組織レベルとフォルダレベルのログを照合してサポートされている宛先に転送する

コンソール

フォルダまたは組織の集約シンクを作成する手順は次のとおりです。

1. Google Cloud コンソールで、[ログルーター] ページに移動します。

   [ログルーター] に移動

   検索バーを使用してこのページを検索する場合は、小見出しが [Logging] の結果を選択します。

2. 既存のフォルダまたは組織を選択します。

3. [シンクを作成] を選択します。

4. [シンクの詳細] パネルで、次の詳細を入力します。

   • シンクの名前: シンクの識別子を指定します。シンクを作成した後はシンク名を変更できませんが、シンクを削除して新しいシンクを作成することはできます。

   • シンクの説明（省略可）: シンクの目的またはユースケースについて説明を入力します。

5. [シンクサービスの選択] メニューで宛先のタイプを選択し、宛先を指定します。既存のリンク先を選択することも、リンク先を作成することもできます。

   • インターセプト シンクの場合は、Google Cloud プロジェクトを選択して宛先 Google Cloud プロジェクトの完全修飾名を入力します。

     logging.googleapis.com/projects/DESTINATION_PROJECT_ID
     

   • 非インターセプト シンクの場合は、宛先を選択して宛先の完全修飾名を入力します。次の宛先がサポートされています。

     • Google Cloud プロジェクト

       logging.googleapis.com/projects/DESTINATION_PROJECT_ID
       

     • Cloud Logging バケット

       logging.googleapis.com/projects/DESTINATION_PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME
       

     • BigQuery データセット

       書き込みが有効なデータセットの完全修飾名を入力する必要があります。データセットは、日付でシャーディングされたテーブルまたはパーティション分割テーブルを使用できます。リンクされたデータセットの名前は入力しないでください。リンクされたデータセットは読み取り専用です。

       bigquery.googleapis.com/projects/PROJECT_ID/datasets/DATASET_ID
       

     • Cloud Storage バケット

       storage.googleapis.com/BUCKET_NAME
       

     • Pub/Sub トピック

       pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID
       

     • Splunk

       Splunk サービスの Pub/Sub トピックを入力します。

6. [シンクに含めるログの選択] パネルで、シンクに含めるリソースを選択します。

   • インターセプト シンクの場合は、[Intercept logs ingested by this organization and all child resources] を選択します。

   • 非インターセプト シンクの場合は、[Include logs ingested by this resource and all child resources] を選択します。

7. [包含フィルタの作成] フィールドに、含めるログエントリに一致するフィルタ式を入力します。フィルタを設定しない場合は、選択したリソースのすべてのログエントリが宛先にルーティングされます。

   たとえば、すべてのデータアクセスの監査 ログを 1 つの Logging バケットにルーティングするようにフィルタを作成できます。このフィルタは次のようになります。

   LOG_ID("cloudaudit.googleapis.com/data_access") OR LOG_ID("externalaudit.googleapis.com/data_access")
   

   フィルタの例については、このページの集約シンクのフィルタを作成するをご覧ください。

   フィルタの長さは 20,000 文字までです。

8. （省略可）正しいフィルタを入力したことを確認するには、[ログをプレビュー] を選択します。これにより、フィルタが事前に入力された状態で、ログ エクスプローラが新しいタブで開きます。

9. （省略可）[シンクから除外するログを選択] パネルで、次の操作を行います。

   1. [除外フィルタ名] フィールドに名前を入力します。

   2. [除外フィルタの作成] セクションで、除外するログエントリに一致するフィルタ式を入力します。sample 関数を使用して、除外するログエントリの一部を選択することもできます。

