このページは Cloud Translation API によって翻訳されました。

アラートポリシーを使用して SQL クエリの結果をモニタリングする
コレクションでコンテンツを整理必要に応じて、コンテンツの保存と分類を行います。

このドキュメントでは、Log Analytics で実行したクエリの結果をモニタリングするアラートポリシーを作成する方法について説明します。これらのクエリは SQL で記述され、ログビューに対してクエリを実行する必要があります。アラートポリシーは、クエリ結果が指定した条件を満たしたときに通知します。たとえば、特定の期間のログエントリの 25% 以上が ERROR の重大度の場合に通知されるようにアラートポリシーを構成できます。

[ログ分析] ページから作成したアラートポリシーは、BigQuery エンジンで実行されます。したがって、クエリ対象のデータには、リンクされた BigQuery データセットからアクセスできる必要があります。そのため、これらの SQL クエリでクエリできるのはログビューのみです。アナリティクスビューをクエリすることはできません。

ログ分析の概要については、ログ分析でログをクエリして分析するをご覧ください。

アラートポリシーの仕組み

アラートポリシーでは、アラートを受け取る状況とインシデントの通知方法を記述します。ログデータにコンテンツやパターンが検出されたときに通知を受け取る方法は 3 つあります。

特定のフレーズを個々のログエントリでスキャンするには、ログベースのアラートポリシーを作成します。セキュリティ関連のイベントなどの通知を受け取る必要がある場合は、これらのアラートポリシーを使用します。
ログエントリデータ内のイベントをモニタリングするには、ログベースの指標を作成し、指標をモニタリングするアラートポリシーを作成します。このようなタイプのアラートポリシーは、時間の経過に伴うログエントリデータの傾向をモニタリングする場合に効果的です。ただし、イベントが数件しかない場合は、それほど効果的ではありません。
ログエントリデータの集計分析をモニタリングするには、Log Analytics とアラートポリシーを組み合わせます。このシナリオでは、Log Analytics を使用するようにログバケットをアップグレードし、そのログバケットのリンクされた BigQuery データセットを作成します。次に、SQL クエリをサポートするログ分析を使用して、ログバケットのログビューをクエリします。最後に、SQL クエリの結果をモニタリングするアラートポリシーを作成します。このタイプのアラートポリシーは、SQL ベースのアラートポリシーと呼ばれます。

SQL ベースのアラートポリシーは、複数のログエントリで正確な値を評価する場合に最も効果的です。個々のログエントリを評価する場合は、ログベースのアラートポリシーを作成します。

このドキュメントの残りの部分では、SQL ベースのアラートポリシーの使用方法について説明します。

通知ポリシーのコンポーネント

SQL ベースのアラートポリシーには、条件とスケジュールが含まれます。

条件には、ログビューにクエリを実行する SQL クエリであるクエリが含まれます。この条件では、クエリ結果が原因で Monitoring がインシデントを作成する状況も定義します。
スケジュールは、アラートポリシーがクエリを実行する頻度を定義します。スケジュールでは、ルックバックウィンドウのサイズも定義します。これは、クエリが前回評価されてから受信されたログエントリのみを選択するフィルタです。たとえば、スケジュールを 60 分に設定すると、クエリは 60 分ごとに実行され、直近 60 分間のログエントリを選択するルックバックウィンドウが使用されます。

アラートポリシーには、通知チャンネルのリストも含まれています。アラートポリシーの条件が満たされると、Cloud Monitoring はインシデントを作成し、これらのチャネルを通じてインシデントに関する通知を送信します。インシデントは、条件が満たされた原因となったデータとその他の関連情報を記録したものです。この情報は、インシデントの原因となった問題のトラブルシューティングに役立ちます。インシデントを確認するには、Google Cloud コンソールを使用します。

SQL ベースのアラートポリシーの評価タイプ

SQL クエリの結果をモニタリングする条件は、次の 2 種類の評価をサポートしています。

行数しきい値: クエリ結果の行数がしきい値の値より大きい場合、または同じか小さい場合に条件が満たされます。

たとえば、ルックバックウィンドウ内の 50 件を超えるログエントリの重大度が 200 を超えたときに通知を受け取るとします。重大度が 200 を超えるログエントリを報告するクエリを作成します。次に、条件を構成し、[行数のしきい値] を選択し、しきい値を 50 に設定します。
ブール値: クエリ結果テーブルの特定のブール列に true の値を持つ行が含まれている場合、条件が満たされます。

たとえば、ルックバックウィンドウ内のログエントリの 25% を超える重大度が ERROR の場合に通知を受け取るとします。重大度レベルが ERROR のログエントリの割合を計算するクエリを作成します。割合が 25% を超えると、クエリ結果は true を notify 列に書き込みます。次に、条件を作成し、タイプを ブール値に設定し、notify 列をモニタリングするように条件を構成します。

