサービス アカウントを作成し、Eventarc がターゲット ワークフローのイベントを管理できるように、必要なロールと権限を付与します。

   1. Google Cloud コンソールで、[サービス アカウント] ページに移動します。

      [サービス アカウント] に移動

   2. プロジェクトを選択します。

   3. [サービス アカウント名] フィールドに名前を入力します。Google Cloud コンソールでは、この名前に基づいて [サービス アカウント ID] フィールドの値が設定されます。

      [サービス アカウントの説明] フィールドに説明を入力します。例: Service account for event trigger

   4. [作成して続行] をクリックします。

   5. 適切なアクセス権を付与するには、[ロールを選択] リストで、サービス アカウントに必要な Identity and Access Management（IAM）ロールを選択します。詳細については、Workflows ターゲットのロールと権限をご覧ください。

      ロールを追加するには、[add別のロールを追加] をクリックして各ロールを追加します。

   6. [続行] をクリックします。

   7. アカウントの作成を完了するには、[完了] をクリックします。

gcloud

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Eventarc API、Eventarc Publishing API、Workflows API、Workflow Executions API を有効にします。

   gcloud services enable eventarc.googleapis.com \
       eventarcpublishing.googleapis.com \
       workflows.googleapis.com \
       workflowexecutions.googleapis.com

3. 該当する場合は、Cloud Audit Logs イベントに関連する API を有効にします。たとえば、Cloud Run functions の監査ログの場合は cloudfunctions.googleapis.com を有効にします。

4. アカウントがない場合は、ユーザー管理のサービス アカウントを作成し、Eventarc がターゲット ワークフローのイベントを管理できるように、必要なロールと権限を付与します。

   1. サービス アカウントを作成します。

      gcloud iam service-accounts create SERVICE_ACCOUNT_NAME

      SERVICE_ACCOUNT_NAME は、サービス アカウントの名前に置き換えます。6～30 文字で、小文字の英数字とダッシュを使用できます。作成したサービス アカウントの名前は変更できません。

   2. 必要な Identity and Access Management（IAM）のロールまたは権限を付与します。詳細については、Workflows ターゲットのロールと権限をご覧ください。

コンソール

1. Google Cloud コンソールで、[Eventarc] の [トリガー] ページに移動します。

   [トリガー] に移動

2. [add_boxトリガーを作成] をクリックします。
3. トリガー名を入力します。

   これはトリガーの ID で、先頭は英字にする必要があります。63 文字以下とし、小文字、数字、ハイフンを使用できます。

4. [トリガーのタイプ] で、[Google のソース] を選択します。
5. イベント プロバイダを選択します。

   これは、監査ログを介してイベントのソースとなる Google サービスです。たとえば、BigQuery を選択します。

   関連する Google Cloud のドキュメントでは、イベント プロバイダ名の前に Cloud または Google Cloud が付いていない場合があります。たとえば、Memorystore for Redis はコンソールで Google Cloud Memorystore for Redis と表示されます。

6. [イベントタイプ] リストで、[Cloud Audit Logs 経由] のイベントからイベントタイプを選択します。
7. 次のいずれかを選択します。
   • 任意のリソース - これがデフォルトです。動的に作成され、作成時に ID が生成されるリソースが含まれます。
   • 特定のリソース - 完全なリソース名を指定する必要があります。
   • パスパターン - パスパターンを使用してリソースをフィルタできます。たとえば、「projects/_/buckets/eventarc-bucket/objects/random.txt」または「projects/_/buckets/**/r*.txt」と入力します。
8. イベント ペイロードのエンコードを指定するには、[イベントデータのコンテンツ タイプ] リストで application/json または application/protobuf を選択します。

   JSON 形式のイベント ペイロードは、Protobuf 形式のイベント ペイロードよりも大きくなります。イベントの宛先とイベントサイズの制限によっては、信頼性に影響する可能性があります。詳細については、既知の問題をご覧ください。

9. [リージョン] リストでリージョンを選択します。

   Eventarc の Cloud Audit Logs のトリガーは特定のリージョンとグローバル リージョンで使用できますが、デュアルリージョンとマルチリージョンのロケーションでは使用できません。グローバル トリガーによるパフォーマンスやデータ所在地の問題を回避するため、このロケーションと、イベントを生成している Google Cloud サービスのロケーションを一致させることをおすすめします。詳細については、Eventarc のロケーションをご覧ください。

