Logeinträge speichern

Cloud Logging verwendet Container, die als Log-Buckets bezeichnet werden, um Ihre Logdaten zu speichern und zu organisieren. Wenn Sie wissen, wie vom System erstellte und benutzerdefinierte Log-Buckets funktionieren, können Sie die Datenaufbewahrung, regionale Speicherorte, Verschlüsselungsschlüssel und IAM-Zugriffssteuerungen (Identity and Access Management) konfigurieren. Für Organisationen und Ordner können Sie auch Organisationsrichtlinien und Standardressourceneinstellungen für Cloud Logging verwenden, um Standort- und Verschlüsselungsanforderungen für neue Log-Buckets zu erzwingen.

Log-Buckets

In Cloud Logging werden inaktive Kundendaten verschlüsselt. In Log-Buckets von Logging gespeicherte Daten werden mit Schlüsselverschlüsselungsschlüsseln verschlüsselt. Dieser Vorgang wird als Envelope-Verschlüsselung bezeichnet. Der Zugriff auf Ihre Logging-Daten erfordert den Zugriff auf diese Schlüsselverschlüsselungsschlüssel.

Log-Buckets sind regionale Ressourcen mit einem festen Standort und werden entweder mit einem kundenverwalteten Verschlüsselungsschlüssel (CMEK) oder einemGoogle-owned and Google-managed encryption keyverschlüsselt. Nachdem ein Log-Bucket erstellt wurde, können Sie seinen Standort oder die Verwaltung seines Verschlüsselungsschlüssels nicht mehr ändern. Google Cloud verwaltet die Infrastruktur, sodass Ihre Logdaten redundant in den Zonen innerhalb dieser Region verfügbar sind.

In Ihrer Organisation gelten möglicherweise Compliance-, behördliche oder Sicherheitsanforderungen, die festlegen, wo sich Log-Buckets befinden und ob sie CMEK verwenden. Informationen zum Erzwingen dieser Anforderungen in einer Organisation oder einem Ordner finden Sie unter Unterstützung für Organisationen und Ordner.

Die Aufbewahrungsdauer für die in einem Log-Bucket gespeicherten Daten hängt vom Typ des Log-Buckets ab. Die Aufbewahrungsdauer für den Log-Bucket _Required ist fest, während Sie für den Log-Bucket _Default und für benutzerdefinierte Log-Buckets eine benutzerdefinierte Aufbewahrung konfigurieren können.

Sie können Logansichten für einen Log-Bucket erstellen. Eine Logansicht bietet nur Zugriff auf einen Teil der Logdaten, die in einem Log-Bucket gespeichert sind. Cloud Logging erstellt für jeden Log-Bucket automatisch die Ansicht _AllLogs, die Zugriff auf jeden Logeintrag im Log-Bucket bietet. Sie steuern den Zugriff auf eine Logansicht mithilfe von IAM.

Wenn Sie Ihre Logdaten abfragen und ansehen möchten, verwenden Sie die Seiten Log-Explorer oder Observability Analytics der Google Cloud Console:

  • Auf der Seite Log-Explorer können Sie Fehler beheben und die Leistung Ihrer Dienste und Anwendungen analysieren. Sie können sich einzelne Logeinträge ansehen und Ihre Logdaten filtern. Diese Oberfläche hat eine Bereichseinstellung, mit der Sie nach Logdaten nach Projekt, Log-Bucket oder Logansicht suchen können.

  • Die Seite Observability Analytics bietet eine SQL-Schnittstelle, mit der Sie aggregierte Analysen Ihrer Logdaten durchführen können, die in einem Log-Bucket gespeichert sind, der für die Verwendung von Analysen aktualisiert wurde. Sie können diese Oberfläche beispielsweise verwenden, um Trends zu berechnen und in Diagrammen darzustellen. Sie können Logansichten und Analyseansichten abfragen.

Weitere Informationen finden Sie unter Logeinträge abfragen und ansehen.

Vom System erstellte Log-Buckets

Wenn das System ein Google Cloud Projekt, Rechnungskonto, einen Ordner oder eine Organisation erstellt, erstellt Logging zwei Log-Buckets, einen mit dem Namen _Required und einen mit dem Namen _Default:

  • Standort: Cloud Logging wählt den Standort dieser Buckets aus, sofern keine Standardressourceneinstellungen für Cloud Logging konfiguriert sind. Sie können den Standort nach dem Erstellen der Buckets nicht mehr ändern.

