Ricezione di un evento Cloud Audit Logs

Questo tutorial mostra come eseguire il deployment di un servizio Cloud Run autenticato che riceve eventi da Cloud Storage utilizzando Cloud Audit Logs. Utilizza questo tutorial per eseguire il deployment dei workload di produzione. Il trigger Eventarc filtra gli eventi in base alle voci di Cloud Audit Logs. Per ulteriori informazioni, vedi Determinare i filtri eventi per Cloud Audit Logs.

Nota:per impostazione predefinita, tutti i servizi Cloud Run vengono implementati privatamente, il che significa che non è possibile accedervi senza fornire credenziali di autenticazione nella richiesta. Per i progetti con policy dell'organizzazione per la condivisione limitata dei domini, utilizza un servizio di destinazione Cloud Run autenticato anziché uno che consenta l'accesso pubblico (non autenticato).

Puoi completare questo tutorial utilizzando la console Google Cloud o Google Cloud CLI.

Crea un repository standard Artifact Registry

Crea un repository standard Artifact Registry per archiviare l'immagine container.

Console

1. Nella console Google Cloud , vai alla pagina Repository.
   

   Vai a Repository

2. Fai clic su Crea repository.
3. Configura il repository:
   1. Inserisci un nome univoco.
   2. Per Formato, scegli Docker.
   3. Per Modalità, scegli Standard.
   4. Per Tipo di località, scegli Regione.
   5. Nell'elenco Regione, seleziona us-central1 (Iowa).
4. Accetta le altre impostazioni predefinite e fai clic su Crea.

gcloud

gcloud artifacts repositories create REPOSITORY \
    --repository-format=docker \
    --location=$REGION

Sostituisci REPOSITORY con un nome univoco per il repository Artifact Registry.

Crea un bucket Cloud Storage

Questo tutorial utilizza Cloud Storage come origine evento. Per creare un bucket di archiviazione:

Console

1. Nella console Google Cloud , vai alla pagina Bucket.
   

   Vai a Bucket

2. Fai clic su Crea bucket.
3. Inserisci le informazioni sul bucket e fai clic su Continua per completare ogni passaggio:
   1. Inserisci un nome univoco. Ad esempio, eventarcbucket.
   2. Seleziona Regione come Tipo di località.
   3. Seleziona us-central1 (Iowa) come località.
   4. Seleziona Standard come classe di archiviazione predefinita.
   5. Seleziona Uniforme per Controllo dell'accesso.
4. Fai clic su Crea.

gcloud

gcloud storage buckets create gs://events-tutorial-PROJECT_ID/ --location=$REGION

Dopo aver creato l'origine evento, puoi eseguire il deployment del servizio di ricezione di eventi su Cloud Run.

Esegui il deployment del servizio di ricezione di eventi in Cloud Run

Esegui il deployment di un servizio Cloud Run che riceve e registra gli eventi. Per eseguire il deployment del servizio di ricezione di eventi di esempio:

Console

1. Clona il repository di esempio nel tuo account GitHub:

Vai

1. Su GitHub, vai a GoogleCloudPlatform/golang-samples.
2. Fai clic su Fork.

3. Se richiesto, seleziona la posizione in cui vuoi creare un fork del repository.

Java

1. Su GitHub, vai a GoogleCloudPlatform/java-docs-samples.
2. Fai clic su Fork.

3. Se richiesto, seleziona la posizione in cui vuoi creare un fork del repository.

.NET

1. Su GitHub, vai a GoogleCloudPlatform/dotnet-docs-samples.
2. Fai clic su Fork.

3. Se richiesto, seleziona la posizione in cui vuoi creare un fork del repository.

Node.js

1. Su GitHub, vai a GoogleCloudPlatform/nodejs-docs-samples.
2. Fai clic su Fork.

3. Se richiesto, seleziona la posizione in cui vuoi creare un fork del repository.

Python

1. Su GitHub, vai a GoogleCloudPlatform/python-docs-samples.
2. Fai clic su Fork.

3. Se richiesto, seleziona la posizione in cui vuoi creare un fork del repository.
2. Nella console Google Cloud , vai alla pagina Servizi.

