Log-Bereiche erstellen und verwalten

Mit Sammlungen den Überblick behalten Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.

In diesem Dokument wird beschrieben, wie Sie Protokollbereiche erstellen und verwalten können, mit denen Sie die Logeinträge, die Sie sich ansehen oder analysieren möchten, effizient finden. Wenn Sie nur die Logeinträge ansehen und analysieren möchten, die aus einem Projekt, Ordner oder einer Organisation stammen, ist dieses Dokument nicht für Sie geeignet. Wenn Sie jedoch Logsenken verwenden, um Protokolle an andere Projekte oder benutzerdefinierte Log-Buckets weiterzuleiten, oder Logansichten verwenden, können Ihnen die Informationen in diesem Dokument helfen, bestimmte Protokolleinträge effizient zu finden.

In diesem Dokument wird nicht beschrieben, wie Sie Ihre Protokolle aufrufen. Weitere Informationen zu diesem Thema finden Sie unter Logs mit dem Log-Explorer ansehen.

Logbereiche

Protokollbereiche sind persistente Ressourcen auf Projektebene, die eine Reihe von Ressourcen auflisten. Das können Projekte, Ordner, Organisationen und Protokollansichten sein. Sie können beispielsweise einen Logbereich definieren, in dem die Projekte aufgeführt sind, die Produktionsressourcen enthalten, oder einen Bereich, in dem die Logansichten mit Logeinträgen für einen bestimmten Ressourcentyp aufgeführt sind.

Wenn Sie ein Google Cloud-Projekt, einen Google Cloud-Ordner oder eine Google Cloud-Organisationsressource erstellen, wird in Logging ein Logbereich mit dem Namen _Default erstellt. Dieser Bereich umfasst das erstellte Projekt, den erstellten Ordner oder die erstellte Organisation. Wenn es sich bei der gesuchten Ressource um ein Google Cloud-Projekt, einen Google Cloud-Ordner oder eine Google Cloud-Organisation handelt, enthalten die Ergebnisse die Logeinträge, die von der Ressource stammen und dann in einem Log-Bucket gespeichert werden. Bei der Suche in einem Projekt sind auch Logeinträge enthalten, die von einer Senke in einem anderen Projekt an das Projekt weitergeleitet und dann in einem Log-Bucket gespeichert werden.

Sie können Protokollbereiche erstellen. Sie können auch die von Ihnen erstellten Protokollbereiche bearbeiten und löschen. Sie können den Protokollumfang mit dem Namen _Default jedoch nicht bearbeiten oder löschen.

Mit einem Logbereich können Sie festlegen, in welchen Ressourcen auf der Seite Log-Explorer nach Logdaten gesucht wird. Wenn Sie diese Seite öffnen und einen Log-Bereich auswählen, werden die darin aufgeführten Ressourcen auf der Seite gesucht und die Anzeige aktualisiert.

Mit einem Log-Umfang können Sie auch festlegen, in welchen Ressourcen in einem Logbereich nach Logdaten gesucht werden soll. Ein Logbereich ist ein Widget für benutzerdefinierte Dashboards, in dem Protokolldaten angezeigt werden. Für jeden Protokollbereich gibt es eine eigene Konfiguration. So können Sie ein Dashboard mit mehreren Protokollbereichen erstellen, in denen jeweils unterschiedliche Protokolldaten angezeigt werden. Weitere Informationen finden Sie unter Protokolle und Fehler in einem benutzerdefinierten Dashboard anzeigen lassen.

Bei Projekten wird durch den Standardlogbereich festgelegt, in welchen Ressourcen auf der Seite Log-Explorer nach dem Öffnen gesucht wird. Welche Logeinträge aus dem Speicher abgerufen werden, bestimmen jedoch Ihre IAM-Rollen (Identity and Access Management) für die gesuchten Ressourcen und die Einstellung für den Zeitraum. Beim Erstellen von Projekten wird der Protokollbereich mit dem Namen _Default als Standardprotokollbereich festgelegt. Sie können festlegen, welcher Logbereich der Standardlogbereich ist.

Unterschiede zwischen Log-Scopes und zentralem Log-Speicher

Sowohl der zentrale Logspeicher als auch Logbereiche bieten die Möglichkeit, Logdaten aus verschiedenen Projekten aufzurufen.

