멀티 테넌트 로깅 설정

gcloud

GKE 클러스터용 멀티 테넌트 로깅을 구성하려면 다음 단계를 완료하세요.

1. 다음 환경 변수를 설정합니다.

   export TENANT_NAMESPACE="TENANT_NAMESPACE"
   export MAIN_PROJECT="MAIN_PROJECT_ID"
   export TENANT_PROJECT="TENANT_PROJECT_ID"
   

   다음을 바꿉니다.

   • TENANT_NAMESPACE: 테넌트 프로젝트 네임스페이스의 이름
   • MAIN_PROJECT_ID: 기본 프로젝트의 프로젝트 ID
   • TENANT_PROJECT_ID: 테넌트 프로젝트의 프로젝트 ID

2. 멀티 테넌트 클러스터에 네임스페이스를 만듭니다.

   kubectl create namespace $TENANT_NAMESPACE
   

3. 기본 GKE 프로젝트에서 로그 싱크를 만듭니다.

   gcloud logging sinks create gke-$TENANT_NAMESPACE-sink \
   logging.googleapis.com/projects/$TENANT_PROJECT \
       --project=$MAIN_PROJECT \
       --log-filter=resource.labels.namespace_name="$TENANT_NAMESPACE" \
       --description="Log sink to $TENANT_PROJECT for $TENANT_NAMESPACE namespace"
   

   이 명령어는 $TENANT_NAMESPACE 네임스페이스와 관련된 모든 로그를 테넌트 프로젝트로 전송하는 로그 싱크를 만듭니다.

   더 제한적인 --log-filter를 사용해야 할 수 있습니다. 예를 들어 클러스터와 테넌트의 네임스페이스가 동일한 경우 클러스터 필터를 추가하세요.

   이러한 필드에 대한 자세한 내용은 gcloud logging sinks create API 참고 리소스를 참조하세요.

4. 기본 프로젝트의 싱크에서 작성자 ID를 가져와 환경 변수에 할당합니다.

   export SERVICE_ACCOUNT=$(gcloud logging sinks describe gke-$TENANT_NAMESPACE-sink \
       --project=$MAIN_PROJECT \
       --format='value(writerIdentity)')
   

5. 싱크에서 사용하는 서비스 계정에 로그 작성자(logging.bucketWriter) 역할을 부여합니다. 다음 명령어는 테넌트 프로젝트에 로그를 작성할 수 있는 기본 프로젝트 권한을 부여합니다.

    gcloud projects add-iam-policy-binding $TENANT_PROJECT \
        --member=$SERVICE_ACCOUNT --role='roles/logging.logWriter' \
        --condition="expression=resource.name.endsWith(\"projects/$TENANT_PROJECT\"),title=Log writer for $TENANT_NAMESPACE,description=Grants Logs Writer role to service account $SERVICE_ACCOUNT used by gke-$TENANT_NAMESPACE-sink"
   

   이러한 필드에 대한 자세한 내용은 gcloud projects add-iam-policy-binding API 참고 리소스를 참조하세요.

6. 선택사항으로는, 기본 프로젝트의 _Default 버킷으로 로그를 라우팅하는 싱크의 제외 필터를 만듭니다. _Default 버킷에 제외 필터를 만들지 않으면 라우팅된 로그가 기본 프로젝트의 _Default 버킷 및 테넌트 로그 버킷에 모두 표시됩니다. 제외 필터를 만들려면 다음 안내를 따르세요.

   gcloud logging sinks update _Default --project=$MAIN_PROJECT \
       --add-exclusion="name=gke-$TENANT_NAMESPACE-default-exclusion,description=\"Exclusion filter on the _Default bucket for $TENANT_NAMESPACE\",filter=resource.labels.namespace_name=\"$TENANT_NAMESPACE\""
   

   이러한 필드에 대한 자세한 내용은 gcloud logging sinks update API 참고 리소스를 참조하세요.

콘솔

GKE용 멀티 테넌트 로깅을 구현하려면 다음 단계를 완료하세요.

1. 기본 프로젝트에서 로그 싱크를 만듭니다.

   1. Google Cloud 콘솔 프로젝트 선택도구를 사용하여 기본 GKE 프로젝트를 선택합니다.

   2. Google Cloud 콘솔에서 로그 라우터 페이지로 이동합니다.

      로그 라우터로 이동

      검색창을 사용하여 이 페이지를 찾은 경우 부제목이 Logging인 결과를 선택합니다.

   3. 로그 라우터 페이지에서 싱크 만들기를 클릭합니다.
   4. 싱크의 이름과 설명을 입력한 후 다음을 클릭합니다.
   5. 싱크 서비스 선택 메뉴에서 기타 프로젝트를 선택합니다.

   6. 싱크 대상 위치 필드에 다음 대상을 추가합니다.

      logging.googleapis.com/projects/TENANT_PROJECT_ID
      

      TENANT_PROJECT_ID를 테넌트 프로젝트의 프로젝트 ID로 바꿉니다.

   7. 다음을 클릭합니다.

   8. 포함 필터 만들기에서 다음 필터를 추가합니다.

      resource.labels.namespace_name="TENANT_NAMESPACE"
      

      TENANT_NAMESPACE를 테넌트 프로젝트의 네임스페이스 이름으로 바꿉니다.

