Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Logs Ihrer Organisation zusammenfassen und speichern

Mit einer nicht abfangenden aggregierten Senke können Sie Logeinträge aus Ihrer gesamten Google Cloud Organisation an einen zentralen Speicherort weiterleiten, während untergeordnete Ressourcen ihre eigenen Kopien dieser Logs weiterleiten und speichern können. In dieser Anleitung erstellen Sie eine nicht abfangende aggregierte Senke auf Organisationsebene, die die Audit-Logs Ihrer Organisation an ein Google Cloud Projekt weiterleitet. Dort leitet eine Senke auf Projektebene sie an einen zentralen Log-Bucket weiter. Anschließend konfigurieren Sie den Lesezugriff auf eine Logansicht in diesem Bucket und fragen Ihre aggregierten Audit-Logs im Log-Explorer ab.

Sie können eine aggregierte Senke auch so konfigurieren, dass sie abfangend ist, wenn Sie steuern möchten, welche Logeinträge in untergeordneten Ressourcen abgefragt oder weitergeleitet werden können. Weitere Informationen finden Sie unter Übersicht über aggregierte Senken. Wenn Sie eine neue Organisation einrichten, können Sie im Rahmen des Google Cloud Einrichtungsprozesses auch die zentralisierte Log speicherung konfigurieren.

Hinweis

Prüfen Sie dabei Folgendes:

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Zentralisieren der Speicherung benötigen, indem Sie eine aggregierte Senke auf Organisationsebene erstellen, die Logeinträge an ein Projekt weiterleitet, :
- Zum Erstellen der aggregierten Senke: Autor von Logkonfigurationen (roles/logging.configWriter) für Ihre Organisation
- Zum Zuweisen von IAM-Rollen zu einem Dienstkonto und zum Erstellen eines Log-Buckets: Inhaber (roles/owner) für Ihr Projekt
Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.
Aktivieren Sie Cloud Shell in der Google Cloud Console.

Cloud Shell aktivieren

Unten in der Google Cloud Console wird eine Cloud Shell Sitzung gestartet und eine Eingabeaufforderung angezeigt. Cloud Shell ist eine Shell-Umgebung in der das Google Cloud CLI bereits installiert ist und Werte für Ihr aktuelles Projekt bereits festgelegt sind. Das Initialisieren der Sitzung kann einige Sekunden dauern.

Log-Bucket erstellen

In Log-Buckets werden die Logeinträge gespeichert, die aus anderen Google Cloud Projekten, Ordnern oder Organisationen weitergeleitet werden. Weitere Informationen finden Sie unter Log-Buckets konfigurieren.

So erstellen Sie den Log-Bucket im Google Cloud Projekt, in dem Sie Logeinträge aggregieren möchten:

Öffnen Sie eine Shell.

Wenn Sie beispielsweise die Cloud Shell verwenden möchten, gehen Sie so vor:
1. Rufen Sie die Google Cloud Console auf:
  Zur Google Cloud Console
2. Klicken Sie in der Symbolleiste auf Cloud Shell aktivieren.
Führen Sie in der Shell den gcloud logging buckets create Befehl aus.

Ersetzen Sie vor dem Ausführen des folgenden Befehls die Platzhalter:
- BUCKET_NAME: Der Name des Log-Buckets.
- LOCATION: Der Speicherort des Log-Buckets. Nachdem Sie den Log-Bucket erstellt haben, können Sie seinen Speicherort nicht mehr ändern.
- PROJECT_ID: Die ID des Projekts, in dem der Log-Bucket erstellt werden soll.
Führen Sie den Befehl gcloud logging buckets create aus:
```
gcloud logging buckets create BUCKET_NAME \
  --location=LOCATION --project=PROJECT_ID
```
Prüfen Sie, ob der Log-Bucket erstellt wurde:
```
gcloud logging buckets list --project=PROJECT_ID
```
Die Antwort auf den Befehl ist eine Liste der Log-Buckets in Ihrem Projekt.
Für Log-Buckets können Sie die Aufbewahrungsdauer konfigurieren. Wenn Sie die Aufbewahrungsdauer der Logeinträge in Ihrem Log-Bucket festlegen möchten, verwenden Sie den Befehl gcloud logging buckets update. Mit dem folgenden Befehl wird beispielsweise die Aufbewahrungsdauer von im Log-Bucket gespeicherten Logeinträgen auf 365 Tage verlängert:
```
gcloud logging buckets update BUCKET_NAME \
   --location=LOCATION --project=PROJECT_ID \
   --retention-days=365
```
Weitere Informationen zu Flags finden Sie unter gcloud logging buckets update.

