Agrupar e encaminhar registros no nível da organização e da pasta para destinos compatíveis

Console

Para criar um coletor agregado para sua pasta ou organização, faça o seguinte:

1. No console Google Cloud , acesse a página Roteador de registros:

   Acessar o roteador de registros

   Se você usar a barra de pesquisa para encontrar essa página, selecione o resultado com o subtítulo Logging.

2. Selecione uma pasta ou organização existente.

3. Selecione Criar coletor.

4. No painel Detalhes do coletor, insira os seguintes detalhes:

   • Nome do coletor: forneça um identificador para o coletor. Depois de criar o coletor, não será possível renomeá-lo, mas será possível excluí-lo e criar um novo coletor.

   • Descrição do coletor (opcional): descreva a finalidade ou o caso de uso do coletor.

5. No menu Selecionar serviço do coletor, escolha o tipo de destino e conclua a caixa de diálogo para especificar o destino. É possível selecionar um destino atual ou criar um.

   • Para um gravador de interceptação, selecione ProjetoGoogle Cloud e insira o nome completo do projeto de destino Google Cloud :

     logging.googleapis.com/projects/DESTINATION_PROJECT_ID
     

   • Para um coletor não interceptador, selecione o destino e insira o nome totalmente qualificado dele. Os seguintes destinos são aceitos:

     • Google Cloud project

       logging.googleapis.com/projects/DESTINATION_PROJECT_ID
       

     • Bucket do Cloud Logging

       logging.googleapis.com/projects/DESTINATION_PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME
       

     • Conjunto de dados do BigQuery

       Você precisa inserir o nome totalmente qualificado de um conjunto de dados com gravação ativada. O conjunto de dados pode ser uma tabela particionada ou fragmentada por data. Não insira o nome de um conjunto de dados vinculado. Os conjuntos de dados vinculados são somente leitura.

       bigquery.googleapis.com/projects/PROJECT_ID/datasets/DATASET_ID
       

     • Bucket do Cloud Storage

       storage.googleapis.com/BUCKET_NAME
       

     • Tópico do Pub/Sub

       pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID
       

     • Splunk

       Insira o tópico do Pub/Sub do serviço Splunk.

6. No painel Escolher registros a serem incluídos no coletor, selecione os recursos que serão incluídos no coletor.

   • Para um coletor de interceptação, selecione Interceptar registros ingeridos por esta organização e todos os recursos filhos.

   • Para um coletor não interceptador, selecione Incluir registros ingeridos por este recurso e todos os recursos filhos.

7. No campo Criar filtro de inclusão, insira uma expressão de filtro que corresponda às entradas de registro que você quer incluir. Se você não definir um filtro, todas as entradas de registro do recurso selecionado serão roteadas para o destino.

   Por exemplo, é possível criar um filtro para encaminhar todos os registros de auditoria de acesso a dados para um único bucket do Logging. Esse filtro tem a seguinte aparência:

   LOG_ID("cloudaudit.googleapis.com/data_access") OR LOG_ID("externalaudit.googleapis.com/data_access")
   

   Para exemplos de filtros, consulte a seção Criar filtros para coletores agregados desta página.

   O comprimento de um filtro não pode exceder 20.000 caracteres.

8. Opcional: para verificar se você inseriu o filtro correto, selecione Visualizar registros. Isso abre o Explorador de registros em uma nova guia com o filtro pré-preenchido.

9. Opcional: no painel Escolher registros a serem excluídos do coletor, faça o seguinte:

   1. No campo Nome do filtro de exclusão, insira um nome.

   2. No campo Criar um filtro de exclusão, insira uma expressão de filtro que corresponda às entradas de registro que você quer excluir. Também é possível usar a função sample para selecionar uma parte das entradas de registro a serem excluídas.

      Por exemplo, para impedir que as entradas de registro de um projeto específico sejam encaminhadas para o destino, adicione o seguinte filtro de exclusão:

      logName:projects/PROJECT_ID
      

      Para excluir entradas de registro de vários projetos, use o operador OR lógico para unir cláusulas logName.

