Cloud Logging utilise des conteneurs appelés buckets de journaux pour stocker et organiser vos données de journaux. Comprendre le fonctionnement des buckets de journaux créés par le système et définis par l'utilisateur vous aide à configurer la conservation des données, les emplacements de stockage régionaux, les clés de chiffrement et les contrôles d'accès IAM (Identity and Access Management). Pour les organisations et les dossiers, vous pouvez également utiliser des règles d'administration et des paramètres de ressources par défaut pour Cloud Logging afin d'appliquer des exigences d'emplacement et de chiffrement aux nouveaux buckets de journaux.
À propos des buckets de journaux
Cloud Logging chiffre le contenu client stocké au repos. Les données stockées dans des buckets de journaux par Logging sont chiffrées à l'aide de clés de chiffrement de clé, un processus appelé chiffrement encapsulé. L'accès à vos données de journalisation nécessite l'accès à ces clés de chiffrement de clé.
Les buckets de journaux sont des ressources régionales avec un emplacement fixe. Ils sont chiffrés à l'aide d'une clé de chiffrement gérée par le client (CMEK) ou d'uneGoogle-owned and Google-managed encryption key. Une fois qu'un bucket de journaux est créé, vous ne pouvez plus modifier son emplacement ni la façon dont sa clé de chiffrement est gérée. Google Cloud gère l'infrastructure de sorte que vos données de journaux soient disponibles de manière redondante dans les zones de cette région.
Votre organisation peut avoir des exigences de conformité, de réglementation ou de sécurité qui régissent l'emplacement des buckets de journaux et l'utilisation ou non de CMEK. Pour appliquer ces exigences à une organisation ou à un dossier, consultez Compatibilité avec les organisations et les dossiers.
La durée de conservation des données stockées dans un bucket de journaux dépend du type de bucket de journaux. La durée de conservation du bucket de journaux _Required est fixe, tandis que vous pouvez configurer une conservation personnalisée pour le bucket de journaux _Default et pour les buckets de journaux définis par l'utilisateur.
Vous pouvez créer des vues de journaux sur un bucket de journaux.
Une vue de journaux ne permet d'accéder qu'à un sous-ensemble des données de journaux stockées dans un bucket de journaux. Pour chaque bucket de journaux, Cloud Logging crée automatiquement la vue _AllLogs, qui permet d'accéder à chaque entrée de journal du bucket de journaux.
Vous contrôlez l'accès à une vue de journal à l'aide d'IAM.
Pour interroger et afficher les données de vos journaux, utilisez la page Explorateur de journaux. Cette page vous aide à résoudre les problèmes et à analyser les performances de vos services et applications. Vous pouvez afficher des entrées de journal individuelles et filtrer vos données de journal. Cette interface dispose d'un paramètre de champ d'application qui vous permet de rechercher des données de journaux par projet, bucket de journaux ou vue de journaux.
Pour en savoir plus, consultez Interroger et afficher des entrées de journal.
Buckets de journaux créés par le système
Lorsque le système crée un projet, un compte de facturation, un dossier ou une organisation Google Cloud , Logging crée deux buckets de journaux, l'un nommé _Required et l'autre nommé _Default :
Emplacement : Cloud Logging sélectionne l'emplacement de ces buckets, sauf si les paramètres de ressources par défaut pour Cloud Logging sont configurés. Vous ne pouvez pas modifier l'emplacement une fois les buckets créés.
Chiffrement : ces buckets utilisentGoogle-owned and Google-managed encryption keys , sauf si les paramètres de ressource par défaut de Cloud Logging spécifient une clé CMEK. Vous ne pouvez pas modifier cette configuration une fois les buckets créés.
Vous ne pouvez pas supprimer les buckets de journaux créés par le système.
Bucket de journaux _Required
Le bucket de journaux _Required stocke les entrées de journal requises à des fins de conformité ou d'audit. Pour cette raison, vous ne pouvez pas supprimer ce bucket de journaux ni modifier les entrées de journal qui y sont stockées.
Les entrées de journal de ce bucket de journaux sont conservées pendant 400 jours. Vous ne pouvez pas modifier cette durée de conservation.
Les entrées de journal stockées dans le bucket de journaux _Required d'une ressource proviennent également de cette ressource. Autrement dit, le bucket de journaux _Required d'un projet Google Cloud ne peut stocker que les entrées de journal provenant de ce projet.
