Soluciona problemas de enrutamiento y almacenamiento de registros

Si tienes problemas para enrutar o almacenar entradas de registro, puedes usar la consola deGoogle Cloud para diagnosticar errores de configuración, inspeccionar mensajes de error y resolver registros faltantes.

Para obtener información sobre cómo ver los datos de registro después de que llegan a un destino, consulta Visualiza los registros en los destinos de los receptores.

Soluciona problemas de enrutamiento de registros

En esta sección, se describe cómo solucionar problemas habituales cuando enrutas tus entradas de registro.

No se puede crear un receptor debido a un error de servicio desconocido

Intentas crear un receptor de registros, pero el comando falla con un error INVALID_ARGUMENT (HTTP 400). El mensaje de error incluye lo siguiente:

Sink.destination with unknown service name: [SERVICE_DOMAIN]. Supported services are bigquery.googleapis.com,pubsub.googleapis.com,storage.googleapis.com,logging.googleapis.com

Para resolver este error, usa el extremo global para uno de los servicios compatibles. Un destino de receptor de registros no puede especificar un extremo de servicio regional (REP), como pubsub.LOCATION.rep.googleapis.com.

El mensaje de error de configuración del receptor indica que no se permite una región del tema

Ocurre una de las siguientes situaciones:

  • Recibes un correo electrónico con el asunto [ACTION REQUIRED] Cloud Logging sink configuration error in [PROJECT_ID] y el código de error topic_region_not_allowed. El correo electrónico incluye un mensaje similar al siguiente:

    La política de almacenamiento de mensajes del tema requiere la aplicación de medidas por incumplimiento en tránsito, pero un servidor de Pub/Sub recibió la solicitud de publicación en una región no permitida. Publica a través de un extremo regional de Cloud Logging que corresponda a una región permitida o actualiza la política de almacenamiento de mensajes del tema.

  • Observas entradas de registro con un nivel de gravedad de ERROR, un código de error de "topic_region_not_allowed" y una carga útil de texto similar a la siguiente:

    Cloud Logging sink configuration error in [PROJECT_ID], sink [SINK_NAME]: topic_region_not_allowed ()

Estos mensajes indican que el destino del receptor es un tema de Pub/Sub que aplica restricciones en tránsito y que Logging enrutó entradas de registro desde una región no permitida por la política del tema. Las restricciones en tránsito se pueden configurar en la política de almacenamiento de mensajes de un tema individual o aplicarse en toda la organización con la restricción de la política de la organización constraints/pubsub.enforceInTransitRegions.

Para resolver estas fallas, realiza una de las siguientes acciones:

  • Actualiza la política de almacenamiento de mensajes del tema de Pub/Sub de destino para inhabilitar la aplicación de medidas en tránsito o expandir sus regiones de persistencia permitidas.
  • Si una política de la organización aplica restricciones en tránsito, actualiza la política de la organización o solicita una exención para el proyecto.
  • Actualiza el receptor para enrutar las entradas de registro a un destino diferente.

El destino contiene entradas de registro no deseadas

Estás viendo las entradas de registro enrutadas a un destino y determinas que el destino contiene entradas de registro no deseadas.

Para resolver esta condición, actualiza los filtros de exclusión de los receptores que enrutan las entradas de registro al destino. Los filtros de exclusión te permiten evitar que las entradas de registro seleccionadas se enruten a un destino.

Por ejemplo, supongamos que creas un receptor agregado para enrutar entradas de registro en una organización a un destino. Para evitar que las entradas de registro de un proyecto específico se enruten al destino, agrega el siguiente filtro de exclusión al receptor:

logName:projects/PROJECT_ID

También puedes excluir entradas de registro de varios proyectos con el operador lógico OR para unir cláusulas logName.

Faltan entradas de registro en el destino

Tal vez el problema más común relacionado con los receptores es que parece que faltan entradas de registro en el destino de un receptor.