Vai a Servizi

3. Fai clic su Crea servizio per visualizzare il modulo Crea servizio.
4. Seleziona Esegui il deployment continuo da un repository.

   Le modifiche apportate al repository GitHub vengono automaticamente integrate in immagini container in Artifact Registry e sottoposte a deployment in Cloud Run.

5. Fai clic su Configura con Cloud Build per aprire il modulo Configura con Cloud Build.
1. Se richiesto, abilita l'API Cloud Build e l'API Artifact Analysis.
2. Seleziona GitHub come provider di repository.
   Nota:se non hai ancora eseguito l'autenticazione, fai clic su Autentica e segui le istruzioni per connetterti al tuo repository utilizzando l'app Cloud Build GitHub.
3. Se richiesto, fai clic su Installa Google Cloud Build.
4. Seleziona il repository GitHub per cui hai creato un fork come Repository.
5. Fai clic su Avanti.
6. Nel campo Branch, inserisci ^main$.
7. Seleziona Dockerfile come Tipo di build e fornisci la posizione di origine del Dockerfile:
   • eventarc/audit-storage/Dockerfile

     o

   • eventarc/audit_storage/Dockerfile(Vai)
8. Fai clic su Salva.
6. Nel modulo Crea servizio, inserisci un nome per il servizio. Ad esempio, helloworld-events.
7. Seleziona us-central1(Iowa) come regione in cui vuoi che si trovi il servizio.
8. Seleziona una delle opzioni Traffico in entrata in base al traffico in entrata che vuoi consentire sul servizio Cloud Run.
9. Seleziona Richiedi autenticazione.
10. Fai clic su Crea.

gcloud

1. Clona il repository GitHub:

   Vai

   git clone https://github.com/GoogleCloudPlatform/golang-samples.git
   cd golang-samples/eventarc/audit_storage
   

   Java

   git clone https://github.com/GoogleCloudPlatform/java-docs-samples.git
   cd java-docs-samples/eventarc/audit-storage

   .NET

   git clone https://github.com/GoogleCloudPlatform/dotnet-docs-samples.git
   cd dotnet-docs-samples/eventarc/audit-storage

   Node.js

   git clone https://github.com/GoogleCloudPlatform/nodejs-docs-samples.git
   cd nodejs-docs-samples/eventarc/audit-storage

   Python

   git clone https://github.com/GoogleCloudPlatform/python-docs-samples.git
   cd python-docs-samples/eventarc/audit-storage

2. Crea il container e caricalo in Cloud Build:

   gcloud builds submit --tag $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/$SERVICE_NAME:v1
   

3. Esegui il deployment dell'immagine container su Cloud Run:

   gcloud run deploy $SERVICE_NAME \
       --image $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/$SERVICE_NAME:v1
   

   Nota: in base al livello di accesso alla rete richiesto per il servizio Cloud Run, puoi anche impostare il flag di ingresso.

   Quando ti viene chiesto di consentire chiamate non autenticate, inserisci n.

   Se il deployment ha esito positivo, la riga di comando visualizza l'URL del servizio.

Ora che hai eseguito il deployment del servizio di ricezione di eventi chiamato helloworld-events in Cloud Run, puoi configurare il trigger.

Crea un trigger Eventarc

Il trigger Eventarc invierà eventi dal bucket Cloud Storage al servizio Cloud Run helloworld-events.

Console

1. Nella console Google Cloud , vai alla pagina Trigger.

   Vai ai trigger

2. Fai clic su Crea trigger.
3. Digita un Nome trigger.

   Questo è l'ID del trigger e deve iniziare con una lettera. Può contenere fino a 63 lettere minuscole, numeri o trattini.

