Los receptores agregados te permiten recopilar y enrutar entradas de registro de todos los recursos dentro de una carpeta o una organización a un destino compatible. Puedes usar receptores agregados para almacenar tus datos de registro en una ubicación central y controlar si los recursos secundarios almacenan copias duplicadas.
Acerca de los receptores agregados
Un receptor agregado es un receptor a nivel de carpeta o de organización sink que enruta las entradas de registro desde el recurso en el que se define el receptor y todos sus recursos secundarios. Al igual que un receptor a nivel de proyecto, un receptor agregado tiene un destino y un filtro que determina qué entradas de registro enrutar, pero un receptor a nivel de proyecto enruta las entradas de registro solo desde un solo proyecto.
Tipos de receptores agregados
Puedes crear dos tipos de receptores agregados: interceptores y no interceptores , según si deseas que los recursos secundarios también enruten las entradas de registro. Cuando existen receptores agregados en la jerarquía de recursos de una entrada de registro, el enrutador de registros envía la entrada de registro a esos receptores primero, y el tipo de receptor determina lo que sucede a continuación:
- Receptor agregado interceptor
Un receptor agregado interceptor evita que las entradas de registro se enruten a los receptores de los recursos secundarios, excepto a los receptores
_Requiredde los recursos en los que se originan las entradas de registro. Un receptor agregado interceptor puede ser útil para evitar que se almacenen copias duplicadas de entradas de registro en varios lugares.Por ejemplo, supongamos que necesitas habilitar los registros de auditoría de acceso a los datos con fines de auditoría. Para simplificar tu análisis, deseas almacenar estos registros en una ubicación central. Sin embargo, por motivos de seguridad y costos, también deseas evitar que estos registros se almacenen a nivel del proyecto. Para este caso, puedes crear un receptor agregado interceptor.
- Receptor agregado no interceptor
Un receptor agregado no interceptor no afecta la forma en que se enrutan las entradas de registro a otros receptores. Es decir, incluso cuando una entrada de registro coincide con el filtro de un receptor agregado no interceptor, esa entrada de registro se reenvía a otros receptores en la jerarquía de recursos de la entrada de registro. Un receptor agregado no interceptor te permite mantener la visibilidad de las entradas de registro en los recursos en los que se generaron.
Por ejemplo, puedes crear un receptor agregado no interceptor que enrute todas las entradas de registro generadas desde las carpetas que contiene una organización a un bucket de registros central. Las entradas de registro se almacenan en el bucket de registros central. Sin embargo, debido a que el receptor no es interceptor, el enrutador de registros también envía entradas de registro a los receptores de registros en el recurso en el que se generaron.
Ejemplos de enrutamiento
En esta sección, se ilustra cómo una entrada de registro que se origina en un proyecto puede fluir a través de los receptores en su jerarquía de recursos.
Ejemplo: No existen receptores agregados
Cuando no existen receptores agregados en la jerarquía de recursos de la entrada de registro, la entrada de registro se envía a los receptores de registros en el proyecto en el que se origina la entrada de registro. Un receptor a nivel de proyecto enruta la entrada de registro al destino del receptor cuando la entrada de registro coincide con el filtro de inclusión del receptor, pero no coincide con ninguno de los filtros de exclusión del receptor.
Ejemplo: Existe un receptor agregado no interceptor
Supongamos que existe un receptor agregado no interceptor en la jerarquía de recursos para una entrada de registro. Después de que el enrutador de registros envía la entrada de registro al receptor agregado no interceptor, sucede lo siguiente:
El receptor agregado no interceptor enruta la entrada de registro al destino del receptor cuando la entrada de registro coincide con el filtro de inclusión, pero no coincide con ningún filtro de exclusión.
El enrutador de registros envía la entrada de registro a los receptores de registros en el proyecto en el que se originó la entrada de registro.
Un receptor a nivel de proyecto enruta la entrada de registro al destino del receptor cuando la entrada de registro coincide con el filtro de inclusión del receptor, pero no coincide con ninguno de los filtros de exclusión del receptor.