Logsenke auf Projektebene erstellen

Sie leiten Logeinträge an einen Log-Bucket weiter, indem Sie eine Senke erstellen. Eine Senke enthält einen Einschlussfilter, Ausschlussfilter und ein Ziel. In dieser Anleitung konfigurieren Sie einen „Einschließen“-Filter und das Ziel für Ihren neuen Log-Bucket. Ihre Senke enthält keine Ausschlussfilter. Weitere Informationen zu Senken finden Sie unter Logs an unterstützte Ziele weiterleiten.

Wenn Sie eine Senke erstellen möchten, die Logeinträge an den gerade erstellten Log-Bucket weiterleitet, führen Sie den gcloud logging sinks create Befehl aus.

Ersetzen Sie vor dem Ausführen des folgenden Befehls die Platzhalter:

PROJECT_LEVEL_SINK_NAME: Der Name der Logsenke auf Projektebene.
SINK_DESTINATION: Der Log-Bucket, an den Ihre Logeinträge weitergeleitet werden. Für Senkenziele muss der globale Endpunkt (logging.googleapis.com) verwendet werden. Regionale Endpunkte (Regional Endpoints, REP) werden nicht unterstützt. Das Zielpfadformat für einen Log-Bucket ist das folgende:
```
logging.googleapis.com/projects/PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME
```
PROJECT_ID: Die ID des Projekts, in dem die Logsenke erstellt werden soll. Legen Sie dieses Flag auf dasselbe Projekt fest, in dem Sie den Log-Bucket erstellt haben.
Fügen Sie die folgenden Flags hinzu:
- --log-filter: Mit diesem Flag legen Sie einen Filter fest, der mit den Log einträgen übereinstimmt, die Sie in Ihre Senke aufnehmen möchten. In dieser Anleitung ist der Filter so festgelegt, dass alle Audit-Logeinträge ausgewählt werden. Wenn Sie keinen Filter festlegen, werden alle Logeinträge aus Ihrem Google Cloud Projekt an das Ziel weitergeleitet.
- --description: Mit diesem Flag beschreiben Sie den Zweck oder Anwendungsfall der Senke.

Führen Sie den Befehl gcloud logging sinks create aus:

gcloud logging sinks create PROJECT_LEVEL_SINK_NAME SINK_DESTINATION \
  --project=PROJECT_ID \
  --log-filter='logName:cloudaudit.googleapis.com' \
  --description="Audit logs from my organization"

Aggregierte Senke erstellen

Aggregierte Senken kombinieren und leiten Logeinträge aus den Ressourcen einer Organisation oder eines Ordners an ein Ziel weiter.

In dieser Anleitung erstellen Sie eine nicht abfangende aggregierte Senke. Das bedeutet, dass jeder Logeintrag, der von der aggregierten Senke weitergeleitet wird, auch von den Senken in der Ressource weitergeleitet wird, aus der der Logeintrag stammt. Ein Audit-Log, das in einem Projekt erstellt wurde, wird beispielsweise von der aggregierten Senke und den Senken in diesem Projekt weitergeleitet. Daher ist es möglich, mehrere Kopien eines Logeintrags zu speichern.

Sie können auch abfangende Senken erstellen. Weitere Informationen finden Sie unter Übersicht über aggregierte Senken.

Senke auf Organisationsebene einrichten

So erstellen Sie eine nicht abfangende aggregierte Senke, die Logeinträge an ein Projekt weiterleitet:

Führen Sie den gcloud logging sinks create Befehl aus.

