儲存記錄項目

Cloud Logging 使用稱為「記錄檔 bucket」的容器，儲存及整理記錄檔資料。瞭解系統建立和使用者定義的記錄檔 bucket 運作方式，有助於設定資料保留、區域儲存位置、加密金鑰和 Identity and Access Management (IAM) 存取控管。如果是組織和資料夾，您也可以使用組織政策和 Cloud Logging 的預設資源設定，強制執行新記錄 bucket 的位置和加密需求。

關於記錄檔 bucket

Cloud Logging 會加密靜態儲存的客戶內容。Logging 儲存在記錄檔 bucket 中的資料會以金鑰加密金鑰進行加密，這個程序稱為「信封式加密」。如要存取記錄資料，必須具備對應的金鑰加密金鑰存取權。

記錄檔 bucket 是區域性資源，位置固定，並以客戶自行管理的加密金鑰 (CMEK) 或Google-owned and Google-managed encryption key加密。記錄檔 bucket 建立後，就無法變更位置或加密金鑰的管理方式。 Google Cloud 會管理基礎架構，確保記錄資料在該區域內的所有可用區中都有備援。

貴組織可能設有法規遵循、監管或安全性規定，規範記錄檔 bucket 的位置，以及是否使用 CMEK。如要在整個組織或資料夾中強制執行這些規定，請參閱「支援組織和資料夾」。

記錄檔 bucket 中儲存資料的保留期限，取決於記錄檔 bucket 的類型。_Required 記錄檔 bucket 的保留期限固定不變，但您可以為 _Default 記錄檔 bucket 和使用者定義的記錄檔 bucket 設定自訂保留期限。

您可以在記錄檔 bucket 建立記錄檔檢視表。記錄檔檢視畫面僅提供記錄檔 bucket 中儲存的部分記錄檔資料。Cloud Logging 會自動為每個記錄檔 bucket 建立 _AllLogs 檢視畫面，讓您存取記錄檔 bucket 中的每個記錄項目。您可以使用 IAM 控管記錄檢視表的存取權。

如要查詢及查看記錄資料，請使用「Logs Explorer」頁面。這個頁面可協助您排解及分析服務和應用程式的效能問題。您可以查看個別記錄項目，並篩選記錄資料。這個介面有範圍設定，可讓您依專案、記錄檔 bucket 或記錄檔檢視搜尋記錄檔資料。

詳情請參閱「查詢及查看記錄項目」。

系統建立的記錄檔 bucket

系統建立 Google Cloud 專案、帳單帳戶、資料夾或組織時，Logging 會建立兩個記錄檔 bucket，分別命名為 _Required 和 _Default：

  • 位置：除非已設定 Cloud Logging 的預設資源設定，否則 Cloud Logging 會選取這些 bucket 的位置。bucket 建立後即無法變更位置。

  • 加密：除非 Cloud Logging 的預設資源設定指定 CMEK，否則這些 bucket 會使用Google-owned and Google-managed encryption keys 。bucket 建立後即無法變更這項設定。

您無法刪除系統建立的記錄檔 bucket。

_Required 記錄檔 bucket

_Required 記錄檔 bucket 會儲存法規遵循或稽核用途所需的記錄項目。因此，您無法刪除這個記錄檔 bucket，也無法修改儲存在這個記錄檔 bucket 中的記錄項目。這個記錄檔 bucket 中的記錄項目會保留 400 天，您無法變更這個保留期限。

儲存在資源 _Required 記錄檔 bucket 中的記錄項目，也源自該資源。也就是說， Google Cloud 專案中的 _Required 記錄檔 bucket 只能儲存該專案產生的記錄項目。

_Required 記錄檔 bucket 會儲存下列類型的記錄項目：

_Default 記錄檔 bucket

_Default 記錄檔 bucket 會儲存未自動儲存在 _Required 記錄檔 bucket 中的記錄項目。_Default 記錄檔 bucket 是由系統建立，因此無法刪除。不過，您可以修改儲存在這個記錄檔 bucket 中的記錄項目。

Cloud Logging 會將 _Default bucket 中的記錄項目保留 30 天，除非您為 bucket 設定自訂保留期限。

舉例來說，這個記錄檔 bucket 會儲存下列類型的記錄項目：

使用者定義的記錄檔 bucket

您可以在任何Google Cloud 專案中建立使用者定義的記錄檔 bucket。建立使用者定義的記錄檔 bucket 時，您必須選取位置並設定資料保留期限。您可以選擇提供 CMEK。

您可以修改及刪除使用者定義的記錄檔 bucket。如要防止記錄檔 bucket 遭到刪除，您可以鎖定記錄檔 bucket，禁止更新。記錄檔 bucket 一經鎖定即無法復原。如果鎖定記錄檔 bucket，就無法刪除。

支援組織和資料夾

為協助組織符合法規和監管需求，Logging 同時支援預設資源設定和組織政策：

控管記錄檔 bucket 的存取權

IAM 權限和角色可控管記錄資料的存取權。舉例來說，您可以執行下列所有操作：

  • 授予記錄檔 bucket 的讀取和編輯權限。
  • 使用標記，根據群組成員資格授予記錄檔 bucket 的編輯權限。
  • 設定記錄檔 bucket 的欄位層級存取權，控管記錄項目中特定欄位的存取權。

  • 在記錄檔 bucket 建立記錄檔檢視表，授予該 bucket 中部分記錄項目的存取權。

    每個記錄檔 bucket 都有預設記錄檔檢視畫面，通常包含記錄檔 bucket 中的每個記錄項目。_Default 記錄檔 bucket 的預設記錄檔檢視畫面會排除資料存取稽核記錄項目。

如要授予使用者查看及分析記錄項目所需的權限，通常會授予下列其中一個 IAM 角色：

  • 記錄檢視器 (roles/logging.viewer) 角色：可授予 _Required bucket 中所有記錄項目的存取權，以及 _Default bucket 預設記錄檢視畫面的存取權。

  • 私人記錄檢視器 (roles/logging.privateLogViewer) 角色：可存取 _Required 和 _Default bucket 中的所有記錄，包括資料存取稽核記錄。

如果您建立使用者定義的記錄檔 bucket，或記錄檔 bucket 的記錄檔檢視，則需要額外權限。如要進一步瞭解角色，請參閱「使用 IAM 控管存取權」。

支援的地區清單

記錄檔 bucket 是區域性資源。儲存、索引及搜尋記錄項目的基礎架構位於特定地理位置。除了global、eu或us區域中的記錄檔 bucket 之外， Google Cloud 會管理基礎架構，確保記錄檔資料在記錄檔 bucket 區域內的所有可用區中，都能以備援方式提供。

後續步驟