  • Verschlüsselung: Diese Buckets verwendenGoogle-owned and Google-managed encryption keys , sofern in den Standardressourceneinstellungen für Cloud Logging kein CMEK angegeben ist. Diese Konfiguration kann nach dem Erstellen der Buckets nicht mehr geändert werden.

Sie können die vom System erstellten Log-Buckets nicht löschen.

Sie können vom System erstellte Log-Buckets upgraden, um Analysen zu verwenden. Mit diesem Upgrade können Sie Ihre Logdaten über die Seite Observability Analytics abfragen, die SQL unterstützt.

_Required Log-Bucket

Im Log-Bucket _Required werden Logeinträge gespeichert, die für Compliance- oder Prüfzwecke erforderlich sind. Aus diesem Grund können Sie diesen Log-Bucket nicht löschen und nicht ändern, welche Logeinträge in diesem Log-Bucket gespeichert werden. Logeinträge in diesem Log-Bucket werden 400 Tage lang aufbewahrt. Diese Aufbewahrungsdauer kann nicht geändert werden.

Die Logeinträge, die im Log-Bucket _Required für eine Ressource gespeichert sind, stammen ebenfalls aus dieser Ressource. Das bedeutet, dass der Log-Bucket _Required in einem Projekt von Google Cloud nur Logeinträge speichern kann, die aus diesem Projekt stammen.

Im Log-Bucket _Required werden die folgenden Arten von Logeinträgen gespeichert:

_Default Log-Bucket

Im Log-Bucket _Default werden Logeinträge gespeichert, die nicht automatisch im Log-Bucket _Required gespeichert werden. Da der Log-Bucket _Default vom System erstellt wurde, können Sie ihn nicht löschen. Sie können jedoch ändern, welche Logeinträge in diesem Log-Bucket gespeichert werden.

Cloud Logging speichert die Logeinträge im Bucket _Default 30 Tage lang, sofern Sie keine benutzerdefinierte Aufbewahrung für den Bucket konfigurieren.

In diesem Log-Bucket werden beispielsweise die folgenden Arten von Logeinträgen gespeichert:

Benutzerdefinierte Log-Buckets

Sie können in jedemGoogle Cloud -Projekt benutzerdefinierte Log-Buckets erstellen. Wenn Sie einen benutzerdefinierten Log-Bucket erstellen, wählen Sie den Standort aus und legen die Datenaufbewahrungsdauer fest. Sie haben die Möglichkeit, einen CMEK anzugeben.

Sie können benutzerdefinierte Log-Buckets upgraden, um Analysen zu verwenden. Mit diesem Upgrade können Sie Ihre Logdaten über die Seite Observability Analytics abfragen, die SQL unterstützt.

Sie können benutzerdefinierte Log-Buckets ändern und löschen. Um das Löschen eines Log-Buckets zu verhindern, können Sie den Log-Bucket gegen Aktualisierungen sperren. Das Sperren eines Log-Buckets kann nicht rückgängig gemacht werden. Wenn Sie einen Log-Bucket sperren, können Sie ihn nicht löschen.

Unterstützung für Organisationen und Ordner

Damit Ihre Organisation die Compliance- und regulatorischen Anforderungen erfüllen kann, unterstützt Logging sowohl Standardressourceneinstellungen als auch Organisationsrichtlinien:

Zugriff auf einen Log-Bucket steuern

Der Zugriff auf Logdaten wird über IAM-Berechtigungen und -Rollen gesteuert. Sie haben beispielsweise folgende Möglichkeiten:

  • Lese- und Bearbeitungszugriff auf einen Log-Bucket gewähren.
  • Mithilfe von Tags können Sie einer Gruppe Bearbeitungszugriff auf einen Log-Bucket gewähren.
  • Sie können den Zugriff auf bestimmte Felder in einem Logeintrag steuern, indem Sie den Zugriff auf Feldebene für einen Log-Bucket konfigurieren.

  • Gewähren Sie Zugriff auf eine Teilmenge von Logeinträgen in einem Log-Bucket, indem Sie eine Logansicht für diesen Log-Bucket erstellen.