4. Seleziona un tipo di attivatore:
   • Proprietari: filtra gli eventi inviati da provider Google Cloud(direttamente o tramite voci di Cloud Audit Logs) o da provider che utilizzano messaggi Pub/Sub.
   • Terze parti: filtra gli eventi inviati da fornitori di terze parti.
5. Nell'elenco Provider di eventi, seleziona Cloud Storage come origine degli eventi.
6. Nell'elenco Tipo di evento, seleziona storage.objects.create.
7. Nell'elenco Regione, seleziona us-central1 come regione da cui ricevere gli eventi.
8. Seleziona l'account di servizio che hai creato. Ad esempio, SERVICE_ACCOUNT_ID@PROJECT_ID.iam.gserviceaccount.com.
9. Nell'elenco Destinazione evento, seleziona Cloud Run.
10. Nell'elenco Seleziona un servizio Cloud Run, seleziona helloworld-events.
11. Fai clic su Crea.
Tieni presente che puoi anche creare un trigger Eventarc utilizzando la pagina della console Cloud Run.

gcloud

1. Crea un trigger che filtra gli eventi Cloud Storage e che utilizza il account di servizio che hai creato:

   gcloud eventarc triggers create events-tutorial-trigger \
       --destination-run-service=$SERVICE_NAME \
       --destination-run-region=$REGION \
       --event-filters="type=google.cloud.audit.log.v1.written" \
       --event-filters="serviceName=storage.googleapis.com" \
       --event-filters="methodName=storage.objects.create" \
       --service-account=sample-service-account@PROJECT_ID.iam.gserviceaccount.com

   Sostituisci PROJECT_ID con l' Google Cloud ID progetto.

   Dove:

   • type: specifica che i log di controllo vengono creati quando vengono soddisfatti i criteri di filtro del trigger.
   • serviceName: il servizio che scrive l'audit log, ovvero Cloud Storage.
   • methodName: l'operazione sottoposta ad audit, ovvero storage.objects.create.
   Viene creato un trigger denominato events-tutorial-trigger.
2. Per confermare che events-tutorial-trigger è stato creato correttamente, esegui:

   gcloud eventarc triggers list --location=$REGION

Il trigger events-tutorial-trigger è elencato con un target di helloworld-events.

Nota: anche se il trigger viene creato immediatamente, potrebbero essere necessari fino a due minuti prima che sia completamente funzionale.

Generare e visualizzare un evento

1. Per generare un evento:

   Console

   1. Crea un file di testo con il nome file random.txt e il testo "Hello World".
   2. Nella console Google Cloud , vai alla pagina Bucket.

      Vai a Bucket

   3. Seleziona il bucket di archiviazione che hai creato.
   4. Nella scheda Oggetti, fai clic su Carica file e carica il file random.txt.

   gcloud

   Carica un file di testo su Cloud Storage:

   echo "Hello World" > random.txt
   gcloud storage cp random.txt gs://events-tutorial-PROJECT_ID/random.txt

2. Per visualizzare la voce di log:

Console

1. Nella console Google Cloud , vai alla pagina Servizi.

   Vai a Servizi

2. Nell'elenco dei servizi, fai clic sul nome del servizio che hai creato per andare alla pagina Dettagli del servizio.
3. Fai clic sulla scheda Log per visualizzare i log delle richieste e dei container per tutte le revisioni di questo servizio. Puoi filtrare in base al livello di gravità del log.
4. Cerca una voce di log simile alla seguente:

   Detected change in Cloud Storage bucket: storage.googleapis.com/projects/_/buckets/BUCKET_NAME/objects/random.txt

   dove BUCKET_NAME è il nome del bucket Cloud Storage.

gcloud

1. gcloud logging read "resource.labels.service_name=helloworld-events AND textPayload:random.txt" --format=json

2. Cerca una voce di log simile alla seguente:

   Detected change in Cloud Storage bucket: storage.googleapis.com/projects/_/buckets/BUCKET_NAME/objects/random.txt

   dove BUCKET_NAME è il nome del bucket Cloud Storage.
   Nota:se non vedi una voce di log, attendi qualche minuto e riprova il comando gcloud logging read. Il trigger può richiedere fino a due minuti dopo la creazione per iniziare a filtrare gli eventi.

Hai eseguito correttamente il deployment di un servizio di ricezione di eventi in Cloud Run, creato un trigger Eventarc, generato un evento da Cloud Storage e visualizzato nei log di Cloud Run.