שאילתות לדוגמה

המסמך הזה מספק לכם שאילתות מוצעות כדי להקל על מציאת יומנים חשובים באמצעות Logs Explorer במסוף Google Cloud . השאילתות שמופיעות ברשימה כתובות בשפת השאילתות של Logging, ואפשר להשתמש בהן ב-Logs Explorer, ב-Logging API או בממשק שורת הפקודה.

ב-Logs Explorer נעשה שימוש בביטויים בוליאניים כדי לציין קבוצת משנה של כל הרשומות ביומן בפרויקט. אתם יכולים להשתמש בשאילתות האלה כדי לבחור רשומות מיומנים או משירותי יומנים ספציפיים, או רשומות שעומדות בתנאים של מטא-נתונים או של שדות בהתאמה אישית.

לפני שמתחילים

כדי ליצור שאילתות באמצעות Logs Explorer, ודאו שיש לכם את ההרשאות או התפקידים המתאימים בניהול הזהויות והרשאות הגישה (IAM). לפרטים על ההרשאות הנדרשות ב-IAM, קראו את המאמר הרשאות למסוף Google Cloud .

קדימה, מתחילים

  1. נכנסים לדף Logs Explorer ב- במסוף Google Cloud :

    נכנסים לדף Logs Explorer.

    אם אתם משתמשים בשורת החיפוש כדי למצוא את הדף הזה, בחרו בתוצאה עם כותרת המשנה Logging.

  2. בוחרים את Google Cloud הפרויקט או משאב אחר Google Cloudשרוצים לראות את היומנים שלו.

שימוש בשאילתות לדוגמה

כדי להריץ שאילתה מהטבלאות הבאות, לוחצים על הסמל Content Copy של הביטוי, ואז מדביקים את הביטוי שהועתק בשדה של עורך השאילתות ב-Logs Explorer.

בצילום המסך הבא מוצג חלונית השאילתה:

עורך השאילתות מראה איפה להזין שאילתה

אם שדה עורך השאילתות לא מופיע, מפעילים את האפשרות Show query.

אחרי שבודקים את ביטוי השאילתה, לוחצים על Run query. היומנים שעונים על השאילתה מוצגים בחלונית Query results.

חלק מהשאילתות שמופיעות בהמשך הדף כוללות משתנים שצריך להחליף בערכים תקינים. לדוגמה, אם שאילתה כוללת את השדה logName, הערך של PROJECT_ID שאתם מציינים חייב להתייחס לפרויקט ב-Google Cloud שבחרתם. אחרת, השאילתה לא תפעל.

שימו לב לנקודות הבאות:

  • אם יש לכם שאילתה עם חותמת זמן, הבורר של טווח התאריכים מושבת, והשאילתה משתמשת בביטוי של חותמת הזמן בתור ההגבלה של טווח התאריכים. אם בשאילתה לא משתמשים בביטוי של חותמת זמן, השאילתה משתמשת בבורר טווח התאריכים בתור מגבלת טווח התאריכים שלה.

  • האורך של שאילתה לא יכול לחרוג מ-20,000 תווים.

  • שפת השאילתות של Logging לא תלוית-רישיות, חוץ מביטויים רגולריים.

  • אפשר להשתמש בפונקציה log_id לשאילתות עם ביטוי log_name. לדוגמה, הביטוי log_name="projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access" זהה לביטוי log_id("cloudaudit.googleapis.com/data_access"). למידע נוסף על הפונקציה log_id, קראו את המאמר שפת השאילתות של Logging: פונקציות.

להוראות לגבי שליחת שאילתות במסוף Google Cloud , קראו את המאמר יצירת שאילתות ב-Logs Explorer.

בקטעים הבאים, השאילתות מקובצות לפי שירותי Google Cloud .

שאילתות ב-App Engine

שם השאילתה או המסנן ביטוי
יומני App Engine מסילבסטר (לפי שעון UTC) 
resource.type="gae_app" AND
severity>=ERROR AND
timestamp>="2018-12-31T00:00:00Z" AND timestamp<="2019-01-01T00:00:00Z"
יומני בקשות של App Engine עם שגיאות בחיבור לשרת 
resource.type="gae_app" AND
log_id("appengine.googleapis.com/request_log") AND
httpRequest.status>=500
יומני שגיאות HTTP שנדגמו 
resource.type="gae_app" AND
protoPayload.status >= 400 AND
sample(insertId, 0.1)
חיפוש מזהה מעקב של App Engine 
resource.type="gae_app" AND
trace="projects/PROJECT_ID/traces/TRACE_ID"
יומנים של App Engine 
resource.type="gae_app" AND
resource.labels.module_id="MODULE_ID" AND
resource.labels.version_id="VERSION_ID"
פריסות אחרונות של App Engine 
resource.type="gae_app" AND
protoPayload.@type="type.googleapis.com/google.cloud.audit.AuditLog" AND
protoPayload.serviceName="appengine.googleapis.com"

שאילתות להפעלה ולהשבתה של API

שם השאילתה או המסנן ביטוי
יומני הפעלה של Audit API 
protoPayload.methodName="google.api.serviceusage.v1.ServiceUsage.EnableService"
יומני השבתה של Audit API 
protoPayload.methodName="google.api.serviceusage.v1.ServiceUsage.DisableService"

