יצירה וניהול של היקפי יומנים

במסמך הזה מוסבר איך ליצור ולנהל אוספי תצוגות יומן (log scope), שבעזרתם אפשר למצוא ביעילות את רשומות היומן שרוצים להציג או לנתח. אם אתם רוצים רק להציג ולנתח את רשומות היומן שמקורן בפרויקט, בתיקייה או בארגון, המאמר הזה לא בשבילכם. עם זאת, אם אתם מסתמכים על sink ביומן כדי לנתב יומנים לפרויקטים אחרים או לקטגוריות ביומן שהוגדרו על ידי משתמשים, או אם אתם משתמשים בתצוגות יומנים, המידע במסמך הזה יכול לעזור לכם למצוא ביעילות רשומות יומן ספציפיות.

במאמר הזה לא מוסבר איך לצפות ביומנים. מידע נוסף על הנושא הזה זמין במאמר צפייה ביומנים באמצעות Logs Explorer.

מידע על היקפי היומן

אוספי תצוגות יומן (log scope) הם משאבים קבועים ברמת הפרויקט שמפרטים קבוצה של משאבים. המשאבים האלה יכולים להיות פרויקטים, תיקיות, ארגונים ותצוגות של יומנים. לדוגמה, אפשר להגדיר אוסף תצוגות יומן (log scope) שמפרט את הפרויקטים שמכילים משאבים שמשמשים לייצור, או אוסף שמפרט את תצוגות היומן שכוללות רשומות ביומן עבור סוג משאב מסוים.

כשיוצרים משאב של Google Cloud פרויקט, תיקייה או ארגון, שירות רישום ביומן יוצר אוסף תצוגות יומן (log scope) בשם _Default. ההיקף הזה כולל את הפרויקט, התיקייה או הארגון שנוצרו. כשמחפשים משאב שהוא Google Cloud פרויקט, תיקייה או ארגון, התוצאות כוללות את רשומות היומן שמקורן במשאב ואז הן מאוחסנות במאגר יומנים. קטגוריית היומנים יכולה להיות בכל פרויקט. כשמחפשים פרויקט, התוצאות כוללות גם רשומות ביומן שמועברות לפרויקט על ידי יעד בפרויקט אחר, ואז מאוחסנות בקטגוריית יומנים.

אפשר ליצור היקפי יומן. אתם יכולים גם לערוך ולמחוק את אוספי תצוגות היומן (log scope) שאתם יוצרים. עם זאת, אי אפשר לערוך או למחוק את אוסף תצוגות היומן (log scope) שנקרא _Default.

היקף היומן מאפשר לכם לקבוע באילו משאבים יתבצע חיפוש של נתוני יומן בדף Logs Explorer. כשפותחים את הדף הזה ובוחרים אוסף תצוגות יומן (log scope), המערכת מחפשת את המשאבים שמופיעים באוסף תצוגות היומן הזה ואז מרעננת את התצוגה.

בפרויקטים, היקף ברירת המחדל של היומנים קובע את קבוצת המשאבים שחיפוש מתבצע בהם בדף Logs Explorer כשהוא נפתח. עם זאת, התפקידים שלכם ב-Identity and Access Management (IAM) במשאבים שחיפשתם והגדרת טווח התאריכים קובעים אילו רשומות ביומן יאוחזרו מהאחסון. כשיוצרים פרויקטים, אוסף תצוגות היומן (log scope) שנקרא _Default מוגדר כאוסף תצוגות היומן (log scope) שמוגדר כברירת מחדל.

מה ההבדל בין היקפי יומנים לבין אחסון יומנים מרכזי

גם אחסון מרכזי של יומנים וגם אוספי תצוגות יומן (log scope) מאפשרים לכם לראות נתוני יומנים שמקורם בפרויקטים שונים.

כשממרכזים את האחסון של היומנים, מגדירים את ה-sinks בארגון או בתיקייה כדי לנתב את רשומות היומן למיקום אחסון יחיד. אחסון מרכזי מספק מקום אחד לשאילתות של נתוני יומן, וכך מפשט את השאילתות כשמחפשים מגמות או בודקים בעיות. מבחינת אבטחה, יש גם מיקום אחסון אחד, מה שמפשט את המשימות של אנליסטים בתחום האבטחה.

