Mengumpulkan dan merutekan log tingkat organisasi dan folder ke tujuan yang didukung

Konsol

Untuk membuat sink gabungan untuk folder atau organisasi Anda, lakukan hal berikut:

1. Di konsol Google Cloud , buka halaman Log Router:

   Buka Log Router

   Jika Anda menggunakan kotak penelusuran untuk menemukan halaman ini, pilih hasil yang subjudulnya adalah Logging.

2. Pilih folder atau organisasi yang sudah ada.

3. Pilih Buat sink.

4. Di panel Sink details, masukkan detail berikut:

   • Nama sink: Berikan ID untuk sink; perhatikan bahwa setelah Anda membuat sink, Anda tidak dapat mengganti nama sink, tetapi Anda dapat menghapusnya dan membuat sink baru.

   • Deskripsi sink (opsional): Jelaskan tujuan atau kasus penggunaan sink.

5. Di menu Select sink service, pilih jenis tujuan, lalu selesaikan dialog untuk menentukan tujuan. Anda dapat memilih tujuan yang ada atau membuat tujuan.

   • Untuk sink intersepsi, pilih Google Cloud project, lalu masukkan nama yang sepenuhnya memenuhi syarat untuk project Google Cloud tujuan:

     logging.googleapis.com/projects/DESTINATION_PROJECT_ID
     

   • Untuk sink non-intersepsi, pilih tujuan, lalu masukkan nama tujuan yang sepenuhnya memenuhi syarat. Tujuan berikut didukung:

     • Google Cloud project

       logging.googleapis.com/projects/DESTINATION_PROJECT_ID
       

     • Bucket Cloud Logging

       logging.googleapis.com/projects/DESTINATION_PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME
       

     • BigQuery dataset

       Anda harus memasukkan nama set data yang sepenuhnya memenuhi syarat dan memiliki akses tulis. Set data dapat berupa tabel berpartisi atau tabel yang di-shard menurut tanggal. Jangan masukkan nama set data tertaut. Set data tertaut bersifat hanya baca.

       bigquery.googleapis.com/projects/PROJECT_ID/datasets/DATASET_ID
       

     • Bucket Cloud Storage

       storage.googleapis.com/BUCKET_NAME
       

     • Topik Pub/Sub

       pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID
       

     • Splunk

       Masukkan topik Pub/Sub untuk layanan Splunk Anda.

6. Di panel Pilih log untuk disertakan dalam sink, pilih resource yang akan disertakan dalam sink.

   • Untuk sink penyadapan, pilih Sadap log yang diserap oleh organisasi ini dan semua resource turunan.

   • Untuk sink non-penyisipan, pilih Sertakan log yang diserap oleh resource ini dan semua resource turunan.

7. Di kolom Buat filter penyertaan, masukkan ekspresi filter yang cocok dengan entri log yang ingin Anda sertakan. Jika Anda tidak menetapkan filter, semua entri log dari resource yang dipilih akan dirutekan ke tujuan.

   Misalnya, Anda mungkin ingin membuat filter untuk merutekan semua log audit Akses Data ke satu bucket Logging. Filter ini akan terlihat seperti berikut:

   LOG_ID("cloudaudit.googleapis.com/data_access") OR LOG_ID("externalaudit.googleapis.com/data_access")
   

   Untuk contoh filter, lihat bagian Membuat filter untuk sink gabungan di halaman ini.

   Perhatikan bahwa panjang filter tidak boleh melebihi 20.000 karakter.

8. Opsional: Untuk memverifikasi bahwa Anda memasukkan filter yang benar, pilih Pratinjau log. Tindakan ini akan membuka Logs Explorer di tab baru dengan filter yang telah diisi otomatis.

9. Opsional: Di panel Pilih log yang akan dikecualikan dari sink, lakukan hal berikut:

   1. Di kolom Nama filter pengecualian, masukkan nama.

   2. Di kolom Buat filter pengecualian, masukkan ekspresi filter yang cocok dengan entri log yang ingin Anda kecualikan. Anda juga dapat menggunakan fungsi sample untuk memilih sebagian entri log yang akan dikecualikan.

      Misalnya, untuk mengecualikan entri log dari project tertentu agar tidak dirutekan ke tujuan, tambahkan filter pengecualian berikut:

      logName:projects/PROJECT_ID
      

      Untuk mengecualikan entri log dari beberapa project, gunakan operator logical-OR untuk menggabungkan klausa logName.