En algunos casos, no se genera un error, pero es posible que notes que las entradas de registro no están disponibles cuando intentas acceder a ellas en tu destino. Si sospechas que tu receptor no enruta correctamente las entradas de registro, verifica las métricas basadas en registros del sistema del receptor:

  • exports/byte_count: Es la cantidad de bytes en las entradas de registro que se enrutaron.
  • exports/log_entry_count: Es la cantidad de entradas de registro que se enrutaron.
  • exports/error_count: Es la cantidad de entradas de registro que no se pudieron enrutar.

Las métricas tienen etiquetas que registran los recuentos por nombre de receptor y nombre de destino, y te permiten saber si tu receptor enruta las entradas de registro correctamente o si falla. Para obtener detalles sobre cómo ver las métricas, consulta Descripción general de las métricas basadas en registros.

Si las métricas de tu receptor indican que no tiene el rendimiento esperado, estos son algunos posibles motivos y qué hacer al respecto:

Latencia

  • No se recibieron entradas de registro que coincidan desde que creaste o actualizaste tu receptor; solo se enrutan las entradas de registro nuevas.

    Espera una hora y vuelve a revisar el destino.

  • Las entradas de registro que coinciden llegan tarde.

    Puede haber una demora antes de que puedas ver tus entradas de registro en el destino. Las entradas de registro que llegan tarde son especialmente comunes para los receptores que tienen configurados buckets de Cloud Storage como sus destinos. Espera unas horas y vuelve a revisar el destino.

El filtro o el alcance de visualización son incorrectos

Error en el filtro del receptor

  • El filtro del receptor es incorrecto y no captura las entradas de registro que esperabas ver en tu destino.

    Edita el filtro de tu receptor con el enrutador de registros en la consola de Google Cloud . Para verificar que ingresaste el filtro correcto, selecciona Obtener vista previa de los registros en el panel Editar receptor. Se abrirá el Explorador de registros en una pestaña nueva con el filtro prepropagado. Para obtener instrucciones sobre cómo ver y administrar tus receptores, consulta Administra receptores.

Ver errores

Para cada uno de los destinos de receptor admitidos, Logging proporciona mensajes de error para los receptores configurados de forma incorrecta.

Existen varias formas de ver estos errores relacionados con el receptor, que se describen en las siguientes secciones:

Registros de errores

El método recomendado para inspeccionar en detalle los errores relacionados con el receptor es ver las entradas de registro de errores que genera el receptor. Para obtener detalles sobre cómo ver las entradas de registro, consulta Visualiza registros con el Explorador de registros.

Puedes usar la siguiente consulta en el panel del editor de consultas del Explorador de registros para revisar los registros de errores de tu receptor. La misma consulta funciona en la API de Logging y gcloud CLI.

Antes de copiar la consulta, reemplaza la variable SINK_NAME por el nombre del receptor que intentas solucionar problemas. Puedes encontrar el nombre del receptor en la página Enrutador de registros de la consola de Google Cloud .

logName:"logging.googleapis.com%2Fsink_error"
resource.type="logging_sink"
resource.labels.name="SINK_NAME"

Por ejemplo, si el nombre de tu receptor es my-sink-123, la entrada de registro podría verse similar a la siguiente:

{
   errorGroups: [
   0: {
   id: "COXu96aNws6BiQE"
   }]
   insertId: "170up6jan"
   labels: {
      activity_type_name: "LoggingSinkConfigErrorV2"
      destination: "pubsub.googleapis.com/projects/my-project/topics/my-topic"
      error_code: "topic_not_found"
      error_detail: ""
      sink_id: "my-sink-123"
   }
   logName: "projects/my-project/logs/logging.googleapis.com%2Fsink_error"
   receiveTimestamp: "2024-07-11T14:41:42.578823830Z"
   resource: {
   labels: {
      destination: "pubsub.googleapis.com/projects/my-project/topics/my-topic"
      name: "my-sink-123"
      project_id: "my-project"
   }
   type: "logging_sink"
   }
   severity: "ERROR"
   textPayload: "Cloud Logging sink configuration error in my-project, sink my-sink-123: topic_not_found ()"
   timestamp: "2024-07-11T14:41:41.296157014Z"
}

El campo labels LogEntry y su información de par clave-valor anidada te ayudan a orientar la fuente del error del receptor; contiene el recurso afectado, el receptor afectado y el código de error. El campo labels.error_code contiene una descripción abreviada del error, que te permite saber qué componente del receptor se debe volver a configurar.

