Armazenar entradas de registro

O Cloud Logging usa contêineres chamados buckets de registro para armazenar e organizar os dados de registro. Entender como funcionam os buckets de registros criados pelo sistema e definidos pelo usuário ajuda a configurar a retenção de dados, os locais de armazenamento regionais, as chaves de criptografia e os controles de acesso do Identity and Access Management (IAM). Para organizações e pastas, também é possível usar políticas da organização e configurações de recursos padrão do Cloud Logging para aplicar requisitos de localização e criptografia a novos buckets de registros.

Sobre buckets de registros

O Cloud Logging criptografa o conteúdo do cliente armazenado em repouso. Os dados armazenados em buckets de registros pelo Logging são criptografados usando chaves de criptografia de chaves, um processo conhecido como criptografia de envelope. Para acessar os dados de registro, é preciso ter acesso a essas chaves de criptografia de chaves.

Os buckets de registro são recursos regionais com um local fixo e são criptografados com uma chave de criptografia gerenciada pelo cliente (CMEK) ou um Google-owned and Google-managed encryption key. Depois que um bucket de registros é criado, não é possível alterar o local dele nem como a chave de criptografia é gerenciada. O Google Cloud gerencia a infraestrutura para que os dados de registro estejam disponíveis de maneira redundante nas zonas dessa região.

Sua organização pode ter requisitos de compliance, regulamentares ou de segurança que regem onde os buckets de registros estão localizados e se eles usam CMEK. Para aplicar esses requisitos em uma organização ou pasta, consulte Suporte para organizações e pastas.

O período de armazenamento dos dados em um bucket de registros depende do tipo de bucket. O período de armazenamento do bucket de registros _Required é fixo, mas é possível configurar a retenção personalizada para o bucket de registros _Default e para buckets de registros definidos pelo usuário.

É possível criar visualizações de registro em um bucket de registros. Uma visualização de registros fornece acesso apenas a um subconjunto dos dados de registro armazenados em um bucket de registros. Para cada bucket de registros, o Cloud Logging cria automaticamente a visualização _AllLogs, que fornece acesso a todas as entrada de registro no bucket. Você controla o acesso a uma visualização de registro usando o IAM.

Para consultar e visualizar os dados de registro, use a página Análise de registros. Esta página ajuda a resolver problemas e analisar o desempenho dos seus serviços e aplicativos. É possível visualizar entradas de registro individuais e filtrar os dados de registro. Essa interface tem uma configuração de escopo, que permite pesquisar dados de registro por projeto, bucket de registros ou visualização de registro.

Para saber mais, consulte Consultar e visualizar entradas de registro.

Buckets de registros criados pelo sistema

Quando o sistema cria um projeto, uma conta de faturamento, uma pasta ou uma organização do Google Cloud , o Logging cria dois buckets de registro, um chamado _Required e outro chamado _Default:

  • Local: o Cloud Logging seleciona o local desses buckets, a menos que as configurações de recursos padrão do Cloud Logging estejam definidas. Não é possível mudar o local depois que os buckets são criados.

  • Criptografia: esses buckets usam Google-owned and Google-managed encryption keys , a menos que as configurações de recurso padrão do Cloud Logging especifiquem uma CMEK. Não é possível mudar essa configuração depois que os buckets são criados.

Não é possível excluir os buckets de registro criados pelo sistema.

Bucket de registro _Required

O bucket de registros _Required armazena entradas de registro necessárias para fins de conformidade ou auditoria. Por esse motivo, não é possível excluir esse bucket de registros nem modificar as entradas de registro armazenadas nele. As entradas de registro nesse bucket de registros são retidas por 400 dias. Não é possível alterar esse período de armazenamento.

As entradas de registro armazenadas no bucket de registros _Required de um recurso também se originam nesse recurso. Ou seja, o bucket de registros _Required em um projeto do Google Cloud só pode armazenar entradas de registro originadas nesse projeto.

O bucket de registros _Required armazena os seguintes tipos de entradas de registro:

Bucket de registro _Default

O bucket de registros _Default armazena entradas de registro que não são armazenadas automaticamente no bucket de registros _Required. Como o bucket de registros _Default é criado pelo sistema, não é possível excluí-lo. No entanto, é possível modificar quais entradas de registro são armazenadas nesse bucket de registros.

O Cloud Logging retém as entradas de registro no bucket _Default por 30 dias, a menos que você configure a retenção personalizada para o bucket.

Por exemplo, esse bucket de registros armazena os seguintes tipos de entradas de registro:

Buckets de registros definidos pelo usuário

É possível criar buckets de registros definidos pelo usuário em qualquer projeto doGoogle Cloud . Ao criar um bucket de registros definido pelo usuário, você seleciona o local e define o período de retenção de dados. Você tem a opção de fornecer uma CMEK.

É possível modificar e excluir buckets de registros definidos pelo usuário. Para evitar a exclusão de um bucket de registros, bloqueie o bucket contra atualizações. O bloqueio de um bucket de registros é irreversível. Se você bloquear um bucket de registros, não será possível excluí-lo.

Suporte para organizações e pastas

Para ajudar sua organização a atender às necessidades de compliance e regulamentação, o Logging é compatível com as configurações de recursos padrão e as políticas da organização:

Controlar o acesso a um bucket de registros

As permissões e os papéis do IAM controlam o acesso aos dados de registro. Por exemplo, você pode fazer o seguinte:

  • Conceder acesso de leitura e edição a um bucket de registros.
  • Conceda acesso de edição a um bucket de registros com base na associação ao grupo usando tags.
  • Controle o acesso a campos específicos em uma entrada de registro configurando o acesso no nível do campo em um bucket de registros.

  • Conceda acesso a um subconjunto de entradas de registro em um bucket de registros criando uma visualização de registros nesse bucket.

    Cada bucket de registros tem uma visualização de registros padrão, que normalmente inclui todas as entrada de registro no bucket. Para o bucket de registros _Default, a visualização de registros padrão exclui as entradas de registro de auditoria de acesso a dados.

Para conceder a um usuário as permissões necessárias para visualizar e analisar entradas de registro, geralmente você concede um dos seguintes papéis do IAM:

  • Papel Visualizador de registros (roles/logging.viewer): concede acesso a todas as entradas de registro no bucket _Required e acesso à visualização de registro padrão no bucket _Default.

  • Papel de Visualizador de registros particulares (roles/logging.privateLogViewer): concede acesso a todos os registros nos buckets _Required e _Default, incluindo registros de auditoria de acesso a dados.

Se você criar buckets de registros definidos pelo usuário ou visualizações de registros em buckets de registros, serão necessárias outras permissões. Para mais informações sobre papéis, consulte Controle de acesso com o IAM.

Lista de regiões com disponibilidade

Os buckets de registros são recursos regionais. A infraestrutura que armazena, indexa e pesquisa as entradas de registro está localizada em uma localização geográfica específica. Com exceção dos buckets de registros nas regiões global, eu ou us, o Google Cloud gerencia a infraestrutura para que os dados de registro estejam disponíveis de forma redundante nas zonas da região do bucket de registros.

A seguir