彙整機構和資料夾層級記錄，並將其轉送至支援的目的地

控制台

如要為資料夾或機構建立匯總資料集，請按照下列步驟操作：

1. 在 Google Cloud 控制台中，前往「Log Router」頁面：

   前往「記錄檔路由器」

   如果您是使用搜尋列尋找這個頁面，請選取子標題為「Logging」的結果。

2. 選取現有的資料夾或機構。

3. 選取「Create Sink」(建立接收器)。

4. 在「Sink details」面板中，輸入下列詳細資料：

   • 接收器名稱：提供接收器的 ID。請注意，建立接收器後，您無法重新命名接收器，但可以刪除接收器並建立新的接收器。

   • Sink 說明 (選填)：說明 Sink 的用途或用途。

5. 在「Select sink service」選單中，選取目的地類型，然後完成對話方塊，指定目的地。您可以選取現有目的地或建立目的地。

   • 針對攔截用接收器，請選取 Google Cloud 專案，然後輸入目標 Google Cloud 專案的完全合格名稱：

     logging.googleapis.com/projects/DESTINATION_PROJECT_ID
     

   • 針對非攔截匯流程，請選取目的地，然後輸入目的地的完整名稱。系統支援下列目的地：

     • Google Cloud project

       logging.googleapis.com/projects/DESTINATION_PROJECT_ID
       

     • Cloud Logging 值區

       logging.googleapis.com/projects/DESTINATION_PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME
       

     • BigQuery 資料集

       您必須輸入啟用寫入權限的資料集完整名稱。資料集可以是日期區塊或分區資料表。請勿輸入已連結資料集的名稱。連結的資料集為唯讀。

       bigquery.googleapis.com/projects/PROJECT_ID/datasets/DATASET_ID
       

     • Cloud Storage 值區

       storage.googleapis.com/BUCKET_NAME
       

     • Pub/Sub 主題

       pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID
       

     • Splunk

       輸入 Splunk 服務的 Pub/Sub 主題。

6. 在「Choose logs to include in sink」面板中，選取要納入接收器的資源。

   • 針對攔截匯流程，請選取「攔截這個機構和所有子資源擷取的記錄」。

   • 如果是未攔截的接收器，請選取「收錄這個資源和所有子資源擷取的記錄」。

7. 在「Build inclusion filter」欄位中，輸入篩選器運算式，與您要納入的記錄項目相符。如果未設定篩選器，所選資源的所有記錄項目都會轉送至目標位置。

   舉例來說，您可能想建立篩選器，將所有資料存取稽核記錄路由至單一記錄桶。這個篩選器如下所示：

   LOG_ID("cloudaudit.googleapis.com/data_access") OR LOG_ID("externalaudit.googleapis.com/data_access")
   

   如需篩選器範例，請參閱本頁的「建立匯總匯出端的篩選器」一節。

   請注意，篩選器的長度不得超過 20,000 個半形字元。

8. 選用步驟：如要確認您輸入的篩選器是否正確，請選取「Preview logs」。系統會在新分頁中開啟 Logs Explorer，並預先填入篩選條件。

9. 選用：在「Choose logs to exclude from the sink」面板中，執行下列操作：

   1. 在「排除篩選器名稱」欄位中輸入名稱。

   2. 在「Build an exclusion filter」欄位中，輸入與您想排除的記錄項目相符的篩選器運算式。您也可以使用 sample 函式選取要排除的部分記錄項目。

      舉例來說，如要排除特定專案的記錄項目，以免將其路由至目的地，請新增下列排除篩選器：

      logName:projects/PROJECT_ID
      

      如要排除多個專案的記錄項目，請使用邏輯 OR 運算子連結 logName 子句。

   每個匯入可建立最多 50 個排除篩選器。請注意，篩選器的長度不得超過 20,000 個半形字元。

10. 選取「Create Sink」(建立接收器)。

11. 如要完成匯總接收器的設定，請將寫入記錄項目至接收器目的地的權限授予接收器的服務帳戶。詳情請參閱「設定目的地權限」。

gcloud

如要建立匯總接收器，請使用 logging sinks create 指令：

1. 如要建立匯流程，請呼叫 gcloud logging sinks create 指令，並確保加入 --include-children 選項。

   使用下列指令前，請先替換以下項目：

   • SINK_NAME：記錄接收器的名稱。建立後即無法變更接收器名稱。
   • SINK_DESTINATION：您要將記錄項目轉送至的服務或專案。如要瞭解這些目的地的格式，請參閱「目的地路徑格式」。
   • INCLUSION_FILTER：接收器的納入篩選器。如需篩選器範例，請參閱「為匯總接收器建立篩選器」。
   • FOLDER_ID：資料夾 ID。如要在機構層級建立接收器，請將 --folder=FOLDER_ID 替換為 -- organization=ORGANIZATION_ID。

   執行 gcloud logging sinks create 指令：

   gcloud logging sinks create SINK_NAME \
     SINK_DESTINATION  --include-children \
     --folder=FOLDER_ID --log-filter="INCLUSION_FILTER"
   

   您也可以提供下列選項：

   • 如要建立攔截接收器，請加入 --intercept-children 選項。

   舉例來說，如果您要在資料夾層級建立匯總接收端，且目的地是 Pub/Sub 主題，指令可能會如下所示：

   gcloud logging sinks create SINK_NAME \
     pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID --include-children \
     --folder=FOLDER_ID --log-filter="logName:activity"

2. 授予接收器服務帳戶寫入接收器目的地的權限。詳情請參閱「設定目的地權限」。

REST

如要建立匯總接收器，請使用 organizations.sinks.create 或 folders.sinks.create Logging API 方法。如下準備方法的引數：