   Anda dapat membuat hingga 50 filter pengecualian per sinkronisasi. Perhatikan bahwa panjang filter tidak boleh melebihi 20.000 karakter.

10. Pilih Buat sink.

11. Untuk menyelesaikan konfigurasi sink gabungan, berikan izin kepada akun layanan sink untuk menulis entri log ke tujuan sink. Untuk mengetahui informasi selengkapnya, lihat Menetapkan izin tujuan.

gcloud

Untuk membuat sink gabungan, gunakan perintah logging sinks create:

1. Untuk membuat sink, panggil perintah gcloud logging sinks create, dan pastikan Anda menyertakan opsi --include-children.

   Sebelum menggunakan perintah berikut, lakukan penggantian berikut:

   • SINK_NAME: Nama sink log. Anda tidak dapat mengubah nama sink setelah membuatnya.
   • SINK_DESTINATION: Layanan atau project tempat Anda ingin merutekan entri log. Untuk mengetahui informasi tentang format tujuan ini, lihat Format jalur tujuan.
   • INCLUSION_FILTER: Filter inklusi untuk sink. Untuk contoh filter, lihat Membuat filter untuk sink gabungan.
   • FOLDER_ID: ID folder. Jika Anda ingin membuat sink di tingkat organisasi, ganti --folder=FOLDER_ID dengan -- organization=ORGANIZATION_ID.

   Jalankan perintah gcloud logging sinks create:

   gcloud logging sinks create SINK_NAME \
     SINK_DESTINATION  --include-children \
     --folder=FOLDER_ID --log-filter="INCLUSION_FILTER"
   

   Anda juga dapat memberikan opsi berikut:

   • Untuk membuat sink yang mencegat, sertakan opsi --intercept-children.

   Misalnya, jika Anda membuat sink gabungan di tingkat folder dan tujuannya adalah topik Pub/Sub, perintah Anda mungkin terlihat seperti berikut:

   gcloud logging sinks create SINK_NAME \
     pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID --include-children \
     --folder=FOLDER_ID --log-filter="logName:activity"

2. Beri akun layanan untuk sink izin untuk menulis ke tujuan sink Anda. Untuk mengetahui informasi selengkapnya, lihat Menetapkan izin tujuan.

REST

Untuk membuat sink gabungan, gunakan metode organizations.sinks.create atau folders.sinks.create Logging API. Siapkan argumen ke metode sebagai berikut:

1. Tetapkan kolom parent menjadi organisasi atau folder Google Cloud tempat sink akan dibuat. Induknya harus berupa salah satu dari berikut:

   • organizations/ORGANIZATION_ID
   • folders/FOLDER_ID

2. Di objek LogSink dalam isi permintaan metode, lakukan salah satu hal berikut:

   • Tetapkan includeChildren ke True.

   • Untuk membuat sink penyadapan, tetapkan juga kolom interceptChildren ke True.

3. Tetapkan kolom filter agar cocok dengan entri log yang ingin Anda sertakan.

   Untuk contoh filter, lihat Membuat filter untuk sink gabungan.

   Panjang filter tidak boleh melebihi 20.000 karakter.

4. Tetapkan kolom LogSink yang tersisa seperti yang Anda lakukan untuk sink apa pun. Untuk mengetahui informasi selengkapnya, lihat Merutekan log ke tujuan yang didukung.

5. Panggil organizations.sinks.create atau folders.sinks.create untuk membuat sink.

6. Beri akun layanan untuk sink izin untuk menulis ke tujuan sink Anda. Untuk mengetahui informasi selengkapnya, lihat Menetapkan izin tujuan.

Konsol

1. Untuk mendapatkan informasi tentang akun layanan untuk tujuan ekspor Anda, lakukan langkah-langkah berikut:

   1. Di konsol Google Cloud , buka halaman Log Router:

      Buka Log Router

      Jika Anda menggunakan kotak penelusuran untuk menemukan halaman ini, pilih hasil yang subjudulnya adalah Logging.

   2. Pilih more_vert Menu, lalu pilih Lihat detail sinkronisasi. Identitas penulis muncul di panel Sink details.

   3. Jika nilai kolom writerIdentity berisi alamat email, lanjutkan ke langkah berikutnya. Jika nilainya None, Anda tidak perlu mengonfigurasi izin tujuan.