Para resolver este error, edita tu receptor. Por ejemplo, puedes editar tu receptor con la página Enrutador de registros:

Ir a Enrutador de registros

Notificaciones por correo electrónico

Contactos esenciales envía notificaciones por correo electrónico de errores de configuración del receptor a los contactos asignados a la categoría de notificación Técnica para un proyecto de Google Cloud o su recurso superior. Si el recurso no tiene un contacto configurado para las notificaciones técnicas, los usuarios que aparecen como propietarios del proyecto de IAM roles/owner del recurso reciben la notificación por correo electrónico.

Para cada combinación de nombre de receptor de registros y error, el sistema envía una notificación por día.

El mensaje de correo electrónico contiene la siguiente información:

  • ID del recurso: Es el nombre del proyecto de Google Cloud u otro recurso deGoogle Cloud en el que se configuró el receptor.
  • Nombre del receptor: Es el nombre del receptor que contiene el error de configuración.
  • Destino del receptor: Es la ruta de acceso completa del destino de enrutamiento del receptor, por ejemplo, pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID.
  • Código de error: Es la descripción abreviada de la categoría del error, por ejemplo, topic_not_found.
  • Detalle del error: Es la información detallada sobre el error, incluidas las recomendaciones para solucionar el error subyacente.

El remitente de este correo electrónico es logging-noreply@google.com.

El asunto es similar a: Subject: [ACTION REQUIRED] Cloud Logging sink configuration error in my-project

Para ver y administrar tus receptores, usa la página Enrutador de registros:

Ir a Enrutador de registros

Cualquier error de configuración del receptor que se aplique al recurso aparecerá en la lista como un Cloud Logging sink configuration error. Cada error contiene un vínculo a una de las entradas de registro que generó el receptor defectuoso. Para examinar los errores subyacentes en detalle, consulta la sección Registros de errores.

Destino del receptor incorrecto

Si configuras un receptor, pero luego ves un error de configuración que indica que no se pudo encontrar el destino cuando Logging intentó enrutar las entradas de registro, estos son algunos de los posibles motivos:

  • La configuración del receptor contiene un error ortográfico o de formato en el destino especificado.

    Debes actualizar la configuración del receptor para especificar correctamente el destino existente.

  • Es posible que se haya borrado el destino especificado.

    Puedes cambiar la configuración del receptor para usar un destino diferente y existente, o volver a crear el destino con el mismo nombre.

Para resolver estos tipos de errores, edita tu receptor. Por ejemplo, puedes editar tu receptor con la página Enrutador de registros:

Ir a Enrutador de registros

Tu receptor comienza a enrutar las entradas de registro cuando se encuentra el destino y Logging recibe entradas de registro nuevas que coinciden con tu filtro.

Problemas con el receptor inhabilitado

Si inhabilitaste un receptor para dejar de almacenar entradas de registro en un bucket de registros, pero aún ves que se enrutan las entradas de registro, espera unos minutos para que se apliquen los cambios en el receptor.

Problemas de permisos con los receptores

Cuando un receptor intenta enrutar una entrada de registro, pero no tiene los permisos de IAM adecuados para el destino del receptor, este informa un error, que puedes ver, y omite la entrada de registro.

Cuando creas un receptor, se deben otorgar los permisos de destino adecuados a la cuenta de servicio del receptor. Si creas el receptor en la consola de Google Cloud en el mismo proyecto deGoogle Cloud , la consola de Google Cloud suele asignar estos permisos de forma automática. Sin embargo, si creas el receptor en un proyecto de Google Cloud diferente o con gcloud CLI o la API de Logging, debes configurar los permisos de forma manual.