שאילתות ב-BigQuery

שם השאילתה או המסנן ביטוי
יומני ביקורת של BigQuery 
resource.type=
("bigquery_dataset" OR "bigquery_project") AND
logName:"cloudaudit.googleapis.com"
יומני ביקורת של BigQuery לפרויקט 
resource.type="bigquery_project" AND
logName:"cloudaudit.googleapis.com"
יומני ביקורת של BigQuery למערך נתונים 
resource.type="bigquery_dataset" AND
logName:"cloudaudit.googleapis.com"
יומני ביקורת של BigQuery למודל BI Engine 
resource.type="bigquery_biengine_model" AND
logName:"cloudaudit.googleapis.com"
יומני ביקורת של BigQuery להפעלה של שירות העברת נתונים. 
resource.type="bigquery_dts_run" AND
logName:"cloudaudit.googleapis.com"
יומני ביקורת של BigQuery להגדרה של שירות העברת נתונים. 
resource.type="bigquery_dts_config" AND
logName:"cloudaudit.googleapis.com"
משימות של שירות העברת נתונים ל-BigQuery 
resource.type="bigquery_project" AND
protoPayload.requestMetadata.callerSuppliedUserAgent=
"BigQuery Data Transfer Service" AND
protoPayload.methodName=
("google.cloud.bigquery.v2.JobService.InsertJob" OR
"google.cloud.bigquery.v2.JobService.Query")
יומני הרצה של העברות ב-BigQuery 
resource.type="bigquery_dts_config" AND
labels.run_id="RUN_ID" AND
resource.labels.config_id="CONFIG_ID"
עדכונים של מערכי נתונים ב-BigQuery 
resource.type="bigquery_dataset" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.methodName=
"google.cloud.bigquery.v2.DatasetService.UpdateDataset"
משימות שהושלמו ב-BigQuery 
resource.type="bigquery_project" AND
log_id("cloudaudit.googleapis.com/data_access") AND
protoPayload.methodName=
("google.cloud.bigquery.v2.JobService.InsertJob"
OR "google.cloud.bigquery.v2.JobService.Query")
שאילתות גדולות ב-BigQuery 
resource.type="bigquery_project" AND
protoPayload.metadata.jobChange.job.jobStats.queryStats.totalBilledBytes
> 1073741824
חרגת מהמכסה ב-BigQuery 
resource.type=
("bigquery_dataset" OR "bigquery_project") AND
protoPayload.status.code=8 AND
severity>=WARNING
השאילתה ב-BigQuery התחילה 
resource.type="bigquery_project" AND
protoPayload.metadata.jobInsertion.reason:*
משימות טעינה או חילוץ בו-זמניות ב-BigQuery 
resource.type="bigquery_resource" AND
protoPayload.methodName="jobservice.insert" AND
protoPayload.serviceData.jobInsertRequest.resource.jobConfiguration.query.query:
"extract"
יומני ביקורת של BigQuery למדיניות גישה לשורות 
protoPayload.methodName="jobservice.insert" AND
protoPayload.serviceData.jobInsertRequest.resource.jobConfiguration.query.query:
"ROW ACCESS POLICY"

שאילתות ב-Dataflow

שם השאילתה או המסנן ביטוי
שגיאות ואזהרות ב-workers של Dataflow 
resource.type="dataflow_step" AND
log_id("dataflow.googleapis.com/worker") AND
severity>=WARNING

שאילתות ב-Managed Service for Apache Spark

שם השאילתה או המסנן ביטוי
יומני Dataproc Apache Hadoop 
resource.type="cloud_dataproc_cluster" AND
jsonPayload.class:"org.apache.hadoop.mapreduce"

Cloud Deployment Manager

שם השאילתה או המסנן ביטוי
שגיאות ב-Deployment Manager 
resource.type="deployment" AND
severity>=ERROR

שאילתות של פונקציות Cloud Run

שם השאילתה או המסנן ביטוי
שגיאות בפונקציות של Cloud Functions 
resource.type="cloud_function" AND
log_id("cloudfunctions.googleapis.com/cloud-functions") AND
severity>=ERROR

שאילתות ב-Cloud Monitoring

שם השאילתה או המסנן ביטוי
הצגת כל השגיאות בערוץ ההתראות
 
resource.type="stackdriver_notification_channel" AND
severity>=ERROR
הצגת שגיאות בערוץ ההתראות
בגלל ויסות נתונים 
resource.type="stackdriver_notification_channel" AND
severity>=ERROR AND
jsonPayload.summary="Notification delivery throttled."
הצגת יומנים שנכתבו על ידי
המשאב של זמן הפעולה התקינה		 
resource.type="uptime_url"
הצגת בקשות שהתקבלו משירות בדיקת זמני הפעילות של 
"GoogleStackdriverMonitoring-UptimeChecks"

שאילתות ב-Cloud Run

שם השאילתה או המסנן ביטוי
יומני Cloud Run למשימה ספציפית 
resource.type="cloud_run_job" AND
resource.labels.job_name="JOB_NAME"
יומני Cloud Run לגרסה ולשירות ספציפיים 
resource.type="cloud_run_revision" AND
resource.labels.service_name="SERVICE_NAME"

שאילתות ב-Cloud Source Repositories

שם השאילתה או המסנן ביטוי
יומנים של Cloud Source Repository 
resource.type="csr_repository" AND
resource.labels.name="REPOSITORY_NAME"

שאילתות ב-Spanner

שם השאילתה או המסנן ביטוי
יומני Cloud Spanner של מכונת Spanner ספציפית 
resource.type="spanner_instance" AND
resource.labels.instance_id="SPANNER_INSTANCE"

