Flottenlogs ansehen

Auf dieser Seite wird beschrieben, wie Sie Logs für Flotten aktivieren und ansehen. Mit dem Flotten-Logging werden mehrere Logs zusammengefasst und zusammengeführt, sodass Sie den Zustand Ihrer Anwendungen in einer konsolidierten Ansicht analysieren können. Diese Seite richtet sich an:

• Plattformadministratoren, die das Flotten-Logging aktivieren und Logs in allen Namespaces ansehen möchten.
• Dienstoperatoren, die Logs in den jeweiligen Namespaces aufrufen möchten, auf die sie Zugriff haben.

Übersicht

Mit Flottenlogs können Sie Logs für die gesamte Flotte oder für bestimmte Teambereiche aufrufen. Bereiche sind ein Feature zur Teamverwaltung, mit dem Sie Teilmengen von Flottenlogs und anderen Ressourcen pro Team definieren können, wobei jeder Bereich einem oder mehreren Clustern der Flottenmitglieder zugeordnet ist. Weitere Informationen zu Bereichen finden Sie unter Teams für Ihre Flotte verwalten.

Sie können zwei Arten von Flottenlogs aufrufen:

• Standardlogs: Alle Kubernetes-Logs (außer Audit-Logs), die nicht zu einem bestimmten Flottenbereich mit den folgenden Ressourcentypen gehören:

  • k8s_container
  • k8s_pod
  • k8s_node
  • k8s_cluster
  • k8s_control_plane_components

• Logs des Flottenbereichs: Container- und Pod-Logs für Anwendungen, die einem Team gehören und in einem bestimmten Flottenbereich mit mehreren Namespaces auf Flottenebene bereitgestellt werden.

Das Aufrufen von Logs für Flottenbereiche ist optional. Wenn Sie keine Teamverwaltung einrichten möchten, können Sie das Flotten-Logging weiterhin zum Aufrufen von Standardlogs verwenden.

Logs können an verschiedene Log-Buckets im Flotten-Hostprojekt mit unterschiedlichen Ansichten für die Zugriffssteuerung weitergeleitet werden. Die standardmäßige Aufbewahrungsdauer eines Log-Buckets beträgt 30 Tage. Bei Bedarf können Sie diesen Zeitraum konfigurieren.

Für das Logrouting werden zwei Modi unterstützt, bei denen Flotten Cluster aus mehreren Projekten enthalten (projektübergreifende Registrierung):

• MOVE: Alle Logs werden in das Flottenhostprojekt verschoben. Wenn ein Cluster in der Flotte zu einem anderen Projekt gehört, werden seine Logs nicht im ursprünglichen Google Cloud-Projekt beibehalten.

• COPY: Alle Logs werden an das Flottenhostprojekt gesendet. Wenn ein Cluster in der Flotte zu einem anderen Projekt gehört, werden seine Logs auch im ursprünglichen Google Cloud-Projekt beibehalten.

Hinweise

1. Wenn Sie bereits Cloud Logging-Buckets und -Senken manuell erstellt und Ausschlussfilter festgelegt haben, achten Sie darauf, dass die Namen, die Sie diesen Objekten zugewiesen haben, keinen Konflikt mit den Benennungsbeschränkungen für Flotten-Logging bilden. Wenn es einen Namenskonflikt gibt, wenden Sie sich an den Support, bevor Sie fortfahren.

2. Achten Sie darauf, dass die Cluster, deren Logs Sie ansehen möchten, in der ausgewählten Flotte registriert sind.

3. Installieren Sie, falls noch nicht geschehen, die Google Cloud CLI. Folgen Sie dazu der Installationsanleitung. Sie benötigen Version 424.0.0 oder höher, um Ihre Flottenlogs anzusehen.