Si ves errores relacionados con los permisos de tu receptor, agrega los permisos necesarios o actualiza el receptor para usar un destino diferente. Para obtener instrucciones sobre cómo actualizar estos permisos, consulta Permisos de destino.

Hay una pequeña demora entre la creación del receptor y el uso de la nueva cuenta de servicio del receptor para autorizar la escritura en el destino. Tu receptor comienza a enrutar las entradas de registro cuando se corrigen los permisos y Logging recibe entradas de registro nuevas que coinciden con tu filtro.

Problemas de políticas de la organización con los receptores

Si intentas enrutar una entrada de registro, pero encuentras una política de la organización que restringe que Logging escriba en el destino del receptor, este no puede enrutar al destino seleccionado y, por lo tanto, informa un error.

Si ves errores relacionados con las políticas de la organización, puedes hacer lo siguiente:

  • Actualiza la política de la organización para el destino a fin de quitar las restricciones que impiden que el receptor enrute las entradas de registro. Esto presupone que tienes los permisos adecuados para actualizar la política de la organización.

    Puedes examinar si existe una restricción de ubicación de recursos (constraints/gcp.resourceLocations). Esta restricción determina las ubicaciones en las que se pueden almacenar los datos. Además, algunos servicios admiten restricciones que podrían afectar un receptor de registros. Por ejemplo, hay varias restricciones que podrían aplicarse cuando se selecciona un destino de Pub/Sub. Para obtener una lista de las restricciones posibles, consulta Restricciones de las políticas de la organización.

    Para obtener instrucciones, consulta Crea y edita políticas.

  • Si no puedes actualizar la política de la organización, actualiza el receptor en la página Enrutador de registros para usar un destino que cumpla con los requisitos.

    Ir a Enrutador de registros

Tu receptor comienza a enrutar entradas de registro cuando la política de la organización ya no impide que el receptor escriba en el destino y Logging recibe entradas de registro nuevas que coinciden con tu filtro.

Problemas con las claves de encriptación de los receptores

Si usas claves de encriptación, ya sea que las administres con Cloud Key Management Service o que las administres tú, para encriptar los datos en el destino del receptor, es posible que veas errores relacionados. A continuación, se indican algunos problemas posibles y cómo solucionarlos:

  • No se habilitó la facturación para el proyecto de Google Cloud que contiene la clave de Cloud KMS.

    • Incluso si el receptor se creó correctamente con el destino correcto, este mensaje de error se muestra si no hay una cuenta de facturación válida asociada con el proyecto de Google Cloud que contiene la clave.

    • Asegúrate de que haya una cuenta de facturación válida vinculada al proyecto de Google Cloud que contiene la clave. Si no hay una cuenta de facturación vinculada al proyecto deGoogle Cloud , habilita la facturación para ese proyecto de Google Cloud o usa una clave de Cloud KMS contenida en un proyecto de Google Cloud que tenga una cuenta de facturación válida vinculada.

  • No se puede encontrar la clave de Cloud KMS.

    • No se encuentra el proyecto de Google Cloud que contiene la clave de Cloud KMS configurada para encriptar los datos.

    • Usa una clave de Cloud KMS válida de un proyecto deGoogle Cloud existente.

  • La ubicación de la clave de Cloud KMS no coincide con la ubicación del destino.

    • Si el proyecto de Google Cloud que contiene la clave de Cloud KMS se encuentra en una región diferente de la región del destino, la encriptación falla y el receptor no puede enrutar datos a ese destino.

    • Usa una clave de Cloud KMS contenida en un proyecto de Google Cloud cuya región coincida con el destino del receptor.

  • Se deniega el acceso a la clave de encriptación a la cuenta de servicio del receptor.

    • Incluso si el receptor se creó de forma correcta con los permisos de la cuenta de servicio correctos, este mensaje de error se muestra si el destino del receptor usa una clave de encriptación que no le proporciona a la cuenta de servicio los permisos suficientes para encriptar o desencriptar los datos.

    • Otorga el rol de encriptador/desencriptador de CryptoKey de Cloud KMS para la cuenta de servicio especificada en el campo writerIdentity del receptor para la clave que se usa en el destino. También verifica que la API de Cloud KMS esté habilitada.

