設定多用戶群記錄

gcloud

如要為 GKE 叢集設定多租戶記錄功能，請完成下列步驟：

1. 設定下列環境變數：

   export TENANT_NAMESPACE="TENANT_NAMESPACE"
   export MAIN_PROJECT="MAIN_PROJECT_ID"
   export TENANT_PROJECT="TENANT_PROJECT_ID"
   

   更改下列內容：

   • TENANT_NAMESPACE：租戶專案命名空間的名稱
   • MAIN_PROJECT_ID：主要專案的專案 ID
   • TENANT_PROJECT_ID：租戶專案的專案 ID

2. 在多租戶叢集中建立命名空間：

   kubectl create namespace $TENANT_NAMESPACE
   

3. 在主要 GKE 專案中建立記錄接收器：

   gcloud logging sinks create gke-$TENANT_NAMESPACE-sink \
   logging.googleapis.com/projects/$TENANT_PROJECT \
       --project=$MAIN_PROJECT \
       --log-filter=resource.labels.namespace_name="$TENANT_NAMESPACE" \
       --description="Log sink to $TENANT_PROJECT for $TENANT_NAMESPACE namespace"
   

   這項指令會建立記錄接收器，將與 $TENANT_NAMESPACE 命名空間相關的所有記錄傳送至租戶專案。

   您可能需要使用限制更嚴格的 --log-filter。舉例來說，如果叢集和租戶的命名空間相同，請新增叢集篩選器。

   如要進一步瞭解這些欄位，請參閱 gcloud logging sinks create API 說明文件。

4. 從主要專案的接收器取得寫入者身分，並指派給環境變數。

   export SERVICE_ACCOUNT=$(gcloud logging sinks describe gke-$TENANT_NAMESPACE-sink \
       --project=$MAIN_PROJECT \
       --format='value(writerIdentity)')
   

5. 將「記錄檔寫入者」(logging.bucketWriter) 角色指派給接收器使用的服務帳戶。下列指令會授予主要專案權限，將記錄寫入租戶專案：

    gcloud projects add-iam-policy-binding $TENANT_PROJECT \
        --member=$SERVICE_ACCOUNT --role='roles/logging.logWriter' \
        --condition="expression=resource.name.endsWith(\"projects/$TENANT_PROJECT\"),title=Log writer for $TENANT_NAMESPACE,description=Grants Logs Writer role to service account $SERVICE_ACCOUNT used by gke-$TENANT_NAMESPACE-sink"
   

   如要進一步瞭解這些欄位，請參閱 gcloud projects add-iam-policy-binding API 說明文件。

6. (選用) 為接收器建立排除篩選器，將記錄檔轉送至主要專案的 _Default 值區。如果未在 _Default bucket 中建立排除篩選器，則路由傳送的記錄會同時顯示在主要專案的 _Default bucket 和租戶記錄 bucket 中。如要建立排除篩選器，請按照下列步驟操作：

   gcloud logging sinks update _Default --project=$MAIN_PROJECT \
       --add-exclusion="name=gke-$TENANT_NAMESPACE-default-exclusion,description=\"Exclusion filter on the _Default bucket for $TENANT_NAMESPACE\",filter=resource.labels.namespace_name=\"$TENANT_NAMESPACE\""
   

   如要進一步瞭解這些欄位，請參閱 gcloud logging sinks update API 說明文件。

控制台

如要為 GKE 實作多用戶群記錄功能，請完成下列步驟：

1. 在主要專案中建立記錄接收器：

   1. 使用 Google Cloud 控制台專案選取器，選取主要的 GKE 專案。

   2. 前往 Google Cloud 控制台的「記錄檔路由器」頁面：

      前往「記錄檔路由器」

      如果您是使用搜尋列尋找這個頁面，請選取子標題為「Logging」的結果。

   3. 在「Log Router」(記錄檔路由器) 頁面中，按一下「Create sink」(建立接收器)。
   4. 輸入接收器的「名稱」和「說明」，然後按一下「下一步」。
   5. 在「Select sink service」(選取接收器服務) 選單中，選取「Other project」(其他專案)。

   6. 在「接收器目的地」欄位中，新增下列目的地：

      logging.googleapis.com/projects/TENANT_PROJECT_ID
      

      將 TENANT_PROJECT_ID 替換為租戶專案的專案 ID。

   7. 點選「下一步」。

   8. 在「建立『包含』篩選器」中，新增下列篩選器：

      resource.labels.namespace_name="TENANT_NAMESPACE"
      