      たとえば、特定のプロジェクトのログエントリを宛先にルーティングしない場合は、次の除外フィルタを追加します。

      logName:projects/PROJECT_ID
      

      複数のプロジェクトからログエントリを除外するには、論理 OR 演算子を使用して logName 句を結合します。

   シンクごとに最大 50 個の除外フィルタを作成できます。フィルタの長さは 20,000 文字までです。

10. [シンクを作成] を選択します。

11. 集約シンクの構成を完了するには、シンクのサービス アカウントに、シンクの宛先にログエントリを書き込む権限を付与します。詳細については、宛先の権限を設定するをご覧ください。

gcloud

集約シンクを作成するには、logging sinks create コマンドを使用します。

1. シンクを作成するには、gcloud logging sinks create コマンドを呼び出し、--include-children オプションを含めます。

   次のコマンドを使用する前に、次のように置き換えます。

   • SINK_NAME: ログシンクの名前。シンクの作成後に名前を変更することはできません。
   • SINK_DESTINATION: ログエントリのルーティング先となるサービスまたはプロジェクト。これらの宛先の形式については、宛先パスの形式をご覧ください。
   • INCLUSION_FILTER: シンクの包含フィルタ。フィルタの例については、集約シンク用のフィルタを作成するをご覧ください。
   • FOLDER_ID: フォルダの ID。シンクを組織レベルで作成する場合は、--folder=FOLDER_ID を -- organization=ORGANIZATION_ID に置き換えます。

   gcloud logging sinks create コマンドを実行します。

   gcloud logging sinks create SINK_NAME \
     SINK_DESTINATION  --include-children \
     --folder=FOLDER_ID --log-filter="INCLUSION_FILTER"
   

   次のオプションも指定できます。

   • インターセプト シンクを作成するには、--intercept-children オプションを含めます。

   たとえば、フォルダレベルで集約シンクを作成し、宛先が Pub/Sub トピックの場合は、コマンドは次のようになります。

   gcloud logging sinks create SINK_NAME \
     pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID --include-children \
     --folder=FOLDER_ID --log-filter="logName:activity"

2. シンクのシ宛先への書き込み権限をシンクのサービス アカウントに付与します。詳細については、宛先の権限を設定するをご覧ください。

REST

集約シンクを作成するには、Logging API メソッド organizations.sinks.create または folders.sinks.create を使用します。次のように、メソッドの引数を準備します。

1. parent フィールドを、シンクを作成する Google Cloud 組織またはフォルダに設定します。親は次のいずれかにする必要があります。

   • organizations/ORGANIZATION_ID
   • folders/FOLDER_ID

2. メソッドのリクエスト本文の LogSink オブジェクトで、次のいずれかを行います。

   • includeChildren を True に設定します。

   • インターセプト シンクを作成するには、interceptChildren フィールドを True に設定します。

3. 含めるログエントリに一致するように filter フィールドを設定します。

   フィルタの例については、集約シンク用のフィルタを作成するをご覧ください。

   フィルタの長さは 20,000 文字以下にする必要があります。

4. 残りの LogSink フィールドを他のシンクの場合と同様に設定します。 詳細については、サポートされている宛先にログをルーティングするをご覧ください。

5. organizations.sinks.create または folders.sinks.create を呼び出してシンクを作成します。

6. シンクのシ宛先への書き込み権限をシンクのサービス アカウントに付与します。詳細については、宛先の権限を設定するをご覧ください。

コンソール

1. シンクのサービス アカウントに関する情報を取得する手順は次のとおりです。

   1. Google Cloud コンソールで、[ログルーター] ページに移動します。

      [ログルーター] に移動

      検索バーを使用してこのページを検索する場合は、小見出しが [Logging] の結果を選択します。

   2. more_vert [メニュー]、[シンクの詳細を表示] の順に選択します。[シンクの詳細] パネルに書き込み ID が表示されます。

   3. writerIdentity フィールドの値にメールアドレスが含まれている場合は、次のステップに進みます。値が None の場合、宛先の権限を構成する必要はありません。

