Utilizzare i tag per gestire l'accesso ai bucket dei log

Questo documento descrive come utilizzare i tag per gestire i bucket di log di Cloud Logging. I tag, creati a livello di organizzazione o progetto, ti consentono di annotare le risorse. Puoi anche concedere in modo condizionale i ruoli Identity and Access Management (IAM) o negare in modo condizionale le autorizzazioni IAM a seconda che una risorsa abbia un tag specifico. Per informazioni sui tag, vedi Panoramica dei tag.

Ad esempio, se utilizzi BigQuery per analizzare i dati di fatturazione Cloud, potresti allegare il tag project:production ai bucket log che archiviano i dati di log delle risorse di produzione e il tag project:development ai bucket log che archiviano i dati di log delle risorse di sviluppo. Quindi, puoi interrogare i dati di fatturazione Cloud con i tag e visualizzare una suddivisione dei costi tra sviluppo e produzione.

I tag possono essere collegati esplicitamente ai bucket di log o ereditati dall'organizzazione, dalle cartelle e dai progetti principali.

Prima di iniziare

Per iniziare a gestire i bucket dei log utilizzando i tag:

1. Assicurati di aver creato un tag e configurato i relativi valori. Utilizzi Resource Manager per gestire le definizioni dei tag. Per informazioni su come creare e gestire i tag, consulta la pagina Creazione e gestione dei tag.

2. Per ottenere le autorizzazioni necessarie per gestire i bucket log utilizzando i tag, chiedi all'amministratore di concederti i seguenti ruoli IAM per il progetto o l'organizzazione:

   • Tagga utente (roles/resourcemanager.tagUser)
   • Visualizzatore tag (roles/resourcemanager.tagViewer)

   Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

   Questi ruoli predefiniti contengono le autorizzazioni necessarie per gestire i bucket log utilizzando i tag. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

   Autorizzazioni obbligatorie

   Per gestire i bucket dei log utilizzando i tag sono necessarie le seguenti autorizzazioni:

   • Aggiungi o rimuovi tag dai bucket di log:
     • resourcemanager.tagValues.{get,list}
     • resourcemanager.tagKeys.{get,list}
     • resourcemanager.projects.get
     • logging.buckets.createTagbinding
     • logging.buckets.deleteTagBinding
   • Visualizza i tag collegati ai bucket di log:
     • resourcemanager.tagValues.{get,list}
     • resourcemanager.tagKeys.{get,list}
     • logging.buckets.listTagBindings
     • logging.buckets.listEffectiveTags

   Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

3. Per ottenere l'autorizzazione necessaria per gestire i bucket di log, chiedi all'amministratore di concederti il ruolo IAM Logs Configuration Writer (roles/logging.configWriter) nel progetto. Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

   Questo ruolo predefinito contiene l'autorizzazione logging.buckets.list necessaria per gestire i bucket di log.

   Potresti anche ottenere questa autorizzazione con ruoli personalizzati o altri ruoli predefiniti.

Associa tag a un bucket di log

Per collegare un tag a un bucket di log:

gcloud resource-manager tags bindings create \
--tag-value=TAG_VALUE_ID \
--parent=BUCKET_NAME \
--location=LOCATION

Visualizzare i tag collegati a un bucket di log

Per visualizzare i tag collegati a un bucket di log:

gcloud resource-manager tags bindings list \
--parent=BUCKET_NAME \
--location=LOCATION

namespacedTagKey: 961309089256/environment
namespacedTagValue: 961309089256/environment/production
tagKey: tagKeys/417628178507
tagValue: tagValues/247197504380
inherited: true

Rimuovere i tag da un bucket di log

Per rimuovere i tag collegati a un bucket dei log, devi eliminare l'associazione tag collegata al bucket dei log. Per eliminare un tag, devi rimuoverlo da tutte le risorse collegate.

gcloud resource-manager tags bindings delete \
--tag-value=TAG_VALUE_ID \
--parent=BUCKET_NAME \
--location=LOCATION

Limitazioni

• Non puoi utilizzare le concessioni di ruoli IAM per controllare quali bucket di log un'entità vede quando elenca i bucket di log in un progetto. Google Cloud Un preside vedrà un elenco completo o un elenco vuoto. Tuttavia, puoi utilizzare le concessioni di ruoli IAM con le condizioni IAM per limitare le azioni che un'entità può eseguire su un bucket log. Ad esempio, puoi limitare la possibilità di eliminare un bucket di log specifico per un'entità.

• Se utilizzi le esportazioni dei dati di fatturazione Cloud con BigQuery, potrebbe essere necessaria fino a un'ora prima che i tag vengano utilizzati nell'esportazione. Se un tag è stato aggiunto o rimosso entro un'ora o se il bucket dei log esiste da meno di un'ora, potrebbe non essere visualizzato nell'esportazione.

Ruoli personalizzati e concessioni di ruoli con condizioni IAM

Se prevedi di utilizzare ruoli IAM personalizzati e di collegare condizioni IAM alle concessioni di ruoli, potresti dover creare più ruoli personalizzati. Alcune autorizzazioni IAM vengono invalidate quando una condizione IAM viene associata a una concessione di ruolo.

Per Cloud Logging, le seguenti autorizzazioni IAM vengono invalidate quando una concessione di ruolo contiene una condizione IAM:

• logging.buckets.list
• logging.buckets.create

Pertanto, potresti dover creare un ruolo con le autorizzazioni list e create e un altro ruolo che contenga altre autorizzazioni specifiche per il bucket. Ad esempio, potresti creare un ruolo che contenga le autorizzazioni logging.buckets.delete e logging.buckets.update.

Quando concedi il ruolo che contiene le autorizzazioni list e create, non collegare una condizione IAM alla concessione del ruolo. Quando concedi il ruolo che contiene le autorizzazioni delete e update, puoi aggiungere una condizione IAM che limiti la concessione alle risorse con un tag specifico.

Passaggi successivi

• Scopri come impostare un criterio dell'organizzazione con i tag.

• Per informazioni sui tag di utilizzo nelle esportazioni dei dati di fatturazione Cloud, consulta la documentazione sulle esportazioni dei dati di fatturazione Cloud.