조직 및 폴더의 기본 설정 구성

이 문서에서는 Google Cloud CLI를 사용하여 Logging 기본 설정을 구성하는 방법을 설명합니다. 조직 또는 폴더에 적용할 수 있는 기본 설정은 다음을 결정할 수 있습니다.

• 새 로그 버킷에 고객 관리 암호화 키(CMEK)가 필요한지 여부

• 새 _Default 및 _Required 버킷의 스토리지 위치와 로그 탐색기 또는 로그 애널리틱스 페이지에서 실행되는 쿼리의 스토리지 위치

• _Default 싱크가 사용 설정 또는 중지되었는지 여부

• 새 리소스의 _Default 싱크에 적용되는 필터

개요

조직 리소스는 Google Cloud 리소스 계층 구조에서 최고 수준에 있습니다. 조직 리소스는 Google Cloud 프로젝트, 폴더, 결제 계정, 관련 Logging, 로그 버킷과 같은 하위 리소스의 상위 항목입니다.

Logging에서 Google Cloud 조직과 폴더의 기본 설정을 사용하도록 구성할 수 있습니다. 새 리소스를 만들면 해당 리소스는 상위 항목의 기본 설정을 상속합니다.

Cloud Logging은 다음 기본 설정을 지원합니다.

• 리소스의 새 로그 버킷을 고객 관리 키로 암호화할지 여부 및 암호화하는 경우 기본 Cloud KMS 키를 암호화에 사용합니다.

• 하위 리소스에서 만든 새 _Default 및 _Required 로그 버킷의 스토리지 위치와 로그 탐색기 또는 로그 애널리틱스 페이지에서 저장한 쿼리의 스토리지 위치입니다. 스토리지 위치를 설정하면 로그 저장 위치를 제어할 수 있습니다.

  리소스의 기본 스토리지 위치를 설정하고 해당 리소스에 CMEK를 구성하지 않으면 리소스의 새 로그 버킷에는 CMEK가 필요하지 않습니다.

• 리소스 내 새 프로젝트의 _Default 로그 싱크 사용 설정 여부입니다.

• 하위 리소스 내 모든 새 _Default 싱크에 적용되는 포함 필터 또는 제외 필터입니다.

구성 예시:

• 조직의 기본 스토리지 위치를 구성합니다. 조직의 새 프로젝트의 경우 _Default 및 _Required 로그 버킷이 지정된 위치에 생성됩니다. 또한 로그 탐색기 또는 로그 애널리틱스 페이지에서 저장한 쿼리도 지정된 위치에 저장됩니다. 이러한 쿼리에는 실행 후 자동으로 저장된 최근 쿼리와 Google Cloud 프로젝트 구성원이 저장한 쿼리가 포함됩니다.

• 조직의 기본 스토리지 위치를 구성하고 조직의 각 폴더에 대한 기본 스토리지 위치를 구성합니다. 폴더에 있는 새 프로젝트의 경우 _Default 및 _Required 버킷은 폴더 설정에서 지정된 위치에 생성됩니다. 폴더에 없는 프로젝트의 경우 _Default 및 _Required 버킷은 조직 설정에서 지정된 위치에 생성됩니다.

• 이름이 Non-CMEK인 폴더와 조직에 CMEK를 구성하고 기본 스토리지 위치만 설정합니다. Non-CMEK 폴더에 없는 프로젝트를 만들면 _Default 및 _Required 버킷은 Cloud Key Management Service 키와 동일한 위치에 생성되며 이러한 로그 버킷은 이 키로 암호화됩니다. 그러나 Non-CMEK 폴더에 새 프로젝트를 만들면 해당 폴더 설정에 지정된 위치에 로그 버킷이 생성되며 이러한 로그 버킷은 CMEK로 암호화되지 않습니다.

• 새 _Default 싱크에 적용되는 제외 필터를 조직 수준에서 구성할 수 있습니다 필터는 데이터 액세스 감사 로그가 모든 하위 리소스의 _Default 싱크를 통해 라우팅되지 못하도록 제외하여 _Default 버킷에 데이터 액세스 감사 로그가 저장되지 않도록 합니다.

시작하기 전에

이 문서에는 CMEK를 Logging 기본 설정으로 구성하는 방법에 대한 정보가 포함되어 있지 않습니다. 해당 주제에 대한 자세한 내용은 Logging용 CMEK 구성을 참조하세요.

Logging 기본 설정 구성을 시작하려면 다음을 수행하세요.

1. In the Google Cloud console, activate Cloud Shell.

   Activate Cloud Shell

   At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

2. 기본 설정을 구성하려는 조직이나 폴더에 대한 Identity and Access Management 역할에 다음 Cloud Logging 권한이 포함되어 있는지 확인합니다.