Wenn Sie einen zentralen Log-Bucket konfigurieren, werden Logeinträge, die von Google Cloudempfangen werden, an einen einzigen Speicherort weitergeleitet. Der zentrale Speicher bietet einen zentralen Ort, an dem Sie Protokolldaten abfragen können. Das vereinfacht Suchanfragen, wenn Sie nach Trends suchen oder Probleme untersuchen. Aus Sicherheitsperspektive haben Sie auch nur einen Speicherort, was die Aufgaben Ihrer Sicherheitsanalysten vereinfachen kann.

Wenn eine Abfrage an die in einem Logumfang aufgeführten Ressourcen gestellt wird, werden die einzelnen Abfrageergebnisse kombiniert. Ein Logbereich ermöglicht die Aggregation von Logdaten zur Laufzeit, die an verschiedenen Orten gespeichert sein können. Ein Log-Umfang kann jedoch auch verwendet werden, um Lesezugriff auf eine oder mehrere Logansichten in einem zentralen Log-Bucket zu gewähren.

Wenn die Seite Log-Explorer geöffnet wird, werden Abfragen an die im Standardlogbereich aufgeführten Ressourcen gesendet. Konfigurieren Sie daher den Standardumfang so, dass auf der Seite die Daten angezeigt werden, die Sie normalerweise sehen möchten. Sie können beispielsweise den Standardlogumfang so festlegen, dass eine Log-Ansicht aufgelistet wird, die bei einer Abfrage die Protokolldaten für eine App Hub-Anwendung zurückgibt.

Best Practices

Da Sie mit Protokollbereichen eine Konfiguration definieren und für die zukünftige Verwendung speichern können, empfehlen wir, Protokollbereiche für komplexe Suchkonfigurationen zu erstellen.

Angenommen, Sie beheben ein Problem und möchten sich die Logeinträge für alle VM-Instanzen (Virtual Machine) ansehen, die Ihrem Team gehören. Dazu können Sie Folgendes tun:

1. Sie stellen fest, dass die gewünschten Logeinträge in mehreren Log-Buckets und in mehreren Projekten gespeichert sind. Für die meisten Log-Buckets gibt es eine Log-Ansicht, die die Logeinträge enthält, die Sie analysieren möchten. Wenn noch keine Logansicht vorhanden ist, können Sie eine erstellen.

2. Sie beschließen, einen Log-Bereich zu erstellen, da Sie davon ausgehen, dass Sie in Zukunft eine ähnliche Fehlerbehebung durchführen müssen.

3. Öffnen Sie in der Google Cloud Console die Seite Log-Explorer und wählen Sie dann im Menü Scope eingrenzen den neuen Log-Scope aus.

4. Sie sehen sich die Logeinträge an und finden die Informationen, die Sie zur Behebung des untersuchten Problems benötigen.

5. Nachdem Sie das Problem behoben haben, teilen Sie Ihren Kollegen die Ursache für den Fehler mit. Sie teilen außerdem mit, dass Sie ähnliche Fehler in Zukunft erwarten. Daher haben Sie einen Log-Umfang erstellt, mit dem Sie oder die Person, die den Fehler untersucht, schnell relevante Logeinträge finden können.

App Hub-Anwendungen und Protokollbereiche

Ihre App Hub-Anwendungen können Protokolldaten in mehrere Projekte schreiben. Ihre Protokolldaten werden möglicherweise im Projekt gespeichert, aus dem sie stammen, oder ein Administrator Ihrer Organisation hat einen zentralen Speicher konfiguriert. Wenn Sie die Protokolldaten Ihrer Anwendung aufrufen möchten, erstellen Sie für Ihr App Hub-Hostprojekt einen Protokollumfang und konfigurieren Sie ihn so, dass die Projekte oder Protokollansichten aufgelistet werden, in denen die Protokolldaten Ihrer Anwendung gespeichert sind. Wir empfehlen, den benutzerdefinierten Log-Bereich als Standard-Log-Bereich festzulegen. Wenn Sie diese Schritte ausgeführt haben, werden auf der Seite Logs Explorer automatisch die von Ihrer Anwendung geschriebenen Daten angezeigt, auch wenn diese Daten in verschiedenen Projekten oder in einem zentralen Log-Bucket gespeichert sind.

Beschränkungen

• Sie können den Logbereich mit dem Namen _Default nicht löschen oder ändern.
• Nur Google Cloud-Projekte unterstützen einen Standardlogbereich.
• Sie können einem benutzerdefinierten Log-Umfang keine Ordner oder Organisationen hinzufügen.
• Log-Scopes werden am Speicherort global erstellt.