Problemas de cuotas con receptores

Cuando los receptores escriben entradas de registro, se aplican las cuotas de exportación y destino. Según el destino, las cuotas se aplican al recurso en el que se creó el receptor, como en el caso de Pub/Sub, o al destino en sí, como en el caso de BigQuery. Si se agota la cuota, el receptor deja de enrutar las entradas de registro a su destino.

  • Los receptores que enrutan entradas de registro a un tema de Pub/Sub están restringidos a 60 GB/min. Si el volumen de entradas de registro supera la cuota de frecuencia de exportación, se escribe una entrada de registro con un código de error topic_over_quota.
  • Los receptores que enrutan datos a BigQuery están restringidos a la cuota de inserción de transmisión por tabla. Cuando se agota esta cuota, se escribe una entrada de registro con un código de error table_resource_exhausted.

Las cuotas también se aplican a los receptores agregados. Estos receptores enrutan las entradas de registro de la carpeta o la organización en la que se crearon, y de los recursos secundarios.

En el caso de los receptores a nivel de proyecto, los siguientes tipos de métricas pueden ayudarte a supervisar el uso de la cuota y a identificar cuándo se producen errores:

  • logging.googleapis.com/exports/byte_count: Es el volumen, en bytes, de las entradas de registro exportadas a un destino.
  • logging.googleapis.com/exports/log_entry_count: Es la cantidad de entradas de registro exportadas a un destino.
  • logging.googleapis.com/exports/error_count: Es la cantidad de entradas de registro que no se pudieron exportar.

Para trazar un tipo de métrica, usa el Explorador de métricas y filtra los datos para un destino específico. Estos tipos de métricas no están disponibles para los receptores a nivel de carpeta o de organización.

Para solucionar los problemas de agotamiento de cuota, prueba lo siguiente:

  • Disminuye la cantidad de datos de registro que se enrutan actualizando el filtro del receptor para que coincida con menos entradas de registro. Puedes usar la función sample en tu filtro para seleccionar una fracción de la cantidad total de entradas de registro.

  • Envía una solicitud de asistencia para aumentar tu cuota.

Para obtener detalles sobre los límites que se pueden aplicar cuando enrutas entradas de registro, revisa la información de cuota del destino correspondiente:

Errores de enrutamiento a Cloud Storage

Los siguientes son los errores más comunes que se producen cuando se enrutan entradas de registro a Cloud Storage:

  • El bucket de Cloud Storage está configurado para Rapid Storage: Los buckets configurados para Rapid Storage no son destinos de receptor compatibles.

  • Entradas de registro tardías:

    • Las entradas de registro enrutadas se guardan en depósitos de Cloud Storage en lotes por hora. Es posible que se necesiten entre 2 y 3 horas para que aparezcan las primeras entradas.

    • Los fragmentos de los archivos de registro enrutados con el sufijo An (“Append”) contienen las entradas de registro que llegaron tarde. Si el destino de Cloud Storage experimenta una interrupción, Cloud Logging almacena en búfer los datos hasta que finalice la interrupción.

  • No se pudieron otorgar los permisos correctos para el destino:

    Para resolver este error, verifica que la cuenta de servicio del receptor de registros tenga los permisos correctos. Para obtener más información, consulta la sección Problemas de permisos de este documento.

  • Recibes una notificación por correo electrónico o ves una entrada de registro que indica un error en la configuración de un receptor de registros. El código de error es bucket_changed_parent_project.

    Este código de error indica que el receptor de registros que aparece en la notificación está configurado para enrutar entradas de registro a un bucket de Cloud Storage y que el proyecto superior del bucket de Cloud Storage cambió. En esta situación, Cloud Logging marca el receptor de registros como mal configurado, lo que impide que el receptor enrute las entradas de registro al bucket de Cloud Storage.

    Para resolver este error de configuración, realiza una de las siguientes acciones:

    • Borra el receptor de registros existente y crea uno nuevo que enrute las entradas de registro al bucket de Cloud Storage.

