O Cloud Logging usa contêineres chamados buckets de registro para armazenar e organizar seus dados de registro. Entender como os buckets de registros criados pelo sistema e definidos pelo usuário funcionam ajuda a configurar a retenção de dados, os locais de armazenamento regionais, as chaves de criptografia e os controles de acesso do Identity and Access Management (IAM). Para organizações e pastas, também é possível usar políticas da organização e configurações de recursos padrão do Cloud Logging para aplicar requisitos de local e criptografia a novos buckets de registros.
Sobre buckets de registros
O Cloud Logging criptografa o conteúdo do cliente armazenado em repouso. Os dados armazenados em buckets de registros pelo Logging são criptografados usando chaves de criptografia de chaves, um processo conhecido como criptografia de envelope. Para acessar os dados de registro, é preciso ter acesso a essas chaves de criptografia de chaves.
Os buckets de registros são recursos regionais com um local fixo e são criptografados com uma chave de criptografia gerenciada pelo cliente (CMEK) ou umGoogle-owned and Google-managed encryption key. Depois que um bucket de registros é criado, não é possível mudar o local ou a forma como a chave de criptografia é gerenciada.O Google Cloud gerencia a infraestrutura para que os dados de registro fiquem disponíveis de forma redundante em todas as zonas da região.
Sua organização pode ter requisitos de compliance, regulamentação ou segurança que regem onde os buckets de registros estão localizados e se eles usam a CMEK. Para aplicar esses requisitos em uma organização ou pasta, consulte Suporte para organizações e pastas.
O período de armazenamento dos dados armazenados em um bucket de registros depende do tipo de bucket. O período de armazenamento do bucket de registros _Required é fixo, mas você pode configurar a retenção personalizada para o bucket de registros _Default e para buckets de registros definidos pelo usuário.
É possível criar visualizações de registros em um bucket de registros.
Uma visualização de registros oferece acesso apenas a um subconjunto dos dados de registros armazenados em um bucket de registros. Para cada bucket de registros, o Cloud Logging cria automaticamente a visualização _AllLogs, que fornece acesso a todas as entrada de registro no bucket.
Você controla o acesso a uma visualização de registros usando o
IAM.
Para consultar e visualizar os dados de registro, use as páginas Análise de registros ou Análise de Observabilidade do console do Google Cloud :
A página Análise de registros ajuda a resolver problemas e analisar o desempenho dos seus serviços e aplicativos. É possível conferir entradas de registro individuais e filtrar os dados de registro. Essa interface tem uma configuração de escopo que permite pesquisar dados de registro por projeto, bucket de registros ou visualização de registro.
A página Análise de observabilidade oferece uma interface SQL que permite realizar análises agregadas dos dados de registros armazenados em um bucket de registros atualizado para usar a análise. Por exemplo, use essa interface para calcular e criar gráficos de tendências. É possível consultar visualizações de registros e visualizações de análise.
Para saber mais, consulte Consultar e visualizar entradas de registro.
Buckets de registros criados pelo sistema
Quando o sistema cria um projeto, uma conta de faturamento, uma pasta ou uma organização do Google Cloud , o Cloud Logging cria dois buckets de registros, um chamado _Required e outro chamado _Default:
Local: o Cloud Logging seleciona o local desses buckets, a menos que as configurações padrão de recursos do Cloud Logging estejam configuradas. Não é possível mudar o local depois que os intervalos são criados.
Criptografia: esses buckets usam Google-owned and Google-managed encryption keys , a menos que as configurações de recursos padrão do Cloud Logging especifiquem uma CMEK. Não é possível mudar essa configuração depois que os intervalos são criados.
Não é possível excluir os buckets de registros criados pelo sistema.
É possível fazer upgrade dos buckets de registros criados pelo sistema para usar a análise. Com esse upgrade, é possível consultar os dados de registros usando a página Análise de Observabilidade, que é compatível com SQL.