SQL クエリの結果をモニタリングするアラートポリシーに含めることができる条件は 1 つだけです。

アラートポリシーと BigQuery

アラートポリシーが SQL クエリを実行すると、そのクエリは、アラートポリシーが定義されている Google Cloud プロジェクトで予約された BigQuery スロットを使用して実行されます。詳細については、スロット予約の操作をご覧ください。

予約済みの BigQuery スロットを使用してログビューをクエリするアラートポリシーの場合、ログビューをホストするログバケットにリンクされた BigQuery データセットが構成されている必要があります。リンクされたデータセットを使用すると、BigQuery はログバケット内のデータを読み取ることができ、SQL クエリから返されたデータに対して BigQuery 関数を実行できます。

評価されたログエントリ

ログエントリがアラートポリシーの SQL クエリによって評価されるには、次の両方の条件を満たしている必要があります。

ログエントリの受信タイムスタンプ（Cloud Logging がログエントリを受信した時刻を記録）は、アラートポリシーのルックバックウィンドウ内にする必要があります。
ログエントリの生成時刻を記録するログエントリのタイムスタンプは、ルックバックウィンドウの 15 分以内にする必要があります。

たとえば、SQL ベースのアラートポリシーのルックバックウィンドウが 60 分の場合、ログ分析は、午後 1 時 30 分にアラートポリシーの SQL クエリを実行します。クエリに含めるには、ログエントリが次の両方の条件を満たしている必要があります。

受信したタイムスタンプは午後 12 時 30 分から午後 1 時 30 分の間にする必要があります。
タイムスタンプは午後 12 時 15 分から午後 1 時 45 分の間にする必要があります。

ログ分析のインターフェースからクエリを実行すると、選択した期間内のすべてのログエントリがログエントリのタイムスタンプに基づいて評価されます。

始める前に

ログ分析の使用に必要な権限を取得するには、ログバケットまたはログビューに対する次の IAM ロールの付与を管理者に依頼してください。
- _Required および _Default のログバケットに対してクエリを実行するには: 　　ログ閲覧者（roles/logging.viewer）
- プロジェクト内のすべてのログビューをクエリするには: ログビューアクセサー（roles/logging.viewAccessor）
- 特定のログビューでログをクエリするには、ログビューの IAM ポリシーを作成するか、ログビューアクセサー（roles/logging.viewAccessor）ロールを特定のログビューに制限します。詳細については、ログビューへのアクセスを制御するをご覧ください。
その他のロールについては、Logging のロールをご覧ください。
クエリを実行するログビューで、[ログストレージ] ページに移動し、これらのログビューを格納するログバケットが、ログ分析を使用するようにアップグレードされていることを確認します。必要に応じて、ログバケットをアップグレードします。

Google Cloud コンソールで、[ログストレージ] ページに移動します。

[ログストレージ] に移動

検索バーを使用してこのページを検索する場合は、小見出しが [Logging] の結果を選択します。

予約済みの BigQuery スロットでクエリの実行を有効にするには、次の操作を行います。
1. クエリするログバケットにリンクされたデータセットがない場合は、そのログバケットにリンクされたデータセットを作成します。
2. 予約済みの BigQuery スロットを構成し、Google Cloud プロジェクトに割り当てる。

SQL ベースのアラートポリシーの作成と管理に必要な権限を取得するには、次の IAM ロールを付与するよう管理者に依頼してください。
- プロジェクトに対するモニタリング編集者（roles/monitoring.editor）
- プロジェクトに対するロギング SqlAlertWriter （roles/logging.sqlAlertWriter）
- プロジェクトに対する BigQuery ジョブユーザー（roles/bigquery.jobUser）
- リンクされたデータセットに対する BigQuery データ閲覧者（roles/bigquery.dataViewer）
データセットへのアクセス権の付与については、データセットへのアクセス権を付与するをご覧ください。
モニタリングサービスアカウントが存在し、次のロールがあることを確認します。
1. プロジェクトに対するMonitoring サービスエージェント（roles/monitoring.notificationServiceAgent）。
2. リンクされたデータセットに対する BigQuery データ閲覧者（roles/bigquery.dataViewer）。
Monitoring サービスアカウントが存在しない場合は、トラブルシューティング: Monitoring サービスアカウントがないをご覧ください。
インシデントの通知の受信に使用する通知チャンネルを構成します。冗長性を確保するために、複数のタイプの通知チャンネルを作成することをおすすめします。詳細については、通知チャンネルを作成して管理するをご覧ください。

