ב-Cloud Logging נעשה שימוש בקונטיינרים שנקראים קטגוריות של יומנים כדי לאחסן את נתוני היומן ולארגן אותם. הבנה של אופן הפעולה של קטגוריות יומנים שנוצרו על ידי המערכת וקטגוריות יומנים שהוגדרו על ידי המשתמש עוזרת לכם להגדיר שמירת נתונים, מיקומי אחסון אזוריים, מפתחות הצפנה ובקרות גישה של ניהול זהויות והרשאות גישה (IAM). בארגונים ובתיקיות, אפשר גם להשתמש במדיניות הארגון ובהגדרות ברירת המחדל של המשאבים ב-Cloud Logging כדי לאכוף את הדרישות לגבי מיקום והצפנה של מאגרי יומנים חדשים.
מידע על קטגוריות ביומן
שירות Cloud Logging מצפין תוכן של לקוחות שמאוחסן במנוחה. נתונים שמאוחסנים בדלי יומנים על ידי Logging מוצפנים באמצעות מפתחות להצפנת מפתחות הצפנה (KEK), בתהליך שנקרא הצפנת מעטפה. כדי לגשת לנתוני הרישום שלכם, צריך גישה למפתחות ההצפנה של המפתחות האלה.
מאגרי יומנים הם משאבים אזוריים עם מיקום קבוע, והם מוצפנים באמצעות מפתח הצפנה בניהול הלקוח (CMEK) או באמצעותGoogle-owned and Google-managed encryption key. אחרי שנוצרת קטגוריה ביומן, אי אפשר לשנות את המיקום שלה או את אופן הניהול של מפתח ההצפנה שלה. Google Cloud מנהל את התשתית כך שנתוני היומנים שלכם יהיו זמינים באופן יתירני בכל התחומים באותו האזור.
יכול להיות שבארגון שלכם יש דרישות תאימות, רגולטוריות או אבטחתיות שקובעות את המיקום של מאגרי יומנים ואם הם משתמשים ב-CMEK. כדי לאכוף את הדרישות האלה בארגון או בתיקייה, אפשר לעיין במאמר תמיכה בארגונים ובתיקיות.
תקופת השמירה של הנתונים שמאוחסנים בקטגוריית יומנים תלויה בסוג של קטגוריית היומנים. תקופת השמירה של קטגוריית היומנים _Required קבועה, אבל אפשר להגדיר תקופת שמירה מותאמת אישית לקטגוריית היומנים _Default ולקטגוריות יומנים שהוגדרו על ידי המשתמש.
אפשר ליצור תצוגות של יומנים בקטגוריה ביומן.
תצוגת יומן מספקת גישה רק לקבוצת משנה של נתוני היומן שמאוחסנים בקטגוריית יומנים. לכל קטגוריית יומנים, Cloud Logging יוצר באופן אוטומטי את התצוגה _AllLogs שמאפשרת גישה לכל רשומה ביומן בקטגוריית היומנים.
השליטה בגישה לתצוגת יומן מתבצעת באמצעות IAM.
כדי לשלוח שאילתות על נתוני היומן ולהציג אותם, משתמשים בדף Logs Explorer. בדף הזה מוסבר איך לפתור בעיות ולנתח את הביצועים של השירותים והאפליקציות שלכם. אתם יכולים לראות רשומות ספציפיות ביומן ולסנן את נתוני היומן. בממשק הזה יש הגדרת היקף שמאפשרת לחפש נתונים ביומן לפי פרויקט, קטגוריה ביומן או תצוגת יומנים.
מידע נוסף זמין במאמר בנושא שאילתות וצפייה ברשומות ביומן.
קטגוריות ביומן שנוצרו על ידי המערכת
כשהמערכת יוצרת Google Cloud פרויקט, חשבון לחיוב, תיקייה או ארגון, שירות Logging יוצר שני מאגרי יומנים, אחד בשם
_Required והשני בשם _Default:
מיקום: Cloud Logging בוחר את המיקום של הקטגוריות האלה, אלא אם מוגדרות הגדרות ברירת מחדל של משאבים ל-Cloud Logging. אי אפשר לשנות את המיקום אחרי שיוצרים את המאגרי המידע.
הצפנה: בדליים האלה נעשה שימוש ב-Google-owned and Google-managed encryption keys , אלא אם בהגדרות ברירת המחדל של המשאבים ב-Cloud Logging מצוין CMEK. אי אפשר לשנות את ההגדרה הזו אחרי שיוצרים את הדליים.
אי אפשר למחוק את מאגרי היומנים שנוצרו על ידי המערכת.
_Required קטגוריה ביומן
קטגוריית היומן _Required מאחסנת רשומות ביומן שנדרשות לצורכי תאימות או ביקורת. לכן, אי אפשר למחוק את קטגוריית היומנים הזו, ואי אפשר לשנות את רשומות היומן שמאוחסנות בה.
רשומות היומן בקטגוריית היומן הזו נשמרות למשך 400 ימים, ואי אפשר לשנות את תקופת השמירה הזו.
רשומות היומן שמאוחסנות ב_Required קטגוריה ביומן של משאב מסוים מקורן גם במשאב הזה. כלומר, בקטגוריית היומנים _Required בפרויקט Google Cloud אפשר לאחסן רק רשומות יומן שמקורן בפרויקט הזה.
