Acheminer les journaux vers les destinations compatibles

Console

1. Dans la console Google Cloud, accédez à la page Routeur de journaux :

   Accéder au routeur de journaux

   Si vous utilisez la barre de recherche pour trouver cette page, sélectionnez le résultat dont le sous-titre est Logging.

2. Sélectionnez le projet Google Cloud à partir duquel proviennent les entrées de journal que vous souhaitez acheminer.

   Par exemple, si vous souhaitez acheminer vos entrées de journal d'accès aux données du projet nommé Project-A vers un bucket de journaux du projet nommé Project-B, sélectionnez Project-A.

3. Cliquez sur Créer un récepteur.

4. Dans le panneau Détails du récepteur, saisissez les informations suivantes :

   • Nom du récepteur : indiquez un identifiant pour le récepteur. Notez qu'après avoir créé le récepteur, vous ne pouvez pas le renommer, mais vous pouvez le supprimer et en créer un autre.

   • Description du récepteur (facultatif) : décrivez l'objectif ou le cas d'utilisation du récepteur.

5. Dans le panneau Destination du récepteur, sélectionnez le service et la destination du récepteur à l'aide du menu Sélectionner le service de récepteur. Effectuez l'une des opérations suivantes:

   • Pour acheminer les entrées de journal vers un service appartenant au même projet Google Cloud, sélectionnez l'une des options suivantes:

     • Bucket Cloud Logging : sélectionnez ou créez un bucket Logging.
     • Ensemble de données BigQuery: sélectionnez ou créez l'ensemble de données en lecture-écriture qui recevra les entrées de journal acheminées. Vous pouvez également utiliser des tables partitionnées.
     • Bucket Cloud Storage: sélectionnez ou créez le bucket Cloud Storage spécifique qui recevra les entrées de journal routées.
     • Sujet Pub/Sub: sélectionnez ou créez le sujet particulier qui recevra les entrées de journal routées.
     • Splunk : sélectionnez le sujet Pub/Sub du service Splunk.

   • Pour acheminer les entrées de journal vers un autre projet Google Cloud, sélectionnez Projet Google Cloud, puis saisissez le nom complet de la destination. Pour en savoir plus sur la syntaxe, consultez la section Formats de chemin de destination.

   • Pour acheminer des entrées de journal vers un service situé dans un autre projet Google Cloud, procédez comme suit:

     1. Sélectionnez Autre ressource.
     2. Saisissez le nom complet de la destination. Pour en savoir plus sur la syntaxe, consultez la section Formats de chemin de destination.

6. Spécifiez les entrées de journal à inclure:

   1. Accédez au panneau Sélectionner les journaux à inclure dans le récepteur.

   2. Dans le champ Créer un filtre d'inclusion, saisissez une expression de filtre correspondant aux entrées de journal que vous souhaitez inclure. Pour en savoir plus sur la syntaxe d'écriture des filtres, consultez la page Langage de requête Logging.

      Si vous ne définissez pas de filtre, toutes les entrées de journal de la ressource sélectionnée sont acheminées vers la destination.

      Par exemple, pour acheminer toutes les entrées de journal d'accès aux données vers un bucket de journalisation, vous pouvez utiliser le filtre suivant:

      log_id("cloudaudit.googleapis.com/data_access") OR log_id("externalaudit.googleapis.com/data_access")
      

      La longueur d'un filtre ne doit pas dépasser 20 000 caractères.

   3. Pour vérifier que le filtre saisi est correct, sélectionnez Prévisualiser les journaux. L'explorateur de journaux s'ouvre dans un nouvel onglet avec le filtre prérempli.

7. (Facultatif) Configurez un filtre d'exclusion pour supprimer certaines des entrées de journal incluses:

   1. Accédez au panneau Choisir des journaux à exclure du récepteur.

   2. Dans le champ Nom du filtre d'exclusion, saisissez un nom.

   3. Dans la section Créer un filtre d'exclusion, saisissez une expression de filtre correspondant aux entrées de journal que vous souhaitez exclure. Vous pouvez également utiliser la fonction sample pour sélectionner une partie des entrées de journal à exclure.

