Présentation des récepteurs agrégés

Les récepteurs agrégés vous permettent de collecter et d'acheminer les entrées de journal de toutes les ressources d'un dossier ou d'une organisation vers une destination compatible. Vous pouvez utiliser des récepteurs agrégés pour stocker vos données de journaux dans un emplacement central et contrôler si les ressources enfants stockent des copies en double.

À propos des récepteurs agrégés

Un récepteur agrégé est un récepteur au niveau du dossier ou de l'organisation qui achemine les entrées de journal à la fois à partir de la ressource dans laquelle le récepteur est défini et de toutes ses ressources enfants. Comme un récepteur au niveau du projet, un récepteur agrégé possède une destination et un filtre qui détermine les entrées de journal à acheminer, mais un récepteur au niveau du projet n'achemine les entrées de journal que depuis un seul projet.

Types de récepteurs agrégés

Vous pouvez créer deux types de récepteurs agrégés : d'interception et sans interception, selon que vous souhaitez ou non que les ressources enfants acheminent également les entrées de journal. Lorsque des récepteurs agrégés existent dans la hiérarchie de ressources d'une entrée de journal, le routeur de journaux envoie d'abord l'entrée de journal à ces récepteurs. Le type de récepteur détermine ce qui se passe ensuite :

Récepteur agrégé d'interception

Un récepteur agrégé d'interception empêche l'acheminement des entrées de journal vers les récepteurs des ressources enfants, à l'exception des récepteurs _Required dans les ressources d'où proviennent les entrées de journal. Un récepteur agrégé d'interception peut être utile pour empêcher le stockage de copies en double d'entrées de journal à plusieurs emplacements.

Supposons, par exemple, que vous deviez activer les journaux d'audit des accès aux données à des fins d'audit. Pour simplifier votre analyse, vous souhaitez stocker ces journaux dans un emplacement central. Toutefois, pour des raisons de sécurité et de coût, vous souhaitez également empêcher le stockage de ces journaux au niveau du projet. Dans ce scénario, vous pouvez créer un récepteur agrégé d'interception.

Récepteur agrégé sans interception

Un récepteur agrégé sans interception n'affecte pas l'acheminement des entrées de journal vers d'autres récepteurs. Autrement dit, même lorsqu'une entrée de journal correspond au filtre d'un récepteur agrégé sans interception, elle est ensuite transmise à d'autres récepteurs dans la hiérarchie de ressources de l'entrée de journal. Un récepteur agrégé sans interception vous permet de conserver la visibilité des entrées de journal dans les ressources dans lesquelles elles ont été générées.

Par exemple, vous pouvez créer un récepteur agrégé sans interception qui achemine toutes les entrées de journal générées à partir des dossiers contenus dans une organisation vers un bucket de journaux central. Les entrées de journal sont stockées dans le bucket de journaux central. Toutefois, comme le récepteur n'est pas d'interception, le routeur de journaux envoie également les entrées de journal aux récepteurs de journaux de la ressource dans laquelle elles ont été générées.

Exemples de routage

Cette section illustre le flux d'une entrée de journal provenant d'un projet dans les récepteurs de sa hiérarchie de ressources.

Exemple : Aucun récepteur agrégé n'existe

Lorsqu'aucun récepteur agrégé n'existe dans la hiérarchie de ressources de l'entrée de journal, celle-ci est envoyée aux récepteurs de journaux du projet dans lequel elle a été générée. Un récepteur au niveau du projet achemine l'entrée de journal vers la destination du récepteur lorsque l'entrée de journal correspond au filtre "Inclure" du récepteur, mais ne correspond à aucun des filtres "Exclure" du récepteur.

Exemple : Un récepteur agrégé sans interception existe

Supposons qu'un récepteur agrégé sans interception existe dans la hiérarchie de ressources d'une entrée de journal. Une fois que le routeur de journaux a envoyé l'entrée de journal au récepteur agrégé sans interception, les événements suivants se produisent :

  1. Le récepteur agrégé sans interception achemine l'entrée de journal vers la destination du récepteur lorsque l'entrée de journal correspond au filtre "Inclure", mais ne correspond à aucun filtre "Exclure".

  2. Le routeur de journaux envoie l'entrée de journal aux récepteurs de journaux du projet dans lequel elle a été générée.

    Un récepteur au niveau du projet achemine l'entrée de journal vers la destination du récepteur lorsque l'entrée de journal correspond au filtre "Inclure" du récepteur, mais ne correspond à aucun des filtres "Exclure" du récepteur.