    • Mueve el bucket de Cloud Storage de vuelta al proyecto Google Cloud original.

Errores de enrutamiento a BigQuery

Los siguientes son los errores más comunes cuando se enrutan entradas de registro a BigQuery:

  • Esquema de tabla no válido:

    • Las entradas de registro transmitidas a la tabla en tu conjunto de datos de BigQuery no coinciden con el esquema de la tabla actual. Entre los problemas habituales, se incluye intentar enrutar entradas de registro con diferentes tipos de datos, lo que provoca una discrepancia de esquema. Por ejemplo, uno de los campos de la entrada de registro es un número entero, mientras que una columna correspondiente en el esquema tiene un tipo de cadena.

    • Asegúrate de que tus entradas de registro coincidan con el esquema de la tabla. Después de corregir el origen del error, puedes cambiar el nombre de la tabla actual y permitir que Logging la cree de nuevo.

    • BigQuery admite la carga de datos anidados en sus tablas. Sin embargo, cuando se cargan datos de Logging, el límite máximo de profundidad de anidamiento para una columna es de 13 niveles.

    Cuando BigQuery identifica una discrepancia de esquema, crea una tabla dentro del conjunto de datos correspondiente para almacenar la información del error. El tipo de tabla determina su nombre. Para las tablas fragmentadas por fecha, el formato de nombre es export_errors_YYYYMMDD. En el caso de las tablas particionadas, el formato de nombre es export_errors. Para obtener información sobre el esquema de las tablas de errores y sobre cómo evitar discrepancias futuras en los tipos de campos, consulta Discrepancias en el esquema.

  • Las entradas de registro están fuera de los límites de tiempo permitidos:

    • Las entradas de registro transmitidas a la tabla particionada de BigQuery están fuera de los límites de tiempo permitidos. BigQuery no acepta entradas de registro que sean demasiado antiguas o futuras.

    • Puedes actualizar tu receptor para enrutar esas entradas de registro a Cloud Storage y usar un trabajo de carga de BigQuery. Consulta la documentación de BigQuery para obtener más instrucciones.

  • El conjunto de datos no permite que la cuenta de servicio asociada al receptor de registros escriba en él:

    • Incluso si el receptor se creó de forma correcta con los permisos de la cuenta de servicio correctos, este mensaje de error se muestra si no hay una cuenta de facturación válida asociada con el proyecto de Google Cloud que contiene el destino del receptor.

    • Asegúrate de que haya una cuenta de facturación vinculada a tu proyecto de Google Cloud . Si una cuenta de facturación no está vinculada al proyecto de destino del receptor Google Cloud , habilita la facturación para ese proyecto de Google Cloud o actualiza el destino del receptor para que se encuentre en un Google Cloud proyecto que tenga una cuenta de facturación válida vinculada.

  • El conjunto de datos contiene entradas de registro duplicadas:

    • Las entradas de registro duplicadas pueden ocurrir cuando hay fallas en la transmisión de entradas de registro a BigQuery, incluso debido a reintentos o parámetros de configuración incorrectos. Cloud Logging desduplica las entradas de registro con el mismo timestamp y insertId en el momento de la consulta. BigQuery no elimina las entradas de registro duplicadas.

    • Para ignorar las entradas de registro duplicadas en BigQuery, incluye la cláusula SELECT DISTINCT en tu consulta. Por ejemplo:

    SELECT DISTINCT insertId, timestamp FROM TABLE_NAME

  • Las entradas de registro se reabastecen después de una alerta de Cloud Logging:

    Logging genera tablas de forma automática con un prefijo backfill_ como parte de una operación de reabastecimiento que se produce cuando una alerta de Cloud Logging impide el enrutamiento de los datos de registro a BigQuery.

    Las tablas con el prefijo backfill_ contienen todas las entradas de registro que se debían enrutar a BigQuery durante el período de la alerta. Estas tablas pueden contener algunas entradas de registro que se enrutaron correctamente a la tabla especificada por el receptor.