   グローバル ロケーションを指定すると、イベント フィルタに一致するすべてのロケーションからイベントを受信します。たとえば、グローバル Eventarc トリガーを作成すると、EU と米国のマルチリージョンのリソースからイベントを受信できます。

   Compute Engine の Cloud Audit Logs のトリガーに既知の問題があり、単一リージョン us-central1 からのイベントが発生します。これは、仮想マシン インスタンスの実際の場所に関係ありません。トリガーを作成するときに、トリガーのロケーションを us-central1 または global のいずれかに設定します。

10. サービスまたはワークフローを呼び出すサービス アカウントを選択します。

    新しいサービス アカウントを作成することもできます。

    これにより、トリガーに関連付けられた Identity and Access Management（IAM）サービス アカウントのメールアドレスが設定されます。このメールアドレスには、Eventarc が必要とする特定のロールがすでに付与されています。

11. [イベントの宛先] リストで、[Workflows] を選択します。
12. ワークフローを選択します。
    

    これは、イベントを渡すワークフローの名前です。ワークフロー実行用のイベントは、変換されてランタイム引数としてワークフローに渡されます。

    詳細については、 Workflows のトリガーを作成するをご覧ください。

13. [作成] をクリックします。

トリガーの作成後は、イベントソースのフィルタを変更できません。代わりに、新しいトリガーを作成して古いトリガーを削除します。詳しくは、トリガーの管理をご覧ください。

gcloud

トリガーを作成するには、必須フラグとオプションのフラグを指定して gcloud eventarc triggers create コマンドを実行します。

gcloud eventarc triggers create TRIGGER \
    --location=LOCATION \
    --destination-workflow=DESTINATION_WORKFLOW \
    --destination-workflow-location=DESTINATION_WORKFLOW_LOCATION \
    --event-filters="type=google.cloud.audit.log.v1.written" \
    --event-filters="serviceName=SERVICE_NAME" \
    --event-filters="methodName=METHOD_NAME" \
    --event-data-content-type="EVENT_DATA_CONTENT_TYPE" \
    --service-account="MY_SERVICE_ACCOUNT@PROJECT_ID.iam.gserviceaccount.com"

次のように置き換えます。

• TRIGGER: トリガーの ID または完全修飾識別子。
• LOCATION: Eventarc トリガーのロケーション。eventarc/location プロパティを設定することもできます（例: gcloud config set eventarc/location us-central1）。

  Eventarc は特定のロケーションと global のロケーションで使用できますが、デュアルリージョンとマルチリージョンのロケーションでは使用できません。グローバル トリガーによるパフォーマンスやデータ所在地の問題を回避するため、このロケーションと、イベントを生成している Google Cloud サービスのロケーションを一致させることをおすすめします。

  global ロケーションを指定すると、イベント フィルタが一致するすべてのロケーションからイベントを受信します。たとえば、グローバル Eventarc トリガーを作成すると、EU と US マルチリージョンの Cloud Storage バケットなどのリソースからイベントを受信できます。

• DESTINATION_WORKFLOW: トリガーからイベントを受け取る、デプロイ済みワークフローの ID。ワークフローは、Workflows でサポートされている任意のロケーションに配置できます。トリガーと同じロケーションに存在する必要はありません。ただし、ワークフローはトリガーと同じプロジェクトに存在する必要があります。
• DESTINATION_WORKFLOW_LOCATION（省略可）: 宛先ワークフローがデプロイされるロケーション。指定しない場合、ワークフローはトリガーと同じロケーションにあるとみなされます。

• SERVICE_NAME: Google Cloud サービスの識別子
• METHOD_NAME: オペレーションの ID
• EVENT_DATA_CONTENT_TYPE:（省略可）イベント ペイロードのエンコード。値は application/json または application/protobuf です。デフォルトのエンコードは application/json です。