Le bucket de journaux _Required stocke les types d'entrées de journal suivants :
- Journaux d'audit pour les activités d'administration
- Journaux d'audit d'événements système
- Journaux d'audit d'administration Google Workspace
- Journaux d'audit des groupes Enterprise
- Journaux d'audit de connexion
Bucket de journaux _Default
Le bucket de journaux _Default stocke les entrées de journal qui ne sont pas automatiquement stockées dans le bucket de journaux _Required. Comme le bucket de journaux _Default est créé par le système, vous ne pouvez pas le supprimer. Toutefois, vous pouvez modifier les entrées de journal stockées dans ce bucket de journaux.
Cloud Logging conserve les entrées de journal dans le bucket _Default pendant 30 jours, sauf si vous configurez une conservation personnalisée pour le bucket.
Par exemple, ce bucket de journaux stocke les types d'entrées de journal suivants :
- Journaux d'audit pour l'accès aux données
- Journaux d'audit des refus de règles
- Journaux générés par les applications et les services Google Cloud
Buckets de journaux définis par l'utilisateur
Vous pouvez créer des buckets de journaux définis par l'utilisateur dans n'importe quel projetGoogle Cloud . Lorsque vous créez un bucket de journaux défini par l'utilisateur, vous sélectionnez l'emplacement et définissez la période de conservation des données. Vous pouvez fournir une CMEK.
Vous pouvez modifier et supprimer des buckets de journaux définis par l'utilisateur. Pour vous protéger contre la suppression d'un bucket de journaux, vous pouvez verrouiller le bucket de journaux pour empêcher les mises à jour. Le verrouillage d'un bucket de journaux est irréversible. Si vous verrouillez un bucket de journaux, vous ne pouvez pas le supprimer.
Compatibilité avec les organisations et les dossiers
Pour aider votre organisation à répondre aux exigences de conformité et de réglementation, Logging accepte à la fois les paramètres de ressources par défaut et les règles d'administration :
Paramètres de ressources par défaut : pour les organisations et les dossiers, les paramètres de ressources par défaut de Cloud Logging contrôlent l'emplacement des nouveaux buckets de journaux créés par le système. Elles vous permettent également de spécifier une CMEK, qui s'applique à la fois aux nouveaux buckets de journaux créés par le système et aux buckets de journaux définis par l'utilisateur.
Règles d'administration : une règle d'administration peut limiter l'emplacement des nouveaux buckets de journaux définis par l'utilisateur. Logging est compatible avec les règles d'administration qui spécifient les régions dans lesquelles des buckets de journaux peuvent ou ne peuvent pas être créés.
Contrôler l'accès à un bucket de journaux
Les autorisations et les rôles IAM contrôlent l'accès aux données de journaux. Par exemple, vous pouvez effectuer toutes les opérations suivantes :
- Accorder un accès en lecture et en modification à un bucket de journaux.
- Accordez l'accès Éditeur à un bucket de journaux en fonction de l'appartenance à un groupe à l'aide de tags.
- Contrôlez l'accès à des champs spécifiques d'une entrée de journal en configurant l'accès au niveau du champ sur un bucket de journaux.
Accordez l'accès à un sous-ensemble d'entrées de journal dans un bucket de journaux en créant une vue de journal sur ce bucket de journaux.
Chaque bucket de journaux dispose d'une vue de journaux par défaut, qui inclut généralement toutes les entrée de journal du bucket de journaux. Pour le bucket de journaux
_Default, la vue de journaux par défaut exclut les entrées de journal d'audit des accès aux données.
Pour accorder à un utilisateur les autorisations dont il a besoin pour afficher et analyser les entrées de journal, vous lui attribuez généralement l'un des rôles IAM suivants :
Rôle Visionneuse de journaux (
roles/logging.viewer) : accorde l'accès à toutes les entrées de journal du bucket_Requiredet l'accès à la vue de journaux par défaut sur le bucket_Default.Rôle Lecteur de journaux privés (
roles/logging.privateLogViewer) : accorde l'accès à tous les journaux des buckets_Requiredet_Default, y compris les journaux d'audit des accès aux données.
Si vous créez des buckets de journaux définis par l'utilisateur ou des vues de journaux sur des buckets de journaux, des autorisations supplémentaires sont requises. Pour en savoir plus sur les rôles, consultez Contrôle des accès avec IAM.
Liste des régions prises en charge
Les buckets de journaux sont des ressources régionales. L'infrastructure qui stocke, indexe et recherche vos entrées de journal se trouve dans un emplacement géographique spécifique. À l'exception des buckets de journaux situés dans les régions global, eu ou us, Google Cloud gère l'infrastructure de sorte que vos données de journaux soient disponibles de manière redondante dans les zones de la région du bucket de journaux.