שאילתות ב-Cloud SQL

שם השאילתה או המסנן ביטוי
יומני ביקורת של Cloud SQL 
resource.type="cloudsql_database" AND
resource.labels.database_id="DATABASE_ID" AND
log_id("cloudaudit.googleapis.com/activity")
יומני שגיאות של Cloud SQL MySQL 
resource.type="cloudsql_database" AND
log_id("cloudsql.googleapis.com/mysql.err")
מסדי נתונים מבוססי-MySQL ב-Cloud SQL 
resource.type="cloudsql_database" AND
resource.labels.database_id="DATABASE_ID" AND
log_id("cloudsql.googleapis.com/mysql")
מסדי נתונים מבוססי-Postgres ב-Cloud SQL 
resource.type="cloudsql_database" AND
resource.labels.database_id="DATABASE_ID" AND
log_id("cloudsql.googleapis.com/postgres.log")
יומני שגיאות של Cloud SQL SQL Server 
resource.type="cloudsql_database" AND
log_id("cloudsql.googleapis.com/sqlserver.err")
מסדי נתונים מבוססי-SQL Server ב-Cloud SQL 
resource.type="cloudsql_database" AND
resource.labels.database_id="DATABASE_ID" AND
log_id("cloudsql.googleapis.com/sqlagent.out")

שאילתות ב-Cloud Storage

שם השאילתה או המסנן ביטוי
יומנים של קטגוריות ב-GCS 
resource.type="gcs_bucket" AND
resource.labels.bucket_name="BUCKET_NAME"
יומני ביקורת של קטגוריות GCS 
resource.type="gcs_bucket" AND
logName:"cloudaudit.googleapis.com"
יומני יצירה של קטגוריות ב-GCS 
resource.type="gcs_bucket" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.methodName="storage.buckets.create"
יומני מחיקה של קטגוריות GCS 
resource.type="gcs_bucket" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.methodName="storage.buckets.delete"

שאילתות ב-Cloud Tasks

שם השאילתה או המסנן ביטוי
יומני תורי משימות ב-Cloud Tasks 
resource.type="cloud_tasks_queue" AND
resource.labels.queue_id="QUEUE_ID"