   Vous pouvez créer jusqu'à 50 filtres d'exclusion par récepteur. Notez que la longueur d'un filtre ne peut pas dépasser 20 000 caractères.

8. Cliquez sur Créer un récepteur.

9. Accordez au compte de service du récepteur l'autorisation d'écrire des entrées de journal sur la destination de votre récepteur. Pour en savoir plus, consultez la section Définir les autorisations des destinations.

gcloud

Pour créer un récepteur, procédez comme suit :

1. Exécutez la commande gcloud logging sinks create suivante :

   gcloud logging sinks create SINK_NAME SINK_DESTINATION
   

   Avant d'exécuter la commande, effectuez les remplacements suivants :

   • SINK_NAME: nom du récepteur de journaux. Une fois le collecteur créé, vous ne pouvez plus modifier son nom.

   • SINK_DESTINATION: service ou projet vers lequel vous souhaitez acheminer vos entrées de journal. Définissez SINK_DESTINATION avec le chemin d'accès approprié, comme décrit dans la section Formats de chemin d'accès de destination.

     Par exemple, si la destination de votre récepteur est un sujet Pub/Sub, SINK_DESTINATION se présente comme suit:

     pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID
     

   Vous pouvez également fournir les options suivantes:

   • --log-filter : cette option permet de définir un filtre correspondant aux entrées de journal que vous souhaitez inclure dans votre récepteur. Si vous ne spécifiez pas de valeur pour le filtre d'inclusion, ce filtre correspond à toutes les entrées de journal.
   • --exclusion: cette option permet de définir un filtre d'exclusion pour les entrées de journal que vous souhaitez exclure du routage de votre récepteur. Vous pouvez également utiliser la fonction sample pour sélectionner une partie des entrées de journal à exclure. Cette option peut être répétée. Vous pouvez créer jusqu'à 50 filtres d'exclusion par récepteur.
   • --description: utilisez cette option pour décrire l'objectif ou le cas d'utilisation du récepteur.

   Par exemple, pour créer un récepteur dans un bucket Logging, votre commande pourrait ressembler à ceci :

   gcloud logging sinks create my-sink logging.googleapis.com/projects/myproject123/locations/global/buckets/my-bucket \
    --log-filter='logName="projects/myproject123/logs/matched"' --description="My first sink"
   

   Pour en savoir plus sur la création de sinks à l'aide de la Google Cloud CLI, consultez la documentation de référence sur gcloud logging sinks.

2. Si la réponse de la commande contient une clé JSON intitulée "writerIdentity", accordez au compte de service du récepteur l'autorisation d'écrire sur la destination du récepteur. Pour en savoir plus, consultez la section Définir les autorisations des destinations.

   Vous n'avez pas besoin de définir les autorisations de destination lorsque la réponse ne contient pas de clé JSON étiquetée "writerIdentity".

REST

1. Pour créer un récepteur de journalisation dans votre projet Google Cloud, utilisez projects.sinks.create dans l'API Logging. Dans l'objet LogSink, indiquez les valeurs obligatoires appropriées dans le corps de la requête de la méthode:

   • name : identifiant du récepteur. Notez qu'après avoir créé le récepteur, vous ne pouvez pas le renommer, mais vous pouvez le supprimer et en créer un autre.

   • destination: service et destination vers lesquels vous souhaitez acheminer vos entrées de journal. Pour acheminer les entrées de journal vers un autre projet ou vers une destination située dans un autre projet, définissez le champ destination avec le chemin d'accès approprié, comme décrit dans la section Formats de chemin d'accès de destination.

     Par exemple, si la destination de votre récepteur est un sujet Pub/Sub, destination se présente comme suit:

     pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID
     

2. Dans l'objet LogSink, indiquez les informations facultatives appropriées:

   • filter : définissez le champ filter pour qu'il corresponde aux entrées de journal que vous souhaitez inclure dans votre récepteur. Si vous ne définissez pas de filtre, toutes les entrées de journal de votre projet Google Cloud sont acheminées vers la destination. Notez que la longueur d'un filtre ne peut pas dépasser 20 000 caractères.
   • exclusions: définissez ce champ pour qu'il corresponde aux entrées de journal que vous souhaitez exclure de votre récepteur. Vous pouvez également utiliser la fonction sample pour sélectionner une partie des entrées de journal à exclure. Vous pouvez créer jusqu'à 50 filtres d'exclusion par récepteur.
   • description: définissez ce champ pour décrire l'objectif ou le cas d'utilisation du récepteur.