Ersetzen Sie vor dem Ausführen des folgenden Befehls die Platzhalter:
- SINK_NAME: Der Name der Logsenke. Sie können den Namen einer Senke nach dem Erstellen nicht mehr ändern.
- PROJECT_ID: Die ID des Projekts, in dem der Log-Bucket gespeichert ist.
- ORGANIZATION_ID: Die ID der Organisation.
Führen Sie den Befehl gcloud logging sinks create aus:
```
gcloud logging sinks create SINK_NAME \
  logging.googleapis.com/projects/PROJECT_ID  \
  --log-filter='logName:cloudaudit.googleapis.com' \
  --description="Audit logs from my organization" \
  --organization=ORGANIZATION_ID \
  --include-children
```
Das Flag --include-children ist wichtig. Mit diesem Flag wird sichergestellt, dass Logeinträge aus allen Google Cloud Projekten und Ordnern in Ihrer Organisation weitergeleitet werden. Weitere Informationen finden Sie unter Logs auf Organisationsebene und Ordner-Ebene sortieren und an unterstützte Ziele weiterleiten.

Prüfen Sie, ob die Senke erstellt wurde:

gcloud logging sinks list --organization=ORGANIZATION_ID

Rufen Sie den Namen des Dienstkontos ab:

gcloud logging sinks describe SINK_NAME --organization=ORGANIZATION_ID

Die Ausgabe sieht dann ungefähr so aus:

writerIdentity: serviceAccount:o1234567890-ORGANIZATION_ID@gcp-sa-logging.iam.gserviceaccount.com

Kopieren Sie den Wert des Felds serviceAccount in die Zwischenablage.

Zugriff auf die Senke gewähren

Nachdem Sie die aggregierte Senke erstellt haben, müssen Sie der Senke die Berechtigung erteilen, Logeinträge in das Projekt zu schreiben, das Sie als Ziel festgelegt haben. Sie können die Berechtigung über die Google Cloud Konsole erteilen oder die IAM-Richtlinie (Identity and Access Management) bearbeiten, wie unter Zielberechtigungen festlegenbeschrieben.

Wenn das Ziel Google Cloud projekt durch einen VPC Service Controls Dienstperimeter geschützt ist, müssen Sie dem Zielperimeter auch eine Regel für eingehenden Traffic hinzufügen, die den Zugriff über das Dienstkonto der Senke ermöglicht. Für nicht aggregierte Senken müssen Sie keine Regel für eingehenden Traffic konfigurieren. Weitere Informationen finden Sie unter Logs auf Organisationsebene und Ordner-Ebene sortieren und an unterstützte Ziele weiterleiten: Einschränkungen.

So erteilen Sie Ihrer Senke die Berechtigung, Logeinträge zu schreiben:

Rufen Sie in der Google Cloud Console die Seite IAM auf:
IAM aufrufen

Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift IAM &Admin lautet.
Wählen Sie das Google Cloud Projekt aus, das Ihren Log-Bucket enthält.
Klicken Sie auf „“ Zugriff gewähren und fügen Sie das Dienstkonto als neues Hauptkonto hinzu. Lassen Sie das Präfix serviceAccount: weg.
Wählen Sie im Menü Rolle auswählen die Option Log-Autor aus.
Klicken Sie auf Speichern.

Logeinträge zur Überprüfung der Senke generieren

So prüfen Sie, ob Ihre aggregierte Senke richtig konfiguriert ist:

Generieren Sie Audit-Logeinträge, die an Ihren Log-Bucket weitergeleitet werden sollen.
- Wenn Sie viele Google Cloud Projekte in Ihrer Organisation haben, dann haben Sie möglicherweise genügend Audit-Log-Traffic, sodass Sie keine für Validierungszwecke erstellen müssen. Fahren Sie mit dem nächsten Schritt fort.
- Andernfalls wechseln Sie zu einem anderen Projekt, erstellen Sie eine Compute Engine-VM-Instanz und löschen Sie dann die erstellte Instanz. Audit-Logs werden geschrieben, wenn eine VM erstellt, gestartet und gelöscht wird.
Folgen Sie der Anleitung unter Logeinträge auf der Seite „Log-Explorer“ ansehen, um Ihre Audit-Logs aufzurufen. Achten Sie darauf, dass Sie die Ansicht _AllLogs auswählen.