שאילתות ב-Compute Engine

שם השאילתה או המסנן ביטוי
יומני פעילות האדמין של Compute Engine 
resource.type="gce_instance" AND
log_id("cloudaudit.googleapis.com/activity")
מחיקת כלל חומת אש ב-Compute Engine 
resource.type="gce_firewall_rule" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.methodName:"firewalls.delete"
יומני מערכת של מכונות וירטואליות ב-Compute Engine 
resource.type="gce_instance" AND
log_id("syslog")
יומני אימות של מכונות וירטואליות ב-Compute Engine 
resource.type="gce_instance" AND
log_id("authlog")
שגיאה שקשורה למארח ב-Compute Engine 
resource.type="gce_instance"
protoPayload.serviceName="compute.googleapis.com"
(protoPayload.methodName:"compute.instances.hostError"
OR
operation.producer:"compute.instances.hostError")
log_id("cloudaudit.googleapis.com/system_event")
resource.labels.instance_id="INSTANCE_ID"
 severity=INFO
התראה על הזיכרון במארח של Compute Engine 
resource.type="gce_instance" AND
protoPayload.serviceName="compute.googleapis.com" AND
(jsonPayload.methodName:"compute.instances.host_event_notify"
OR
operation.producer:"compute.instances.host_event_notify") AND
log_id("cloudaudit.googleapis.com/host_event_notify") AND
resource.labels.instance_id="INSTANCE_ID" AND
severity=CRITICAL
המארח של Compute Engine הועבר 
resource.type="gce_instance"
protoPayload.serviceName="compute.googleapis.com"
(protoPayload.methodName:
"compute.instances.migrateOnHostMaintenance"
OR
operation.producer:
"compute.instances.migrateOnHostMaintenance")
log_id("cloudaudit.googleapis.com/system_event")
resource.labels.instance_id="INSTANCE_ID"
severity=INFO
המכונה הווירטואלית של Compute Engine נסגרה או הופסקה 
resource.type="gce_instance"
protoPayload.methodName=~"compute\.instances\.(guestTerminate|preempted)"
log_id("cloudaudit.googleapis.com/system_event")
resource.labels.instance_id="INSTANCE_ID"
המכונה הווירטואלית ב-Compute Engine הופסקה בגלל כשל ביצירת דיסק אחסון נדיף (scratch disk) 
resource.type="gce_instance"
protoPayload.serviceName="compute.googleapis.com"
(protoPayload.methodName="compute.instances.scratchDiskCreationFailed"
OR
operation.producer:
"compute.instances.scratchDiskCreationFailed")
log_id("cloudaudit.googleapis.com/system_event")
resource.labels.instance_id="INSTANCE_ID"
severity=INFO
נוצרה מכונה וירטואלית של Compute Engine 
resource.type="gce_instance"
protoPayload.methodName:"compute.instances.insert"
log_id("cloudaudit.googleapis.com/activity")
protoPayload.request.name="INSTANCE_NAME"
מכונה וירטואלית של Compute Engine נמחקה עם השם 
resource.type="gce_instance"
protoPayload.methodName:"compute.instances.delete"
log_id("cloudaudit.googleapis.com/activity")
protoPayload.resourceName:"INSTANCE_NAME"
מכונה וירטואלית של Compute Engine נמחקה עם המזהה 
resource.type="gce_instance"
protoPayload.methodName:"compute.instances.delete"
log_id("cloudaudit.googleapis.com/activity")
resource.labels.instance_id="INSTANCE_ID"
המכונה הווירטואלית של Compute Engine הופעלה מחדש 
resource.type="gce_instance"
protoPayload.methodName=~"compute\.instances\.(
stop|reset|automaticRestart|guestTerminate|
instanceManagerHaltForRestart)"
(log_id("cloudaudit.googleapis.com/activity")
OR log_id("cloudaudit.googleapis.com/system_event"))
resource.labels.instance_id="INSTANCE_ID"
כשל בתקינות האתחול של מכונה וירטואלית מוגנת ב-Compute Engine 
resource.type="gce_instance"
log_id("compute.googleapis.com/shielded_vm_integrity")
jsonPayload.earlyBootReportEvent.policyEvaluationPassed="false"
resource.labels.instance_id="INSTANCE_ID"
מכונה וירטואלית של Compute Engine הופסקה על ידי מערכת ההפעלה של האורח 
resource.type="gce_instance"
protoPayload.serviceName="compute.googleapis.com"
(protoPayload.methodName:"compute.instances.guestTerminate" OR
operation.producer:"compute.instances.guestTerminate")
log_id("cloudaudit.googleapis.com/system_event")
resource.labels.instance_id="INSTANCE_ID"
severity=INFO
קובץ האתחול של המכונה הווירטואלית המוגנת של Compute Engine נחסם 
resource.type="gce_instance"
log_id("serialconsole.googleapis.com/serial_port_1_output")
textPayload:"Security Violation"
resource.labels.instance_id="INSTANCE_ID"
נוצר דיסק אחסון מתמיד (persistent disk) 
resource.type="gce_disk" AND
protoPayload.methodName:"compute.disks.insert" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.resourceName: "PERSISTENT_DISK_NAME"
צמתים שנוספו בשרת לדייר יחיד (sole-tenant) 
resource.type="gce_node_group"
log_id("cloudaudit.googleapis.com/activity")
protoPayload.methodName=~("compute.nodeGroups.addNodes"
OR "compute.nodeGroups.insert")
resource.labels.node_group_id="NODE_GROUP_ID"
severity=INFO
אירועי התאמה אוטומטית לעומס בשרת לדייר יחיד (sole-tenant) 
resource.type="gce_node_group"
log_id("cloudaudit.googleapis.com/system_event")
protoPayload.methodName=~("compute.nodeGroups.deleteNodes"
OR "compute.nodeGroups.addNodes")
resource.labels.node_group_id="NODE_GROUP_ID"
צולמה תמונת מצב ידנית 
resource.type="gce_snapshot"
log_id("cloudaudit.googleapis.com/activity")
protoPayload.methodName:"compute.snapshots.insert"
protoPayload.resourceName:"SNAPSHOT_NAME"
צולמה תמונת מצב מתוזמנת 
resource.type="gce_disk"
log_id("cloudaudit.googleapis.com/system_event")
protoPayload.methodName="ScheduledSnapshots"
protoPayload.response.operationType="createSnapshot"
protoPayload.response.targetLink="PERSISTENT_DISK_NAME"
נוצר לוח זמנים לתמונות מצב 
resource.type="gce_resource_policy"
log_id("cloudaudit.googleapis.com/activity")
protoPayload.methodName:"compute.resourcePolicies.insert"
protoPayload.request.name="SCHEDULE_NAME"
מצורף לוח זמנים של תמונות מצב 
resource.type="gce_disk"
log_id("cloudaudit.googleapis.com/activity")
protoPayload.methodName:"compute.disks.addResourcePolicies"
protoPayload.request.resourcePolicys:"SCHEDULE_NAME"
protoPayload.resourceName:"PERSISTENT_DISK_NAME"
חריגה מהמכסה 
resource.type="gce_instance"
protoPayload.methodName:"compute.instances.insert"
protoPayload.status.message:"QUOTA_EXCEEDED"
severity=ERROR
שליחת שאילתה לגבי מכונות לא תקינות בקבוצת מכונות 
resource.type="gce_instance_group"
resource.labels.instance_group_name="INSTANCE_GROUP_NAME"
jsonPayload.healthCheckProbeResult.healthState="UNHEALTHY"
שאילתה על חברים בקבוצת מכונות בטווח זמן מסוים בפורמט זמן UTC 
resource.type="gce_instance_group_manager"
resource.labels.instance_group_manager_name="INSTANCE_GROUP_NAME"
jsonPayload.@type=
"type.googleapis.com/compute.InstanceGroupManagerEvent"
jsonPayload.instanceHealthStateChange.detailedHealthState="HEALTHY"
timestamp >= START_TIME timestamp <= END_TIME
מכונות שנוספו לקבוצת המכונות 
resource.type="gce_instance_group"
protoPayload.methodName:"compute.instanceGroups.addInstances"
log_id("cloudaudit.googleapis.com/activity")
resource.labels.instance_group_name="INSTANCE_GROUP_NAME"
המכונות הוסרו מקבוצת המכונות 
resource.type="gce_instance_group"
protoPayload.methodName:"compute.instanceGroups.removeInstances"
log_id("cloudaudit.googleapis.com/activity")
resource.labels.instance_group_name="INSTANCE_GROUP_NAME"
הגדרה או עדכון של תבנית של הגדרות מכונה 
resource.type="gce_instance_group_manager"
log_id("cloudaudit.googleapis.com/activity")
protoPayload.methodName=
"v1.compute.instanceGroupManagers.setInstanceTemplate"
resource.labels.instance_group_manager_name="INSTANCE_GROUP_MANAGER"
כלל חומת האש נמחק 
resource.type="gce_firewall_rule"
log_id("cloudaudit.googleapis.com/activity")
protoPayload.methodName:"firewalls.delete"
יומני חומת האש 
resource.type="gce_subnetwork"
log_id("compute.googleapis.com/firewall")
jsonPayload.instance.vm_name="INSTANCE_NAME"