   • logging.settings.get
   • logging.settings.update

3. 로그와 쿼리를 저장할 위치를 식별합니다. 지원되는 스토리지 위치 목록은 데이터 리전성: 지원되는 리전을 참조하세요.

Logging 기본 설정 보기

기본 스토리지 위치를 포함하여 Logging 기본 설정을 보려면 gcloud logging settings describe 명령어를 사용합니다.

 gcloud logging settings describe --folder=FOLDER_ID

gcloud logging settings describe --organization=ORGANIZATION_ID

이전 명령어는 기본 설정에 대한 정보를 반환합니다. 예를 들어 다음은 특정 조직의 기본 설정을 보여줍니다.

name: organizations/ORGANIZATION_ID/settings
kmsKeyName: KMS_KEY_NAME
kmsServiceAccountId: SERVICE_ACCT_NAME@gcp-sa-logging.iam.gserviceaccount.com
storageLocation: europe-west1
disableDefaultSink: false

SERVICE_ACCT_NAME 값은 cmek-12345 또는 service-12345@... 형식일 수 있습니다. Google Cloud CLI를 사용할 수 없으면 Cloud Logging API 메서드 getSettings를 실행하세요.

기본 스토리지 위치 설정

로그 버킷은 로그 데이터를 저장하고 정리하는 Google Cloud 프로젝트, 결제 계정, 폴더, 조직의 컨테이너입니다. 각 Google Cloud 프로젝트, 결제 계정, 폴더, 조직의 경우 Logging은 자동으로 로그 버킷 2개(_Required 및 _Default)을 만듭니다. 이러한 버킷은 자동으로 global 위치에 저장됩니다.

조직 또는 폴더의 기본 스토리지 위치를 설정하면 새 _Required 및 _Default 로그 버킷이 생성되는 위치와 로그 탐색기 및 로그 애널리틱스 페이지에서 실행되는 쿼리가 저장되는 위치를 지정합니다. 기본 스토리지 위치를 설정해도 기존 로그 버킷 위치는 영향을 받지 않습니다. 마찬가지로 저장된 쿼리의 스토리지 위치도 변경되지 않습니다.

조직 또는 폴더의 기본 스토리지 위치를 구성하면 다음이 수행됩니다.

• 조직 또는 폴더에서 생성된 새 하위 리소스의 경우 _Required 및 _Default 버킷이 기본 스토리지 위치를 상속합니다.

• 로그 탐색기 또는 로그 애널리틱스 페이지에서 실행되는 새 쿼리는 기본 스토리지 위치에 저장됩니다. 이 위치는 자동으로 저장된 최근 쿼리에도 적용됩니다.

Cloud Logging의 기본 스토리지 위치는 사용자 정의 로그 버킷 또는 Logging API를 사용하여 저장한 쿼리에는 적용되지 않습니다.

조직 정책 구성

Logging은 데이터 저장 위치를 제한할 수 있는 조직 정책을 지원합니다. 이러한 정책이 조직에 존재하는 경우 정책에서 허용하는 위치에만 로그 버킷을 만들 수 있습니다.

위치 제약조건을 지정하는 조직 정책이 있으면 제약조건의 정책 값에 Logging 기본 설정에 지정된 위치가 포함되어야 합니다. 또한 기본 설정을 수정하려면 기본 설정을 업데이트하기 전에 조직 정책을 검토하고 필요하면 업데이트합니다.

조직 정책을 보거나 업데이트하려면 다음을 수행하세요.

1. Google Cloud 콘솔에서 조직 정책 페이지로 이동합니다.

   조직 정책으로 이동

   검색창을 사용하여 이 페이지를 찾은 경우 부제목이 IAM 및 관리자인 결과를 선택합니다.

2. 조직을 선택합니다.

3. ID가 constraints/gcp.resourceLocations인 제약조건을 확인하고 필요한 경우 업데이트합니다. 이 제약조건이 구성되지 않은 경우 업데이트가 필요하지 않습니다.

   특정 제약조건을 보고 해당 제약조건을 수정하는 방법에 대한 자세한 내용은 정책 만들기 및 수정을 참조하세요.

Logging의 기본 스토리지 위치 구성

Cloud Logging의 기본 스토리지 위치를 구성하려면 gcloud logging settings update 명령어를 실행하고 --storage-location 플래그를 포함합니다.

gcloud logging settings update --folder=FOLDER_ID--storage-location=LOCATION

gcloud logging settings update --organization=ORGANIZATION_ID --storage-location=LOCATION

Google Cloud CLI를 사용할 수 없으면 Cloud Logging API 메서드 updateSettings를 실행하세요.

기본 스토리지 위치를 업데이트할 때 발생하는 오류를 해결하는 방법은 기본 리소스 위치 설정 문제 해결을 참조하세요.