    Jeder Log-Bucket hat eine Standard-Logansicht, die in der Regel jeden Logeintrag im Log-Bucket enthält. Für den Log-Bucket _Default werden in der Standard-Logansicht keine Audit-Logeinträge zum Datenzugriff angezeigt.

Wenn Sie einem Nutzer die Berechtigungen zum Aufrufen und Analysieren von Logeinträgen gewähren möchten, weisen Sie ihm in der Regel eine der folgenden IAM-Rollen zu:

  • Rolle Log-Betrachter (roles/logging.viewer): Gewährt Zugriff auf alle Logeinträge im Bucket _Required und Zugriff auf die Standard-Logansicht im Bucket _Default.

  • Rolle Betrachter privater Logs (roles/logging.privateLogViewer): Gewährt Zugriff auf alle Logs in den Buckets _Required und _Default, einschließlich Audit-Logs zum Datenzugriff.

Wenn Sie benutzerdefinierte Log-Buckets oder Logansichten für Log-Buckets erstellen, sind zusätzliche Berechtigungen erforderlich. Weitere Informationen zu Rollen finden Sie unter Zugriffssteuerung mit IAM.

Liste der unterstützten Regionen

Log-Buckets sind regionale Ressourcen. Die Infrastruktur, in der Ihre Logeinträge gespeichert, indexiert und durchsucht werden, befindet sich an einem bestimmten geografischen Standort. Mit Ausnahme von Log-Buckets in den Regionen global, eu oder us verwaltet Google Cloud die Infrastruktur so, dass Ihre Logdaten in den Zonen innerhalb der Region des Log-Buckets redundant verfügbar sind.

Die folgenden Regionen werden von Cloud Logging unterstützt:

Global

Name der Region Beschreibung der Region
global

Logs, die in Rechenzentren auf der ganzen Welt gespeichert sind. Logs können in andere Rechenzentren verschoben werden. Im Gegensatz zu anderen globalen Ressourcen in Google Cloud bieten globale Log-Buckets in Cloud Logging keine zusätzlichen Redundanzgarantien im Vergleich zu einem regionalen Log-Bucket.

Multiregional: EU und USA

Name der Region Beschreibung der Region
eu

Logs, die in Rechenzentren in der Europäischen Union gespeichert sind. Logs können in andere Rechenzentren verschoben werden. Keine zusätzlichen Garantien für Redundanz.
us

Logs, die in Rechenzentren in den USA gespeichert sind. Logs können in andere Rechenzentren verschoben werden. Keine zusätzlichen Garantien für Redundanz.

Afrika

Name der Region Beschreibung der Region
africa-south1 Johannesburg

Nord- und Südamerika

Name der Region Beschreibung der Region
northamerica-northeast1 Montréal
northamerica-northeast2 Toronto
northamerica-south1 Mexiko
southamerica-east1 São Paulo
southamerica-west1 Santiago
us-central1 Iowa
us-east1 South Carolina
us-east4 North Virginia
us-east5 Columbus
us-south1 Dallas
us-west1 Oregon
us-west2 Los Angeles
us-west3 Salt Lake City
us-west4 Las Vegas

Asiatisch-pazifischer Raum

Name der Region Beschreibung der Region
asia-east1 Taiwan
asia-east2 Hongkong
asia-northeast1 Tokio
asia-northeast2 Osaka
asia-northeast3 Seoul
asia-south1 Mumbai
asia-south2 Delhi
asia-southeast1 Singapur
asia-southeast2 Jakarta
asia-southeast3 Bangkok
australia-southeast1 Sydney
australia-southeast2 Melbourne

Europa

Name der Region Beschreibung der Region
europe-central2 Warschau
europe-north1 Finnland
europe-north2 Stockholm
europe-southwest1 Madrid
europe-west1 Belgien
europe-west2 London
europe-west3 Frankfurt
europe-west4 Niederlande
europe-west6 Zürich
europe-west8 Mailand
europe-west9 Paris
europe-west10 Berlin
europe-west12 Turin

Naher Osten

Name der Region Beschreibung der Region
me-central1 Doha
me-central2 Dammam
me-west1 Tel Aviv

Nächste Schritte