שאילתות ב-Google Cloud Observability

שם השאילתה או המסנן ביטוי
פעילויות ב-sink ביומן 
resource.type="logging_sink" AND
log_id("cloudaudit.googleapis.com/activity")
פעילויות של יצירה או עדכון של מדדים מבוססי-יומנים 
resource.type="metric" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.methodName:(UpdateLogMetric OR CreateLogMetric)
בדיקות של כתובות URL לזמן פעולה תקינה של מארח 
resource.type="uptime_url" AND
resource.labels.host="URL"

שאילתות בנושא ניהול זהויות והרשאות גישה (IAM)

שם השאילתה או המסנן ביטוי
יומנים של יצירת חשבונות שירות 
resource.type="service_account" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.methodName="google.iam.admin.v1.CreateServiceAccount"
יומנים של יצירת מפתחות לחשבונות שירות 
resource.type="service_account" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.methodName="google.iam.admin.v1.CreateServiceAccountKey"
הגדרת יומני מדיניות של בקרת גישה 
resource.type="project" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.methodName="SetIamPolicy"
לחשבון חיצוני ניתנה גישה לארגון 
resource.type="project" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.@type="type.googleapis.com/google.cloud.audit.AuditLog" AND
protoPayload.request.@type:"IamPolicy" AND
protoPayload.serviceData.policyDelta.bindingDeltas.member:* AND
NOT protoPayload.serviceData.policyDelta.bindingDeltas.member:"@DOMAIN_NAME.com"
יצירה, שינוי או מחיקה של משאבים 
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.methodName:("create" OR "delete" OR "update")
התפקיד הוקצה לחשבון המשתמש 
log_id("cloudaudit.googleapis.com/activity") AND
resource.type="project" AND
protoPayload.serviceName="cloudresourcemanager.googleapis.com" AND
protoPayload.methodName="SetIamPolicy" AND
protoPayload.serviceData.policyDelta.bindingDeltas.action="Add" AND
protoPayload.serviceData.policyDelta.bindingDeltas.member:"EMAIL_ID"
התפקיד הוסר מהחשבון הראשי 
log_id("cloudaudit.googleapis.com/activity") AND
resource.type="project" AND
protoPayload.serviceName="cloudresourcemanager.googleapis.com" AND
protoPayload.methodName="SetIamPolicy" AND
protoPayload.serviceData.policyDelta.bindingDeltas.action="Remove" AND
protoPayload.serviceData.policyDelta.bindingDeltas.member:"EMAIL_ID"
הרשאה עודכנה בתפקיד בהתאמה אישית 
log_id("cloudaudit.googleapis.com/activity") AND
resource.type="iam_role" AND
protoPayload.serviceName="iam.googleapis.com" AND
protoPayload.methodName:"UpdateRole" AND
resource.labels.role_name:"ROLE_ID"

שאילתות שקשורות ל-Kubernetes

בדף רישום ביומן הביקורת של GKE תוכלו למצוא סקירה כללית ודוגמאות לשאילתות של יומני ביקורת של פעילות אדמין.

שאילתות ברמת האשכול

שם השאילתה או המסנן ביטוי
פעולות באשכולות של Google Kubernetes Engine 
resource.type="gke_cluster" AND
log_id("cloudaudit.googleapis.com/activity")
יצירת אשכול ב-Google Kubernetes Engine 
resource.type="gke_cluster" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.methodName="google.container.v1.ClusterManager.CreateCluster"
פריסת אשכול Kubernetes 
resource.type="k8s_cluster" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.methodName:"deployments"
כשל באימות של אשכול Kubernetes 
resource.type="k8s_cluster" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.authenticationInfo.principalEmail="system:anonymous"
פעולות ואירועים של אשכול Kubernetes ב-us-central1-b 
resource.type="k8s_cluster" AND
resource.labels.location="us-central1-b"
בקשות של משתמשים ל-Pod ב-Kubernetes 
resource.type="k8s_cluster" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.methodName:"io.k8s.core.v1.pods" AND
protoPayload.authenticationInfo.principalEmail="USER_EMAIL"
אירועי Kubernetes 
resource.type="k8s_cluster" AND
log_id("events")
עדכון של נקודות קצה ב-Kubernetes 
resource.type="k8s_cluster" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.request.kind="Endpoints"
יומנים של מישור הבקרה של Kubernetes 
resource.type="k8s_cluster" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.serviceName="k8s.io"
יומנים של מישור הבקרה של Kubernetes Engine 
resource.type="k8s_cluster" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.serviceName="container.googleapis.com"
מחיקת Pod 
resource.type="k8s_cluster" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.methodName=~"io\.k8s\.core\.v1\.pods\.(create|delete)"
יומני ביקורת של pod ב-Kubernetes ממישור הבקרה 
resource.type="k8s_cluster" AND
resource.labels.location="CLUSTER_LOCATION" AND
resource.labels.cluster_name="CLUSTER_NAME" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.resourceName="core/v1/namespaces/POD_NAMESPACE/pods/POD_NAME
פינוי Pods ב-Kubernetes 
resource.type="k8s_cluster" AND
resource.labels.location="CLUSTER_LOCATION" AND
resource.labels.cluster_name="CLUSTER_NAME" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.methodName="io.k8s.core.v1.pods.eviction.create"
יומני ביקורת של צומת Kubernetes ממישור הבקרה 
resource.type="k8s_cluster" AND
resource.labels.location="CLUSTER_LOCATION" AND
resource.labels.cluster_name="CLUSTER_NAME" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.methodName:"io.k8s.core.v1.nodes"
מישור הבקרה של אשכול Kubernetes לפעילות של Addon Manager 
resource.type="k8s_cluster" AND
resource.labels.location="CLUSTER_LOCATION" AND
resource.labels.cluster_name="CLUSTER_NAME" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.authenticationInfo.principalEmail="system:addon-manager"
שגיאות במישור הבקרה של Kubernetes (חוץ מ-Conflict, שהיא תקינה) 
resource.type="k8s_cluster" AND
resource.labels.location="CLUSTER_LOCATION" AND
resource.labels.cluster_name="CLUSTER_NAME" AND
log_id("cloudaudit.googleapis.com/activity") AND
protoPayload.status.message!="Conflict" AND
protoPayload.status.code!=0
אירועים של Ingress Controller 
resource.type="k8s_cluster" AND
resource.labels.location="CLUSTER_LOCATION" AND
resource.labels.cluster_name="CLUSTER_NAME" AND
log_id("events") AND
jsonPayload.source.component="loadbalancer-controller"
אירועים של Service Controller‏ (kube-controller-manager) 
resource.type="k8s_cluster" AND
resource.labels.location="CLUSTER_LOCATION" AND
resource.labels.cluster_name="CLUSTER_NAME" AND
log_id("events") AND
jsonPayload.source.component="service-controller"
אירועים של Cluster Autoscaler 
resource.type="k8s_cluster" AND
resource.labels.location="CLUSTER_LOCATION" AND
resource.labels.cluster_name="CLUSTER_NAME" AND
log_id("events") AND
jsonPayload.source.component="cluster-autoscaler"