4. Achten Sie darauf, dass in Ihrem Flotten-Hostprojekt alle erforderlichen APIs aktiviert sind, einschließlich der Anthos API:

   gcloud services enable --project=FLEET_HOST_PROJECT_ID  \
   gkehub.googleapis.com \
   container.googleapis.com \
   connectgateway.googleapis.com \
   cloudresourcemanager.googleapis.com \
   iam.googleapis.com \
   anthos.googleapis.com
   

   Dabei gilt:

   • FLEET_HOST_PROJECT_ID ist die Projekt-ID des Flotten-Hostprojekts. Informationen zum Ermitteln dieses Werts

Bereiche, Namespaces und Arbeitslasten vorbereiten

Wenn Sie Logs für Flottenbereiche aufrufen möchten, müssen Sie nicht nur Arbeitslasten für die Logerfassung vorbereiten, sondern auch einen Flottenbereich und einen Flotten-Namespace erstellen.

Bevor Sie fortfahren, legen Sie das Standardprojekt für die Google Cloud CLI fest. Führen Sie dazu den folgenden Befehl aus:

gcloud config set project FLEET_HOST_PROJECT_ID

Bereiche und Namespaces erstellen

Wenn Sie Logs auf Bereichsebene aufrufen möchten und noch keine Bereiche eingerichtet haben, folgen Sie der Anleitung unter Teams für Ihre Flotte verwalten, um Bereiche zu erstellen, Cluster zu Bereichen hinzuzufügen und Flotten-Namespaces einzurichten.

Arbeitslasten vorbereiten

Zum Aufrufen von Logdaten aus Ihren Anwendungen müssen Sie Ihre Arbeitslasten in einem Cluster in dem im vorherigen Schritt konfigurierten Flotten-Namespace bereitstellen. Dieser Schritt gilt unabhängig davon, ob Sie Standardlogs, Logs des Flottenbereichs oder beides aufrufen möchten. Hier sehen Sie ein Beispiel zum Konfigurieren Ihrer Arbeitslast:

  apiVersion: v1
  kind: Pod
  metadata:
    name: fleet-example-pod
    namespace: NAMESPACE_NAME
  spec:
    containers:
    - name: count
      image: ubuntu:14.04
      args: [bash, -c,
           'for ((i = 0; ; i++)); do echo "$i: $(date)"; sleep 1; done']

Nach der Bereitstellung der Ressource wird möglicherweise ein Fehler angezeigt, wenn der Flotten-Namespace aus irgendeinem Grund nicht erstellt werden konnte. Führen Sie in diesem Fall den folgenden Befehl aus, um den Namespace noch einmal zu erstellen, und führen Sie den Befehl zur Arbeitslastbereitstellung noch einmal aus:

  kubectl create namespace NAMESPACE_NAME
  

Flotten-Logging aktivieren

In diesem Abschnitt wird beschrieben, wie Sie das Flotten-Logging-Feature aktivieren und dem Team Zugriff zum Aufrufen von Logs gewähren.

terraform import google_gke_hub_feature.feature projects/FLEET_HOST_PROJECT_ID/locations/global/features/fleetobservability

  resource "google_gke_hub_feature" "feature" {
    name = "fleetobservability"
    location = "global"
    spec {
      fleetobservability {
        logging_config {
          default_config {
            mode = "COPY"
          }
          fleet_scope_logs_config {
            mode = "MOVE"
          }
        }
      }
    }
  }

Prüfen Sie, ob die Featurespezifikation aktualisiert wurde:

   gcloud container fleet fleetobservability describe
  

Die Ausgabe zeigt die Spezifikation fleetobservability, die mit der Konfiguration aktualisiert wurde, wie im folgenden Beispiel:

createTime: '2022-09-30T16:05:02.222568564Z'
membershipStates:
  projects/123456/locations/us-central1/memberships/cluster-1:
    state:
      code: OK
      description: Fleet monitoring enabled.
      updateTime: '2023-04-03T20:22:51.436047872Z'
name:
projects/123456/locations/global/features/fleetobservability
resourceState:
  state: ACTIVE
spec:
  fleetobservability:
    loggingConfig:
      defaultConfig:
        mode: COPY
      fleetScopeLogsConfig:
        mode: MOVE
state:
  state: {}
updateTime: '2023-04-03T20:38:17.719596966Z'

Es kann einige Minuten dauern, bis Änderungen an der Spezifikation fleetobservability übernommen werden.