Ejemplo: Existe un receptor agregado interceptor
Supongamos que existe un receptor agregado interceptor en la jerarquía de recursos para una entrada de registro. Después de que el enrutador de registros envía la entrada de registro al receptor agregado interceptor, sucede una de las siguientes acciones:
La entrada de registro coincide con el filtro de inclusión, pero no coincide con ningún filtro de exclusión:
- La entrada de registro se enruta al destino del receptor agregado interceptor.
- La entrada de registro se envía al receptor
_Requireden el proyecto en el que se originó la entrada de registro.
La entrada de registro no coincide con el filtro de inclusión o coincide con al menos un filtro de exclusión:
- El receptor agregado interceptor no enruta la entrada de registro.
El enrutador de registros envía la entrada de registro a los receptores de registros en el proyecto en el que se originó la entrada de registro.
Un receptor a nivel de proyecto enruta la entrada de registro al destino del receptor cuando la entrada de registro coincide con el filtro de inclusión del receptor, pero no coincide con ninguno de los filtros de exclusión del receptor.
Destinos admitidos para receptores agregados
En esta sección, se enumeran los destinos admitidos para los receptores agregados.
Receptores interceptores
El destino de un receptor agregado interceptor debe ser un Google Cloud proyecto de.
Los receptores de registros en el proyecto de destino vuelven a enrutar las entradas de registro a sus destinos. Se admiten todos los destinos, excepto los proyectos. Por ejemplo, los receptores de registros en el proyecto de destino pueden volver a enrutar las entradas de registro a un bucket de registros.
Receptores no interceptores
En esta sección, se describen los destinos admitidos para los receptores agregados no interceptores.
El destino de un receptor puede estar en un recurso diferente del receptor. Por ejemplo, puedes usar un receptor de registros para enrutar entradas de registro de un proyecto a un bucket de registros almacenado en un proyecto diferente.
Se admiten los siguientes destinos:
- Google Cloud proyecto
Selecciona este destino cuando desees que los receptores de registros en el proyecto de destino vuelvan a enrutar tus entradas de registro o cuando hayas creado un receptor agregado interceptor. Los receptores de registros en el proyecto de destino pueden volver a enrutar las entradas de registro a cualquier destino admitido, excepto a un proyecto.
Los receptores de registros creados por el sistema en el proyecto de destino excluyen las entradas de registro que se enrutan al bucket de registros
_Requireden el proyecto de origen. Por ejemplo, si enrutas registros de actividad de administrador a otro proyecto, los receptores de registros_Requiredy_Defaulten el proyecto de destino excluyen esas entradas de registro. Para almacenar esas entradas de registro, en el proyecto de destino actualiza el_Defaultreceptor de registros o crea un receptor de registros personalizado.
- Bucket de registros
Selecciona este destino cuando desees almacenar tus datos de registro en recursos administrados por Cloud Logging. Los datos de registro almacenados en buckets de registros se pueden ver y analizar con servicios como el Explorador de registros y Observability Analytics.
Si deseas unir tus datos de registro con otros datos de la empresa, puedes almacenar tus datos de registro en un bucket de registros y crear un conjunto de datos vinculado a BigQuery. Un conjunto de datos vinculado a BigQuery es de solo lectura, pero puedes consultarlo como cualquier otro conjunto de datos de BigQuery.
- Conjunto de datos de BigQuery
- Selecciona este destino cuando desees unir tus datos de registro con otros datos de la empresa. El conjunto de datos que especifiques debe tener habilitada la escritura. No configures el destino de un receptor para que sea un conjunto de datos vinculado a BigQuery. Los conjuntos de datos vinculados a BigQuery son de solo lectura.
- Bucket de Cloud Storage
- Selecciona este destino cuando desees almacenar tus datos de registro a largo plazo. El bucket de Cloud Storage puede estar en el proyecto en el que se originan las entradas de registro o en un proyecto diferente. Las entradas de registro se almacenan como archivos JSON.
