Cloud 감사 로그 이벤트 수신

이 튜토리얼에서는 Cloud 감사 로그를 사용하여 Cloud Storage에서 이벤트를 수신하는 인증된 Cloud Run 서비스를 배포하는 방법을 보여줍니다. 이 튜토리얼을 사용하여 프로덕션 워크로드를 배포합니다. Eventarc 트리거에서 Cloud 감사 로그 항목을 기준으로 이벤트를 필터링합니다. 자세한 내용은 Cloud 감사 로그의 이벤트 필터 확인을 참조하세요.

Google Cloud 콘솔 또는 Google Cloud CLI를 사용하여 이 튜토리얼을 완료할 수 있습니다.

Artifact Registry 표준 저장소 만들기

컨테이너 이미지를 저장할 Artifact Registry 표준 저장소를 만듭니다.

콘솔

  1. Google Cloud 콘솔에서 저장소 페이지로 이동합니다.

    저장소로 이동

  2. 저장소 만들기를 클릭합니다.
  3. 저장소 구성:
    1. 고유한 이름을 입력하세요.
    2. 형식에서 Docker를 선택합니다.
    3. 모드에 표준을 선택합니다.
    4. 위치 유형에서 리전을 선택합니다.
    5. 리전 목록에서 us-central1(아이오와)을 선택합니다.
  4. 다른 기본값을 그대로 두고 만들기를 클릭합니다.

gcloud

gcloud artifacts repositories create REPOSITORY \
    --repository-format=docker \
    --location=$REGION

REPOSITORY를 Artifact Registry 저장소의 고유한 이름으로 바꿉니다.

Cloud Storage 버킷 만들기

이 튜토리얼에서는 Cloud Storage를 이벤트 소스로 사용합니다. 스토리지 버킷을 만들려면 다음을 실행하세요.

콘솔

  1. Google Cloud 콘솔에서 버킷 페이지로 이동합니다.

    버킷으로 이동

  2. 버킷 만들기를 클릭합니다.
  3. 각 단계를 완료하려면 버킷 정보를 입력하고 계속을 클릭합니다.
    1. 고유한 이름을 입력하세요. 예를 들면 eventarcbucket입니다.
    2. 위치 유형으로 리전을 선택합니다.
    3. 위치로 us-central1 (아이오와)을 선택합니다.
    4. 기본 스토리지 클래스로 표준을 선택합니다.
    5. 액세스 제어로 균일을 선택합니다.
  4. 만들기를 클릭합니다.

gcloud

gcloud storage buckets create gs://events-tutorial-PROJECT_ID/ --location=$REGION

이벤트 소스가 생성되면 Cloud Run에 이벤트 수신자 서비스를 배포할 수 있습니다.

Cloud Run에 이벤트 수신자 서비스 배포

이벤트를 수신하고 로깅하는 Cloud Run 서비스를 배포합니다. 샘플 이벤트 수신자 서비스를 배포하려면 다음 안내를 따르세요.

콘솔

  1. 샘플 저장소를 GitHub 계정에 클론합니다.

    2. Go

    1. GitHub에서 GoogleCloudPlatform/golang-samples로 이동합니다.
    2. 포크를 클릭합니다.
      3. 포크 버튼의 스크린샷
    3. 메시지가 표시되면 저장소를 포크할 위치를 선택합니다.

    자바

    1. GitHub에서 GoogleCloudPlatform/java-docs-samples로 이동합니다.
    2. 포크를 클릭합니다.
      3. 포크 버튼의 스크린샷
    3. 메시지가 표시되면 저장소를 포크할 위치를 선택합니다.

    .NET

    1. GitHub에서 GoogleCloudPlatform/dotnet-docs-samples로 이동합니다.
    2. 포크를 클릭합니다.
      3. 포크 버튼의 스크린샷
    3. 메시지가 표시되면 저장소를 포크할 위치를 선택합니다.

    Node.js

    1. GitHub에서 GoogleCloudPlatform/nodejs-docs-samples​로 이동합니다.
    2. 포크를 클릭합니다.
      3. 포크 버튼의 스크린샷
    3. 메시지가 표시되면 저장소를 포크할 위치를 선택합니다.