שאילתות ברמת ה-Pod

שם המסנן ביטוי
שאילתה על פוד במהלך היצירה 
resource.type="k8s_pod" AND
resource.labels.pod_name="POD_NAME" AND
log_id("events")
ה-Pod של השאילתה נסגר בגלל עומס על המשאבים 
resource.type="k8s_pod" AND
        log_id("events") AND
        jsonPayload.reason="Evicted"
אירועים של מתזמן המשימות 
resource.type="k8s_pod" AND
resource.labels.location="CLUSTER_LOCATION" AND
resource.labels.cluster_name="CLUSTER_NAME" AND
log_id("events") AND
jsonPayload.source.component="default-scheduler"
אירועי מתזמן (הפקעות) 
resource.type="k8s_pod" AND
resource.labels.location="CLUSTER_LOCATION" AND
resource.labels.cluster_name="CLUSTER_NAME" AND
log_id("events") AND
jsonPayload.source.component="default-scheduler" AND
jsonPayload.reason="Preempted"

שאילתות ברמת הצומת

שם המסנן ביטוי
אירועי צומת 
resource.type="k8s_node" AND
log_id("events")
עיון ביומנים של Kube-proxy 
resource.type="k8s_node" AND
log_id("kube-proxy")
בדיקת היומנים של dockerd 
resource.type="k8s_node" AND
log_id("container-runtime")
בדיקת שגיאות או כשלים ב-kubelet 
resource.type="k8s_node" AND
log_id("kubelet") AND
jsonPayload.MESSAGE:("error" OR "fail")
עיון ביומני הצמתים של יומני המערכת של GKE 
resource.type = "k8s_node"
logName:( "logs/container-runtime" OR
"logs/docker" OR
"logs/kube-container-runtime-monitor" OR
"logs/kube-logrotate" OR
"logs/kube-node-configuration" OR
"logs/kube-node-installation" OR
"logs/kubelet" OR
"logs/kubelet-monitor" OR
"logs/node-journal" OR
"logs/node-problem-detector")

שאילתות של מרחב שמות

שם המסנן ביטוי
יומני קונטיינרים ו-pod ליומני מערכת של GKE 
resource.type = ("k8s_container" OR "k8s_pod")
resource.labels.namespace_name = (
"cnrm-system" OR
"config-management-system" OR
"gatekeeper-system" OR
"gke-connect" OR
"gke-system" OR
"istio-system" OR
"knative-serving" OR
"monitoring-system" OR
"kube-system")

שאילתות בנוגע למאגר

שם המסנן ביטוי
יומני קונטיינרים של stdout בכל הפודים והקונטיינרים באשכול 
resource.type="k8s_container" AND
log_id("stdout")
יומני שגיאות של קונטיינרים בכל ה-pods והקונטיינרים באשכול 
resource.type="k8s_container" AND
log_id("stderr") AND
severity=ERROR
יומני שגיאות של קונטיינר של pod עם שם ספציפי 
resource.type="k8s_container" AND
resource.labels.pod_name="POD_NAME" AND
severity=ERROR
יומני שגיאות של קונטיינר ספציפי ב-pod ספציפי 
resource.type="k8s_container" AND
resource.labels.pod_name="POD_NAME" AND
resource.labels.container_name="server" AND
severity=ERROR
יומני שגיאות של קונטיינר למרחב שמות ולקונטיינר ספציפיים 
resource.type="k8s_container" AND
resource.labels.namespace_name="istio-system" AND
resource.labels.container_name="egressgateway" AND
severity=ERROR
יומני קונטיינרים של pod עם תווית ספציפית 
resource.type="k8s_container" AND
labels."k8s-pod/app"="loadgenerator" AND
severity=ERROR
יומני שגיאות של קונטיינרים לפודים שפועלים בצומת ספציפי 
resource.type="k8s_container" AND
labels."compute.googleapis.com/resource_name"="NODE_NAME" AND
severity=ERROR
יומני קונטיינר של pod עם תווית שנוצרה באמצעות skaffold 
resource.type="k8s_container" AND
labels."k8s-pod/app"="loadgenerator" AND
labels."k8s-pod/skaffold_dev/run-id"="SKAFFOLD_RUN_ID"
severity=ERROR
יומני שגיאות של קונטיינר של pod ספציפי שמכיל POST ב-textPayload 
resource.type="k8s_container" AND
resource.labels.pod_name="POD_NAME" AND
textPayload:"POST" AND
severity=ERROR
יומני שגיאות של קונטיינר של pod ספציפי שמכיל GET ב-JSON המובנה 
resource.type="k8s_container" AND
resource.labels.pod_name="POD_NAME" AND
jsonPayload."http.req.method"="GET" AND
severity=ERROR
יומני שגיאות של קונטיינרים במרחב השמות kube-system 
resource.type="k8s_container" AND
resource.labels.namespace_name="kube-system" AND
severity=ERROR
שגיאה ביומן התובנות לגבי קונטיינרים 
resource.type="k8s_container" AND
log_id("clouderrorreporting.googleapis.com/insights")
יומני קונטיינרים של Kubernetes 
resource.type="k8s_container" AND
resource.labels.container_name="CONTAINER_NAME"