Hinweise

• Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Erstellen und Aufrufen von Protokollbereichen und zum Festlegen des Standardprotokollbereichs benötigen:

  • Zum Erstellen und Ansehen von Log-Scopes oder zum Abrufen des Standard-Log-Scopes: Autor von Logkonfigurationen (roles/logging.configWriter) für Ihr Projekt, Ihren Ordner oder Ihre Organisation
  • So legen Sie den Standardlogbereich fest oder rufen ihn ab: Observability Editor (roles/observability.editor) für Ihr Projekt, Ihren Ordner oder Ihre Organisation

  Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

  Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Erstellen und Aufrufen von Protokollbereichen und zum Festlegen des Standardprotokollbereichs erforderlich sind. Erweitern Sie den Abschnitt Erforderliche Berechtigungen, um die erforderlichen Berechtigungen anzuzeigen:

  Erforderliche Berechtigungen

  Die folgenden Berechtigungen sind erforderlich, um Logbereiche zu erstellen und aufzurufen sowie den Standardlogbereich festzulegen:

  • So legen Sie den Standardlogbereich fest: observability.scopes.{get, update}
  • So erstellen und verwalten Sie Log-Scopes: logging.logScopes.{create, delete, get, list, update}

  Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

• Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  In the Google Cloud console, activate Cloud Shell.

  Activate Cloud Shell

  At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

  Terraform

  Wenn Sie die Terraform-Beispiele auf dieser Seite in einer lokalen Entwicklungsumgebung verwenden möchten, installieren und initialisieren Sie die gcloud CLI und richten dann die Standardanmeldedaten für Anwendungen mit Ihren Nutzeranmeldedaten ein.

  1. Install the Google Cloud CLI.

  2. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  3. To initialize the gcloud CLI, run the following command:

     gcloud init

  4. If you're using a local shell, then create local authentication credentials for your user account:

     gcloud auth application-default login

     You don't need to do this if you're using Cloud Shell.

     If an authentication error is returned, confirm that you have configured the gcloud CLI to use Workforce Identity Federation.

  Weitere Informationen finden Sie unter Authentifizierung für eine lokale Entwicklungsumgebung einrichten in der Dokumentation zur Google Cloud-Authentifizierung.

  REST

  Verwenden Sie die von der gcloud CLI bereitgestellten Anmeldedaten, um die REST API-Beispiele auf dieser Seite in einer lokalen Entwicklungsumgebung zu verwenden.

  After installing the Google Cloud CLI, initialize it by running the following command:

  gcloud init

  If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  Weitere Informationen finden Sie unter Für die Verwendung von REST authentifizieren in der Dokumentation zur Google Cloud-Authentifizierung.

Logbereiche auflisten

 gcloud logging scopes list --project=PROJECT_ID

 gcloud logging scopes describe LOG_SCOPE --project=PROJECT_ID

Standard-Logbereich festlegen

Dieser Abschnitt gilt nicht für Ordner oder Organisationen. Bei Ordnern und Organisationen wird beim Öffnen der Seite Log-Explorer nach den Logeinträgen gesucht, die im Ordner oder in der Organisation stammen.

Wenn ein Projekt erstellt wird, wird ein Protokollbereich mit dem Namen _Default erstellt. In diesem Bereich ist eine Ressource aufgeführt, nämlich Ihr Projekt, und sie wird als Standard-Logbereich festgelegt. Wenn Sie ein Projekt erstellen und den Standardlogbereich nicht ändern, wird beim Öffnen der Seite Log-Explorer nach allen Logeinträgen gesucht, die aus dem Projekt stammen.

Sie können Ihren eigenen Protokollumfang erstellen und als Standardprotokollumfang festlegen. Mit dieser Funktion können Sie konfigurieren, in welchen Ressourcen auf der Seite Log-Explorer nach Logeinträgen gesucht wird.

Logbereich erstellen

Sie können 100 Log-Bereiche pro Projekt erstellen. Ein Logbereich kann insgesamt 100 Logansichten und Projekte enthalten, jedoch nur 5 Projekte. Sie können einem Log-Scope keine Ordner oder Organisationen hinzufügen.

 gcloud logging scopes create LOG_SCOPE --project=PROJECT_ID \
   --description=DESCRIPTION \
   --resource-names=RESOURCE_NAMES

Log-Umfang ändern oder löschen

 gcloud logging scopes update LOG_SCOPE --project=PROJECT_ID \
   --description=DESCRIPTION \
   --resource-names=RESOURCE_NAMES

 gcloud logging scopes delete LOG_SCOPE --project=PROJECT_ID

Nächste Schritte

• Logs mit dem Log-Explorer aufrufen
• Logansichten für einen Log-Bucket konfigurieren