    Para evitar datos duplicados, te recomendamos que combines los datos de las tablas de reabastecimiento con las tablas originales y, luego, borres las tablas de reabastecimiento.

Errores de enrutamiento a buckets de Cloud Logging

Es posible que te encuentres con una situación en la que puedas ver entradas de registro en el Explorador de registros que excluiste con tu receptor. Aún puedes ver estas entradas de registro si se cumple alguna de las siguientes condiciones:

  • Estás ejecutando la consulta en el proyecto de Google Cloud que generó las entradas de registro.

    Para solucionar este problema, verifica que estés ejecutando la consulta en el proyecto de Google Cloud correcto.

  • Las entradas de registro excluidas se enviaron a varios buckets de registros; estás viendo una copia del mismo registro que querías excluir.

    Para solucionar este problema, revisa tus receptores en la página Enrutador de registros para verificar que no incluyas las entradas de registro en los filtros de otros receptores.

  • Tienes acceso a las vistas del bucket de registros al que se enviaron las entradas de registro. En este caso, puedes ver esas entradas de registro de forma predeterminada.

    Para evitar ver estas entradas de registro en el Explorador de registros, puedes definir mejor el alcance de tu búsqueda en tu proyecto o bucket de Google Cloud de origen.

Soluciona problemas de almacenamiento de registros

¿Por qué no puedo borrar este bucket?

Si intentas borrar un bucket, haz lo siguiente:

  • Verifica que tengas los permisos correctos para borrar el bucket. Para obtener la lista de los permisos que necesitas, consulta Control de acceso con IAM.

  • Determina si el bucket está bloqueado enumerando sus atributos. Si el bucket está bloqueado, verifica el período de retención del bucket. No puedes borrar un bucket bloqueado hasta que todos los registros del bucket hayan cumplido con el período de retención del bucket.

  • Verifica que el bucket de registros no tenga vínculos. No puedes borrar un buckets de registros que contenga vínculos.

    El siguiente error se muestra en respuesta a un comando delete en un bucket de registros que tiene un conjunto de datos de BigQuery vinculado:

    FAILED_PRECONDITION: This bucket is used for advanced analytics and has an active link. The link must be deleted first before deleting the bucket

    Para enumerar los vínculos asociados con un bucket de registros, ejecuta el comando gcloud logging links list o el método de la API projects.locations.buckets.links.list.

    Para borrar vínculos, usa el comando gcloud logging links delete.

¿Qué cuentas de servicio enrutan registros a mi bucket?

Para determinar si alguna cuenta de servicio tiene permisos de IAM para enrutar registros a tu bucket, haz lo siguiente:

  1. En la consola de Google Cloud , ve a la página IAM:

    Ir a IAM

    Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuyo subtítulo es IAM y administrador.

  2. En la pestaña Permisos, selecciona la opción para ver por Roles. Verás una tabla con todos los roles y las principales de IAM asociados a tu proyecto deGoogle Cloud .

  3. En el cuadro de texto Filtro de la tabla, ingresa Escritor de buckets de registros.

    Verás las principales con el rol de Escritor de buckets de registros. Si una principal es una cuenta de servicio, su ID contiene la cadena gserviceaccount.com.

  4. Opcional: Si deseas quitar una cuenta de servicio para que no pueda enrutar registros a tu proyecto de Google Cloud , selecciona la casilla de verificación de la cuenta de servicio y haz clic en Quitar.

¿Por qué veo registros de un proyecto de Google Cloud aunque los excluí de mi receptor de_Default?

Es posible que estés viendo registros en un bucket de registros en un proyecto Google Cloud centralizado, que agrega registros de toda tu organización.

Si usas el Explorador de registros para acceder a estos registros y ves los que excluiste del receptor _Default, es posible que tu vista esté configurada en el nivel del proyectoGoogle Cloud .

Para solucionar este problema, selecciona Vista de registro en el menú Define mejor el alcance y, luego, selecciona la vista de registro asociada con el bucket _Default en tu proyecto deGoogle Cloud . Ya no deberías ver los registros excluidos.