Bucket de registro _Required
O bucket de registros _Required armazena entradas de registro necessárias para fins de compliance ou auditoria. Por isso, não é possível excluir este bucket de registros nem modificar quais entradas de registro são armazenadas nele.
As entradas de registro nesse bucket de registros são retidas por 400 dias, e não é possível mudar esse período de armazenamento.
As entradas de registro armazenadas no bucket de registros _Required de um recurso também têm origem nesse recurso. Ou seja, o bucket de registros _Required em um projeto Google Cloud só pode armazenar entradas de registro originadas nesse projeto.
O bucket de registros _Required armazena os seguintes tipos de entradas de registro:
- Registros de auditoria de atividade do administrador
- Registros de auditoria de eventos do sistema
- Registros de auditoria do admin do Google Workspace
- Registros de auditoria do Grupos do Google Enterprise
- Registros de auditoria de login
Bucket de registro _Default
O bucket de registros _Default armazena entradas de registro que não são armazenadas automaticamente no bucket _Required. Como o bucket de registros _Default é criado pelo sistema, não é possível excluí-lo. No entanto, é possível modificar quais entradas de registro são armazenadas nesse bucket de registros.
O Cloud Logging retém as entradas de registro no bucket _Default por 30 dias, a menos que você configure a retenção personalizada para o bucket.
Por exemplo, este bucket de registros armazena os seguintes tipos de entradas de registro:
- Registros de auditoria de acesso a dados
- Registros de auditoria de política negada
- Registros gerados por aplicativos e serviços do Google Cloud
Buckets de registros definidos pelo usuário
É possível criar buckets de registros definidos pelo usuário em qualquer projeto doGoogle Cloud . Ao criar um bucket de registros definido pelo usuário, você seleciona o local e define o período de retenção de dados. Você pode fornecer uma CMEK.
É possível fazer upgrade dos buckets de registros definidos pelo usuário para usar a análise. Com esse upgrade, é possível consultar os dados de registros usando a página Análise de Observabilidade, que é compatível com SQL.
É possível modificar e excluir buckets de registros definidos pelo usuário. Para proteger contra a exclusão de um bucket de registros que armazena entradas de registro que estão dentro do período de armazenamento, você pode bloquear o bucket de registros contra atualizações.
Suporte para organizações e pastas
Para ajudar sua organização a atender às necessidades de compliance e regulamentação, o Logging oferece suporte às configurações de recursos padrão e às políticas da organização:
Configurações de recursos padrão: para organizações e pastas, as configurações de recursos padrão do Cloud Logging controlam o local dos novos buckets de registros criados pelo sistema. Também é possível especificar uma CMEK, que se aplica a novos buckets de registros criados pelo sistema e definidos pelo usuário.
Políticas da organização: uma política da organização pode restringir o local de novos buckets de registros definidos pelo usuário. O Logging oferece suporte a políticas da organização que especificam regiões onde os buckets de registros podem ou não ser criados.
Controlar o acesso a um bucket de registros
As permissões e os papéis do IAM controlam o acesso aos dados de registros. Por exemplo, você pode fazer o seguinte:
- Conceder acesso de leitura e edição a um bucket de registros.
- Conceda acesso de edição a um bucket de registros com base na associação a grupos usando tags.
- Controle o acesso a campos específicos em uma entrada de registro configurando o acesso no nível do campo em um bucket de registros.
Conceda acesso a um subconjunto de entradas de registro em um bucket de registros criando uma visualização de registros nesse bucket.
Cada bucket de registros tem uma visualização de registros padrão, que normalmente inclui todas as entrada de registro no bucket. Para o bucket de registros
_Default, a visualização de registros padrão exclui as entradas de registro de auditoria de acesso a dados.