3. Appelez projects.sinks.create pour créer le récepteur.

4. Si la réponse de l'API contient une clé JSON étiquetée "writerIdentity", accordez au compte de service du collecteur l'autorisation d'écrire à la destination du collecteur. Pour en savoir plus, consultez la section Définir les autorisations des destinations.

   Vous n'avez pas besoin de définir d'autorisations de destination lorsque la réponse de l'API ne contient pas de clé JSON libellée "writerIdentity".

Pour en savoir plus sur la création de récepteurs à l'aide de l'API Logging, consultez la documentation de référence sur LogSink.

Console

1. Dans la console Google Cloud, accédez à la page Routeur de journaux :

   Accéder au routeur de journaux

   Si vous utilisez la barre de recherche pour trouver cette page, sélectionnez le résultat dont le sous-titre est Logging.

2. Dans la barre d'outils, sélectionnez la ressource contenant votre évier. La ressource peut être un projet, un dossier, une organisation ou un compte de facturation.

La page Routeur de journaux affiche les récepteurs de la ressource sélectionnée. Chaque ligne du tableau contient des informations sur les propriétés d'un récepteur:

• Activé : indique si l'état du récepteur est activé ou désactivé.
• Type : service de destination du récepteur. Par exemple, Cloud Logging bucket.
• Nom : identifiant du récepteur, tel qu'il est fourni lors de la création du récepteur ; par exemple _Default.
• Description : description du récepteur, telle qu'elle vous a été fournie lors de sa création.
• Destination: nom complet de la destination à laquelle les entrées de journal routées sont envoyées.
• Créé : date et heure de création du récepteur.
• Dernière mise à jour: date et heure de la dernière modification du récepteur.

Pour chaque ligne du tableau, le menu more_vert Autres actions fournit les options suivantes:

• Afficher les détails du récepteur : affiche le nom, la description, le service, la destination, ainsi que les filtres d'inclusion et d'exclusion du récepteur. Sélectionnez Modifier pour ouvrir le panneau Modifier le récepteur.
• Modifier le récepteur : ouvre le panneau Modifier le récepteur dans lequel vous pouvez mettre à jour les paramètres du récepteur.
• Désactiver le récepteur: permet de désactiver le récepteur et d'arrêter le routage des entrées de journal vers la destination du récepteur. Pour en savoir plus sur la désactivation des récepteurs, consultez la section Arrêter le stockage des journaux dans des buckets de journaux.
• Activer le récepteur: permet d'activer un récepteur désactivé et de redémarrer les entrées de journal de routage vers la destination du récepteur.
• Supprimer le récepteur: permet de supprimer le récepteur et d'arrêter le routage des entrées de journal vers la destination du récepteur.
• Résoudre les problèmes liés au récepteur: ouvre l'explorateur de journaux, dans lequel vous pouvez résoudre les erreurs liées au récepteur.
• Afficher le volume et les taux d'erreur des journaux de récepteurs: ouvre l'explorateur de métriques, dans lequel vous pouvez afficher et analyser les données du récepteur.

Pour trier le tableau en fonction d'une colonne, sélectionnez son nom.

gcloud

• Pour afficher la liste des récepteurs pour votre projet Google Cloud, utilisez la commande gcloud logging sinks list, qui correspond à la méthode API Logging projects.sinks.list:

  gcloud logging sinks list
  

  Pour afficher la liste des récepteurs agrégés, utilisez l'option appropriée pour spécifier la ressource contenant le récepteur. Par exemple, si vous avez créé le récepteur au niveau de l'organisation, utilisez l'option --organization=ORGANIZATION_ID pour répertorier les récepteurs de l'organisation.