שאילתות במישור הבקרה

הערה: צריך להפעיל את יומני מישור הבקרה של GKE.
שם המסנן ביטוי
יומני שרת ה-API של Kubernetes 
resource.type="k8s_control_plane_component"
resource.labels.component_name="apiserver"
resource.labels.location="CLUSTER_LOCATION"
resource.labels.cluster_name="CLUSTER_NAME"
יומני Kubernetes Scheduler 
resource.type="k8s_control_plane_component"
resource.labels.component_name="scheduler"
resource.labels.location="CLUSTER_LOCATION"
resource.labels.cluster_name="CLUSTER_NAME"
יומנים של Kubernetes Controller Manager 
resource.type="k8s_control_plane_component"
resource.labels.component_name="controller-manager"
resource.labels.location="CLUSTER_LOCATION"
resource.labels.cluster_name="CLUSTER_NAME"

שאילתות על עומסי עבודה ב-TPU

הערה: צריך להפעיל את רישום המערכת ועומסי העבודה ב-GKE.
שם המסנן ביטוי
יומני קונטיינרים של stdout בכל צומתי ה-TPU עם אותה תחילית 
resource.type="k8s_container" AND
labels."compute.googleapis.com/resource_name"=~"TPU_NODE_PREFIX.*" AND
log_id("stdout")
יומני שגיאות של קונטיינרים בכל צומתי ה-TPU עם אותה תחילית 
resource.type="k8s_container" AND
labels."compute.googleapis.com/resource_name"=~"TPU_NODE_PREFIX.*" AND
log_id("stderr") AND
severity=ERROR
יומני קונטיינר של stdout מאותו Job ב-GKE 
resource.type="k8s_container" AND
labels."k8s-pod/batch.kubernetes.io/job-name" = "JOB_NAME" AND
log_id("stdout")
יומני שגיאות של קונטיינרים מאותו GKE Job 
resource.type="k8s_container" AND
labels."k8s-pod/batch.kubernetes.io/job-name"="JOB_NAME" AND
log_id("stderr") AND
severity=ERROR
יומני קונטיינר של Stdout מאותו JobSet ב-GKE 
resource.type="k8s_container" AND
labels."k8s-pod/jobset_sigs_k8s_io/jobset-name"="JOBSET_NAME" AND
log_id("stdout")
יומני שגיאות של קונטיינרים מאותו GKE JobSet 
resource.type="k8s_container" AND
labels."k8s-pod/jobset_sigs_k8s_io/jobset-name"="JOBSET_NAME" AND
log_id("stderr") AND
severity=ERROR

שאילתות של אפליקציות צד שלישי

בשאילתות הבאות נעשה שימוש במזהי ברירת המחדל של היומנים שנאספו על ידי סוכן Logging הקודם. אם אתם אוספים יומנים באמצעות סוכן תפעול, יכול להיות ששמות היומנים מוגדרים אחרת. למידע נוסף על סוכן תפעול ועל יומני אפליקציות, קראו את המאמר איסוף יומנים מאפליקציות של צד שלישי.

שם השאילתה או המסנן ביטוי
יומני Apache 
resource.type="gce_instance" AND
(logName:"/apache-access" OR logName:"/apache-error")
יומני Cassandra 
resource.type="gce_instance" AND
log_id("cassandra")
יומני Chef 
resource.type="gce_instance" AND
logName:"projects/PROJECT_ID/logs/chef-"
יומני GitLab 
resource.type="gce_instance"
logName:"projects/PROJECT_ID/logs/gitlab-"
יומני Jenkins 
resource.type="gce_instance" AND
log_id("jenkins")
יומני Jetty 
resource.type="gce_instance" AND
logName:"projects/PROJECT_ID/logs/jetty-"
יומני Joomla 
resource.type="gce_instance" AND
log_id("joomla")
יומני מערכת של Linux 
resource.type="gce_instance" AND
log_id("syslog")
יומני Magneto 
resource.type="gce_instance" AND
logName:"projects/PROJECT_ID/logs/magneto-"
יומני MediaWiki 
resource.type="gce_instance" AND
log_id("mediawiki")
יומני memcached 
resource.type="gce_instance" AND
log_id("memcached")
יומני MongoDB 
resource.type="gce_instance" AND
log_id("mongodb")
יומני MySQL 
resource.type="gce_instance" AND
log_id("mysql")
יומני Nginx 
resource.type="gce_instance" AND
logName:"projects/PROJECT_ID/logs/nginx-"
יומני PostgreSQL 
resource.type="gce_instance" AND
log_id("postgresql")
יומני Puppet 
resource.type="gce_instance" AND
logName:"projects/PROJECT_ID/logs/puppet-"
יומני RabbitMQ 
resource.type="gce_instance" AND
logName:"projects/PROJECT_ID/logs/rabbitmq-"
יומני Redmine 
resource.type="gce_instance" AND
log_id("redmine")
יומני Salt 
resource.type="gce_instance" AND
logName:"projects/PROJECT_ID/logs/salt-"
שאילתות MySQL איטיות 
resource.type="gce_instance" AND
log_id("mysql-slow")
יומני Solr 
resource.type="gce_instance" AND
log_id("solr")
יומני SugarCRM 
resource.type="gce_instance" AND
log_id("sugarcrm")
יומני Tomcat 
resource.type="gce_instance" AND
log_id("tomcat")
יומני Zookeeper 
resource.type="gce_instance" AND
log_id("zookeeper")