   É possível criar até 50 filtros de exclusão por coletor. O comprimento de um filtro não pode exceder 20.000 caracteres.

10. Selecione Criar coletor.

11. Para concluir a configuração do coletor agregado, conceda à conta de serviço dele permissão para gravar entradas de registro no destino do coletor. Para mais informações, consulte Definir permissões de destino.

gcloud

Para criar um coletor agregado, use o comando logging sinks create:

1. Para criar um coletor, chame o comando gcloud logging sinks create e inclua a opção --include-children.

   Antes de usar o comando a seguir, faça as seguintes substituições:

   • SINK_NAME: o nome do coletor de registros. Não é possível mudar o nome de um gravador depois de criá-lo.
   • SINK_DESTINATION: o serviço ou projeto para onde você quer que as entradas de registro sejam roteadas. Para informações sobre o formato desses destinos, consulte Formatos de caminho de destino.
   • INCLUSION_FILTER: o filtro de inclusão de um coletor. Para exemplos de filtros, consulte Criar filtros para coletores agregados.
   • FOLDER_ID: o ID da pasta. Se você quiser criar um coletor no nível da organização, substitua --folder=FOLDER_ID por -- organization=ORGANIZATION_ID.

   Execute o comando gcloud logging sinks create:

   gcloud logging sinks create SINK_NAME \
     SINK_DESTINATION  --include-children \
     --folder=FOLDER_ID --log-filter="INCLUSION_FILTER"
   

   Você também pode fornecer as seguintes opções:

   • Para criar um coletor de interceptação, inclua a opção --intercept-children.

   Por exemplo, se você estiver criando um coletor agregado no nível da pasta e cujo destino for um tópico do Pub/Sub, o comando poderá ter a seguinte aparência:

   gcloud logging sinks create SINK_NAME \
     pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID --include-children \
     --folder=FOLDER_ID --log-filter="logName:activity"

2. Conceda à conta de serviço do coletor permissão para gravar no destino do coletor. Para mais informações, consulte Definir permissões de destino.

REST

Para criar um coletor agregado, use o método da API Logging organizations.sinks.create ou folders.sinks.create. Prepare os argumentos do método da seguinte maneira:

1. Defina o campo parent como a Google Cloud organização ou pasta em que o coletor será criado. O pai precisa ser um dos seguintes parâmetros:

   • organizations/ORGANIZATION_ID
   • folders/FOLDER_ID

2. No objeto LogSink no corpo da solicitação do método, faça uma destas ações:

   • Defina includeChildren como True.

   • Para criar um coletor de interceptação, defina também o campo interceptChildren como True.

3. Defina o campo filter para corresponder às entradas de registro que você quer incluir.

   Para exemplos de filtros, consulte Criar filtros para coletores agregados.

   O comprimento de um filtro não pode exceder 20.000 caracteres.

4. Defina os campos restantes do LogSink como faria para qualquer coletor. Para mais informações, consulte Rotear registros para destinos compatíveis.

5. Chame organizations.sinks.create ou folders.sinks.create para criar o coletor.

6. Conceda à conta de serviço do coletor permissão para gravar no destino do coletor. Para mais informações, consulte Definir permissões de destino.

Console

1. Para receber informações sobre a conta de serviço do seu gravador, faça o seguinte:

   1. No console Google Cloud , acesse a página Roteador de registros:

      Acessar o roteador de registros

      Se você usar a barra de pesquisa para encontrar essa página, selecione o resultado com o subtítulo Logging.

   2. Selecione more_vert Menu e depois Ver detalhes do coletor. A identidade do gravador é exibida no painel Detalhes do coletor.

   3. Se o valor do campo writerIdentity contiver um endereço de e-mail, prossiga para a próxima etapa. Quando o valor é None, não é necessário configurar permissões de destino.

   4. Copie a identidade do gravador do coletor para a área de transferência. O exemplo a seguir ilustra uma identidade de gravador:

      serviceAccount:service-123456789012@gcp-sa-logging.iam.gserviceaccount.com
      

2. Conceda ao principal especificado pela identidade do gravador do coletor a permissão para gravar dados de registro no destino:

   1. No console Google Cloud , acesse a página IAM:

      Acesse o IAM

      Se você usar a barra de pesquisa para encontrar essa página, selecione o resultado com o subtítulo IAM e administrador.