כשמריצים שאילתה על המשאבים שמופיעים באוסף תצוגות היומן (log scope), התוצאות של כל שאילתה משולבות. אוסף תצוגות יומן (log scope) מאפשר צבירה בזמן הקריאה של נתוני היומן, שיכולים להיות מאוחסנים במיקומים שונים. עם זאת, אפשר להשתמש באוסף תצוגות יומן (log scope) כדי לספק גישת קריאה לתצוגת יומן אחת או יותר בקטגוריה מרכזית ביומן.

כשנפתח הדף Logs Explorer, המערכת מריצה שאילתות על המשאבים שמופיעים בהיקף ברירת המחדל של היומן. לכן, כדאי להגדיר את היקף ברירת המחדל כך שבדף יוצגו הנתונים שאתם בדרך כלל רוצים לראות. לדוגמה, אפשר להגדיר את אוסף תצוגות היומן (log scope) ברירת המחדל להצגת תצוגת יומן, שאחרי שליחת שאילתה עליה מחזירה את נתוני היומן של אפליקציה ב-מרכז האפליקציות.

שיטות מומלצות

אוספי תצוגות יומן (log scopes) מאפשרים לכם להגדיר ולשמור הגדרות לשימוש עתידי, ולכן מומלץ ליצור אוספי תצוגות יומן (log scopes) להגדרות חיפוש מורכבות.

לדוגמה, נניח שאתם מנסים לפתור בעיה ואתם רוצים לראות את רשומות היומן של כל המכונות הווירטואליות (VM) שבבעלות הצוות שלכם. כדי לבצע את המשימה הזו, אפשר לעשות את הפעולות הבאות:

1. אתם קובעים שהרשומות ביומן שאתם רוצים לראות מאוחסנות בכמה קטגוריות של יומנים ובכמה פרויקטים. ברוב הקטגוריות של יומנים, יש תצוגת יומן שכוללת את רשומות היומן שרוצים לנתח. אם אין תצוגת יומן, אפשר ליצור אחת.

2. אתם מחליטים ליצור אוסף תצוגות יומן (log scope) כי אתם צופים שתצטרכו לבצע משימת פתרון בעיות דומה בעתיד.

3. פותחים את הדף Logs Explorer במסוף Google Cloud ומשתמשים בתפריט Refine scope כדי לבחור את היקף היומן החדש.

4. בודקים את הרשומות ביומן ומוצאים את המידע שדרוש לפתרון הבעיה שנבדקה.

5. אחרי שפותרים את הבעיה, משתפים את הסיבה לכישלון עם הקולגות. ציינת גם שאתה מצפה לראות כשלים דומים בעתיד, ולכן יצרת אוסף תצוגות יומן (log scope) שיאפשר לך, או לכל מי שיחקור את הכשל, למצוא במהירות רשומות רלוונטיות ביומן.

אפליקציות של מרכז האפליקציות ואוספי תצוגות יומן (log scope)

יכול להיות שנתוני יומן של אפליקציות ב-App Hub ייכתבו לכמה פרויקטים. יכול להיות שנתוני היומן מאוחסנים בפרויקט שממנו הם מגיעים, או שמנהל חשבון ארגוני הגדיר אחסון מרכזי. כדי לראות את נתוני היומן של האפליקציה, צריך ליצור אוסף תצוגות יומן (log scope), להגדיר אותו כך שיציג את הפרויקטים או את תצוגות היומן שבהם מאוחסנים נתוני היומן של האפליקציה, ואז להגדיר אותו כאוסף תצוגות היומן (log scope) שמוגדר כברירת מחדל. אחרי שמבצעים את השלבים האלה, בדף Logs Explorer מוצגים באופן אוטומטי הנתונים שנכתבו על ידי האפליקציה, גם אם הנתונים האלה מאוחסנים בפרויקטים שונים או בדלי יומנים מרכזי.

יוצרים את אוסף תצוגות יומן (log scope) המותאם אישית בפרויקט שממנו תצפו בנתוני היומן. הפרויקט הזה הוא הפרויקט המארח או פרויקט הניהול של App Hub. לדוגמה, אם השם המוצג של תיקייה הוא My Folder, אז השם המוצג של פרויקט הניהול של התיקייה הוא My Folder-mp.

מגבלות

• אי אפשר למחוק או לשנות את אוסף תצוגות היומן (log scope) שנקרא _Default.
• רק Google Cloud פרויקטים תומכים באוסף תצוגות יומן (log scope) ברירת מחדל.
• אי אפשר להוסיף תיקיות או ארגונים לאוסף תצוגות יומן (log scope) שמוגדר על ידי המשתמש.
• אוספי תצוגות יומן (log scope) נוצרים במיקום global.

