Configurer les paramètres par défaut pour les organisations et les dossiers

Ce document explique comment configurer les paramètres par défaut de la journalisation à l'aide de la Google Cloud CLI. Les paramètres par défaut, qui peuvent être appliqués à une organisation ou à un dossier, peuvent déterminer les éléments suivants:

• Indique si une clé de chiffrement gérée par le client (CMEK) est requise pour les nouveaux buckets de journaux.

• Emplacement de stockage des nouveaux buckets _Default et _Required, ainsi que des requêtes exécutées sur les pages Explorateur de journaux ou Analyse de journaux.

• Indique si le récepteur _Default est activé ou désactivé.

• Filtre appliqué au collecteur _Default des nouvelles ressources.

Présentation

La ressource Organisation se trouve au niveau le plus élevé de la hiérarchie des ressources Google Cloud. La ressource d'organisation est le parent de ces ressources enfants : projets Google Cloud, dossiers, comptes de facturation et, en ce qui concerne la journalisation, buckets de journaux.

Vous pouvez configurer la journalisation pour qu'elle utilise les paramètres par défaut pour une organisation Google Cloud et pour les dossiers. Lorsque vous créez des ressources, elles héritent des paramètres par défaut de leur parent.

Cloud Logging est compatible avec les paramètres par défaut suivants:

• Indique si les nouveaux buckets de journaux d'une ressource doivent être chiffrés avec une clé gérée par le client. Si oui, indique la clé Cloud KMS par défaut à utiliser pour le chiffrement.

• Emplacement de stockage des nouveaux buckets de journaux _Default et _Required créés par les ressources enfants, ainsi que des requêtes enregistrées par les pages Explorateur de journaux ou Log Analytics. En définissant l'emplacement de stockage, vous pouvez contrôler l'emplacement de vos journaux.

  Si vous définissez un emplacement de stockage par défaut pour une ressource et que vous ne configurez pas CMEK pour cette ressource, les nouveaux buckets de journaux de la ressource n'exigent pas CMEK.

• Indique si le sink de journal _Default est activé ou désactivé pour les nouveaux projets de la ressource.

• Filtres d'inclusion ou d'exclusion appliqués à tous les nouveaux récepteurs _Default dans les ressources enfants.

Exemples de configurations:

• Vous configurez un emplacement de stockage par défaut pour une organisation. Pour les nouveaux projets de l'organisation, les buckets de journaux _Default et _Required sont créés à l'emplacement spécifié. De plus, les requêtes enregistrées par les pages Explorateur de journaux ou Analyse de journaux sont stockées à l'emplacement spécifié. Ces requêtes incluent les requêtes récentes qui sont enregistrées automatiquement après leur exécution et les requêtes enregistrées par les membres du projet Google Cloud.

• Vous configurez un emplacement de stockage par défaut pour une organisation et un emplacement de stockage par défaut pour chaque dossier de cette organisation. Pour les nouveaux projets situés dans un dossier, les buckets _Default et _Required sont créés à l'emplacement spécifié par les paramètres du dossier. Pour les projets qui ne se trouvent pas dans un dossier, leurs buckets _Default et _Required sont créés à l'emplacement spécifié par les paramètres de l'organisation.

• Vous configurez CMEK pour une organisation et, pour le dossier nommé Non-CMEK, vous ne définissez que l'emplacement de stockage par défaut. Si vous créez un projet qui ne se trouve pas dans le dossier nommé Non-CMEK, les buckets _Default et _Required sont créés au même emplacement que la clé Cloud Key Management Service, et ces buckets de journaux sont chiffrés par cette clé. Toutefois, si vous créez un projet dans le dossier nommé Non-CMEK, ses buckets de journaux sont créés dans les emplacements spécifiés par le paramètre de ce dossier, et ces buckets de journaux ne sont pas chiffrés par CMEK.

• Vous configurez un filtre d'exclusion qui s'applique aux nouveaux récepteurs _Default au niveau de l'organisation. Le filtre empêche les journaux d'audit pour l'accès aux données d'être acheminés via le récepteur _Default dans toutes les ressources enfants, ce qui empêche leur stockage dans le bucket _Default.

Avant de commencer

Ce document ne contient pas d'informations sur la configuration de CMEK comme paramètre par défaut pour la journalisation. Pour en savoir plus, consultez la section Configurer CMEK pour la journalisation.

Pour commencer à configurer les paramètres par défaut de la journalisation, procédez comme suit:

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. Assurez-vous que votre rôle Identity and Access Management dans l'organisation ou le dossier dont vous souhaitez configurer les paramètres par défaut inclut l'autorisation Cloud Logging suivante:

   • logging.settings.get
   • logging.settings.update

3. Identifiez l'emplacement où vous souhaitez stocker vos journaux et requêtes. Pour obtenir la liste des emplacements de stockage compatibles, consultez la section Régions compatibles.