• Pour décrire un récepteur, utilisez la commande gcloud logging sinks describe, qui correspond à la méthode de l'API Logging projects.sinks.get :

  gcloud logging sinks describe SINK_NAME
  

• Pour mettre à jour un récepteur, utilisez la commande gcloud logging sinks update, qui correspond à la méthode API projects.sink.update :

  Vous pouvez mettre à jour un récepteur pour modifier la destination, les filtres et la description, ou pour désactiver ou réactiver le récepteur:

  gcloud logging sinks update SINK_NAME NEW_DESTINATION --log-filter=NEW_FILTER

  Omettez NEW_DESTINATION ou --log-filter si ces parties ne changent pas.

  Par exemple, pour mettre à jour la destination du récepteur nommé my-project-sink vers une nouvelle destination de bucket Cloud Storage nommée my-second-gcs-bucket, la commande se présente comme suit :

  gcloud logging sinks update  my-project-sink storage.googleapis.com/my-second-gcs-bucket
  

• Pour désactiver un récepteur, utilisez la commande gcloud logging sinks update, qui correspond à la méthode API projects.sink.update, et ajoutez l'option --disabled:

  gcloud logging sinks update SINK_NAME --disabled
  

  Pour réactiver le récepteur, utilisez la commande gcloud logging sinks update, supprimez l'option --disabled et ajoutez l'option --no-disabled:

  gcloud logging sinks update SINK_NAME --no-disabled
  

• Pour supprimer un récepteur, utilisez la commande gcloud logging sinks delete, qui correspond à la méthode API projects.sinks.delete :

  gcloud logging sinks delete SINK_NAME
  

  Pour en savoir plus sur la gestion des embases à l'aide de la Google Cloud CLI, consultez la documentation de référence sur gcloud logging sinks.

REST

• Pour afficher les récepteurs de votre projet Google Cloud, appelez projects.sinks.list.

• Pour afficher les détails d'un récepteur, appelez projects.sinks.get.

• Pour mettre à jour un récepteur, appelez projects.sink.update.

  Vous pouvez mettre à jour la destination, les filtres et la description d'un récepteur. Vous pouvez également désactiver ou réactiver le récepteur.

• Pour désactiver un récepteur, définissez le champ disabled de l'objet LogSink sur true, puis appelez projects.sink.update.

  Pour réactiver le récepteur, définissez le champ disabled de l'objet LogSink sur false, puis appelez projects.sink.update.

• Pour supprimer un récepteur, appelez projects.sinks.delete.

  Pour en savoir plus sur la gestion des récepteurs à l'aide de l'API Logging, consultez la documentation de référence sur LogSink.

Console

1. Dans la console Google Cloud, accédez à la page Routeur de journaux :

   Accéder au routeur de journaux

   Si vous utilisez la barre de recherche pour trouver cette page, sélectionnez le résultat dont le sous-titre est Logging.

2. Pour rechercher l'ensemble des récepteurs qui acheminent les entrées de journal vers le bucket de journaux _Default, filtrez-les par destination, puis saisissez _Default.

3. Pour chaque récepteur, sélectionnez more_vert Menu, puis Disable sink (Désactiver le récepteur).

   Les récepteurs sont désormais désactivés et les récepteurs de votre projet Google Cloud n'acheminent plus d'entrées de journal vers le bucket _Default.

Pour réactiver un récepteur désactivé et redémarrer les entrées de journal de routage vers la destination du récepteur, procédez comme suit:

1. Dans la console Google Cloud, accédez à la page Routeur de journaux :

   Accéder au routeur de journaux

   Si vous utilisez la barre de recherche pour trouver cette page, sélectionnez le résultat dont le sous-titre est Logging.