לפני שמתחילים

מגדירים את הפרויקט ואת תפקידי ה-IAM, ובוחרים את הממשק שמתכננים להשתמש בו.

הגדרת הפרויקט והתפקידים

1. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.
   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

2. Verify that billing is enabled for your Google Cloud project.

3. Enable the Observability API, if it is not already enabled.

   Roles required to enable APIs

   To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

   Enable the API

4. כדי לקבל את ההרשאות שדרושות ליצירה ולהצגה של אוספי תצוגות יומן (log scope), צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים בפרויקט:

   • Logs Configuration Writer (roles/logging.configWriter`)
   • עורך יכולת התצפית (roles/observability.editor)

   להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

   התפקידים המוגדרים מראש האלה כוללים את ההרשאות שנדרשות ליצירה ולצפייה באוסף תצוגות יומן (log scope). כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

   ההרשאות הנדרשות

   כדי ליצור אוספי תצוגות יומן (log scope) ולצפות בהם, צריך את ההרשאות הבאות:

   • כדי להגדיר את היקף ברירת המחדל של היומן: observability.scopes.{get, update}
   • כדי ליצור ולנהל אוספי תצוגות יומן (log scope): logging.logScopes.{create, delete, get, list, update}

   יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

בחירת הממשק שבו רוצים להשתמש

gcloud

מתקינים את ה-CLI של Google Cloud ואז נכנסים ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם. אחרי שנכנסתם לחשבון, אתחלו את ה-CLI של Google Cloud באמצעות הפקודה הבאה:

gcloud init

Terraform

כדי להשתמש בסביבת פיתוח מקומית בדוגמאות של Terraform שבדף הזה, מתקינים ומפעילים את ה-CLI של gcloud, ואז מגדירים את Application Default Credentials באמצעות פרטי הכניסה של המשתמש.

1. התקינו את ה-CLI של Google Cloud.

2. הגדירו שה-CLI של gcloud ישתמש בזהות המאוחדת שלכם.

   איך נכנסים ל-CLI של gcloud באמצעות הזהות המאוחדת?

3. יוצרים פרטי כניסה לאימות מקומי עבור חשבון המשתמש:

   gcloud auth application-default login

   אם מוחזרת שגיאת אימות, צריך לוודא ש נכנסתם ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם.

למידע נוסף, ראו הגדרת ADC לסביבת פיתוח מקומית במאמרי העזרה בנושא אימות Google Cloud .

REST

כדי להשתמש בסביבת פיתוח מקומית בדוגמאות של API בארכיטקטורת REST שבדף הזה, צריך להשתמש בפרטי הכניסה שאתם נותנים ל-CLI של gcloud.

מתקינים את ה-CLI של Google Cloud ואז נכנסים ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם.

מידע נוסף מופיע במאמר אימות לשימוש ב-REST במסמכי האימות של Google Cloud .

הצגת היקפי היומן

המסוף

לא נתמך. משתמשים ב-Google Cloud CLI, ב-Terraform או ב-API.

gcloud

הערה: הפקודות של Google Cloud CLI בדף הזה מוגדרות לשליחת שאילתה לפרויקט Google Cloud . כדי לשלוח שאילתה לתיקייה, מחליפים את השדה --project בשדה --folder. באופן דומה, כדי לשלוח שאילתה לגבי ארגון, מחליפים את השדה --project בשדה --organization.

כדי להציג את אוספי תצוגות היומן (log scopes) בפרויקט, משתמשים בפקודה gcloud logging scopes list:

gcloud logging scopes list --project=PROJECT_ID

לפני שמריצים את הפקודה, מעדכנים את השדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט. בהגדרות של מרכז האפליקציות, בוחרים את הפרויקט המארח או את פרויקט הניהול של מרכז האפליקציות.

כדי לקבל את הפרטים של אוסף תצוגות יומן (log scope) בפרויקט, משתמשים בפקודה gcloud logging scopes describe:

gcloud logging scopes describe LOG_SCOPE_ID --project=PROJECT_ID

לפני שמריצים את הפקודה, מעדכנים את השדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט.
• ‫LOG_SCOPE_ID: המזהה של היקף היומן. לדוגמה, my-scope.

Terraform

אפשר להשתמש ב-Terraform כדי ליצור ולשנות אוסף תצוגות יומן (log scope). עם זאת, אי אפשר להשתמש ב-Terraform כדי להציג רשימה של אוספי תצוגות יומן (log scope).

