Cloud Logging utilizza container chiamati bucket di log per archiviare e organizzare i dati dei log. Comprendere il funzionamento dei bucket di log creati dal sistema e definiti dall'utente ti aiuta a configurare la conservazione dei dati, le località di archiviazione regionali, le chiavi di crittografia e i controlli dell'accesso di Identity and Access Management (IAM). Per le organizzazioni e le cartelle, puoi anche utilizzare le policy dell'organizzazione e le impostazioni predefinite delle risorse per Cloud Logging per applicare i requisiti di località e crittografia per i nuovi bucket di log.
Informazioni sui bucket di log
Cloud Logging cripta i contenuti inattivi dei clienti. I dati archiviati nei bucket di log da Logging vengono criptati utilizzando chiavi di crittografia delle chiavi, un processo noto come crittografia envelope. L'accesso ai dati di logging richiede l'accesso a queste chiavi di crittografia delle chiavi.
I bucket di log sono risorse di regione con una posizione fissa e sono criptati con una chiave di crittografia gestita dal cliente (CMEK) o con unaGoogle-owned and Google-managed encryption key. Dopo aver creato un bucket di log, non puoi modificarne la località o il modo in cui viene gestita la chiave di crittografia. Google Cloud gestisce l'infrastruttura in modo che i dati di log siano disponibili in modo ridondante nelle zone all'interno della regione.
La tua organizzazione potrebbe avere requisiti di conformità, normativi o di sicurezza che regolano la posizione dei bucket di log e l'utilizzo di CMEK. Per applicare questi requisiti a un'organizzazione o a una cartella, consulta Supporto per organizzazioni e cartelle.
Il periodo di conservazione dei dati archiviati in un bucket di log dipende dal tipo di bucket di log. Il periodo di conservazione per il bucket di log _Required è fisso, mentre puoi configurare una conservazione personalizzata per il bucket di log _Default e per i bucket di log definiti dall'utente.
Puoi creare visualizzazioni log su un bucket di log.
Una visualizzazione log fornisce l'accesso solo a un sottoinsieme dei dati di log archiviati in un bucket di log. Per ogni bucket di log, Cloud Logging crea automaticamente la visualizzazione _AllLogs che fornisce l'accesso a ogni voce di log nel bucket di log.
Puoi controllare l'accesso a una visualizzazione log utilizzando IAM.
Per eseguire query e visualizzare i dati di log, utilizza la pagina Esplora log. Questa pagina ti aiuta a risolvere i problemi e ad analizzare le prestazioni dei tuoi servizi e delle tue applicazioni. Puoi visualizzare singole voci di log e filtrare i dati di log. Questa interfaccia ha un'impostazione di ambito che ti consente di cercare i dati di log per progetto, bucket di log o visualizzazione di log.
Per saperne di più, consulta Esegui query e visualizza le voci di log.
Bucket di log creati dal sistema
Quando il sistema crea un progetto, un account di fatturazione, una cartella o un'organizzazione Google Cloud , Logging crea due bucket di log, uno denominato _Required e l'altro denominato _Default:
Località: Cloud Logging seleziona la località di questi bucket, a meno che non siano configurate le impostazioni predefinite delle risorse per Cloud Logging. Non puoi modificare la località dopo aver creato i bucket.
Crittografia: questi bucket utilizzanoGoogle-owned and Google-managed encryption keys , a meno che le impostazioni predefinite delle risorse per Cloud Logging non specifichino una CMEK. Non puoi modificare questa configurazione dopo la creazione dei bucket.
Non puoi eliminare i bucket di log creati dal sistema.
Bucket di log _Required
Il bucket di log _Required archivia le voci di log necessarie per motivi di conformità o controllo. Per questo motivo, non puoi eliminare questo bucket di log né modificare le voci di log archiviate al suo interno.
Le voci di log in questo bucket di log vengono conservate per 400 giorni. Non puoi modificare questo periodo di conservazione.
Anche le voci di log archiviate nel bucket di log _Required per una risorsa hanno origine in quella risorsa. In altre parole, il bucket di log _Required in un progetto Google Cloud può archiviare solo le voci di log provenienti da quel progetto.
