Cloud Logging은 로그 버킷이라는 컨테이너를 사용하여 로그 데이터를 저장하고 정리합니다. 시스템 생성 로그 버킷과 사용자 정의 로그 버킷의 작동 방식을 이해하면 데이터 보관, 리전 스토리지 위치, 암호화 키, ID 및 액세스 관리 (IAM) 액세스 제어를 구성하는 데 도움이 됩니다. 조직 및 폴더의 경우 Cloud Logging의 조직 정책 및 기본 리소스 설정을 사용하여 새 로그 버킷의 위치 및 암호화 요구사항을 적용할 수도 있습니다.
로그 버킷 정보
Cloud Logging은 저장된 고객 콘텐츠를 암호화합니다. Logging에서 로그 버킷에 저장한 데이터는 봉투 암호화라고 하는 프로세스인 키 암호화 키를 통해 암호화됩니다. 로깅 데이터에 액세스하려면 이러한 키 암호화 키에 액세스해야 합니다.
로그 버킷은 위치가 고정된 리전 리소스이며 고객 관리 암호화 키 (CMEK) 또는Google-owned and Google-managed encryption key로 암호화됩니다. 로그 버킷을 만든 후에는 위치나 암호화 키 관리 방식을 변경할 수 없습니다. Google Cloud 는 해당 리전 내의 영역에서 로그 데이터를 중복으로 사용할 수 있도록 인프라를 관리합니다.
조직에 로그 버킷의 위치와 CMEK 사용 여부를 규정하는 규정 준수, 규제 또는 보안 요구사항이 있을 수 있습니다. 조직 또는 폴더 전체에 이러한 요구사항을 적용하려면 조직 및 폴더 지원을 참고하세요.
로그 버킷에 저장된 데이터의 보관 기간은 로그 버킷 유형에 따라 다릅니다. _Required 로그 버킷의 보관 기간은 고정되어 있지만 _Default 로그 버킷과 사용자 정의 로그 버킷의 경우 커스텀 보관을 구성할 수 있습니다.
로그 버킷에 로그 뷰를 만들 수 있습니다.
로그 뷰는 로그 버킷에 저장된 로그 데이터의 하위 집합에만 액세스할 수 있도록 지원합니다. 모든 로그 버킷에 대해 Cloud Logging은 로그 버킷의 모든 로그 항목에 대한 액세스를 제공하는 _AllLogs 뷰를 자동으로 만듭니다.
IAM을 사용하여 로그 뷰에 대한 액세스를 제어합니다.
로그 데이터를 쿼리하고 보려면 로그 탐색기 페이지를 사용하세요. 이 페이지는 서비스와 애플리케이션의 문제를 해결하고 성능을 분석하는 데 도움이 됩니다. 개별 로그 항목을 보고 로그 데이터를 필터링할 수 있습니다. 이 인터페이스에는 프로젝트, 로그 버킷 또는 로그 뷰별로 로그 데이터를 검색할 수 있는 범위 설정이 있습니다.
자세한 내용은 로그 항목 쿼리 및 보기를 참조하세요.
시스템 생성 로그 버킷
시스템에서 Google Cloud 프로젝트, 결제 계정, 폴더 또는 조직을 만들면 Logging은 _Required라는 이름의 로그 버킷과 _Default라는 이름의 로그 버킷을 만듭니다.
위치: Cloud Logging의 기본 리소스 설정이 구성되지 않은 경우 Cloud Logging이 이러한 버킷의 위치를 선택합니다. 버킷을 만든 후에는 위치를 변경할 수 없습니다.
암호화: 이러한 버킷은 Cloud Logging의 기본 리소스 설정에서 CMEK를 지정하지 않는 한Google-owned and Google-managed encryption keys 를 사용합니다. 버킷이 생성된 후에는 이 구성을 변경할 수 없습니다.
시스템에서 생성된 로그 버킷은 삭제할 수 없습니다.
_Required 로그 버킷
_Required 로그 버킷에는 규정 준수 또는 감사 목적으로 필요한 로그 항목이 저장됩니다. 따라서 이 로그 버킷을 삭제할 수 없으며 이 로그 버킷에 저장되는 로그 항목을 수정할 수 없습니다.
이 로그 버킷의 로그 항목은 400일 동안 보관됩니다. 이 보관 기간은 변경할 수 없습니다.
리소스의 _Required 로그 버킷에 저장되는 로그 항목도 해당 리소스에서 발생합니다. 즉, Google Cloud 프로젝트의 _Required 로그 버킷은 해당 프로젝트에서 발생한 로그 항목만 저장할 수 있습니다.