   4. シンクの書き込み ID をクリップボードにコピーします。次に示すのは、書き込み ID です。

      serviceAccount:service-123456789012@gcp-sa-logging.iam.gserviceaccount.com
      

2. シンクの書き込み ID で指定されたプリンシパルに、ログデータをエクスポート先に書き込む権限を付与します。

   1. Google Cloud コンソールで [IAM] ページに移動します。

      [IAM] に移動

      このページを検索バーで検索する場合は、小見出しが「IAM と管理」の結果を選択します。

   2. Google Cloud コンソールのツールバーで、集約シンクの宛先を保存するプロジェクトを選択します。宛先がプロジェクトの場合は、そのプロジェクトを選択します。

   3. [person_addアクセスを許可] をクリックします。

   4. シンクの書き込み ID で指定されたプリンシパルを入力し、IAM ロールを付与します。

      • Google Cloud プロジェクト: ログ書き込みのロール（roles/logging.logWriter）を付与します。具体的には、プリンシパルに logging.logEntries.route 権限が必要です。
      • ログバケット: ログバケット書き込みのロール（roles/logging.bucketWriter）を付与します。
      • Cloud Storage バケット: ストレージ オブジェクト作成者のロール（roles/storage.objectCreator）を付与します。
      • BigQuery データセット: BigQuery データ編集者のロール（roles/bigquery.dataEditor）を付与します。
      • Pub/Sub トピック（Splunk を含む）: Pub/Sub パブリッシャーのロール（roles/pubsub.publisher）を付与します。

gcloud

1. 宛先を含むGoogle Cloud プロジェクトに対するオーナー権限があることを確認します。シンクの宛先に対するオーナー権限がない場合は、書き込み ID をプリンシパルとして追加するようプロジェクト オーナーに依頼します。

2. シンクのサービス アカウントに関する情報を取得するには、gcloud logging sinks describe メソッドを呼び出します。

   次のコマンドを使用する前に、次のように置き換えます。

   • SINK_NAME: ログシンクの名前。シンクの作成後に名前を変更することはできません。

   gcloud logging sinks describe コマンドを実行します。

   gcloud logging sinks describe SINK_NAME
   

3. シンクの詳細に writerIdentity というラベルのフィールドが含まれている場合は、次のステップに進みます。詳細に writerIdentity フィールドが含まれていない場合、シンクの宛先権限を構成する必要はありません。

4. シンクの書き込み ID をクリップボードにコピーします。次に示すのは、書き込み ID です。

   serviceAccount:service-123456789012@gcp-sa-logging.iam.gserviceaccount.com
   

5. gcloud projects add-iam-policy-binding コマンドを呼び出して、エクスポート先にログデータを書き込む権限をシンクの書き込み ID に付与します。

   次のコマンドを使用する前に、次のように置き換えます。

   • PROJECT_ID: プロジェクトの ID。集約シンクの宛先を保存するプロジェクトを選択します。宛先がプロジェクトの場合は、そのプロジェクトを選択します。
   • PRINCIPAL: ロールを付与するプリンシパルの ID。通常、プリンシパル ID の形式は PRINCIPAL-TYPE:ID です。例: user:my-user@example.com PRINCIPAL に使用できる形式の一覧については、プリンシパル ID をご覧ください。

   • ROLE: IAM ロール。ログシンクの宛先に基づいて、シンクの書き込み ID に IAM ロールを付与します。

     • Google Cloud プロジェクト: ログ書き込みのロール（roles/logging.logWriter）を付与します。具体的には、プリンシパルに logging.logEntries.route 権限が必要です。
     • ログバケット: ログバケット書き込みのロール（roles/logging.bucketWriter）を付与します。
     • Cloud Storage バケット: ストレージ オブジェクト作成者のロール（roles/storage.objectCreator）を付与します。
     • BigQuery データセット: BigQuery データ編集者のロール（roles/bigquery.dataEditor）を付与します。
     • Pub/Sub トピック（Splunk を含む）: Pub/Sub パブリッシャーのロール（roles/pubsub.publisher）を付与します。

   gcloud projects add-iam-policy-binding コマンドを実行します。

   gcloud projects add-iam-policy-binding PROJECT_ID --member=PRINCIPAL --role=ROLE
   

REST

サービス アカウントにロールを付与する場合は、 Google Cloud コンソールまたは Google Cloud CLI を使用することをおすすめします。