Exemple : Un récepteur agrégé d'interception existe

Supposons qu'un récepteur agrégé d'interception existe dans la hiérarchie de ressources d'une entrée de journal. Une fois que le routeur de journaux a envoyé l'entrée de journal au récepteur agrégé d'interception, l'un des événements suivants se produit :

  • L'entrée de journal correspond au filtre "Inclure", mais ne correspond à aucun filtre "Exclure" :

    1. L'entrée de journal est acheminée vers la destination du récepteur agrégé d'interception.
    2. L'entrée de journal est envoyée au récepteur _Required du projet dans lequel elle a été générée.

  • L'entrée de journal ne correspond pas au filtre "Inclure" ou correspond à au moins un filtre "Exclure" :

    1. L'entrée de journal n'est pas acheminée par le récepteur agrégé d'interception.

    2. Le routeur de journaux envoie l'entrée de journal aux récepteurs de journaux du projet dans lequel elle a été générée.

      Un récepteur au niveau du projet achemine l'entrée de journal vers la destination du récepteur lorsque l'entrée de journal correspond au filtre "Inclure" du récepteur, mais ne correspond à aucun des filtres "Exclure" du récepteur.

Destinations compatibles avec les récepteurs agrégés

Cette section répertorie les destinations compatibles avec les récepteurs agrégés.

Récepteurs d'interception

La destination d'un récepteur agrégé d'interception doit être un Google Cloud projet.

Les récepteurs de journaux du projet de destination réacheminent les entrées de journal vers leurs destinations. Toutes les destinations, à l'exception des projets, sont compatibles. Par exemple, les récepteurs de journaux du projet de destination peuvent réacheminer les entrées de journal vers un bucket de journaux.

Récepteurs sans interception

Cette section décrit les destinations compatibles avec les récepteurs agrégés sans interception.

La destination d'un récepteur peut se trouver dans une ressource différente de celle du récepteur. Par exemple, vous pouvez utiliser un récepteur de journaux pour acheminer les entrées de journal d'un projet vers un bucket de journaux stocké dans un autre projet.

Les destinations suivantes sont compatibles :

Google Cloud Projet

Sélectionnez cette destination lorsque vous souhaitez que les récepteurs de journaux du projet de destination réacheminent vos entrées de journal ou lorsque vous avez créé un récepteur agrégé d'interception. Les récepteurs de journaux du projet de destination peuvent réacheminer les entrées de journal vers n'importe quelle destination compatible, à l'exception d'un projet.

Les récepteurs de journaux créés par le système dans le projet de destination excluent les entrées de journal acheminées vers le bucket de journaux _Required du projet source. Par exemple, si vous acheminez des journaux d'activité d'administration vers un autre projet, les récepteurs de journaux _Required et _Default du projet de destination excluent ces entrées de journal. Pour stocker ces entrées de journal, dans le projet de destination mettez à jour le récepteur de journaux _Default ou créez un récepteur de journaux personnalisé.

Bucket de journaux

Sélectionnez cette destination lorsque vous souhaitez stocker vos données de journaux dans des ressources gérées par Cloud Logging. Les données de journaux stockées dans des buckets de journaux peuvent être consultées et analysées à l'aide de services tels que l'explorateur de journaux et Observability Analytics.

Si vous souhaitez joindre vos données de journaux à d'autres données d'entreprise, vous pouvez les stocker dans un bucket de journaux et créer un ensemble de données BigQuery associé. Un ensemble de données BigQuery associé est en lecture seule, mais vous pouvez l'interroger comme n'importe quel autre ensemble de données BigQuery.

Ensemble de données BigQuery
Sélectionnez cette destination lorsque vous souhaitez joindre vos données de journaux à d'autres données d'entreprise. L'ensemble de données que vous spécifiez doit être activé en écriture. Ne définissez pas un ensemble de données BigQuery associé comme destination d'un récepteur. Les ensembles de données BigQuery associés sont en lecture seule.
Bucket Cloud Storage
Sélectionnez cette destination lorsque vous souhaitez stocker vos données de journaux à long terme. Le bucket Cloud Storage peut se trouver dans le projet d'où proviennent les entrées de journal ou dans un autre projet. Les entrées de journaux sont stockées sous forme de fichiers JSON.
Sujet Pub/Sub
Sélectionnez cette destination lorsque vous souhaitez exporter vos données de journaux depuis Google Cloud puis utiliser des intégrations tierces telles que Splunk ou Datadog. Les entrées de journal sont mises au format JSON, puis acheminées vers un sujet Pub/Sub.

