태그를 사용하여 로그 버킷 액세스 관리

이 문서에서는 태그를 사용하여 Cloud Logging 로그 버킷을 관리하는 방법을 설명합니다. 조직 또는 프로젝트 수준에서 생성된 태그를 사용하면 리소스에 주석을 작성할 수 있습니다. 리소스에 특정 태그가 있는지 여부에 따라 Identity and Access Management(IAM) 역할을 조건부로 부여하거나 IAM 권한을 조건부로 거부할 수도 있습니다. 태그에 대한 자세한 내용은 태그 개요를 참조하세요.

예를 들어 BigQuery를 사용하여 Cloud Billing 데이터를 분석하는 경우 프로덕션 리소스의 로그 데이터를 저장하는 로그 버킷에는 project:production 태그를, 개발 리소스의 로그 데이터를 저장하는 로그 버킷에는 project:development 태그를 연결할 수 있습니다. 그런 다음 태그를 사용하여 Cloud Billing 데이터를 쿼리하고 개발과 프로덕션 간의 비용 분석을 확인할 수 있습니다.

태그는 로그 버킷에 명시적으로 연결되거나 상위 조직, 폴더, 프로젝트에서 상속될 수 있습니다.

시작하기 전에

태그를 사용하여 로그 버킷을 관리하려면 다음을 수행합니다.

1. 태그를 만들고 값을 구성했는지 확인합니다. Resource Manager를 사용하여 태그 정의를 관리합니다. 태그를 만들고 관리하는 방법은 태그 만들기 및 관리를 참조하세요.

2. 태그를 사용하여 로그 버킷을 관리하는 데 필요한 권한을 얻으려면 관리자에게 프로젝트나 조직에 대한 다음 IAM 역할을 부여해 달라고 요청하세요.

   • 태그 사용자(roles/resourcemanager.tagUser)
   • 태그 뷰어(roles/resourcemanager.tagViewer)

   역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.

   이러한 사전 정의된 역할에는 태그를 사용하여 로그 버킷을 관리하는 데 필요한 권한이 포함되어 있습니다. 필요한 정확한 권한을 보려면 필수 권한 섹션을 펼치세요.

   필수 권한

   태그를 사용하여 로그 버킷을 관리하려면 다음 권한이 필요합니다.

   • 태그를 로그 버킷에 추가하거나 삭제합니다.
     • resourcemanager.tagValues.{get,list}
     • resourcemanager.tagKeys.{get,list}
     • resourcemanager.projects.get
     • logging.buckets.createTagbinding
     • logging.buckets.deleteTagBinding
   • 로그 버킷에 연결된 태그를 봅니다.
     • resourcemanager.tagValues.{get,list}
     • resourcemanager.tagKeys.{get,list}
     • logging.buckets.listTagBindings
     • logging.buckets.listEffectiveTags

   커스텀 역할이나 다른 사전 정의된 역할을 사용하여 이 권한을 부여받을 수도 있습니다.

3. 로그 버킷을 관리하는 데 필요한 권한을 얻으려면 관리자에게 프로젝트에 대한 로그 구성 작성자(roles/logging.configWriter) IAM 역할을 부여해 달라고 요청하세요. 역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.

   이 사전 정의된 역할에는 로그 버킷을 관리하는 데 필요한 logging.buckets.list 권한이 포함되어 있습니다.

   커스텀 역할이나 다른 사전 정의된 역할을 사용하여 이 권한을 부여받을 수도 있습니다.

로그 버킷에 태그 연결

태그를 로그 버킷에 연결하려면 다음을 수행합니다.

gcloud resource-manager tags bindings create \
--tag-value=TAG_VALUE_ID \
--parent=BUCKET_NAME \
--location=LOCATION

로그 버킷에 연결된 태그 보기

로그 버킷에 연결된 태그를 보려면 다음을 수행합니다.

gcloud resource-manager tags bindings list \
--parent=BUCKET_NAME \
--location=LOCATION

namespacedTagKey: 961309089256/environment
namespacedTagValue: 961309089256/environment/production
tagKey: tagKeys/417628178507
tagValue: tagValues/247197504380
inherited: true

로그 버킷에서 태그 삭제

로그 버킷에 연결된 태그를 삭제하려면 로그 버킷에 연결된 태그 바인딩을 삭제해야 합니다. 태그를 삭제하려면 연결된 모든 리소스에서 태그를 삭제해야 합니다.

gcloud resource-manager tags bindings delete \
--tag-value=TAG_VALUE_ID \
--parent=BUCKET_NAME \
--location=LOCATION

제한사항

• IAM 역할 부여를 사용하여 주 구성원이 Google Cloud 프로젝트에서 로그 버킷을 나열할 때 표시되는 로그 버킷을 제어할 수 없습니다. 주 구성원에게는 전체 목록이나 빈 목록이 표시됩니다. 하지만 IAM 조건과 함께 IAM 역할 부여를 사용하여 주 구성원이 로그 버킷에서 수행할 수 있는 작업을 제한할 수 있습니다. 예를 들어 주 구성원이 특정 로그 버킷을 삭제할 수 있는지 여부를 제한할 수 있습니다.

• BigQuery에서 Cloud Billing 데이터 내보내기를 사용하는 경우 내보내기에서 태그를 사용할 수 있게 되는 데 최대 1시간이 걸릴 수 있습니다. 1시간 내에 태그가 추가 또는 삭제되었거나 로그 버킷이 1시간 미만 동안 존재한 경우 태그가 내보내기에 표시되지 않을 수 있습니다.

커스텀 역할 및 IAM 조건이 있는 역할 부여

커스텀 IAM 역할을 사용하고 IAM 조건을 역할 부여에 연결하려는 경우 커스텀 역할을 여러 개 만들어야 할 수 있습니다. IAM 조건이 역할 부여에 연결되면 일부 IAM 권한이 무효화됩니다.

Cloud Logging의 경우 역할 부여에 IAM 조건이 포함되면 다음 IAM 권한이 무효화됩니다.

• logging.buckets.list
• logging.buckets.create

따라서 list 및 create 권한이 있는 역할 하나와 다른 버킷별 권한이 포함된 또 다른 역할을 만들어야 할 수 있습니다. 예를 들어 logging.buckets.delete 및 logging.buckets.update 권한이 포함된 역할 하나를 만들 수 있습니다.

list 및 create 권한이 포함된 역할을 부여하는 경우에는 IAM 조건을 역할 부여에 연결하지 마세요. delete 및 update 권한이 포함된 역할을 부여하는 경우 권한 부여를 특정 태그가 있는 리소스로 제한하는 IAM 조건을 추가할 수 있습니다.

다음 단계

• 태그를 사용한 조직 정책 설정 방법 알아보기

• Cloud Billing 데이터 내보내기에서 태그를 사용하는 방법에 대한 자세한 내용은 Cloud Billing 데이터 내보내기 문서를 참조하세요.