_Default 싱크 구성

Logging은 각 Google Cloud 프로젝트, 결제 계정, 폴더, 조직 리소스에 대해 사전 정의된 _Default 싱크를 제공합니다. 포함 필터와 일치하고 제외되지 않은 리소스에서 생성되는 모든 로그는 리소스의 사전 정의된 해당 _Default 버킷으로 라우팅됩니다.

다음 옵션을 사용하여 조직 및 폴더에 _Default 싱크 기본 설정을 구성할 수 있습니다.

• 새 하위 리소스에 대한 _Default 싱크 생성을 중지할 수 있습니다.

• 새 프로젝트의 _Default 싱크에 적용되는 하나의 포함 필터 또는 여러 제외 필터를 구성할 수 있습니다.

_Default 싱크 중지

조직 또는 폴더의 모든 새 리소스에 대한 _Default 싱크 생성을 중지할 수 있습니다. _Default 싱크를 중지하면 로그가 리소스의 _Default 버킷에 저장되지 않습니다. 리소스의 _Default 버킷에 로그 저장을 중지하면 로그가 해당 리소스의 다른 사용자 정의된 싱크에 명시적으로 포함되지 않는 한 해당 버킷으로 라우팅되었을 로그는 Logging의 스토리지에서 제외됩니다.

리소스 및 모든 하위 리소스에 대해 _Default 싱크를 사용 중지하려면 다음 gcloud logging settings update 명령어를 실행합니다.

gcloud logging settings update --folder=FOLDER_ID--disable-default-sink

gcloud logging settings update --organization=ORGANIZATION_ID --disable-default-sink

disable-default-sink 플래그는 로그를 _Default 버킷에 라우팅하는 _Default 싱크에만 적용됩니다.

다음 gcloud logging settings update 명령어를 실행하여 _Default 싱크를 다시 사용 설정할 수 있습니다.

gcloud logging settings update --folder=FOLDER_ID--no-disable-default-sink

gcloud logging settings update --organization=ORGANIZATION_ID --no-disable-default-sink

_Default 싱크 기본 필터 구성

사전 정의된 _Default 싱크는 싱크 기준과 일치하는 모든 로그 항목을 해당 _Default 버킷으로 라우팅합니다. Cloud Logging API 명령어를 전송하여 _Default 싱크의 기본 제공 포함 필터를 재정의하거나 필터를 추가할 수 있습니다. _Default 싱크의 기본 제공 제외 필터가 비어 있습니다. 하지만 API 명령어를 사용하면 제외 필터를 추가할 수도 있습니다.

조직 또는 폴더에 있는 새 리소스의 모든 _Default 싱크에 적용되는 포함 필터나 제외 필터를 지정하려면 Cloud Logging API 메서드 updateSettings를 실행하고 defaultSinkConfig 객체를 지정합니다.

updateSettings 메서드의 참조 페이지에서 API 탐색기 위젯을 사용하여 해당 메서드를 실행할 수 있습니다. 다음 예시는 샘플 매개변수를 보여줍니다.

• name(URL): organizations/ORGANIZATION_ID/settings
• updateMask: "default_sink_config"

• 요청 본문: Settings의 인스턴스가 포함됨

  "defaultSinkConfig": {
    {
    "filter": "NOT LOG_ID(\"externalaudit.googleapis.com/activity\") "
    "AND NOT LOG_ID(\"cloudaudit.googleapis.com/system_event\") "
    "AND NOT LOG_ID(\"externalaudit.googleapis.com/system_event\") "
    "AND NOT LOG_ID(\"cloudaudit.googleapis.com/access_transparency\") "
    "AND NOT LOG_ID(\"externalaudit.googleapis.com/access_transparency\") ",
    "exclusions": [
       {
          "name": "exclude-data-access",
          "description": "Prevents Data Access audit logs from being routed",
          "filter": "log_id(\"cloudaudit.googleapis.com/data_access\")",
       }
    ],
    "mode": OVERWRITE
    }
  }
  

_Default 싱크의 기본 제공 포함 필터에는 관리자 활동 감사 로그가 _Default 로그 버킷으로 라우팅되지 않도록 하는 AND NOT LOG_ID("externalaudit.googleapis.com/activity") 문이 포함되어 있습니다. 앞선 예시에서는 관리자 활동 감사 로그가 _Default 로그 버킷으로 라우팅되도록 포함 필터가 변경되었습니다. 이 예시에서는 데이터 액세스 감사 로그가 _Default 버킷으로 라우팅되지 않도록 하는 제외 필터도 추가합니다.

구성 오류 문제해결

문제 해결 정보는 CMEK 및 기본 설정 오류 문제 해결을 참조하세요.