    Python

    1. GitHub에서 GoogleCloudPlatform/python-docs-samples로 이동합니다.
    2. 포크를 클릭합니다.
      3. 포크 버튼의 스크린샷
    3. 메시지가 표시되면 저장소를 포크할 위치를 선택합니다.
  2. Google Cloud 콘솔에서 서비스 페이지로 이동합니다.

    3. 서비스로 이동

  3. 서비스 만들기를 클릭하여 서비스 만들기 양식을 표시합니다.
  4. 저장소에서 지속적 배포를 선택합니다.

    GitHub 저장소의 변경사항이 Artifact Registry의 컨테이너 이미지로 자동으로 빌드되고 Cloud Run에 배포됩니다.

  5. Cloud Build로 설정을 클릭하여 Cloud Build로 설정 양식을 엽니다.
    1. 메시지가 표시되면 Cloud Build API 및 Artifact Analysis API를 사용 설정합니다.
    2. 저장소 제공업체로 GitHub를 선택합니다.
    3. 메시지가 표시되면 Google Cloud Build 설치를 클릭합니다.
    4. 저장소로 포크한 GitHub 저장소를 선택합니다.
    5. 다음을 클릭합니다.
    6. 분기 필드에 ^main$를 입력합니다.
    7. 빌드 유형으로 Dockerfile을 선택하고 Dockerfile의 소스 위치를 제공합니다.
      • eventarc/audit-storage/Dockerfile

        또는

      • eventarc/audit_storage/Dockerfile(Go)
    8. 저장을 클릭합니다.
  6. 서비스 만들기 양식에 서비스 이름을 입력합니다. 예를 들면 helloworld-events입니다.
  7. 서비스를 배치할 리전으로 us-central1(아이오와)을 선택합니다.
  8. Cloud Run 서비스에서 허용할 인그레스 트래픽을 기준으로 인그레스 옵션을 선택합니다.
  9. 인증 필요를 선택합니다.
  10. 만들기를 클릭합니다.

gcloud

  1. GitHub 저장소를 클론합니다.

    Go

    git clone https://github.com/GoogleCloudPlatform/golang-samples.git
cd golang-samples/eventarc/audit_storage

    자바

    git clone https://github.com/GoogleCloudPlatform/java-docs-samples.git
cd java-docs-samples/eventarc/audit-storage

    .NET

    git clone https://github.com/GoogleCloudPlatform/dotnet-docs-samples.git
cd dotnet-docs-samples/eventarc/audit-storage

    Node.js

    git clone https://github.com/GoogleCloudPlatform/nodejs-docs-samples.git
cd nodejs-docs-samples/eventarc/audit-storage

    Python

    git clone https://github.com/GoogleCloudPlatform/python-docs-samples.git
cd python-docs-samples/eventarc/audit-storage
  2. 컨테이너를 빌드하고 Cloud Build에 업로드합니다. 
    gcloud builds submit --tag $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/$SERVICE_NAME:v1
  3. 컨테이너 이미지를 Cloud Run에 배포합니다. 
    gcloud run deploy $SERVICE_NAME \
    --image $REGION-docker.pkg.dev/PROJECT_ID/REPOSITORY/$SERVICE_NAME:v1

    인증되지 않은 호출을 허용할지 묻는 메시지가 표시되면 n을 입력합니다.

    배포가 성공하면 명령줄에 서비스 URL이 표시됩니다.

이제 helloworld-events라는 이벤트 수신자 서비스를 Cloud Run에 배포했으므로 트리거를 설정할 수 있습니다.

Eventarc 트리거 만들기

Eventarc 트리거는 Cloud Storage 버킷의 이벤트를 helloworld-events Cloud Run 서비스로 전송합니다.

콘솔

  1. Google Cloud 콘솔에서 트리거 페이지로 이동합니다.

    트리거로 이동

  2. 트리거 만들기를 클릭합니다.
  3. 트리거 이름을 입력합니다.

    트리거의 ID이며 문자로 시작해야 합니다. 최대 63자(영문 기준)의 소문자, 숫자, 하이픈을 포함할 수 있습니다.