Para conceder a um usuário as permissões necessárias para visualizar e analisar entradas de registro, geralmente é concedido um dos seguintes papéis do IAM:
Papel Visualizador de registros (
roles/logging.viewer): concede acesso a todas as entradas de registro no bucket_Requirede à visualização de registro padrão no bucket_Default.Papel Visualizador de registros particulares (
roles/logging.privateLogViewer): concede acesso a todos os registros nos buckets_Requirede_Default, incluindo registros de auditoria de acesso a dados.
Se você criar buckets de registros ou visualizações de registros definidos pelo usuário, serão necessárias outras permissões. Para mais informações sobre papéis, consulte Controle de acesso com o IAM.
Lista de regiões compatíveis
Os buckets de registros são recursos regionais. A infraestrutura que armazena, indexa e pesquisa suas entradas de registro está localizada em uma região geográfica específica. Com exceção dos buckets de registros nas regiões global, eu ou us, o Google Cloud gerencia a infraestrutura para que os dados de registro estejam disponíveis de forma redundante nas zonas da região do bucket de registros.
As seguintes regiões são compatíveis com o Cloud Logging:
Global
| Nome da região | Descrição da região |
|---|---|
global |
Registros armazenados em qualquer data center do mundo. Os registros podem ser movidos para diferentes data centers. Ao contrário de outros recursos globais no Google Cloud, os buckets de registros globais no Cloud Logging não oferecem garantias de redundância adicionais em comparação com um bucket de registros regional. |
Multirregiões: UE e EUA
| Nome da região | Descrição da região |
|---|---|
eu |
Registros armazenados em qualquer data center na União Europeia. Os registros podem ser movidos para diferentes data centers. Sem garantias de redundância adicionais. |
us |
Registros armazenados em data centers nos Estados Unidos. Os registros podem ser movidos para diferentes data centers. Sem garantias de redundância adicionais. |
África
| Nome da região | Descrição da região |
|---|---|
africa-south1 |
Johannesburgo |
Américas
| Nome da região | Descrição da região |
|---|---|
northamerica-northeast1 |
Montreal |
northamerica-northeast2 |
Toronto |
northamerica-south1 |
México |
southamerica-east1 |
São Paulo |
southamerica-west1 |
Santiago |
us-central1 |
Iowa |
us-east1 |
Carolina do Sul |
us-east4 |
Virgínia do Norte |
us-east5 |
Columbus |
us-south1 |
Dallas |
us-west1 |
Oregon |
us-west2 |
Los Angeles |
us-west3 |
Salt Lake City |
us-west4 |
Las Vegas |
Ásia-Pacífico
| Nome da região | Descrição da região |
|---|---|
asia-east1 |
Taiwan |
asia-east2 |
Hong Kong |
asia-northeast1 |
Tóquio |
asia-northeast2 |
Osaka |
asia-northeast3 |
Seul |
asia-south1 |
Mumbai |
asia-south2 |
Délhi |
asia-southeast1 |
Singapura |
asia-southeast2 |
Jacarta |
asia-southeast3 |
Bangkok |
australia-southeast1 |
Sydney |
australia-southeast2 |
Melbourne |
Europa
| Nome da região | Descrição da região |
|---|---|
europe-central2 |
Varsóvia |
europe-north1 |
Finlândia |
europe-north2 |
Estocolmo |
europe-southwest1 |
Madri |
europe-west1 |
Bélgica |
europe-west2 |
Londres |
europe-west3 |
Frankfurt |
europe-west4 |
Países Baixos |
europe-west6 |
Zurique |
europe-west8 |
Milão |
europe-west9 |
Paris |
europe-west10 |
Berlim |
europe-west12 |
Turim |
Oriente Médio
| Nome da região | Descrição da região |
|---|---|
me-central1 |
Doha |
me-central2 |
Damã |
me-west1 |
Tel Aviv |
A seguir
- Dados de registros de rotas
- Consultar e visualizar entradas de registro
- Configurar e gerenciar buckets de registros
- Configurar as configurações de recursos padrão do Cloud Logging