- Tema de Pub/Sub
- Selecciona este destino cuando desees exportar tus datos de registro desde Google Cloud y, luego, usar integraciones de terceros, como Splunk o Datadog. Las entradas de registro se formatean como JSON y, luego, se enrutan a un tema de Pub/Sub.
Prácticas recomendadas
Recomendamos que el destino de un receptor agregado sea un
Google Cloud proyecto. Con este destino, los receptores de registros en el proyecto de destino
Google Cloud vuelven a enrutar las entradas de registro.
El receptor _Required solo enruta las entradas de registro que coinciden con su filtro y que se originan en el recurso en el que se define el receptor. Por lo tanto, si deseas almacenar copias adicionales de entradas de registro que coincidan con el filtro del receptor _Required, debes crear un receptor de registros personalizado o modificar el filtro del receptor de registros _Default.
Cuando creas un receptor interceptor, te recomendamos que hagas lo siguiente:
Considera si los recursos secundarios necesitan un control independiente del enrutamiento de sus entradas de registro. Si un recurso secundario necesita un control independiente de ciertas entradas de registro, verifica que tu receptor interceptor no enrute esas entradas de registro.
Agrega información de contacto a la descripción de un receptor interceptor. Esto puede ser útil si quienes administran el receptor interceptor son diferentes de quienes administran los proyectos cuyas entradas de registro se interceptan.
Prueba la configuración del receptor. Para ello, primero crea un receptor agregado no interceptor para verificar que se enruten las entradas de registro correctas.
Receptores agregados interceptores y métricas basadas en registros
Las métricas basadas en registros son métricas de Cloud Monitoring que se derivan del contenido de las entradas de registro. La forma en que se enruta una entrada de registro determina a qué métricas basadas en registros puede contar esa entrada de registro. Debido a que un receptor agregado interceptor afecta la forma en que se enrutan las entradas de registro, la creación de este tipo de receptor puede generar cambios en los valores de las métricas basadas en registros existentes.
Para obtener más información, consulta Cómo el enrutamiento de entradas de registro afecta las métricas basadas en registros.
Receptores agregados y Controles del servicio de VPC
Cuando usas receptores agregados y Controles del servicio de VPC, se aplican las siguientes limitaciones y requisitos de configuración:
Acceso a los registros del proyecto dentro de un perímetro: Los receptores agregados pueden acceder a los datos de registro de los proyectos dentro de un perímetro de servicio. Para restringir el acceso de los receptores agregados a los datos dentro de un perímetro, usa Identity and Access Management para administrar los permisos de Cloud Logging.
Datos de registro a nivel de carpeta y de organización: Un perímetro de servicio de Controles del servicio de VPC no protege los datos de registro a nivel de carpeta o de organización, incluidos los datos de registro agregados. Aunque puedes agregar una carpeta a un perímetro de servicio normal, hacerlo solo protege los proyectos dentro de la jerarquía de carpetas, no los recursos ni los registros a nivel de carpeta. No puedes agregar una organización como un recurso protegido en un perímetro de servicio.
Para administrar los permisos de Logging a nivel de carpeta o de la organización, usa IAM.
Reglas de entrada para destinos protegidos por el perímetro: Si enrutas registros mediante un receptor a nivel de carpeta o de organización a un recurso que protege un perímetro de servicio, debes agregar una regla de entrada al perímetro de servicio de destino. La regla de entrada debe permitir el acceso al recurso desde la cuenta de servicio (identidad de escritor) que usa el receptor agregado. Para obtener más información, consulta las siguientes páginas:
Restricciones de tipo de identidad en las reglas de entrada y salida: Cuando un receptor de registros agregado enruta registros a un recurso de Cloud Storage que se encuentra en el perímetro de Controles del servicio de VPC, la regla de entrada o salida no puede usar
ANY_SERVICE_ACCOUNTniANY_USER_ACCOUNTcomo el tipo de identidad. En su lugar, usaANY_IDENTITYcomo el tipo de identidad.No necesitas configurar una regla de entrada para los receptores no agregados.
¿Qué sigue?
Para obtener información sobre cómo crear un receptor agregado, consulta lo siguiente:
Enruta registros a destinos admitidos: Administra receptores