      將 TENANT_NAMESPACE 替換為租戶專案命名空間的名稱。

      您可能需要限制性較高的「包含」篩選器。舉例來說，如果叢集和租戶的命名空間相同，請考慮新增子句，只納入特定叢集的記錄項目。

   9. 按一下「建立接收器」。新的接收器會顯示在「記錄檔路由器接收器」清單中。

2. 將接收器的寫入者身分複製到剪貼簿：

   1. 在「記錄檔路由器」頁面中，找出記錄檔接收器。
   2. 針對該接收器，按一下「更多」圖示 more_vert，然後選取「查看接收器詳細資料」。
   3. 在「接收器詳細資料」窗格中，找到「寫入者身分」欄位，然後將值複製到剪貼簿。從複製的值中省略 serviceAccount: 。

3. 在租戶專案中，將記錄寫入者 (roles/logging.logWriter) 角色授予主要專案接收器使用的服務帳戶。主要專案需要這項權限，才能將記錄寫入租戶專案。

   1. 前往 Google Cloud 控制台的「IAM」IAM頁面：

      前往 IAM

      如果您是使用搜尋列尋找這個頁面，請選取子標題為「IAM & Admin」的結果。

   2. 按一下「授予存取權」。
   3. 在「新增主體」欄位中，新增接收器的服務帳戶。
   4. 從「Select a role」(選取角色) 下拉式選單中，選取「Logging」(記錄)，然後選擇「Logs Writer」(記錄寫入者)。
   5. 按一下 [儲存]。

4. 視需要，在主要專案的 _Default bucket 中建立排除篩選器，防止轉送至租戶專案的記錄檔寫入主要專案的 _Default 記錄 bucket：

   1. 前往 Google Cloud 控制台的「記錄檔路由器」頁面：

      前往「記錄檔路由器」

      如果您是使用搜尋列尋找這個頁面，請選取子標題為「Logging」的結果。

   2. 按一下 _Default 值區旁的「更多」more_vert ，然後選取「編輯接收器」。
   3. 在「選擇要從接收器排除的記錄檔」部分中，按一下「新增排除條件」。
   4. 新增篩選器名稱。

   5. 在「建立排除篩選器」方塊中，新增下列項目：

      resource.labels.namespace_name="TENANT_NAMESPACE"
      

   6. 按一下「更新接收器」。

gcloud

如要移除為多租戶記錄建立的物件，請完成下列步驟：

1. 設定變數，簡化下列指令：

   export TENANT_NAMESPACE="TENANT_NAMESPACE"
   export MAIN_PROJECT="MAIN_PROJECT_ID"
   export TENANT_PROJECT="TENANT_PROJECT_ID"
   

   更改下列內容：

   • TENANT_NAMESPACE：租戶專案命名空間的名稱
   • MAIN-PROJECT-ID：主要專案的專案 ID
   • TENANT-PROJECT-ID：租戶專案的專案 ID

2. 從租戶專案的服務帳戶中，移除「記錄檔寫入者」(roles/logging.logWriter) 角色：

   export SERVICE_ACCOUNT=$(gcloud logging sinks describe gke-$TENANT_NAMESPACE-sink \
       --project=$MAIN_PROJECT | \
       --format='value(writerIdentity)'
   
   gcloud projects remove-iam-policy-binding $TENANT_PROJECT \
       --member=$SERVICE_ACCOUNT \
       --role='roles/logging.logWriter' \
       --all
   

3. 刪除記錄接收器：

   gcloud logging sinks delete gke-$TENANT_NAMESPACE-sink \
       --project=$MAIN_PROJECT
   

4. 刪除命名空間：

   kubectl delete namespace $TENANT_NAMESPACE
   

控制台

1. 在租戶專案中，從服務帳戶移除「記錄檔寫入者」(roles/logging.logWriter) 角色：

   1. 前往 Google Cloud 控制台的「IAM」IAM頁面：

      前往 IAM

      如果您是使用搜尋列尋找這個頁面，請選取子標題為「IAM & Admin」的結果。

   2. 找到要刪除的服務帳戶，然後按一下 edit「Edit principal」(編輯主體)。
   3. 在「編輯存取權」面板中，按一下「記錄檔寫入者」角色旁的 delete「刪除角色」，然後按一下「儲存」。

2. 在主要專案中，刪除記錄接收器：

   1. 使用 Google Cloud 控制台專案選擇工具，選取租戶 GKE 專案。

   2. 前往 Google Cloud 控制台的「記錄檔路由器」頁面：

      前往「記錄檔路由器」

      如果您是使用搜尋列尋找這個頁面，請選取子標題為「Logging」的結果。

   3. 找出要刪除的接收器，然後按一下「更多」圖示 more_vert。
   4. 選取「刪除接收器」。
   5. 在確認面板中，按一下「刪除」。