ב-Cloud Logging, נתוני היומנים מאוחסנים ומאורגנים בקונטיינרים שנקראים קטגוריות של יומנים. כדי להגדיר את שמירת הנתונים, מיקומי האחסון האזוריים, מפתחות ההצפנה ואמצעי הבקרה של ניהול הזהויות והרשאות הגישה (IAM), חשוב להבין איך פועלים קטגוריות יומנים שנוצרו על ידי המערכת וקטגוריות יומנים שמוגדרות על ידי המשתמשים. בארגונים ובתיקיות, אתם יכולים גם להשתמש במדיניות הארגון ובהגדרות ברירת המחדל של המשאבים ב-Cloud Logging כדי לאכוף את דרישות המיקום וההצפנה של קטגוריות חדשות של יומנים.
מידע על קטגוריות ביומן
ב-Cloud Logging, תוכן הלקוחות שמאוחסן במנוחה מוצפן. הנתונים שמאוחסנים בקטגוריות של יומנים על ידי Logging מוצפנים באמצעות מפתחות להצפנת מפתחות הצפנה, תהליך שנקרא הצפנת מעטפת. כדי לגשת לנתוני הרישום ביומן, צריך גישה למפתחות ההצפנה של המפתחות האלה.
תיקיות של יומנים הן משאבים אזוריים עם מיקום קבוע, והן מוצפנות באמצעות מפתח הצפנה בניהול הלקוח (CMEK) או באמצעותGoogle-owned and Google-managed encryption key. אחרי שיוצרים את קטגוריית היומנים, אי אפשר לשנות את המיקום שלה או את האופן שבו מנוהל מפתח ההצפנה שלה. Google Cloud מנהלת את התשתית כך שנתוני היומנים יהיו זמינים באופן יתיר באזורים שבתוך אותו מחוז.
יכול להיות שבארגון שלכם יש דרישות תאימות, רגולציה או אבטחה שקובעות איפה נמצאים קטגוריות היומנים ואם הם משתמשים ב-CMEK. כדי לאכוף את הדרישות האלה בארגון או בתיקייה, קראו את המאמר תמיכה בארגונים ובתיקיות.
תקופת השמירה של הנתונים שמאוחסנים בקטגוריית יומנים תלויה בסוג של קטגוריית היומנים. תקופת השמירה של קטגוריית היומנים _Required קבועה, אבל אפשר להגדיר תקופת שמירה בהתאמה אישית לקטגוריית היומנים _Default ולקטגוריות יומנים שמוגדרות על ידי המשתמשים.
אפשר ליצור תצוגות של יומנים בקטגוריית יומנים.
תצוגת יומן מאפשרת גישה רק לקבוצת משנה של נתוני היומן שמאוחסנים בקטגוריית יומנים. לכל קטגוריית יומנים, Cloud Logging יוצר באופן אוטומטי את התצוגה _AllLogs שנותנת גישה לכל רשומת יומן בקטגוריית היומנים.
השליטה בגישה לתצוגת היומן מתבצעת באמצעות IAM.
כדי לשלוח שאילתות ולצפות בנתוני היומן, משתמשים בדף Logs Explorer. בדף הזה מוסבר איך לנתח את הביצועים של השירותים והאפליקציות ולפתור בעיות שקשורות אליהם. אתם יכולים לראות רשומות יומן נפרדות ולסנן את נתוני היומן. בממשק הזה יש הגדרת היקף, שמאפשרת לחפש נתוני יומנים לפי פרויקט, מאגר יומנים או תצוגת יומנים.
למידע נוסף, קראו את המאמר שאילתות והצגה של רשומות ביומן.
קטגוריות ביומן שנוצרו על ידי המערכת
כשהמערכת יוצרת פרויקט, חשבון לחיוב, תיקייה או ארגון ב- Google Cloud , נוצרים ב-Logging שני קטגוריות של יומנים, אחת בשם _Required והשנייה בשם _Default:
מיקום: המיקום של הקטגוריות האלה נבחר על ידי Cloud Logging, אלא אם מוגדרות הגדרות ברירת המחדל של המשאבים ב-Cloud Logging. אי אפשר לשנות את המיקום אחרי שיוצרים את הקטגוריות.
הצפנה: הקטגוריות האלה משתמשות ב-Google-owned and Google-managed encryption keys , אלא אם הגדרות ברירת המחדל של המשאבים ב-Cloud Logging מציינות CMEK. אי אפשר לשנות את ההגדרה הזו אחרי שיוצרים את הקטגוריות.
אי אפשר למחוק את קטגוריות היומנים שנוצרו על ידי המערכת.
קטגוריה אחת (_Required) ביומן
בקטגוריית היומנים _Required מאוחסנות רשומות ביומן שנדרשות למטרות תאימות או ביקורת. לכן אי אפשר למחוק את קטגוריית היומנים הזו, ואי אפשר לשנות את רשומות היומן שמאוחסנות בה.
רשומות היומן בקטגוריית היומנים הזו נשמרות למשך 400 ימים, ואי אפשר לשנות את תקופת השמירה הזו.
רשומות היומן שמאוחסנות בקטגוריית היומנים _Required של משאב מסוים מגיעות גם הן מאותו משאב. כלומר, קטגוריית היומנים _Required בפרויקט Google Cloud יכולה לאחסן רק רשומות ביומן שמקורן באותו פרויקט.