1. 將 parent 欄位設為要建立接收器的 Google Cloud 機構或資料夾。父項必須是下列其中一項：

   • organizations/ORGANIZATION_ID
   • folders/FOLDER_ID

2. 在方法要求主體的 LogSink 物件中，執行下列任一操作：

   • 將 includeChildren 設為 True。

   • 如要建立攔截接收器，請將 interceptChildren 欄位設為 True。

3. 設定 filter 欄位，以符合您要納入的記錄項目。

   如需篩選器範例，請參閱「為匯總接收器建立篩選器」。

   篩選器的長度不得超過 20,000 個半形字元。

4. 設定剩餘的 LogSink 欄位，方法與為任何接收器設定時相同。詳情請參閱「將記錄路由至支援的目的地」。

5. 呼叫 organizations.sinks.create 或 folders.sinks.create 以建立接收器。

6. 授予接收器服務帳戶寫入接收器目的地的權限。詳情請參閱「設定目的地權限」。

控制台

1. 如要取得接收端服務帳戶的相關資訊，請按照下列步驟操作：

   1. 在 Google Cloud 控制台中，前往「Log Router」頁面：

      前往「記錄檔路由器」

      如果您是使用搜尋列尋找這個頁面，請選取子標題為「Logging」的結果。

   2. 選取 more_vert「選單」，然後選取「查看匯流程詳細資料」。作家身分會顯示在「Sink details」面板中。

   3. 如果 writerIdentity 欄位的值含有電子郵件地址，請繼續執行下一個步驟。如果值為 None，您就不需要設定目的地權限。

   4. 將接收器的寫入者身分複製到剪貼簿。以下是寫入者身分的範例：

      serviceAccount:service-123456789012@gcp-sa-logging.iam.gserviceaccount.com
      

2. 請將寫入記錄資料至目的地的權限，授予接收器的寫入者身分所指定的使用者：

   1. 前往 Google Cloud 控制台的「IAM」頁面：

      前往「身分與存取權管理」頁面

      如果您是使用搜尋列尋找這個頁面，請選取子標題為「IAM 與管理」的結果。

   2. 在 Google Cloud 控制台的工具列中，選取儲存匯集匯流程目的地的專案。如果目的地是專案，請選取該專案。

   3. 按一下「授予存取權」圖示 person_add。

   4. 輸入接收器的寫入者身分指定的主體，然後授予 IAM 角色：

      • Google Cloud project：授予記錄寫入者角色 (roles/logging.logWriter)。具體來說，主體需要具備 logging.logEntries.route 權限。
      • 記錄檔值區：授予 Logs Bucket Writer 角色 (roles/logging.bucketWriter)。
      • Cloud Storage 值區：授予 Storage 物件建立者角色 (roles/storage.objectCreator)。
      • BigQuery 資料集：授予 BigQuery 資料編輯者角色 (roles/bigquery.dataEditor)。
      • Pub/Sub 主題 (包括 Splunk)：授予 Pub/Sub 發布者角色 (roles/pubsub.publisher)。

gcloud

1. 請確認您具備包含目的地的Google Cloud 專案的擁有者存取權。如果您沒有資料流目的地位置的擁有者存取權，請要求專案擁有者將寫入者身分新增為主要使用者。

2. 如要取得接收端的服務帳戶相關資訊，請呼叫 gcloud logging sinks describe 方法。

   使用下列指令前，請先替換以下項目：

   • SINK_NAME：記錄接收器的名稱。建立後即無法變更接收器名稱。

   執行 gcloud logging sinks describe 指令：

   gcloud logging sinks describe SINK_NAME
   

3. 如果接收端詳細資料包含標示為 writerIdentity 的欄位，請繼續執行下一個步驟。如果詳細資料不包含 writerIdentity 欄位，您就不需要為匯入端設定目的地權限。

4. 將接收器的寫入者身分複製到剪貼簿。以下是寫入者身分的範例：

   serviceAccount:service-123456789012@gcp-sa-logging.iam.gserviceaccount.com
   

5. 呼叫 gcloud projects add-iam-policy-binding 指令，將記錄資料寫入目的地，並授予接收器的寫入者身分相關權限。

   使用下列指令前，請先替換以下項目：

   • PROJECT_ID：專案的 ID。選取儲存匯入集目標的專案。如果目的地是專案，請選取該專案。
   • PRINCIPAL：您要授予角色的主體 ID。主體 ID 通常採用以下格式：PRINCIPAL-TYPE:ID。例如：user:my-user@example.com。如需 PRINCIPAL 可用的完整格式清單，請參閱「主要識別碼」。

   • ROLE：IAM 角色。根據記錄接收器的目的地，授予接收器的寫入者身分 IAM 角色：

     • Google Cloud project：授予記錄寫入者角色 (roles/logging.logWriter)。具體來說，主體需要具備 logging.logEntries.route 權限。
     • 記錄檔值區：授予 Logs Bucket Writer 角色 (roles/logging.bucketWriter)。
     • Cloud Storage 值區：授予 Storage 物件建立者角色 (roles/storage.objectCreator)。
     • BigQuery 資料集：授予 BigQuery 資料編輯者角色 (roles/bigquery.dataEditor)。
     • Pub/Sub 主題 (包括 Splunk)：授予 Pub/Sub 發布者角色 (roles/pubsub.publisher)。

   執行 gcloud projects add-iam-policy-binding 指令：

   gcloud projects add-iam-policy-binding PROJECT_ID --member=PRINCIPAL --role=ROLE
   

REST

建議您使用 Google Cloud 控制台或 Google Cloud CLI 為服務帳戶授予角色。