  4. 트리거 유형을 선택합니다.
    • 퍼스트 파티: Google Cloud제공업체(직접 또는 Cloud 감사 로그 항목을 통해) 또는 Pub/Sub 메시지를 사용하여 전송된 이벤트를 필터링합니다.
    • 서드파티: 타사 제공업체에서 보낸 이벤트를 필터링합니다.
  5. 이벤트 제공자 목록에서 Cloud Storage를 이벤트 소스로 선택합니다.
  6. 이벤트 유형 목록에서 storage.objects.create를 선택합니다.
  7. 리전 목록에서 이벤트를 수신할 리전으로 us-central1을 선택합니다.
  8. 생성한 서비스 계정을 선택합니다. 예를 들면 다음과 같습니다. SERVICE_ACCOUNT_ID@PROJECT_ID.iam.gserviceaccount.com.
  9. 이벤트 대상 목록에서 Cloud Run을 선택합니다.
  10. Cloud Run 서비스 선택 목록에서 helloworld-events를 선택합니다.
  11. 만들기를 클릭합니다.
    12. Cloud Run 콘솔 페이지를 사용하여 Eventarc 트리거를 만들 수도 있습니다.

gcloud

  1. Cloud Storage 이벤트를 필터링하고 생성된 서비스 계정을 사용하는 트리거를 만듭니다. 
    gcloud eventarc triggers create events-tutorial-trigger \
    --destination-run-service=$SERVICE_NAME \
    --destination-run-region=$REGION \
    --event-filters="type=google.cloud.audit.log.v1.written" \
    --event-filters="serviceName=storage.googleapis.com" \
    --event-filters="methodName=storage.objects.create" \
    --service-account=sample-service-account@PROJECT_ID.iam.gserviceaccount.com
     PROJECT_ID를 Google Cloud프로젝트 ID로 바꿉니다.

    각 항목의 의미는 다음과 같습니다.

    • type: 트리거의 필터 기준이 충족되면 감사 로그가 생성되도록 지정합니다.
    • serviceName: Cloud Storage에 해당하는 감사 로그를 작성하는 서비스입니다.
    • methodName: storage.objects.create에 해당하는 감사 대상 작업입니다.
    그러면 events-tutorial-trigger라는 트리거가 생성됩니다.
  2. events-tutorial-trigger이 성공적으로 생성되었는지 확인하려면 다음을 실행합니다.
    gcloud eventarc triggers list --location=$REGION
    3. 트리거 events-tutorial-trigger가 helloworld-events의 대상과 함께 나열됩니다.

이벤트 생성 및 확인

  1. 이벤트를 생성하려면 다음 안내를 따르세요.

    콘솔

    1. 파일 이름이 random.txt이고 텍스트가 'Hello World'인 텍스트 파일을 만듭니다.
    2. Google Cloud 콘솔에서 버킷 페이지로 이동합니다.

      버킷으로 이동

    3. 만든 스토리지 버킷을 선택합니다.
    4. 객체 탭에서 파일 업로드를 클릭하고 random.txt 파일을 업로드합니다.

    gcloud

    텍스트 파일을 Cloud Storage에 업로드합니다.

    echo "Hello World" > random.txt
gcloud storage cp random.txt gs://events-tutorial-PROJECT_ID/random.txt
  2. 로그 항목을 보려면 다음 안내를 따르세요.

    3. 콘솔

    1. Google Cloud 콘솔에서 서비스 페이지로 이동합니다.

      서비스로 이동

    2. 서비스 목록에서 생성한 서비스의 이름을 클릭하여 서비스 세부정보 페이지로 이동합니다.
    3. 로그 탭을 클릭하여 이 서비스의 모든 버전에 대한 요청 및 컨테이너 로그를 가져옵니다. 로그 심각도 수준으로 필터링할 수 있습니다.
    4. 다음과 같은 로그 항목을 찾습니다. 
      Detected change in Cloud Storage bucket: storage.googleapis.com/projects/_/buckets/BUCKET_NAME/objects/random.txt
       여기서 BUCKET_NAME은 Cloud Storage 버킷의 이름입니다.

    gcloud

    1. gcloud logging read "resource.labels.service_name=helloworld-events AND textPayload:random.txt" --format=json
    2. 다음과 같은 로그 항목을 찾습니다. 
      Detected change in Cloud Storage bucket: storage.googleapis.com/projects/_/buckets/BUCKET_NAME/objects/random.txt
       여기서 BUCKET_NAME은 Cloud Storage 버킷의 이름입니다.

Cloud Run에 이벤트 수신자 서비스를 성공적으로 배포하고, Eventarc 트리거를 만들고, Cloud Storage에서 이벤트를 생성하고, 이를 Cloud Run 로그에서 확인했습니다.