בקטגוריית היומנים _Required מאוחסנים הסוגים הבאים של רשומות ביומן:
- יומני הביקורת Admin Activity
- יומני הביקורת System Event
- יומני ביקורת של אדמינים ב-Google Workspace
- יומני ביקורת של קבוצות Google לארגונים
- יומני ביקורת של התחברות
קטגוריה אחת (_Default) ביומן
בקטגוריית היומנים _Default מאוחסנות רשומות ביומן שלא מאוחסנות באופן אוטומטי בקטגוריית היומנים _Required. אי אפשר למחוק את קטגוריית היומנים _Default כי היא נוצרה על ידי המערכת. עם זאת, אתם יכולים לשנות את רשומות היומן שמאוחסנות בקטגוריית היומנים הזו.
רשומות היומן נשמרות בקטגוריה _Default ב-Cloud Logging למשך 30 ימים, אלא אם מגדירים שמירה בהתאמה אישית לקטגוריה.
לדוגמה, קטגוריית היומנים הזו מאחסנת את סוגי הרשומות הבאים:
- יומני ביקורת של גישה לנתונים
- יומני ביקורת של Policy Denied
- יומנים שנוצרו על ידי אפליקציות ושירותים של Google Cloud
קטגוריות ביומן שמוגדרות על ידי המשתמשים
אפשר ליצור קטגוריות של יומנים בהגדרת המשתמש בכל פרויקט ב-Google Cloud . כשיוצרים קטגוריית יומנים בהתאמה אישית, בוחרים את המיקום ומגדירים את תקופת שמירת הנתונים. אתם יכולים לספק מפתח CMEK.
אתם יכולים לשנות ולמחוק קטגוריות של יומנים שהוגדרו על ידי המשתמשים. כדי להגן על קטגוריית יומנים מפני מחיקה, אפשר לנעול את קטגוריית היומנים מפני עדכונים. נעילת קטגוריה של יומנים היא פעולה בלתי הפיכה. אם נועלים קטגוריית יומנים, אי אפשר למחוק אותה.
תמיכה בארגונים ובתיקיות
כדי לעזור לארגון לעמוד בדרישות התאימות והרגולציה, כלי הרישום ביומן תומך גם בהגדרות ברירת המחדל של המשאבים וגם במדיניות הארגון:
הגדרות ברירת המחדל של המשאבים: בארגונים ובתיקיות, הגדרות ברירת המחדל של המשאבים ב-Cloud Logging קובעות את המיקום של קטגוריות היומנים החדשות שנוצרו על ידי המערכת. הם גם מאפשרים לציין CMEK שחל על קטגוריות של יומנים שנוצרו על ידי המערכת ועל קטגוריות של יומנים שמוגדרות על ידי המשתמש.
כללי מדיניות של הארגון: כלל מדיניות של הארגון יכול להגביל את המיקום של קטגוריות חדשות של יומנים שמוגדרות על ידי המשתמש. בכלי Logging יש תמיכה בכללי מדיניות של הארגון שמציינים אזורים שבהם אפשר או אי אפשר ליצור קטגוריות של יומנים.
שליטה בגישה לקטגוריית יומנים
ההרשאות והתפקידים ב-IAM קובעים את הגישה לנתוני היומנים. לדוגמה, אתם יכולים:
- לתת גישת קריאה ועריכה לקטגוריית יומנים.
- באמצעות תגים, אתם יכולים לתת גישת עריכה לדלי של יומנים על סמך חברות בקבוצה.
- כדי לשלוט בגישה לשדות ספציפיים ברשומת יומן, אפשר להגדיר גישה ברמת השדה בקטגוריית יומנים.
כדי לתת גישה לקבוצת משנה של רשומות בתיקיית יומנים, יוצרים תצוגת יומן בתיקיית היומנים.
לכל מאגר יומנים יש תצוגת יומן שמוגדרת כברירת מחדל, שבדרך כלל כוללת את כל רשומות היומן במאגר היומנים. בדלי היומנים
_Default, תצוגת היומנים שמוגדרת כברירת מחדל לא כוללת רשומות של יומני ביקורת של גישה לנתונים.
כדי לתת למשתמש את ההרשאות שנדרשות לו כדי להציג ולנתח רשומות ביומן, בדרך כלל מקצים לו את אחד מתפקידי ה-IAM הבאים:
התפקיד צפייה ביומנים (
roles/logging.viewer): נותן גישה לכל רשומות היומן בקטגוריה_Required, וגישה לתצוגת ברירת המחדל של היומן בקטגוריה_Default.התפקיד "צפייה ביומנים פרטיים" (
roles/logging.privateLogViewer): נותן גישה לכל היומנים בקטגוריות_Requiredו-_Default, כולל יומני בקרת הרשאות גישה לנתונים.
אם אתם יוצרים קטגוריות של יומנים או תצוגות של יומנים בקטגוריות של יומנים שמוגדרות על ידי המשתמש, נדרשות הרשאות נוספות. מידע נוסף על תפקידים זמין במאמר בקרת גישה באמצעות IAM.
רשימת האזורים הנתמכים
קטגוריות של יומנים הן משאבים אזוריים. התשתית שבה מאוחסנות רשומות היומן, שבה הן נוספות לאינדקס ושבה מתבצע החיפוש שלהן, נמצאת במיקום גיאוגרפי ספציפי. למעט קטגוריות של יומנים באזורים global, eu או us, Google Cloud מנהלת את התשתית כך שנתוני היומנים יהיו זמינים באופן יתיר באזורים שבתוך האזור של קטגוריית היומנים.