2. Pour rechercher l'ensemble des récepteurs qui acheminent les entrées de journal vers le bucket de journaux _Default, filtrez-les par destination, puis saisissez _Default.
3. Pour chaque récepteur, sélectionnez more_vert Menu, puis Enable sink (Activer le récepteur).

gcloud

1. Pour afficher la liste des récepteurs pour votre projet Google Cloud, utilisez la commande gcloud logging sinks list, qui correspond à la méthode API Logging projects.sinks.list:

   gcloud logging sinks list
   

2. Identifiez les récepteurs qui sont acheminés vers le bucket de journaux _Default. Pour décrire un récepteur, y compris son nom de destination, utilisez la commandegcloud logging sinks describe, qui correspond à la méthode API Logging.projects.sinks.get:

   gcloud logging sinks describe SINK_NAME
   

3. Exécutez la commande gcloud logging sinks update en incluant l'option --disabled. Par exemple, pour désactiver le récepteur _Default, utilisez la commande suivante:

   gcloud logging sinks update _Default  --disabled
   

   Le récepteur _Default est maintenant désactivé ; il n'achemine plus les entrées de journal vers le bucket de journaux _Default.

Pour désactiver les autres récepteurs de votre projet Google Cloud qui sont acheminés vers le bucket _Default, répétez les étapes précédentes.

Pour réactiver un récepteur, utilisez la commande gcloud logging sinks update, supprimez l'option --disabled et ajoutez l'option --no-disabled:

gcloud logging sinks update _Default  --no-disabled

REST

1. Pour afficher les récepteurs de votre projet Google Cloud, appelez la méthode API Logging projects.sinks.list.

   Identifiez les récepteurs qui sont acheminés vers le bucket _Default.

2. Par exemple, pour désactiver le récepteur _Default, définissez le champ disabled de l'objet LogSink sur true, puis appelez projects.sink.update.

   Le récepteur _Default est maintenant désactivé ; il n'achemine plus les entrées de journal vers le bucket _Default.

Pour désactiver les autres récepteurs de votre projet Google Cloud qui sont acheminés vers le bucket _Default, répétez les étapes précédentes.

Pour réactiver un récepteur, définissez le champ disabled de l'objet LogSink sur false, puis appelez projects.sink.update.

Console

1. Assurez-vous de disposer d'un accès Propriétaire au projet Google Cloud contenant la destination. Si vous ne disposez pas d'un accès Propriétaire à la destination du récepteur, demandez à un propriétaire du projet d'ajouter l'identité du rédacteur en tant que principal.

2. Pour obtenir l'identité du rédacteur du récepteur (une adresse e-mail) à partir du nouveau récepteur, procédez comme suit:

   1. Dans la console Google Cloud, accédez à la page Routeur de journaux :

      Accéder au routeur de journaux

      Si vous utilisez la barre de recherche pour trouver cette page, sélectionnez le résultat dont le sous-titre est Logging.

   2. Dans la barre d'outils, sélectionnez le projet contenant le sink.
   3. Sélectionnez more_vert Menu, puis Afficher les détails du récepteur. L'identité du rédacteur apparaît dans le panneau Détails du récepteur.

3. Si la valeur du champ writerIdentity contient une adresse e-mail, passez à l'étape suivante. Lorsque la valeur est None, vous n'avez pas besoin de configurer les autorisations de destination pour le récepteur.

4. Copiez l'identité du rédacteur du récepteur dans votre presse-papiers.

5. Si la destination est un service dans un autre projet ou s'il s'agit d'un autre projet, sélectionnez le projet de destination dans la barre d'outils.

6. Ajoutez le compte de service en tant que principal IAM dans le projet de destination:

   1. Dans la console Google Cloud, accédez à la page IAM :

      Accéder à IAM

      Si vous utilisez la barre de recherche pour trouver cette page, sélectionnez le résultat dont le sous-titre est IAM et administration.