Bonnes pratiques

Nous vous recommandons de définir un Google Cloud projet comme destination d'un récepteur agrégé. Avec cette destination, les récepteurs de journaux du projet de destination Google Cloud réacheminent les entrées de journal. Le récepteur _Required n'achemine que les entrées de journal qui correspondent à son filtre et qui proviennent de la ressource dans laquelle le récepteur est défini. Par conséquent, si vous souhaitez stocker des copies supplémentaires d'entrées de journal correspondant au filtre du récepteur _Required, vous devez créer un récepteur de journaux personnalisé ou modifier le filtre du récepteur de journaux _Default.

Lorsque vous créez un récepteur d'interception, nous vous recommandons de procéder comme suit :

  • Déterminez si les ressources enfants ont besoin d'un contrôle indépendant de l'acheminement de leurs entrées de journal. Si une ressource enfant a besoin d'un contrôle indépendant de certaines entrées de journal, vérifiez que votre récepteur d'interception n'achemine pas ces entrées de journal.

  • Ajoutez des coordonnées à la description d'un récepteur d'interception. Cela peut être utile si les personnes qui gèrent le récepteur d'interception sont différentes de celles qui gèrent les projets dont les entrées de journal sont interceptées.

  • Testez la configuration de votre récepteur en créant d'abord un récepteur agrégé sans interception pour vérifier que les entrées de journal correctes sont acheminées.

Récepteurs agrégés d'interception et métriques basées sur les journaux

Les métriques basées sur les journaux sont des métriques Cloud Monitoring dérivées du contenu des entrées de journal. La manière dont une entrée de journal est acheminée détermine les métriques basées sur les journaux auxquelles cette entrée de journal peut contribuer. Étant donné qu'un récepteur agrégé d'interception affecte l'acheminement des entrées de journal, la création de ce type de récepteur peut entraîner des modifications des valeurs des métriques basées sur les journaux existantes.

Pour en savoir plus, consultez Comment l'acheminement des entrées de journal affecte les métriques basées sur les journaux.

Récepteurs agrégés et VPC Service Controls

Lorsque vous utilisez des récepteurs agrégés et VPC Service Controls, les limites et exigences de configuration suivantes s'appliquent :

  • Accès aux journaux de projet dans un périmètre : les récepteurs agrégés peuvent accéder aux données de journaux des projets situés à l'intérieur d'un périmètre de service. Pour empêcher les récepteurs agrégés d'accéder aux données d'un périmètre, utilisez Identity and Access Management pour gérer les autorisations Cloud Logging.

  • Données de journaux au niveau du dossier et de l'organisation : un périmètre de service VPC Service Controls ne protège pas les données de journaux au niveau du dossier ou de l'organisation, y compris les données de journaux agrégées. Bien que vous puissiez ajouter un dossier à un périmètre de service standard, cela ne protège que les projets de la hiérarchie de dossiers, et non les ressources ni les journaux au niveau du dossier. Vous ne pouvez pas ajouter une organisation en tant que ressource protégée dans un périmètre de service.

    Pour gérer les autorisations Logging au niveau du dossier ou de l'organisation, utilisez IAM.

  • Règles d'entrée pour les destinations protégées par un périmètre : si vous acheminez des journaux à l'aide d'un récepteur au niveau du dossier ou de l'organisation vers une ressource protégée par un périmètre de service, vous devez ajouter une règle d'entrée au périmètre de service de destination. La règle d'entrée doit autoriser l'accès à la ressource à partir du compte de service (identité de l'auteur) utilisé par le récepteur agrégé. Pour en savoir plus, consultez les pages suivantes :

  • Restrictions sur le type d'identité dans les règles d'entrée et de sortie : lorsqu'un récepteur de journaux agrégé achemine des journaux vers une ressource Cloud Storage située dans un périmètre VPC Service Controls, la règle d'entrée ou de sortie ne peut pas utiliser ANY_SERVICE_ACCOUNT ou ANY_USER_ACCOUNT comme type d'identité. Utilisez plutôt ANY_IDENTITY comme type d'identité.

    Vous n'avez pas besoin de configurer de règle d'entrée pour les récepteurs non agrégés.

Étape suivante