Afficher les paramètres par défaut de la journalisation

Pour afficher les paramètres par défaut de la journalisation, y compris l'emplacement de stockage par défaut, utilisez la commande gcloud logging settings describe:

 gcloud logging settings describe --folder=FOLDER_ID

gcloud logging settings describe --organization=ORGANIZATION_ID

La commande précédente renvoie des informations sur les paramètres par défaut. Par exemple, l'exemple suivant montre les paramètres par défaut d'une organisation spécifique:

name: organizations/ORGANIZATION_ID/settings
kmsKeyName: KMS_KEY_NAME
kmsServiceAccountId: SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com
storageLocation: europe-west1
disableDefaultSink: false

La valeur de SERVICE_ACCT_NAME peut avoir le format cmek-12345 ou service-12345@.... Si vous ne pouvez pas utiliser Google Cloud CLI, exécutez la méthode API Cloud Logging getSettings.

Définir l'emplacement de stockage par défaut

Les buckets de journaux sont les conteneurs de vos projets, comptes de facturation, dossiers et organisations Google Cloud qui stockent et organisent vos données de journaux. Pour chaque projet Google Cloud, compte de facturation, dossier et organisation, Logging crée automatiquement deux buckets de journaux: _Required et _Default, qui sont automatiquement stockés à l'emplacement global.

Lorsque vous définissez l'emplacement de stockage par défaut d'une organisation ou d'un dossier, vous spécifiez l'emplacement où les nouveaux buckets de journaux _Required et _Default sont créés, ainsi que l'emplacement où les requêtes que vous exécutez sur les pages Explorateur de journaux et Log Analytics sont stockées. Définir l'emplacement de stockage par défaut n'a aucune incidence sur l'emplacement des buckets de journaux existants. De même, l'emplacement de stockage des requêtes enregistrées n'est pas modifié.

Une fois que vous avez configuré l'emplacement de stockage par défaut pour une organisation ou un dossier, les événements suivants se produisent:

• Pour les nouvelles ressources enfants créées dans l'organisation ou le dossier, leurs buckets _Required et _Default héritent de l'emplacement de stockage par défaut.

• Les nouvelles requêtes que vous exécutez sur les pages Explorateur de journaux ou Analyse de journaux sont enregistrées dans l'emplacement de stockage par défaut. Cet emplacement s'applique également aux requêtes récentes qui sont automatiquement enregistrées.

L'emplacement de stockage par défaut de Cloud Logging ne s'applique pas aux buckets de journaux définis par l'utilisateur ni aux requêtes enregistrées à l'aide de l'API Logging.

Configurer les règles d'administration

La journalisation est compatible avec les règles d'administration qui peuvent restreindre les emplacements où les données peuvent être stockées. Si une telle règle existe pour votre organisation, vous ne pouvez créer des buckets de journaux qu'aux emplacements autorisés par la règle.

Lorsqu'une règle d'administration spécifiant une contrainte d'emplacement existe, les valeurs de la règle pour la contrainte doivent inclure l'emplacement spécifié dans les paramètres par défaut de la journalisation. De plus, si vous prévoyez de modifier vos paramètres par défaut, avant de le faire, examinez et, si nécessaire, mettez à jour les règles d'administration.

Pour afficher ou mettre à jour les règles d'administration, procédez comme suit:

1. Dans la console Google Cloud, accédez à la page Règles d'administration:

   Accédez à Règles d'administration.

   Si vous utilisez la barre de recherche pour trouver cette page, sélectionnez le résultat dont le sous-titre est IAM et administration.

2. Sélectionnez votre organisation.

3. Affichez et, si nécessaire, mettez à jour la contrainte avec l'ID constraints/gcp.resourceLocations. Si cette contrainte n'est pas configurée, aucune mise à jour n'est requise.

   Pour savoir comment afficher des contraintes spécifiques et les modifier, consultez la section Créer et modifier des règles.

Configurer l'emplacement de stockage par défaut pour la journalisation

Pour configurer l'emplacement de stockage par défaut de Cloud Logging, exécutez la commande gcloud logging settings update et incluez l'option --storage-location:

gcloud logging settings update --folder=FOLDER_ID--storage-location=LOCATION

gcloud logging settings update --organization=ORGANIZATION_ID --storage-location=LOCATION

Si vous ne pouvez pas utiliser Google Cloud CLI, exécutez la méthode API Cloud Logging updateSettings.

Pour savoir comment résoudre les erreurs lors de la mise à jour de l'emplacement de stockage par défaut, consultez la section Résoudre les problèmes de paramétrage de l'emplacement des ressources par défaut.