   2. Na barra de ferramentas do console Google Cloud , selecione o projeto que armazena o destino do gravador agregado. Quando o destino for um projeto, selecione-o.

   3. Clique em person_addCONCEDER ACESSO.

   4. Insira o principal especificado pela identidade do gravador do coletor e conceda um papel do IAM:

      • Google Cloud project: conceda o papel de gravador de registros (roles/logging.logWriter). Especificamente, um principal precisa da permissão logging.logEntries.route.
      • Bucket de registros: conceda o papel de gravador de bucket de registros (roles/logging.bucketWriter).
      • Bucket do Cloud Storage: conceda o papel Criador de objetos do Storage (roles/storage.objectCreator).
      • Conjunto de dados do BigQuery: conceda o papel de editor de dados do BigQuery (roles/bigquery.dataEditor).
      • Tópico do Pub/Sub, incluindo o Splunk: conceda o papel de editor do Pub/Sub (roles/pubsub.publisher).

gcloud

1. Verifique se você tem acesso de proprietário ao projetoGoogle Cloud que contém o destino. Se você não tiver acesso de Proprietário ao destino do coletor, peça a um proprietário do projeto para adicionar a identidade do gravador como um principal.

2. Para receber informações sobre a conta de serviço do seu gravador, chame o método gcloud logging sinks describe.

   Antes de usar o comando a seguir, faça as seguintes substituições:

   • SINK_NAME: o nome do coletor de registros. Não é possível mudar o nome de um gravador depois de criá-lo.

   Execute o comando gcloud logging sinks describe:

   gcloud logging sinks describe SINK_NAME
   

3. Se os detalhes do gravador tiverem um campo chamado writerIdentity, siga para a próxima etapa. Quando os detalhes não incluem um campo writerIdentity, não é necessário configurar permissões de destino para o coletor.

4. Copie a identidade do gravador do coletor para a área de transferência. O exemplo a seguir ilustra uma identidade de gravador:

   serviceAccount:service-123456789012@gcp-sa-logging.iam.gserviceaccount.com
   

5. Conceda à identidade do gravador do coletor a permissão para gravar dados de registro no destino chamando o comando gcloud projects add-iam-policy-binding.

   Antes de usar o comando a seguir, faça as seguintes substituições:

   • PROJECT_ID: o identificador do projeto. Selecione o projeto que armazena o destino do gravador agregado. Quando o destino for um projeto, selecione-o.
   • PRINCIPAL: um identificador do principal a quem você quer conceder o papel. Os identificadores dos principais geralmente têm o seguinte formato: PRINCIPAL-TYPE:ID. Por exemplo, user:my-user@example.com. Para uma lista completa dos formatos que PRINCIPAL pode ter, consulte Identificadores principais.

   • ROLE: um papel do IAM. Conceda à identidade de gravador do coletor um papel do IAM com base no destino do coletor de registros:

     • Google Cloud project: conceda o papel de gravador de registros (roles/logging.logWriter). Especificamente, um principal precisa da permissão logging.logEntries.route.
     • Bucket de registros: conceda o papel de gravador de bucket de registros (roles/logging.bucketWriter).
     • Bucket do Cloud Storage: conceda o papel Criador de objetos do Storage (roles/storage.objectCreator).
     • Conjunto de dados do BigQuery: conceda o papel de editor de dados do BigQuery (roles/bigquery.dataEditor).
     • Tópico do Pub/Sub, incluindo o Splunk: conceda o papel de editor do Pub/Sub (roles/pubsub.publisher).

   Execute o comando gcloud projects add-iam-policy-binding:

   gcloud projects add-iam-policy-binding PROJECT_ID --member=PRINCIPAL --role=ROLE
   

REST

Recomendamos que você use o console Google Cloud ou a Google Cloud CLI para conceder um papel à conta de serviço.