Berechtigungen für projektübergreifendes Logging einrichten

Dieser Abschnitt ist nur erforderlich, wenn Sie einen Cluster für eine Flotte in einem anderen Projekt registrieren (auch als projektübergreifende Registrierung bezeichnet). Um Logs von Clusterprojekten an das Flotten-Hostprojekt weiterzuleiten, müssen Sie dem Logging-Dienstkonto von jedem Clusterprojekt die Rolle roles/logging.bucketWriter zuweisen.

1. Führen Sie den folgenden Befehl aus, um die Anmeldedaten des Dienstkontos aus Senken in Clusterprojekten abzurufen:

   FLEET_HOST_PROJECT_ID=FLEET_HOST_PROJECT_ID
   FLEET_HOST_PROJECT_NUMBER=$(gcloud projects describe "${FLEET_HOST_PROJECT_ID}" --format "value(projectNumber)")
   gcloud logging sinks --project=GKE_PROJECT_ID describe fleet-o11y-${FLEET_HOST_PROJECT_NUMBER}-default
   

   Wenn der Befehl einen Fehler zurückgibt, dass die Logsenke nicht gefunden wurde, führen Sie den Befehl nach ein oder zwei Minuten noch einmal aus. Sie können das Dienstkonto im Feld writerIdentity der Senkenbeschreibung aufrufen, wie im folgenden Beispiel gezeigt:

   createTime: '2023-04-06T02:26:54.716195307Z'
   destination:
   logging.googleapis.com/projects/123456/locations/global/buckets/_Default
   filter: xxx
   name: fleet-o11y-default
   updateTime: '2023-04-06T19:03:51.598668462Z'
   writerIdentity:
   serviceAccount:service-123456@gcp-sa-logging.iam.gserviceaccount.com
   

2. Weisen Sie dem abgerufenen Dienstkonto die Rolle roles/logging.bucketWriter zu:

   gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \
       --member "SERVICE_ACCOUNT" \
       --role "roles/logging.bucketWriter"
   

   Dabei gilt:

   • SERVICE_ACCOUNT ist der Name des Dienstkontos, das im vorherigen Schritt abgerufen wurde. Beispiel:
   gcloud projects add-iam-policy-binding FLEET_HOST_PROJECT_ID \
       --member "serviceAccount:service-123456@gcp-sa-logging.iam.gserviceaccount.com" \
       --role "roles/logging.bucketWriter"
   

Teamzugriff auf Logs gewähren

In diesem Abschnitt wird beschrieben, wie Sie Nutzern Zugriff auf Containerlogs und Pod-Logs gewähren.

1. Rufen Sie die IAM-Richtlinie für das Flottenprojekt ab und schreiben Sie sie in eine lokale Datei im JSON-Format:

   gcloud projects get-iam-policy FLEET_HOST_PROJECT_ID --format json > output.json
   

2. Fügen Sie eine IAM-Bedingung hinzu, mit der das Nutzerkonto Daten aus dem von Ihnen erstellten Log-Bucket aufrufen kann. Hier ist ein Beispiel zum Aufrufen von Containerlogs und Pod-Logs:

   {
     "bindings": [
       {
         "members": [
           "user:USER_ACCOUNT_EMAIL"
         ],
         "role": "roles/logging.viewAccessor",
         "condition": {
             "title": "Bucket reader condition example",
             "description": "Grants logging.viewAccessor role to user USER_ACCOUNT_EMAIL for the fleet-o11y-scope-SCOPE_NAME-k8s_container and fleet-o11y-scope-SCOPE_NAME-k8s_pod log view.",
             "expression":
               "resource.name == \"projects/FLEET_HOST_PROJECT_ID/locations/global/buckets/fleet-o11y-scope-SCOPE_NAME/views/fleet-o11y-scope-SCOPE_NAME-k8s_container\" || resource.name == \"projects/FLEET_HOST_PROJECT_ID/locations/global/buckets/fleet-o11y-scope-SCOPE_NAME/views/fleet-o11y-scope-SCOPE_NAME-k8s_pod\""
         }
       }
     ],
   }
   

3. Aktualisieren Sie die IAM-Richtlinie:

   gcloud projects set-iam-policy FLEET_HOST_PROJECT_ID output.json
   

Weitere Optionen zum Gewähren des Zugriffs finden Sie unter Zugriff auf eine Logansicht steuern.