   2. Sélectionnez le projet de destination.

   3. Cliquez sur person_add Accorder l'accès.

   4. Attribuez au compte de service le rôle IAM requis:

      • Pour les destinations Cloud Storage, ajoutez l'identité du rédacteur du récepteur en tant que principal à l'aide d'IAM, puis attribuez-lui le rôle Créateur d'objets Storage (roles/storage.objectCreator).
      • Pour les destinations BigQuery, ajoutez l'identité du rédacteur du récepteur en tant qu'entité principale à l'aide d'IAM, puis attribuez-lui le rôle Éditeur de données BigQuery (roles/bigquery.dataEditor).
      • Pour les destinations Pub/Sub, y compris Splunk, ajoutez l'identité du rédacteur du récepteur en tant que principal à l'aide d'IAM, puis attribuez-lui le rôle Éditeur Pub/Sub (roles/pubsub.publisher).
      • Pour les destinations des buckets Logging situées dans des projets Google Cloud différents, ajoutez l'identité du rédacteur du récepteur en tant que principal à l'aide d'IAM, puis attribuez-lui le rôle Écrivain de bucket de journaux (roles/logging.bucketWriter).
      • Pour les destinations de projets Google Cloud, ajoutez l'identité du rédacteur du récepteur en tant que principal à l'aide d'IAM, puis attribuez-lui le rôle Rédacteur de journaux (roles/logging.logWriter). Plus précisément, un principal a besoin de l'autorisation logging.logEntries.route.

gcloud

1. Assurez-vous de disposer d'un accès Propriétaire au projet Google Cloud contenant la destination. Si vous ne disposez pas d'un accès Propriétaire à la destination du récepteur, demandez à un propriétaire du projet d'ajouter l'identité du rédacteur en tant que principal.

2. Obtenez le compte de service à partir du champ writerIdentity de votre récepteur :

   gcloud logging sinks describe SINK_NAME
   

3. Recherchez le récepteur dont vous souhaitez modifier les autorisations. Si les détails du récepteur contiennent une ligne avec writerIdentity, passez à l'étape suivante. Lorsque les détails n'incluent pas de champ writerIdentity, vous n'avez pas besoin de configurer les autorisations de destination pour le récepteur.

   L'identité du rédacteur du compte de service se présente comme suit:

   serviceAccount:service-123456789012@gcp-sa-logging.iam.gserviceaccount.com
   

4. Ajoutez le compte de service en tant que principal IAM dans le projet de destination:

   Avant d'utiliser la commande suivante, effectuez les remplacements suivants:

   • PROJECT_ID: identifiant du projet.
   • PRINCIPAL: identifiant du compte principal auquel vous souhaitez accorder le rôle. Les identifiants principaux se présentent généralement sous la forme suivante : PRINCIPAL-TYPE:ID. Par exemple, user:my-user@example.com. Pour obtenir la liste complète des formats pouvant être utilisés pour PRINCIPAL, consultez la section Identifiants principaux.

   • ROLE: rôle IAM.

     • Pour les destinations Cloud Storage, ajoutez l'identité du rédacteur du récepteur en tant que principal à l'aide d'IAM, puis attribuez-lui le rôle Créateur d'objets Storage (roles/storage.objectCreator).
     • Pour les destinations BigQuery, ajoutez l'identité du rédacteur du récepteur en tant qu'entité principale à l'aide d'IAM, puis attribuez-lui le rôle Éditeur de données BigQuery (roles/bigquery.dataEditor).
     • Pour les destinations Pub/Sub, y compris Splunk, ajoutez l'identité du rédacteur du récepteur en tant que principal à l'aide d'IAM, puis attribuez-lui le rôle Éditeur Pub/Sub (roles/pubsub.publisher).
     • Pour les destinations des buckets Logging situées dans des projets Google Cloud différents, ajoutez l'identité de rédacteur du récepteur en tant que principal à l'aide d'IAM, puis attribuez-lui le rôle Écrivain de bucket de journaux (roles/logging.bucketWriter).
     • Pour les destinations de projets Google Cloud, ajoutez l'identité du rédacteur du récepteur en tant que principal à l'aide d'IAM, puis attribuez-lui le rôle Rédacteur de journaux (roles/logging.logWriter). Plus précisément, un principal a besoin de l'autorisation logging.logEntries.route.

   Exécutez la commande gcloud projects add-iam-policy-binding:

   gcloud projects add-iam-policy-binding PROJECT_ID --member=PRINCIPAL --role=ROLE
   

REST

Nous vous recommandons d'utiliser la console Google Cloud ou Google Cloud CLI pour attribuer un rôle à un compte de service.