SQL ベースのアラートポリシーを作成する

SQL ベースのアラートポリシーを作成するには、次の操作を行います。

Google Cloud コンソール

Google Cloud コンソールで、[ログ分析] ページに移動します。
[ログ分析] に移動

検索バーを使用してこのページを検索する場合は、小見出しが [Logging] の結果を選択します。
[ログ分析] ページのクエリエディタで、ログビューの SQL クエリを入力します。

注: アラートポリシーのクエリを構成する場合は、WHERE 句を使用してログエントリをタイムスタンプでフィルタしないでください。ログ分析は、クエリを評価するときに、評価された各ログエントリに正しいタイムスタンプフィルタを自動的に適用します。
ログビューの SQL クエリの作成の詳細については、ログビューをクエリするをご覧ください。
ツールバーで [BigQuery で実行] をクリックします。

ログ分析は BigQuery エンジンでクエリを実行し、結果を [結果] テーブルに表示します。

[BigQuery で実行] が表示されない場合は、[ クエリエンジンを選択]、[BigQuery] の順にクリックします。[クエリを実行] ボタンが [BigQuery で実行] に変わります。
[ログ分析] ページの [結果] 表で、 [アラートを作成] をクリックします。

[ログ分析] ページに [SQL アラートポリシーを作成] ウィンドウが表示されます。[SQL クエリ] セクションにクエリが表示されます。
[アラート条件] セクションで、アラートポリシーの条件とスケジュールを構成します。
アラートポリシーのアラートの詳細を構成します。
1. 省略可: アラートポリシーのラベルとドキュメントを追加します。
2. 通知チャンネルを追加し、[次へ] をクリックします。
アラートポリシーを確認し、[保存] をクリックして作成します。

Cloud Monitoring API

alertPolicies.create メソッドを使用して、アラートポリシーをプログラムで作成します。アラートポリシーの Condition タイプは conditionSql にする必要があります。これは SqlCondition のインスタンスです。この条件タイプを使用すると、アラートポリシーの条件を SQL で定義できます。

スケジュールを定義するには、minutes、hours、または days フィールドのいずれかに periodicity 値を設定します。たとえば、クエリを 12 時間ごとに実行する場合は、hours フィールドの周期を 12 に設定します。

条件を定義するには、次のフィールドを使用します。

boolean_test: クエリ結果テーブルのブール列の行に true 値が含まれている場合に条件が満たされるようにアラートポリシーを構成します。
row_count_test: クエリ結果テーブルの行数が特定のしきい値に達したときに条件が満たされるように、アラートポリシーを構成します。

フィールドと定義の一覧については、Cloud Monitoring API ドキュメントの SqlCondition をご覧ください。

アラートポリシー用の Monitoring API の詳細については、API によるアラートポリシーの管理をご覧ください。

Terraform

プロジェクトに Terraform をインストールして構成します。App Hub 構成の場合は、App Hub ホストプロジェクトまたはアプリ対応フォルダの管理プロジェクトを選択します。
Cloud Shell で、Terraform 構成を含むディレクトリに移動します。
Terraform 構成で、google_monitoring_alert_policy リソースのインスタンスを構成します（condition_sql など）。
Cloud Shell で、「terraform apply」と入力します。

アラートポリシーを変更するには、Terraform の構成を編集して再適用します。詳細については、Terraform でアラートポリシーを管理するをご覧ください。

Terraform で Google Cloud を使用する場合の一般的な情報については、 Google Cloudでの Terraform をご覧ください。

制限事項

アラートポリシーの条件の評価がスケジュールされている場合、SQL クエリの実行は 5 分遅延されます。これは、Cloud Logging がルックバックウィンドウ中に受信したログエントリをインデックスに登録する時間を確保するためです。たとえば、アラートポリシーで午後 2 時に終了するルックバックウィンドウを使用している場合、SQL クエリは午後 2 時 5 分まで実行されません。

SQL ベースのアラートポリシーごとに 1 つのアラート条件を設定できます。
SQL ベースのアラートポリシーによって発行されたクエリは、実行時間が 5 分を超えると失敗します。エラーが発生すると、エラーがログに記録されます。
SQL ベースのアラートポリシーでは、分析ビューをクエリできません。

アラートポリシーに関連付けられている上限の一覧については、モニタリングの上限をご覧ください。

料金

料金については、次のドキュメントをご覧ください。

BigQuery の料金
Google Cloud Observability の料金ドキュメントの Cloud Logging
Google Cloud Observability の料金ドキュメントの Cloud Monitoring

次のステップ

ログ分析データからグラフを作成する方法については、ログ分析でクエリの結果をグラフ化するをご覧ください。
これらのアラートポリシーのインシデントの管理については、SQL ベースのアラートポリシーのインシデントをご覧ください。