  JSON 形式のイベント ペイロードは、Protobuf 形式のイベント ペイロードよりも大きくなります。イベントの宛先とイベントサイズの制限によっては、信頼性に影響する可能性があります。詳細については、既知の問題をご覧ください。

• SERVICE_ACCOUNT_NAME: Workflows で必要な特定のロールを付与した IAM サービス アカウントの名前。
• PROJECT_ID: 実際の Google Cloud プロジェクト ID

注:

• 以下のフラグは必須です。
  • --event-filters="type=google.cloud.audit.log.v1.written"
  • --event-filters="serviceName=VALUE"
  • --event-filters="methodName=VALUE"
• トリガーの作成後に --event-filters="type=google.cloud.audit.log.v1.written" を変更することはできません。別のイベントタイプには、新しいトリガーを作成する必要があります。
• --service-account: Eventarc トリガーがワークフロー実行の呼び出しと Cloud Audit Logs の受信に使用する IAM サービス アカウントのメールアドレス。必要なリソースにアクセスするために必要な最小権限を持つサービス アカウントを使用することを強くおすすめします。サービス アカウントの詳細については、サービス アカウントの作成と管理をご覧ください。
• serviceName や methodName の値など、Eventarc でサポートされている監査ログイベントのリストについては、Eventarc でサポートされるイベントをご覧ください。
• 各トリガーには複数のイベント フィルタを指定できます。その場合は、 --event-filters=[ATTRIBUTE=VALUE,...] フラグにカンマ区切りで指定する必要があります。さらにフィルタを追加するには、このフラグを繰り返し指定します。すべてのフィルタに一致するイベントのみが宛先に送信されます。ワイルドカードと正規表現はサポートされていません。
Cloud Audit Logs のイベント フィルタを決定するをご覧ください。
• --event-filters="resourceName=VALUE" フラグを使用してリソースの完全なパスを指定することで、特定のリソースのイベントをフィルタリングできます。動的に作成され、作成時に ID が生成されるリソースの場合は、このフラグを省略します。また、--event-filters-path-pattern="resourceName=VALUE" フラグを使用してリソースパス パターンを指定し、一連のリソースのイベントをフィルタリングすることもできます。
• デフォルトでは、Eventarc 用に作成された Pub/Sub サブスクリプションはアクティビティに関係なく保持され、期限切れになりません。非アクティブ期間を変更するには、サブスクリプションのプロパティをご覧ください。

例:

gcloud eventarc triggers create helloworld-trigger \
    --location=us-central1 \
    --destination-workflow=my-workflow \
    --destination-workflow-location=europe-west4 \
    --event-filters="type=google.cloud.audit.log.v1.written" \
    --event-filters="serviceName=bigquery.googleapis.com" \
    --event-filters="methodName=jobservice.jobcompleted" \
    --service-account="${SERVICE_ACCOUNT_NAME}@${PROJECT_ID}.iam.gserviceaccount.com"

これにより、bigquery.googleapis.com によって書き込まれた監査ログと、jobservice.jobcompleted として識別されるオペレーションに helloworld-trigger というトリガーが作成されます。

Terraform

Terraform を使用して、ワークフローのトリガーを作成できます。詳細については、Eventarc と Terraform を使用してワークフローをトリガーするをご覧ください。

コンソール

1. Google Cloud コンソールで、[Eventarc] の [トリガー] ページに移動します。

   [トリガー] に移動

   このページには、すべてのロケーションのトリガーが一覧表示されます。また、名前、リージョン、イベント プロバイダ、宛先などの詳細情報も表示されます。

2. トリガーをフィルタするには:

   1. [filter_list フィルタ] フィールドまたは [トリガーをフィルタリング] フィールドをクリックします。
   2. [プロパティ] リストで、トリガーをフィルタするオプションを選択します。

   1 つのプロパティを選択することも、論理演算子 OR を使用して複数のプロパティを追加することもできます。

3. トリガーを並べ替えるには、サポートされている列見出しの横にある [arrow_upward 並べ替え] をクリックします。

gcloud

次のコマンドを実行してトリガーを一覧取得します。

gcloud eventarc triggers list --location=-

すべてのロケーションのトリガーが一覧表示されます。名前、タイプ、宛先、ステータスなどの詳細情報も表示されます。

次のステップ