Flottenlogs ansehen

Plattformadministratoren haben Lesezugriff auf alle Logs in allen Namespaces.

Standardlogs

Um alle Standardlogs im _Default-Bucket in Ihrem Flotten-Hostprojekt anzuzeigen, geben Sie die Variablen in der folgenden URL ein, kopieren Sie sie und fügen Sie sie in Ihren Browser ein:

https://console.cloud.google.com/logs/query;query=;storageScope=storage,projects%2FFLEET_HOST_PROJECT_ID%2Flocations%2Fglobal%2Fbuckets%2F_Default%2Fviews%2F_Default?jsmode=O&mods=pan_ng2&project=FLEET_HOST_PROJECT_ID

Containerlogs und Pod-Logs des Flottenbereichs

Dienstoperatoren können Logs in den Namespaces aufrufen, auf die sie Zugriff haben. Führen Sie die folgenden Schritte aus, um Logs für alle Namespaces in einem bestimmten Flottenbereich aufzurufen:

1. Nachdem Sie Ihr Flotten-Hostprojekt ausgewählt haben, rufen Sie in der Google Cloud Console den Abschnitt Teams auf.

   Zu Teams

2. Klicken Sie auf den Teambereich, dessen Logs Sie ansehen möchten, und klicken Sie auf den Tab Logs.

3. Wählen Sie Containerlogs oder Pod-Logs aus, um die Logansicht zu filtern.

So rufen Sie Logs für einen bestimmten Namespace in Ihrem Bereich auf:

1. Klicken Sie auf der Seite Teams mit ausgewähltem Teambereich auf den Tab Namespaces.
2. Klicken Sie auf den Namespace, dessen Logs Sie ansehen möchten, und klicken Sie auf den Tab Logs.
3. Wählen Sie entweder Containerlogs oder Pod-Logs aus, um die Logansicht zu filtern.

Alternativ können Sie zum Aufrufen von Containerlogs die Variablen in die folgende URL eingeben, kopieren und in Ihren Browser einfügen:

https://console.cloud.google.com/logs/query;query=;storageScope=storage,projects%2FFLEET_HOST_PROJECT_ID%2Flocations%2Fglobal%2Fbuckets%2Ffleet-o11y-scope-SCOPE_NAME%2Fviews%2Ffleet-o11y-scope-SCOPE_NAME-k8s_container?jsmode=O&mods=pan_ng2&project=FLEET_HOST_PROJECT_ID

Wenn Sie Pod-Logs in einem bestimmten Fleet-Bereich aufrufen möchten, geben Sie die Variablen in der folgenden URL ein, kopieren Sie sie und fügen Sie sie in Ihren Browser ein:

https://console.cloud.google.com/logs/query;query=;storageScope=storage,projects%2FFLEET_HOST_PROJECT_ID%2Flocations%2Fglobal%2Fbuckets%2Ffleet-o11y-scope-SCOPE_NAME%2Fviews%2Ffleet-o11y-scope-SCOPE_NAME-k8s_pod?jsmode=O&mods=pan_ng2&project=FLEET_HOST_PROJECT_ID

Weitere Informationen zum Analysieren von Logdaten finden Sie unter Oberfläche des Log-Explorers.

Flotten-Logging deaktivieren

Führen Sie die folgenden Schritte aus, um das Flotten-Logging-Feature zu deaktivieren:

  resource "google_gke_hub_feature" "feature" {
    name = "fleetobservability"
    location = "global"
    spec {
      fleetobservability {
        logging_config {
          default_config {
            mode = "MODE_UNSPECIFIED"
          }
          fleet_scope_logs_config {
            mode = "MODE_UNSPECIFIED"
          }
        }
      }
    }
  }

Prüfen Sie, ob die Featurespezifikation aktualisiert wurde:

   gcloud container fleet fleetobservability describe
  

Die Ausgabe zeigt die fleetobservability-Spezifikation, die mit Ihrer Konfiguration aktualisiert wurde:

  createTime: '2022-09-30T16:05:02.222568564Z'
  membershipStates:
    projects/123456/locations/global/memberships/cluster-1:
      state:
        code: OK
        description: Fleet monitoring enabled.
        updateTime: '2023-04-03T20:22:51.436047872Z'
  name:
  projects/123456/locations/global/features/fleetobservability
  resourceState:
    state: ACTIVE
  spec:
    fleetobservability:
      loggingConfig: {}
  state:
    state: {}
  updateTime: '2023-04-03T20:38:17.719596966Z'
  

Es kann einige Minuten dauern, bis Änderungen an der Spezifikation fleetobservability übernommen werden.