שאילתות בנושא רשתות

שם השאילתה או המסנן ביטוי
חומת אש – כל היומנים 
resource.type="gce_subnetwork" AND
log_id("compute.googleapis.com/firewall")
יומני חומת אש למדינה מסוימת 
resource.type="gce_subnetwork" AND
log_id("compute.googleapis.com/firewall") AND
jsonPayload.remote_location.country=COUNTRY_ISO_ALPHA_3
יומני חומת אש ממכונה וירטואלית 
resource.type="gce_subnetwork" AND
log_id("compute.googleapis.com/firewall") AND
jsonPayload.instance.vm_name="INSTANCE_NAME"
יומני חומת אש של רשתות משנה 
resource.type="gce_subnetwork" AND
log_id("compute.googleapis.com/firewall") AND
resource.labels.subnetwork_name="SUBNET_NAME"
יומני תעבורת הנתונים ברשת המשנה של Compute Engine לרשת משנה 
resource.type="gce_subnetwork" AND
ip_in_net(jsonPayload.connection.dest_ip, "SUBNET_IP")
VPC Flow logs 
resource.type="gce_subnetwork" AND
log_id("compute.googleapis.com/vpc_flows")
יומני זרימה של VPC ליציאה ולפרוטוקול ספציפיים 
resource.type="gce_subnetwork" AND
log_id("compute.googleapis.com/vpc_flows") AND
jsonPayload.connection.src_port="PORT_ID" AND
jsonPayload.connection.protocol="PROTOCOL"
יומני זרימה של VPC לרשת משנה ספציפית 
resource.type="gce_subnetwork" AND
log_id("compute.googleapis.com/vpc_flows") AND
resource.labels.subnetwork_name="SUBNET_NAME"
יומני זרימה של VPC לתחילית ספציפית של רשת משנה 
resource.type="gce_subnetwork" AND
log_id("compute.googleapis.com/vpc_flows") AND
ip_in_net(jsonPayload.connection.dest_ip, "SUBNET_IP")
יומני זרימה של VPC למכונה וירטואלית ספציפית 
resource.type="gce_subnetwork" AND
log_id("compute.googleapis.com/vpc_flows") AND
jsonPayload.src_instance.vm_name="VM_NAME"
יומני שער VPN 
resource.type="vpn_gateway" AND
resource.labels.gateway_id="GATEWAY_ID"
שגיאות 5xx במאזן עומסים (LB) מסוג HTTP 
resource.type="http_load_balancer" AND
httpRequest.status>=500
בקשות של מאזן עומסים (LB) מסוג HTTP ל-PHPMyAdmin 
resource.type="http_load_balancer" AND
httpRequest.request_url:"phpmyadmin"

שאילתות אבטחה

שם השאילתה או המסנן ביטוי
יומני ביקורת – הכול 
logName:"cloudaudit.googleapis.com"
יומני ביקורת – Access Transparency‏ (AXT) 
log_id("cloudaudit.googleapis.com/access_transparency")
יומני ביקורת – פעילות אדמין 
log_id("cloudaudit.googleapis.com/activity")
יומני ביקורת – גישה לנתונים 
log_id("cloudaudit.googleapis.com/data_access")
יומני ביקורת – אירוע מערכת 
log_id("cloudaudit.googleapis.com/system_event")

שאילתות ב-Security Command Center

אתם יכולים להשתמש בשאילתות הבאות כדי למצוא את יומני הביקורת של Security Command Center ולבדוק או לסנן בקשות שנוצרו על ידי שירותי Security Command Center, כולל הסורק לבדיקת נקודות חולשה של External Exposure, למשל מסוכן המשתמש TsunamiSecurityScanner. מידע נוסף זמין במאמרים זיהוי תנועה של סורקים ביומנים ופתרון בעיות ב-Security Command Center.

שם השאילתה או המסנן ביטוי
בקשות של סורק לבדיקת נקודות חולשה של Security Command Center 
httpRequest.userAgent="TsunamiSecurityScanner"
בקשות סריקה של Security Command Center שנחסמו על ידי אמצעי בקרת גישה (HTTP 403) 
httpRequest.userAgent="TsunamiSecurityScanner" AND
httpRequest.status=403
החרגת בקשות של סורק נקודות החולשה של Security Command Center 
NOT httpRequest.userAgent="TsunamiSecurityScanner"
יומני הביקורת של פעילות האדמין ב-Security Command Center 
protoPayload.serviceName="securitycenter.googleapis.com" AND
log_id("cloudaudit.googleapis.com/activity")
כל יומני הביקורת של Security Command Center 
protoPayload.serviceName="securitycenter.googleapis.com"

פתרון בעיות

במאמר שימוש ב-Logs Explorer: פתרון בעיות מוסבר איך לפתור בעיות נפוצות ב-Logs Explorer.

המאמרים הבאים

למידע נוסף על תחביר השאילתות, שבאמצעותו אפשר להתאים אישית את השאילתות האלה, ראו שפת השאילתות של Logging.

מידע נוסף על שליחת שאילתות במסוף Google Cloud זמין במאמר יצירת שאילתות באמצעות שפת השאילתות של Logging.