_Required 로그 버킷에는 다음 유형의 로그 항목이 저장됩니다.
- 관리 활동 감사 로그
- 시스템 이벤트 감사 로그
- Google Workspace 관리자 감사 로그
- Enterprise 그룹스 감사 로그
- 로그인 감사 로그
_Default 로그 버킷
_Default 로그 버킷은 _Required 로그 버킷에 자동으로 저장되지 않는 로그 항목을 저장합니다. _Default 로그 버킷은 시스템에서 생성되므로 삭제할 수 없습니다. 하지만 이 로그 버킷에 저장되는 로그 항목을 수정할 수 있습니다.
Cloud Logging은 버킷에 대한 커스텀 보관 기간을 구성하지 않는 한 _Default 버킷의 로그 항목을 30일 동안 보관합니다.
예를 들어 이 로그 버킷에는 다음 유형의 로그 항목이 저장됩니다.
- 데이터 액세스 감사 로그
- 정책 거부 감사 로그
- 애플리케이션 및 Google Cloud 서비스에서 생성된 로그
사용자 정의 로그 버킷
모든Google Cloud 프로젝트에서 사용자 정의 로그 버킷을 만들 수 있습니다. 사용자 정의 로그 버킷을 만들 때 위치를 선택하고 데이터 보관 기간을 설정합니다. CMEK를 제공할 수 있습니다.
사용자 정의 로그 버킷을 수정하고 삭제할 수 있습니다. 보관 기간 내에 있는 로그 항목을 저장하는 로그 버킷이 삭제되지 않도록 하려면 업데이트되지 않도록 로그 버킷을 잠그면 됩니다.
조직 및 폴더 지원
조직이 규정 준수 및 규제 요구사항을 충족할 수 있도록 Logging은 기본 리소스 설정과 조직 정책을 모두 지원합니다.
기본 리소스 설정: 조직 및 폴더의 경우 Cloud Logging의 기본 리소스 설정이 새 시스템 생성 로그 버킷의 위치를 제어합니다. 또한 새 시스템 생성 및 사용자 정의 로그 버킷 모두에 적용되는 CMEK를 지정할 수 있습니다.
조직 정책: 조직 정책은 새 사용자 정의 로그 버킷의 위치를 제한할 수 있습니다. Logging은 로그 버킷을 만들 수 있는 리전과 만들 수 없는 리전을 지정하는 조직 정책을 지원합니다.
로그 버킷에 대한 액세스 제어
IAM 권한과 역할은 로그 데이터에 대한 액세스를 제어합니다. 예를 들어 다음과 같은 모든 작업이 가능합니다.
- 로그 버킷에 대한 읽기 및 수정 액세스 권한을 부여합니다.
- 태그를 사용하여 그룹 멤버십을 기반으로 로그 버킷에 수정 액세스 권한을 부여합니다.
- 로그 버킷에서 필드 수준 액세스를 구성하여 로그 항목의 특정 필드에 대한 액세스를 제어합니다.
로그 버킷에 로그 뷰를 만들어 로그 버킷의 로그 항목 하위 집합에 대한 액세스 권한을 부여합니다.
모든 로그 버킷에는 기본 로그 뷰가 있으며, 여기에는 일반적으로 로그 버킷의 모든 로그 항목이 포함됩니다.
_Default로그 버킷의 경우 기본 로그 뷰에는 데이터 액세스 감사 로그 항목이 제외됩니다.
사용자에게 로그 항목을 보고 분석하는 데 필요한 권한을 제공하기 위해 일반적으로 다음 IAM 역할 중 하나를 부여합니다.
로그 뷰어 (
roles/logging.viewer) 역할:_Required버킷의 모든 로그 항목에 대한 액세스 권한과_Default버킷의 기본 로그 뷰에 대한 액세스 권한을 부여합니다.비공개 로그 뷰어 (
roles/logging.privateLogViewer) 역할: 데이터 액세스 감사 로그를 포함하여_Required및_Default버킷의 모든 로그에 대한 액세스 권한을 부여합니다.
로그 버킷에 사용자 정의 로그 버킷 또는 로그 뷰를 만드는 경우 추가 권한이 필요합니다. 역할에 대한 자세한 내용은 IAM으로 액세스 제어를 참조하세요.
지원되는 지역 목록
로그 버킷은 리전별 리소스입니다. 로그 항목을 저장, 색인 생성, 검색하는 인프라는 특정 지리적 위치에 있습니다. global, eu 또는 us 리전의 로그 버킷을 제외하고 Google Cloud 는 로그 버킷 리전 내의 영역 전체에서 로그 데이터를 중복해서 사용할 수 있도록 인프라를 관리합니다.