Configurer le récepteur _Default

Logging fournit un récepteur _Default prédéfini pour chaque projet Google Cloud, compte de facturation, dossier et ressource d'organisation. Tout journal généré dans la ressource qui correspond au filtre d'inclusion et qui n'est pas exclu est acheminé vers le bucket _Default prédéfini de la ressource.

Vous pouvez configurer les paramètres par défaut du collecteur _Default pour votre organisation et vos dossiers avec les options suivantes:

• Vous pouvez désactiver la création d'un récepteur _Default pour les nouvelles ressources enfants.

• Vous pouvez configurer un filtre d'inclusion ou plusieurs filtres d'exclusion qui s'appliquent aux récepteurs _Default des nouveaux projets.

Désactiver le récepteur _Default

Vous pouvez désactiver les récepteurs _Default pour toutes les nouvelles ressources d'une organisation ou d'un dossier. La désactivation des récepteurs _Default empêche le stockage des journaux dans le bucket _Default de la ressource. Si vous arrêtez de stocker des journaux dans le bucket _Default d'une ressource, les journaux qui auraient été acheminés vers ce bucket sont exclus du stockage dans Logging, sauf s'ils sont explicitement inclus dans un autre collecteur défini par l'utilisateur pour cette ressource.

Pour désactiver les récepteurs _Default pour une ressource et l'une de ses ressources enfants, exécutez la commande gcloud logging settings update suivante:

gcloud logging settings update --folder=FOLDER_ID--disable-default-sink

gcloud logging settings update --organization=ORGANIZATION_ID --disable-default-sink

L'indicateur disable-default-sink ne s'applique qu'au collecteur _Default qui achemine les journaux vers le bucket _Default.

Vous pouvez réactiver les écoulements _Default en exécutant la commande gcloud logging settings update suivante:

gcloud logging settings update --folder=FOLDER_ID--no-disable-default-sink

gcloud logging settings update --organization=ORGANIZATION_ID --no-disable-default-sink

Configurer le filtre par défaut des récepteurs _Default

Le récepteur _Default prédéfini achemine toutes les entrées de journal correspondant aux critères du récepteur vers le bucket _Default correspondant. Vous pouvez envoyer une commande de l'API Cloud Logging pour remplacer le filtre d'inclusion intégré dans le récepteur _Default ou pour ajouter un filtre. Le filtre d'exclusion intégré du récepteur _Default est vide. Toutefois, la commande de l'API vous permet également d'ajouter des filtres d'exclusion.

Pour spécifier un filtre d'inclusion ou d'exclusion appliqué à tous les récepteurs _Default de nouvelles ressources dans une organisation ou un dossier, exécutez la méthode updateSettings de l'API Cloud Logging et spécifiez l'objet defaultSinkConfig.

Vous pouvez exécuter la méthode updateSettings à l'aide du widget API Explorer sur la page de référence de la méthode. L'exemple suivant illustre des exemples de paramètres:

• name (URL) : organizations/ORGANIZATION_ID/settings
• updateMask : "default_sink_config"

• Corps de la requête, qui contient une instance de Settings:

  "defaultSinkConfig": {
    {
    "filter": "NOT LOG_ID(\"externalaudit.googleapis.com/activity\") "
    "AND NOT LOG_ID(\"cloudaudit.googleapis.com/system_event\") "
    "AND NOT LOG_ID(\"externalaudit.googleapis.com/system_event\") "
    "AND NOT LOG_ID(\"cloudaudit.googleapis.com/access_transparency\") "
    "AND NOT LOG_ID(\"externalaudit.googleapis.com/access_transparency\") ",
    "exclusions": [
       {
          "name": "exclude-data-access",
          "description": "Prevents Data Access audit logs from being routed",
          "filter": "log_id(\"cloudaudit.googleapis.com/data_access\")",
       }
    ],
    "mode": OVERWRITE
    }
  }
  

Le filtre d'inclusion intégré pour le collecteur _Default inclut l'instruction AND NOT LOG_ID("externalaudit.googleapis.com/activity"), qui empêche les journaux d'audit des activités d'administration d'être acheminés vers le bucket de journaux _Default. Dans l'exemple précédent, le filtre d'inclusion est modifié afin que les journaux d'audit des activités d'administration soient acheminés vers le bucket de journaux _Default. L'exemple ajoute également un filtre d'exclusion qui empêche l'acheminement des journaux d'audit d'accès aux données vers le bucket _Default. Dans l'exemple précédent, le filtre d'exclusion est nommé exclude-data-access.

Résoudre les erreurs de configuration

Pour obtenir des informations de dépannage, consultez la page Résoudre les erreurs CMEK et de paramètres par défaut.