Almacena entradas de registro

Cloud Logging usa contenedores llamados buckets de registros para almacenar y organizar tus datos de registro. Comprender cómo funcionan los buckets de registros creados por el sistema y definidos por el usuario te ayuda a configurar la retención de datos, las ubicaciones de almacenamiento regionales, las claves de encriptación y los controles de acceso de Identity and Access Management (IAM). En el caso de las organizaciones y las carpetas, también puedes usar las políticas de la organización y la configuración predeterminada de los recursos de Cloud Logging para aplicar los requisitos de ubicación y encriptación de los buckets de registros nuevos.

Acerca de los buckets de registros

Cloud Logging encripta el contenido del cliente almacenado en reposo. Los datos que Logging almacena en buckets de registros se encriptan por medio de claves de encriptación de claves, un proceso conocido como encriptación de sobre. Acceder a tus datos de registro requiere acceso a esas claves de encriptación de claves.

Los buckets de registros son recursos regionales con una ubicación fija y se encriptan con una clave de encriptación administrada por el cliente (CMEK) o una Google-owned and Google-managed encryption key. Después de crear un bucket de registros, no puedes cambiar su ubicación ni cómo se administra su clave de encriptación. Google Cloud administra la infraestructura para que tus datos de registro estén disponibles de forma redundante en las zonas de esa región.

Es posible que tu organización tenga requisitos de cumplimiento, normativos o de seguridad que rijan dónde se ubican los buckets de registros y si usan CMEK. Para aplicar estos requisitos en una organización o carpeta, consulta Compatibilidad con organizaciones y carpetas.

El período de retención de los datos almacenados en un bucket de registros depende del tipo de bucket de registros. El período de retención del bucket de registros _Required es fijo, mientras que puedes configurar la retención personalizada para el bucket de registros _Default y para los buckets de registros definidos por el usuario.

Puedes crear vistas de registros en un bucket de registros. Una vista de registro proporciona acceso solo a un subconjunto de los datos de registro almacenados en un bucket de registros. Para cada bucket de registros, Cloud Logging crea automáticamente la vista _AllLogs que proporciona acceso a cada entrada de registro en el bucket de registros. Puedes controlar el acceso a una vista de registro con IAM.

Para consultar y ver tus datos de registro, usa la página Explorador de registros. Esta página te ayuda a solucionar problemas y analizar el rendimiento de tus servicios y aplicaciones. Puedes ver entradas de registro individuales y filtrar tus datos de registro. Esta interfaz tiene un parámetro de configuración de alcance, que te permite buscar datos de registro por proyecto, bucket de registros o vista de registro.

Para obtener más información, consulta Consulta y visualiza entradas de registro.

Buckets de registros creados por el sistema

Cuando el sistema crea un proyecto, una cuenta de facturación, una carpeta o una organización de Google Cloud , Logging crea dos buckets de registros, uno llamado _Required y el otro llamado _Default:

  • Ubicación: Cloud Logging selecciona la ubicación de estos buckets, a menos que se establezca la configuración de recursos predeterminada para Cloud Logging. No puedes cambiar la ubicación después de crear los buckets.

  • Encriptación: Estos buckets usan Google-owned and Google-managed encryption keys , a menos que la configuración predeterminada de los recursos para Cloud Logging especifique una CMEK. No puedes cambiar este parámetro de configuración después de crear los buckets.

No puedes borrar los buckets de registros creados por el sistema.

Bucket de registro _Required

El bucket de registros _Required almacena las entradas de registro que se requieren para fines de cumplimiento o auditoría. Por este motivo, no puedes borrar este bucket de registros ni modificar las entradas de registro que se almacenan en él. Las entradas de registro de este bucket de registros se conservan durante 400 días. No puedes cambiar este período de retención.

Las entradas de registro que se almacenan en el bucket de registros _Required para un recurso también se originan en ese recurso. Es decir, el bucket de registros _Required en un proyecto de Google Cloud solo puede almacenar entradas de registro que se originan en ese proyecto.

El bucket de registros _Required almacena los siguientes tipos de entradas de registro:

Bucket de registro _Default

El bucket de registros _Default almacena las entradas de registro que no se guardan automáticamente en el bucket de registros _Required. Debido a que el bucket de registros _Default se crea por el sistema, no puedes borrarlo. Sin embargo, puedes modificar qué entradas de registro se almacenan en este bucket de registros.

Cloud Logging conserva las entradas de registro en el bucket _Default durante 30 días, a menos que configures la retención personalizada para el bucket.

Por ejemplo, este bucket de registros almacena los siguientes tipos de entradas de registro:

Buckets de registros definidos por el usuario

Puedes crear buckets de registros definidos por el usuario en cualquier proyecto deGoogle Cloud . Cuando creas un bucket de registros definido por el usuario, seleccionas la ubicación y estableces el período de retención de datos. Tienes la opción de proporcionar una CMEK.

Puedes modificar y borrar los buckets de registros definidos por el usuario. Para proteger un bucket de registros contra la eliminación, puedes bloquearlo para que no se actualice. El bloqueo de un bucket de registros es irreversible. Si bloqueas un bucket de registros, no podrás borrarlo.

Compatibilidad con organizaciones y carpetas

Para ayudar a tu organización a cumplir con las necesidades de cumplimiento y reglamentarias, Logging admite la configuración predeterminada de los recursos y las políticas de la organización:

Controla el acceso a un bucket de registros

Los permisos y roles de IAM controlan el acceso a los datos de registro. Por ejemplo, puedes hacer lo siguiente:

  • Otorga acceso de lectura y edición a un bucket de registros.
  • Otorga acceso de edición a un bucket de registros según la pertenencia al grupo con etiquetas.
  • Controla el acceso a campos específicos en una entrada de registro configurando el acceso a nivel de campo en un bucket de registros.

  • Otorga acceso a un subconjunto de entradas de registro en un bucket de registros creando una vista de registro en ese bucket.

    Cada bucket de registros tiene una vista de registro predeterminada, que suele incluir todas las entrada de registro del bucket. Para el bucket de registros _Default, la vista de registros predeterminada excluye las entradas de registro de auditoría de acceso a los datos.

Para otorgar a un usuario los permisos que necesita para ver y analizar entradas de registro, por lo general, se otorga uno de los siguientes roles de IAM:

  • Rol de Visualizador de registros (roles/logging.viewer): Otorga acceso a todas las entradas de registro en el bucket _Required y acceso a la vista de registros predeterminada en el bucket _Default.

  • Rol de visualizador de registros privados (roles/logging.privateLogViewer): Otorga acceso a todos los registros de los buckets _Required y _Default, incluidos los registros de auditoría de acceso a los datos.

Si creas buckets de registros definidos por el usuario o vistas de registros en buckets de registros, se requieren permisos adicionales. Para obtener más información sobre los roles, consulta Control de acceso con IAM.

Lista de regiones admitidas

Los buckets de registros son recursos regionales. La infraestructura que almacena, indexa y busca tus entradas de registro se encuentra en una ubicación geográfica específica. A excepción de los buckets de registros en las regiones global, eu o us, Google Cloud administra la infraestructura para que tus datos de registro estén disponibles de forma redundante en las zonas de la región del bucket de registros.

¿Qué sigue?