Lesezugriff auf eine Logansicht in einem Log-Bucket konfigurieren

Wenn Sie einen Log-Bucket erstellen, erstellt Cloud Logging automatisch eine Logansicht mit dem Namen _AllLogs. Diese Ansicht enthält alle Logeinträge, die im Log-Bucket gespeichert sind.

Wenn Sie den Zugriff eines Hauptkontos auf bestimmte Logeinträge beschränken möchten, erstellen Sie eine Logansicht und führen Sie dann einen der folgenden Schritte aus:

Weisen Sie dem Hauptkonto die Rolle „Logs Views Accessor“ (roles/logging.viewAccessor) zusammen mit einer IAM-Bedingung zu, die die Zuweisung auf die Logansicht beschränkt.
Gewähren Sie einem Hauptkonto Zugriff auf die IAM-Richtlinie, die mit der Logansicht verknüpft ist, Wir empfehlen diesen Ansatz, wenn Sie eine große Anzahl von Logansichten erstellen.

Weitere Informationen zu diesen beiden Ansätzen finden Sie unter Zugriff auf eine Logansicht steuern.

In den folgenden Schritten weisen Sie einem Hauptkonto die Rolle „Logs Views Accessor“ (roles/logging.viewAccessor) zusammen mit einer IAM-Bedingung zu, die die Zuweisung auf die Ansicht _AllLogs beschränkt:

Rufen Sie in der Google Cloud Console die Seite IAM auf:
IAM aufrufen

Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift IAM &Admin lautet.
Wählen Sie das Google Cloud Projekt aus, das den Log-Bucket enthält.
Klicken Sie auf Hinzufügen.
Fügen Sie im Feld Neues Hauptkonto ein Hauptkonto hinzu.
Wählen Sie im Menü Rolle auswählen die Option Logs Views Accessor aus.

Wenn Sie dieser Rolle keine Bedingung hinzufügen, hat das Hauptkonto Zugriff auf alle Logansichten für alle benutzerdefinierten Log-Buckets im Google Cloud Projekt.
Fügen Sie der Bindung eine IAM-Bedingung hinzu:
1. Klicken Sie auf Bedingung hinzufügen und geben Sie einen Titel und eine Beschreibung ein.
2. Wählen Sie im Menü Bedingungstyp die Option Ressource und dann Name aus.
3. Wählen Sie im Menü Operator die Option Endet mit aus.
4. Geben Sie im Feld Wert den vollständigen Namen der Logansicht ein:
```
locations/LOCATION/buckets/BUCKET_NAME/views/_AllLogs
```
5. Klicken Sie auf Speichern , um die Bedingung zu speichern.
Klicken Sie auf Speichern , um die Bindung zu speichern.

Logeinträge auf der Seite „Log-Explorer“ ansehen

So rufen Sie die Logeinträge in Ihrem Log-Bucket auf:

Rufen Sie in der Google Cloud Console das Segment und die Seite Log-Explorer auf:
Zum Log-Explorer

Wenn Sie diese Seite über die Suchleiste suchen, wählen Sie das Ergebnis aus, dessen Zwischenüberschrift Logging ist.
Wählen Sie Bereich eingrenzen aus.
Wählen Sie im Bereich Bereich eingrenzen die Option Logansicht aus.
Wählen Sie die Logansicht oder Logansichten aus, deren Logeinträge Sie sehen möchten. Wenn Sie beispielsweise alle Logeinträge aufrufen möchten, wählen Sie die Ansicht _AllLogs aus.
Klicken Sie auf Übernehmen.

Die Seite Log-Explorer wird aktualisiert und zeigt Logeinträge aus Ihrem Log-Bucket an. Weitere Informationen zur Verwendung des Log-Explorers finden Sie unter Log-Explorer verwenden.