Menggunakan tag untuk mengelola akses ke bucket log

Dokumen ini menjelaskan cara menggunakan Tag untuk mengelola bucket log Cloud Logging Anda. Tag, yang dibuat di level organisasi atau project, memungkinkan Anda memberi anotasi pada resource. Anda juga dapat memberikan peran Identity and Access Management (IAM) secara bersyarat atau menolak izin IAM secara bersyarat berdasarkan apakah resource memiliki tag tertentu atau tidak. Untuk mengetahui informasi tentang tag, lihat Ringkasan tag.

Misalnya, jika Anda menggunakan BigQuery untuk menganalisis data Penagihan Cloud, Anda dapat memasang tag project:production ke bucket log yang menyimpan data log dari resource produksi, dan Anda dapat memasang tag project:development ke bucket log yang menyimpan data log dari resource pengembangan. Kemudian, Anda dapat membuat kueri data Penagihan Cloud dengan tag dan melihat perincian biaya antara pengembangan dan produksi.

Tag dapat dilampirkan secara eksplisit ke bucket log, atau diwarisi dari organisasi, folder, dan project induknya.

Sebelum memulai

Untuk mulai mengelola bucket log menggunakan tag, lakukan hal berikut:

1. Pastikan Anda telah membuat tag dan mengonfigurasi nilainya. Anda dapat menggunakan Resource Manager untuk mengelola definisi tag. Untuk mengetahui informasi tentang cara membuat dan mengelola tag, lihat Membuat dan mengelola tag.

2. Untuk mendapatkan izin yang diperlukan untuk mengelola bucket log menggunakan tag, minta administrator untuk memberi Anda peran IAM berikut di project atau organisasi:

   • Tag Pengguna (roles/resourcemanager.tagUser)
   • Tag Viewer (roles/resourcemanager.tagViewer)

   Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

   Peran bawaan ini berisi izin yang diperlukan untuk mengelola bucket log menggunakan tag. Untuk melihat izin yang benar-benar diperlukan, luaskan bagian Izin yang diperlukan:

   Izin yang diperlukan

   Izin berikut diperlukan untuk mengelola bucket log menggunakan tag:

   • Menambahkan atau menghapus tag ke bucket log:
     • resourcemanager.tagValues.{get,list}
     • resourcemanager.tagKeys.{get,list}
     • resourcemanager.projects.get
     • logging.buckets.createTagbinding
     • logging.buckets.deleteTagBinding
   • Melihat tag yang dilampirkan ke bucket log:
     • resourcemanager.tagValues.{get,list}
     • resourcemanager.tagKeys.{get,list}
     • logging.buckets.listTagBindings
     • logging.buckets.listEffectiveTags

   Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

3. Untuk mendapatkan izin yang diperlukan untuk mengelola bucket log, minta administrator Anda untuk memberi Anda peran IAM Logs Configuration Writer (roles/logging.configWriter) di project Anda. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

   Peran bawaan ini berisi izin logging.buckets.list , yang diperlukan untuk mengelola bucket log.

   Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Melampirkan tag ke bucket log

Untuk melampirkan tag ke bucket log, lakukan hal berikut:

gcloud resource-manager tags bindings create \
--tag-value=TAG_VALUE_ID \
--parent=BUCKET_NAME \
--location=LOCATION

Melihat tag yang dilampirkan ke bucket log

Untuk melihat tag yang terlampir ke bucket log, lakukan langkah berikut:

gcloud resource-manager tags bindings list \
--parent=BUCKET_NAME \
--location=LOCATION

namespacedTagKey: 961309089256/environment
namespacedTagValue: 961309089256/environment/production
tagKey: tagKeys/417628178507
tagValue: tagValues/247197504380
inherited: true

Menghapus tag pada bucket log

Untuk menghapus tag yang dilampirkan ke bucket log, Anda harus menghapus binding tag yang dilampirkan ke bucket log. Untuk menghapus tag, Anda harus menghapus tag dari semua resource yang terlampir.

gcloud resource-manager tags bindings delete \
--tag-value=TAG_VALUE_ID \
--parent=BUCKET_NAME \
--location=LOCATION

Batasan

• Anda tidak dapat menggunakan pemberian peran IAM untuk mengontrol bucket log mana yang dilihat akun utama saat mencantumkan bucket log dalam project. Google Cloud Kepala sekolah akan melihat daftar lengkap atau daftar kosong. Namun, Anda dapat menggunakan pemberian peran IAM dengan kondisi IAM untuk membatasi tindakan yang dapat dilakukan akun utama pada bucket log. Misalnya, Anda dapat membatasi apakah pokok keamanan dapat menghapus bucket log tertentu.

• Jika Anda menggunakan ekspor data Penagihan Cloud dengan BigQuery, tag mungkin memerlukan waktu hingga satu jam untuk digunakan dalam ekspor. Jika tag telah ditambahkan atau dihapus dalam waktu satu jam, atau jika bucket log telah ada selama kurang dari satu jam, maka tag tersebut mungkin tidak muncul di ekspor.

Peran kustom dan pemberian peran dengan kondisi IAM

Jika Anda berencana menggunakan peran IAM kustom dan jika Anda berencana melampirkan kondisi IAM ke pemberian peran, Anda mungkin perlu membuat beberapa peran kustom. Beberapa izin IAM menjadi tidak valid saat kondisi IAM dilampirkan ke pemberian peran.

Untuk Cloud Logging, izin IAM berikut dibatalkan saat pemberian peran berisi kondisi IAM:

• logging.buckets.list
• logging.buckets.create

Oleh karena itu, Anda mungkin perlu membuat satu peran dengan izin list dan create, serta peran lain yang berisi izin khusus bucket lainnya. Misalnya, Anda dapat membuat peran yang berisi izin logging.buckets.delete dan logging.buckets.update.

Saat Anda memberikan peran yang berisi izin list dan create, jangan lampirkan kondisi IAM ke pemberian peran. Saat Anda memberikan peran yang berisi izin delete dan update, Anda dapat menambahkan kondisi IAM yang membatasi pemberian izin ke resource dengan tag tertentu.

Langkah berikutnya

• Pelajari cara menetapkan kebijakan organisasi dengan Tag.

• Untuk mengetahui informasi tentang penggunaan tag dalam ekspor data Penagihan Cloud, lihat dokumentasi ekspor data Penagihan Cloud.