Nach dem Deaktivieren des Flotten-Loggings werden Logsenken und Ausschlussfilter aus Ihren Projekten entfernt. Alle für den Bereich erstellten Log-Buckets und unter dem Log-Bucket erstellte Logansichten bleiben jedoch erhalten. Informationen zum Löschen des Log-Buckets in Ihrem Flotten-Hostprojekt finden Sie unter Bucket löschen.

Aufbewahrungsdauer für Log-Buckets aktualisieren

Die standardmäßige Aufbewahrungsdauer eines Log-Buckets beträgt 30 Tage. Führen Sie den folgenden Befehl aus, um diesen Zeitraum zu aktualisieren:

gcloud logging buckets update fleet-o11y-scope-SCOPE_NAME --location=global --retention-days=RETENTION_DAYS

Dabei gilt:

• SCOPE_NAME ist der Name des Flottenbereichs.

• RETENTION_DAYS ist die Anzahl der Tage der neuen Aufbewahrungsdauer. Weitere Optionen zum Konfigurieren von Log-Buckets finden Sie unter Buckets verwalten.

Wenn Sie die Aufbewahrungsdauer eines Buckets verlängern, gelten die Aufbewahrungsregeln in Zukunft und nicht rückwirkend. Logs können nach Ablauf der Aufbewahrungsdauer nicht wiederhergestellt werden.

API-Referenz

Dieser Abschnitt enthält Informationen zu den möglichen Feldern, die Sie Ihrem fleetobservability-Objekt hinzufügen können.

Flottenbeobachtbarkeit

fleetobservability definiert die Konfiguration der Flotten-Beobachtbarkeit.

loggingConfig

loggingConfig definiert die Konfiguration der Flotten-Logging-Features in der Beobachtbarkeit der Flotte.

routingConfig

routingConfig definiert die Konfiguration des Logrouting-Modus im Flotten-Logging-Feature.

Namensbeschränkungen

Wenn die Beobachtbarkeit der Flotte aktiviert ist, reserviert der Flotten-Beobachtbarkeits-Controller die folgenden Namen für die erstellten Logobjekte. Um unerwünschtes oder unerwartetes Verhalten zu vermeiden, sollten Sie diese Namen nicht verwenden, wenn Sie Ihre eigenen Log-Buckets und Senken erstellen und Ausschlussfilter festlegen.

Fehlerbehebung

In diesem Abschnitt wird beschrieben, wie Sie Probleme mit Flotten-Logging beheben.

E-Mail-Benachrichtigung zu Fehlern in der Senkenkonfiguration

Wenn Sie eine E-Mail mit dem Titel [ACTION REQUIRED] Cloud Logging sink configuration error in <Your GCP Project> erhalten haben, ist das Dienstkonto der Logsenke nicht berechtigt, Logs in das Ziel der Senke zu schreiben. Führen Sie die Schritte unter Projektübergreifende Logging-Berechtigungen aus, um dieses Problem zu beheben.

Unbekannte Fehlermeldung in der Cloud Logging-UI

Wenn der folgende Fehler in der Cloud Logging-UI angezeigt wird, prüfen Sie, ob die in der URL eingegebenen Variablen project_id und scope korrekt sind.

Error: There is an unknown error while executing this operation.

Fehler „Mitgliedschaft nicht gefunden“

Möglicherweise wird der folgende Fehler angezeigt:

ERROR: (gcloud.alpha.container.fleet.memberships.bindings.create) NOT_FOUND: Resource 'parent resource not found for projects/...' was not found

Prüfen Sie, ob Sie den Cluster in einer Flotte registriert haben.