REST

ה-Cloud Logging API מכיל פקודות שמפרטות את אוספי תצוגות היומן (log scope) במשאב, או שמדווחות על הפרטים של אוסף תצוגות יומן (log scope) ספציפי. לרשימה מלאה של הפקודות, ראו את מאמרי העזרה של ה-API.

בפרויקטים של Google Cloud משתמשים בפקודות הבאות:

• projects.locations.logScopes.list.
• projects.locations.logScopes.get.

בפקודות הקודמות, השדה parent הוא בתחביר הבא:

projects/PROJECT_ID/locations/LOCATION_ID

השדות בביטוי הקודם מייצגים את הדברים הבאים:

• ‫PROJECT_ID: מזהה הפרויקט. בהגדרות של מרכז האפליקציות, בוחרים את הפרויקט המארח או את פרויקט הניהול של מרכז האפליקציות.
• הערך של LOCATION_ID חייב להיות global.

יצירת היקף של יומן

אפשר ליצור 100 אוספי תצוגות יומן (log scope) לכל פרויקט. אוסף תצוגות יומן (log scope) יכול לכלול סך של 100 תצוגות יומן ופרויקטים, אבל הוא יכול לכלול רק 5 פרויקטים. אי אפשר להוסיף תיקיות או ארגונים לאוסף תצוגות יומן (log scope).

המסוף

לא נתמך. משתמשים ב-Google Cloud CLI, ב-Terraform או ב-API.

gcloud

הערה: הפקודות של Google Cloud CLI בדף הזה מוגדרות לשליחת שאילתה לפרויקט Google Cloud . כדי לשלוח שאילתה לתיקייה, מחליפים את השדה --project בשדה --folder. באופן דומה, כדי לשלוח שאילתה לגבי ארגון, מחליפים את השדה --project בשדה --organization.

כדי ליצור אוסף תצוגות יומן (log scope) בפרויקט, משתמשים בפקודה gcloud logging scopes create:

gcloud logging scopes create LOG_SCOPE_ID --project=PROJECT_ID \
  --description=DESCRIPTION \
  --resource-names=RESOURCE_NAMES

לפני שמריצים את הפקודה, מעדכנים את השדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט. בהגדרות של מרכז האפליקציות, בוחרים את הפרויקט המארח או את פרויקט הניהול של מרכז האפליקציות.
• ‫LOG_SCOPE_ID: המזהה של היקף היומן. לדוגמה, my-scope.

• ‫DESCRIPTION: אופציונלי. תיאור אוסף תצוגות יומן (log scope). מעצבים את התיאור כמחרוזת.

• ‫RESOURCE_NAMES: רשימה מופרדת בפסיקים של השמות המלאים של פרויקטים או תצוגות יומן. לדוגמה, כדי לכלול את my-project באוסף תצוגות היומן (log scope), מציינים projects/my-project.

Terraform

כדי ללמוד איך להחיל הגדרות ב-Terraform או להסיר אותן, ראו פקודות בסיסיות ב-Terraform. מידע נוסף מופיע במאמרי העזרה על ספקי Terraform.

כדי ליצור אוסף תצוגות יומן (log scope) בפרויקט, בתיקייה או בארגון באמצעות Terraform, משתמשים במשאב Terraform‏ google_logging_log_scope.

בפקודה, מגדירים את השדות הבאים:

• ‫parent: השם המלא של הפרויקט, התיקייה או הארגון. לדוגמה, אפשר להגדיר את השדה הזה לערך "projects/PROJECT_ID", כאשר PROJECT_ID הוא מזהה הפרויקט ב- Google Cloud . בהגדרות של מרכז האפליקציות, בוחרים את הפרויקט המארח או את פרויקט הניהול של מרכז האפליקציות.
• ‫location: מוגדר ל-"global".

• ‫name: מוגדר לשם המלא של אוסף תצוגות יומן (log scope). בפרויקטים, הפורמט של השדה הזה הוא:

  "projects/PROJECT_ID/locations/global/logScopes/LOG_SCOPE_ID"
  

  בביטוי הקודם, LOG_SCOPE_ID הוא שם של אוסף תצוגות יומן (log scope), כמו 'production'.

• ‫resource_names: מערך של פרויקטים ותצוגות יומנים, שכל פרויקט ותצוגת יומן מצוינים על ידי השם המלא שלהם.

• ‫description: תיאור קצר. לדוגמה, 'היקף המשאבים לייצור'.

REST

בנוסף, Cloud Logging API תומך ביצירת אוספי תצוגות יומן (log scope) בתיקייה או בארגון. מידע נוסף מופיע במאמרי העזרה של ה-API.