      더 제한적인 포함 필터를 사용하는 것이 좋을 수 있습니다. 예를 들어 클러스터와 테넌트의 네임스페이스가 동일한 경우 특정 클러스터의 로그 항목만 포함하도록 절을 추가하는 것이 좋습니다.

   9. 싱크 만들기를 클릭합니다. 새 싱크가 로그 라우터 싱크 목록에 표시됩니다.

2. 싱크의 작성자 ID를 클립보드에 복사합니다.

   1. 로그 라우터 페이지에서 로그 싱크를 찾습니다.
   2. 해당 싱크에 대해 more_vert 더보기를 클릭한 후 싱크 세부정보 보기를 선택합니다.
   3. 싱크 세부정보 창에서 작성자 ID 필드를 찾은 후 값을 클립보드에 복사합니다. 복사된 값에서 serviceAccount:를 생략합니다.

3. 테넌트 프로젝트에서 기본 프로젝트의 싱크에 사용되는 서비스 계정에 로그 작성자(roles/logging.logWriter) 역할을 부여합니다. 기본 프로젝트에는 테넌트 프로젝트에 로그를 쓸 수 있는 권한이 필요합니다.

   1. Google Cloud 콘솔에서 IAM 페이지로 이동합니다.

      IAM으로 이동합니다.

      검색창을 사용하여 이 페이지를 찾은 경우 부제목이 IAM 및 관리자인 결과를 선택합니다.

   2. 액세스 권한 부여를 클릭합니다.
   3. 새 주 구성원 필드에 싱크의 서비스 계정을 추가합니다.
   4. 역할 선택 드롭다운에서 Logging을 선택하고 로그 작성자를 선택합니다.
   5. 저장을 클릭합니다.

4. 원하는 경우 기본 프로젝트의 _Default 버킷에 제외 필터를 만들어 테넌트 프로젝트로 라우팅된 로그가 기본 프로젝트의 _Default 로그 버킷에 기록되지 않도록 합니다.

   1. Google Cloud 콘솔에서 로그 라우터 페이지로 이동합니다.

      로그 라우터로 이동

      검색창을 사용하여 이 페이지를 찾은 경우 부제목이 Logging인 결과를 선택합니다.

   2. _Default 버킷 옆의 more_vert더보기를 클릭하고 싱크 수정을 선택합니다.
   3. 싱크를 필터링할 로그 선택 섹션에서 제외 추가를 클릭합니다.
   4. 필터 이름을 추가합니다.

   5. 제외 필터 만들기 상자에서 다음을 추가합니다.

      resource.labels.namespace_name="TENANT_NAMESPACE"
      

   6. 싱크 업데이트를 클릭합니다.

gcloud

멀티 테넌트 로깅을 위해 만든 객체를 삭제하려면 다음 단계를 완료합니다.

1. 다음 명령어를 단순화하는 변수를 설정합니다.

   export TENANT_NAMESPACE="TENANT_NAMESPACE"
   export MAIN_PROJECT="MAIN_PROJECT_ID"
   export TENANT_PROJECT="TENANT_PROJECT_ID"
   

   다음을 바꿉니다.

   • TENANT_NAMESPACE: 테넌트 프로젝트 네임스페이스의 이름
   • MAIN-PROJECT-ID: 기본 프로젝트의 프로젝트 ID
   • TENANT-PROJECT-ID: 테넌트 프로젝트의 프로젝트 ID

2. 테넌트 프로젝트의 서비스 계정에서 로그 작성자(roles/logging.logWriter) 역할을 삭제하세요.

   export SERVICE_ACCOUNT=$(gcloud logging sinks describe gke-$TENANT_NAMESPACE-sink \
       --project=$MAIN_PROJECT | \
       --format='value(writerIdentity)'
   
   gcloud projects remove-iam-policy-binding $TENANT_PROJECT \
       --member=$SERVICE_ACCOUNT \
       --role='roles/logging.logWriter' \
       --all
   

3. 로그 싱크를 삭제합니다.

   gcloud logging sinks delete gke-$TENANT_NAMESPACE-sink \
       --project=$MAIN_PROJECT
   

4. 네임스페이스를 삭제합니다.

   kubectl delete namespace $TENANT_NAMESPACE
   

콘솔

1. 테넌트 프로젝트의 서비스 계정에서 로그 작성자(roles/logging.logWriter) 역할을 삭제합니다.

   1. Google Cloud 콘솔에서 IAM 페이지로 이동합니다.

      IAM으로 이동합니다.

      검색창을 사용하여 이 페이지를 찾은 경우 부제목이 IAM 및 관리자인 결과를 선택합니다.

   2. 삭제할 서비스 계정에서 edit 주 구성원 수정을 클릭합니다.
   3. 액세스 수정 패널에서 로그 작성자 역할 옆에 있는 delete 역할 삭제를 클릭하고 저장을 클릭합니다.

2. 기본 프로젝트에서 로그 싱크를 삭제합니다.

   1. Google Cloud 콘솔 프로젝트 선택도구를 사용하여 테넌트 GKE 프로젝트를 선택합니다.

   2. Google Cloud 콘솔에서 로그 라우터 페이지로 이동합니다.

      로그 라우터로 이동

      검색창을 사용하여 이 페이지를 찾은 경우 부제목이 Logging인 결과를 선택합니다.

   3. 삭제할 싱크에서 more_vert 더보기를 클릭합니다.
   4. 싱크 삭제를 선택합니다.
   5. 확인 패널에서 삭제를 클릭합니다.