Il bucket di log _Required archivia i seguenti tipi di voci di log:
- Audit log delle attività di amministrazione
- Audit log degli eventi di sistema
- Audit log amministrativi di Google Workspace
- Log di controllo di Groups Enterprise
- Log di controllo degli accessi
Bucket di log _Default
Il bucket di log _Default archivia le voci di log che non vengono archiviate automaticamente nel bucket di log _Required. Poiché il bucket di log _Default è stato creato dal sistema, non puoi eliminarlo. Tuttavia, puoi modificare le voci di log archiviate in questo bucket di log.
Cloud Logging conserva le voci di log nel bucket _Default per 30 giorni, a meno che non configuri la conservazione personalizzata per il bucket.
Ad esempio, questo bucket di log archivia i seguenti tipi di voci di log:
- Audit log degli accessi ai dati
- Audit log negati da criteri
- Log generati da applicazioni e servizi Google Cloud
Bucket di log definiti dall'utente
Puoi creare bucket di log definiti dall'utente in qualsiasi progettoGoogle Cloud . Quando crei un bucket di log definito dall'utente, selezioni la località e imposti il periodo di conservazione dei dati. Puoi fornire una CMEK.
Puoi modificare ed eliminare i bucket di log definiti dall'utente. Per proteggerti dall'eliminazione di un bucket di log, puoi bloccare il bucket di log per impedire gli aggiornamenti. Il blocco di un bucket di log è irreversibile. Se blocchi un bucket di log, non puoi eliminarlo.
Supporto per organizzazioni e cartelle
Per aiutare la tua organizzazione a soddisfare le esigenze di conformità e normative, Logging supporta sia le impostazioni predefinite delle risorse sia le policy dell'organizzazione:
Impostazioni predefinite delle risorse: per le organizzazioni e le cartelle, le impostazioni predefinite delle risorse per Cloud Logging controllano la posizione dei nuovi bucket di log creati dal sistema. Inoltre, consentono di specificare una CMEK, che si applica sia ai nuovi bucket di log creati dal sistema sia ai bucket di log definiti dall'utente.
Policy dell'organizzazione: una policy dell'organizzazione può limitare la località dei nuovi bucket di log definiti dall'utente. Logging supporta le policy dell'organizzazione che specificano le regioni in cui è possibile o meno creare bucket di log.
Controlla l'accesso a un bucket di log
I ruoli e le autorizzazioni IAM controllano l'accesso ai dati di log. Ad esempio, puoi eseguire tutte le seguenti operazioni:
- Concedi l'accesso in lettura e modifica a un bucket di log.
- Concedi l'accesso in modifica a un bucket di log in base all'appartenenza a un gruppo utilizzando i tag.
- Controlla l'accesso a campi specifici di una voce di log configurando l'accesso a livello di campo in un bucket di log.
Concedi l'accesso a un sottoinsieme di voci di log in un bucket di log creando una visualizzazione dei log su quel bucket di log.
Ogni bucket di log ha una visualizzazione di log predefinita, che in genere include ogni voce di log nel bucket di log. Per il bucket di log
_Default, la visualizzazione log predefinita esclude le voci dei log di controllo dell'accesso ai dati.
Per concedere a un utente le autorizzazioni necessarie per visualizzare e analizzare le voci di log, in genere concedi uno dei seguenti ruoli IAM:
Ruolo Visualizzatore log (
roles/logging.viewer): concede l'accesso a tutte le voci di log nel bucket_Requirede l'accesso alla visualizzazione log predefinita nel bucket_Default.Ruolo Visualizzatore log privati (
roles/logging.privateLogViewer): concede l'accesso a tutti i log nei bucket_Requirede_Default, inclusi gli audit log di controllo dell'accesso ai dati.
Se crei bucket di log o visualizzazioni di log definiti dall'utente sui bucket di log, sono necessarie autorizzazioni aggiuntive. Per saperne di più sui ruoli, consulta Controllo dell'accesso con IAM.
Elenco delle regioni supportate
I bucket di log sono risorse di regione. L'infrastruttura che archivia, indicizza ed esegue ricerche nelle voci di log si trova in una posizione geografica specifica. Ad eccezione dei bucket di log nelle regioni global, eu o us, Google Cloud gestisce l'infrastruttura in modo che i dati di log siano disponibili in modo ridondante nelle zone all'interno della regione del bucket di log.