   4. Salin identitas penulis sink ke papan klip Anda. Berikut ilustrasi identitas penulis:

      serviceAccount:service-123456789012@gcp-sa-logging.
      

2. Berikan izin kepada akun utama yang ditentukan oleh identitas penulis sink untuk menulis data log ke tujuan:

   1. Di Google Cloud konsol, buka halaman IAM:

      Buka IAM

      Jika Anda menggunakan kotak penelusuran untuk menemukan halaman ini, pilih hasil yang subjudulnya adalah IAM & Admin.

   2. Di toolbar konsol Google Cloud , pilih project yang menyimpan tujuan sink gabungan. Jika tujuannya adalah project, pilih project tersebut.

   3. Klik person_add Berikan akses.

   4. Masukkan akun utama yang ditentukan oleh identitas penulis sink dan kemudian berikan peran IAM:

      • projectGoogle Cloud : Berikan peran Logs Writer (roles/logging.logWriter). Secara khusus, akun utama memerlukan izin logging.logEntries.route.
      • Bucket log: Berikan peran Logs Bucket Writer (roles/logging.bucketWriter).
      • Bucket Cloud Storage: Berikan peran Storage Object Creator (roles/storage.objectCreator).
      • Set data BigQuery: Berikan peran BigQuery Data Editor (roles/bigquery.dataEditor).
      • Topik Pub/Sub, termasuk Splunk: Berikan peran Pub/Sub Publisher (roles/pubsub.publisher).

gcloud

1. Pastikan Anda memiliki akses Pemilik di projectGoogle Cloud yang berisi tujuan. Jika Anda tidak memiliki akses Pemilik ke tujuan sink, minta pemilik project untuk menambahkan identitas penulis sebagai akun utama.

2. Untuk mendapatkan informasi tentang akun layanan untuk sink Anda, panggil metode gcloud logging sinks describe.

   Sebelum menggunakan perintah berikut, lakukan penggantian berikut:

   • SINK_NAME: Nama sink log. Anda tidak dapat mengubah nama sink setelah membuatnya.

   Jalankan perintah gcloud logging sinks describe:

   gcloud logging sinks describe SINK_NAME
   

3. Jika detail sink berisi kolom berlabel writerIdentity, lanjutkan ke langkah berikutnya. Jika detail tidak menyertakan kolom writerIdentity, Anda tidak perlu mengonfigurasi izin tujuan untuk sink.

4. Salin identitas penulis sink ke papan klip Anda. Berikut ilustrasi identitas penulis:

   serviceAccount:service-123456789012@gcp-sa-logging.
   

5. Berikan izin kepada identitas penulis sink untuk menulis data log ke tujuan dengan memanggil perintah gcloud projects add-iam-policy-binding.

   Sebelum menggunakan perintah berikut, lakukan penggantian berikut:

   • PROJECT_ID: ID project. Pilih project yang menyimpan tujuan sink gabungan. Jika tujuannya adalah project, pilih project tersebut.
   • PRINCIPAL: ID untuk akun utama yang ingin Anda berikan peran. ID utama biasanya memiliki bentuk berikut: PRINCIPAL-TYPE:ID. Misalnya, user:my-user@example.com. Untuk mengetahui daftar lengkap format yang dapat dimiliki PRINCIPAL, lihat ID utama.

   • ROLE: Peran IAM. Beri identitas penulis sink peran IAM berdasarkan tujuan sink log:

     • projectGoogle Cloud : Berikan peran Logs Writer (roles/logging.logWriter). Secara khusus, akun utama memerlukan izin logging.logEntries.route.
     • Bucket log: Berikan peran Logs Bucket Writer (roles/logging.bucketWriter).
     • Bucket Cloud Storage: Berikan peran Storage Object Creator (roles/storage.objectCreator).
     • Set data BigQuery: Berikan peran BigQuery Data Editor (roles/bigquery.dataEditor).
     • Topik Pub/Sub, termasuk Splunk: Berikan peran Pub/Sub Publisher (roles/pubsub.publisher).

   Jalankan perintah gcloud projects add-iam-policy-binding:

   gcloud projects add-iam-policy-binding PROJECT_ID --member=PRINCIPAL --role=ROLE
   

REST

Sebaiknya gunakan konsol Google Cloud atau Google Cloud CLI untuk memberikan peran ke akun layanan.