_Required קטגוריית היומנים מאחסנת את סוגי הרשומות הבאים ביומן:
- יומני הביקורת Admin Activity
- יומני הביקורת System Event
- יומני ביקורת של אדמינים ב-Google Workspace
- יומני ביקורת של קבוצות Enterprise
- יומני ביקורת של כניסות
_Default קטגוריה ביומן
בדלי של יומנים _Default נשמרות רשומות יומן שלא נשמרות אוטומטית בדלי של יומנים _Required. אי אפשר למחוק את קטגוריית היומנים _Default כי היא נוצרה על ידי המערכת. עם זאת, אפשר לשנות את רשומות היומן שמאוחסנות בקטגוריית היומנים הזו.
Cloud Logging שומר את הרשומות ביומן בקטגוריה _Default למשך 30 ימים, אלא אם הגדרתם שמירה מותאמת אישית לקטגוריה.
לדוגמה, קטגוריה ביומן זו מאחסנת את סוגי הרשומות הבאים ביומן:
- יומני ביקורת של גישה לנתונים
- יומני ביקורת של Policy Denied
- יומנים שנוצרו על ידי אפליקציות ושירותים Google Cloud
קטגוריות ביומן שהוגדרו על ידי המשתמש
אפשר ליצור מאגרי יומנים שמוגדרים על ידי המשתמש בכלGoogle Cloud פרויקט. כשיוצרים קטגוריית יומנים מוגדרת על ידי המשתמש, בוחרים את המיקום ומגדירים את תקופת שמירת הנתונים. יש לכם אפשרות לספק מפתח CMEK.
אפשר לשנות ולמחוק דליים של יומנים שהוגדרו על ידי המשתמש. כדי למנוע מחיקה של קטגוריית יומנים שמאחסנת רשומות יומן שנמצאות בתוך תקופת שמירת הנתונים שלהן, אפשר לנעול את קטגוריית היומנים מפני עדכונים.
תמיכה בארגונים ובתיקיות
כדי לעזור לארגון לעמוד בדרישות התאימות והרגולטוריות, שירות Logging תומך בהגדרות ברירת מחדל של משאבים ובמדיניות ארגונית:
הגדרות ברירת מחדל של משאבים: בארגונים ובתיקיות, הגדרות ברירת המחדל של משאבים ב-Cloud Logging קובעות את המיקום של מאגרי יומנים שנוצרו על ידי המערכת. אפשר גם לציין מפתח CMEK, שחל על קטגוריות יומנים שהוגדרו על ידי המשתמש וגם על קטגוריות חדשות של יומנים שנוצרו על ידי המערכת.
מדיניות הארגון: מדיניות הארגון יכולה להגביל את המיקום של קטגוריות חדשות של יומנים שמוגדרות על ידי המשתמש. הרישום ביומן תומך במדיניות ארגונית שמציינת אזורים שבהם אפשר או אי אפשר ליצור מאגרי יומנים.
שליטה בגישה לקטגוריה ביומן
ההרשאות והתפקידים ב-IAM קובעים את הגישה לנתוני היומנים. לדוגמה, אתם יכולים:
- הענקת גישת קריאה ועריכה לקטגוריית יומנים.
- הענקת הרשאת עריכה לקטגוריה ביומן על סמך חברות בקבוצה באמצעות תגים.
- אפשר לשלוט בגישה לשדות ספציפיים ברשומה ביומן על ידי הגדרת גישה ברמת השדה בקטגוריה ביומן.
כדי להעניק גישה לקבוצת משנה של רשומות ביומן בקטגוריית יומנים, צריך ליצור תצוגת יומן בקטגוריית היומנים הזו.
לכל מאגר יומנים יש תצוגת יומנים שמוגדרת כברירת מחדל, שבדרך כלל כוללת כל רשומה ביומן במאגר היומנים. כברירת מחדל, תצוגת היומן של קטגוריית היומנים
_Defaultלא כוללת רשומות של יומני ביקורת Data Access.
כדי לתת למשתמש את ההרשאות שדרושות לו כדי להציג ולנתח רשומות ביומן, בדרך כלל מקצים לו אחד מתפקידי ה-IAM הבאים:
התפקיד צפייה ביומנים (
roles/logging.viewer): מעניק גישה לכל הרשומות ביומן בקטגוריה_Requiredוגישה לתצוגת ברירת המחדל של היומן בקטגוריה_Default.התפקיד צפייה ביומנים פרטיים (
roles/logging.privateLogViewer): מעניק גישה לכל היומנים בקטגוריות_Requiredו-_Default, כולל יומני הביקורת Data Access.
אם יוצרים קטגוריות יומנים או תצוגות יומנים שהוגדרו על ידי משתמשים, נדרשות הרשאות נוספות. מידע נוסף על תפקידים זמין במאמר בקרת גישה באמצעות IAM.
רשימת האזורים הנתמכים
קטגוריות של יומנים הן משאבים אזוריים. התשתית שבה מאוחסנים רשומות היומן, מתבצעת בה אינדקסציה ומתבצעים בה חיפושים, ממוקמת במיקום גיאוגרפי ספציפי. למעט קטגוריות של יומנים באזורים global, eu או us, Google Cloud מנהלת את התשתית כך שנתוני היומנים יהיו זמינים באופן יתיר בכל האזורים בתוך האזור של קטגוריית היומנים.