בפרויקטים של Google Cloud , משתמשים בפקודה הבאה:

• projects.locations.logScopes.create.

בפקודות הקודמות, השדה parent הוא בתחביר הבא:

projects/PROJECT_ID/locations/LOCATION_ID

השדות בביטוי הקודם מייצגים את הדברים הבאים:

• ‫PROJECT_ID: מזהה הפרויקט. בהגדרות של מרכז האפליקציות, בוחרים את הפרויקט המארח או את פרויקט הניהול של מרכז האפליקציות.
• הערך של LOCATION_ID חייב להיות global.

שינוי או מחיקה של היקף יומן

המסוף

לא נתמך. משתמשים ב-Google Cloud CLI, ב-Terraform או ב-API.

gcloud

הערה: הפקודות של Google Cloud CLI בדף הזה מוגדרות לשליחת שאילתה לפרויקט Google Cloud . כדי לשלוח שאילתה לתיקייה, מחליפים את השדה --project בשדה --folder. באופן דומה, כדי לשלוח שאילתה לגבי ארגון, מחליפים את השדה --project בשדה --organization.

כדי לשנות את התיאור של רשימת משאבים באוסף תצוגות יומן (log scope) בפרויקט, משתמשים בפקודה gcloud logging scopes update:

gcloud logging scopes update LOG_SCOPE_ID --project=PROJECT_ID \
  --description=DESCRIPTION \
  --resource-names=RESOURCE_NAMES

לפני שמריצים את הפקודה, מעדכנים את השדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט. בהגדרות של מרכז האפליקציות, בוחרים את הפרויקט המארח או את פרויקט הניהול של מרכז האפליקציות.
• ‫LOG_SCOPE_ID: המזהה של היקף היומן. לדוגמה, my-scope.

• ‫DESCRIPTION: תיאור אוסף תצוגות יומן (log scope). מעצבים את התיאור כמחרוזת. אם לא רוצים לשנות את התיאור של אוסף תצוגות יומן (log scope), לא צריך לציין את השדה הזה.

• ‫RESOURCE_NAMES: רשימה מופרדת בפסיקים של השמות המלאים של פרויקטים או תצוגות יומן. משמיטים את השדה הזה כשלא רוצים לשנות את רשימת המשאבים.

כדי למחוק אוסף תצוגות יומן (log scope) בפרויקט, משתמשים בפקודה gcloud logging scopes delete:

gcloud logging scopes delete LOG_SCOPE_ID --project=PROJECT_ID

לפני שמריצים את הפקודה, מעדכנים את השדות הבאים:

• ‫PROJECT_ID: מזהה הפרויקט. בהגדרות של מרכז האפליקציות, בוחרים את הפרויקט המארח או את פרויקט הניהול של מרכז האפליקציות.
• ‫LOG_SCOPE_ID: המזהה של היקף היומן. לדוגמה, my-scope.

Terraform

כדי ללמוד איך להחיל הגדרות ב-Terraform או להסיר אותן, ראו פקודות בסיסיות ב-Terraform. מידע נוסף מופיע במאמרי העזרה על ספקי Terraform.

כדי לשנות את היקף היומן בפרויקט, בתיקייה או בארגון באמצעות Terraform, משתמשים במשאב Terraform‏ google_logging_log_scope.

REST

‫Cloud Logging API מכיל פקודות שיכולות לשנות או למחוק אוסף תצוגות יומן (log scope). לרשימה מלאה של הפקודות, ראו את מאמרי העזרה של ה-API.

בפרויקטים של Google Cloud משתמשים בפקודות הבאות:

• projects.locations.logScopes.patch.
• projects.locations.logScopes.delete.

בפקודות הקודמות, השדה parent הוא בתחביר הבא:

projects/PROJECT_ID/locations/LOCATION_ID/logScopes/LOG_SCOPE_ID

השדות בביטוי הקודם מייצגים את הדברים הבאים:

• ‫PROJECT_ID: מזהה הפרויקט. בהגדרות של מרכז האפליקציות, בוחרים את הפרויקט המארח או את פרויקט הניהול של מרכז האפליקציות.
• הערך של LOCATION_ID חייב להיות global.
• ‫LOG_SCOPE_ID: המזהה של היקף היומן. לדוגמה, my-scope.

המאמרים הבאים

• צפייה ביומנים באמצעות Logs Explorer
• הגדרת תצוגות יומן במאגר יומנים