Configure contentores de registos

Este documento descreve como criar e gerir contentores do Cloud Logging através da Google Cloud consola, da CLI Google Cloud e da API Logging. Também fornece instruções para criar e gerir contentores de registos ao Google Cloud nível do projeto. Não pode criar contentores de registos ao nível da pasta nem da organização. No entanto, o Cloud Logging cria automaticamente contentores de registos _Default e _Required ao nível da pasta e da organização para si.

Para uma vista geral conceptual dos contentores, consulte o artigo Vista geral do encaminhamento e do armazenamento: contentores de registos.

Este documento não descreve como criar um contentor de registos que use uma chave de encriptação gerida pelo cliente (CMEK). Se tiver interesse nesse tópico, consulte Configure a CMEK para o armazenamento de registos.

Antes de começar

Para começar a usar contentores, faça o seguinte:

• Configure o seu Google Cloud projeto:

  1. Verify that billing is enabled for your Google Cloud project.

  2. Para receber as autorizações de que precisa para criar, atualizar e associar um contentor de registos, peça ao seu administrador para lhe conceder a função IAM Gravador de configuração de registos (roles/logging.configWriter) no seu projeto. Para mais informações sobre a atribuição de funções, consulte o artigo Faça a gestão do acesso a projetos, pastas e organizações.

     Também pode conseguir as autorizações necessárias através de funções personalizadas ou outras funções predefinidas.

     Para ver a lista completa de autorizações e funções, consulte o artigo Controlo de acesso com a IAM.

• Compreenda as regiões suportadas nas quais pode armazenar os seus registos.

• Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  Instale a CLI Google Cloud e, em seguida, inicie sessão na CLI gcloud com a sua identidade federada. Depois de iniciar sessão, inicialize a CLI gcloud executando o seguinte comando:

  gcloud init

  REST

  Para usar os exemplos da API REST nesta página num ambiente de desenvolvimento local, usa as credenciais que fornece à CLI gcloud.

  Instale a CLI Google Cloud e, em seguida, inicie sessão na CLI gcloud com a sua identidade federada. Depois de iniciar sessão, inicialize a CLI gcloud executando o seguinte comando:

  gcloud init

  Para mais informações, consulte o artigo Autenticar para usar REST na Google Cloud documentação de autenticação.

  Se planeia usar a CLI Google Cloud ou a API Cloud Logging para criar ou gerir os seus contentores de registos, compreenda os requisitos de formatação LogBucket.

Crie um contentor

Pode criar um máximo de 100 contentores por Google Cloud projeto.

Para criar um contentor de registos definido pelo utilizador para o seu Google Cloud projeto, faça o seguinte:

gcloud logging buckets create BUCKET_ID --location=LOCATION

gcloud logging buckets create my-bucket --location global --description "My first bucket"

Depois de criar um contentor, crie um destino para encaminhar as entradas de registo para o seu contentor e configure as visualizações de registos para controlar quem pode aceder aos registos no seu novo contentor e a que registos têm acesso. Também pode atualizar o contentor para configurar a retenção personalizada e os campos restritos.

Faça a gestão dos contentores

Esta secção descreve como gerir os contentores de registos através da CLI Google Cloud ou da Google Cloud consola.

Atualize um contentor

gcloud logging buckets update BUCKET_ID --location=LOCATION UPDATED_ATTRIBUTES

gcloud logging buckets update my-bucket --location=global --description "Updated description"

Bloqueie um contentor

Quando bloqueia um contentor contra atualizações, também bloqueia a política de retenção do contentor. Depois de uma política de retenção ser bloqueada, não pode eliminar o contentor até que todas as entradas de registo no contentor tenham cumprido o período de retenção do contentor. Se quiser evitar a eliminação acidental de um projeto que contenha um contentor de registos bloqueado, adicione uma restrição ao projeto. Para saber mais, consulte o artigo Proteger projetos com hipotecas.

Para impedir que alguém atualize ou elimine um contentor de registos, bloqueie o contentor. Para bloquear o contentor, faça o seguinte:

gcloud logging buckets update BUCKET_ID --location=LOCATION --locked

gcloud logging buckets update my-bucket --location=global --locked

Listar contentores

Para listar os contentores de registos associados a um Google Cloud projeto e ver detalhes como as definições de retenção, faça o seguinte:

gcloud logging buckets list

gcloud logging buckets describe _Default --location=global

Veja os detalhes de um depósito

Para ver os detalhes de um único contentor de registos, faça o seguinte:

gcloud logging buckets describe _Default --location=global

Elimine um contentor

Pode eliminar contentores de registos que satisfaçam uma das seguintes condições:

• O contentor de registos está desbloqueado.
• O contentor de registos está bloqueado e todas as entradas de registo no contentor de registos cumpriram o período de retenção do contentor.

Não pode eliminar um contentor de registos bloqueado contra atualizações quando esse contentor de registos armazena entradas de registo que não cumpriram o período de retenção do contentor.

Depois de emitir o comando de eliminação, o contentor de registos passa para o estado DELETE_REQUESTED e permanece nesse estado durante 7 dias. Durante este período, o Logging continua a encaminhar os registos para o contentor de registos. Pode parar o encaminhamento de registos para o contentor de registos eliminando ou modificando os destinos de registos que encaminham entradas de registos para o contentor.

Não pode criar um novo contentor de registos que use o mesmo nome de um contentor de registos que esteja no estado DELETE_REQUESTED.

Para eliminar um contentor de registos, faça o seguinte:

gcloud logging buckets delete BUCKET_ID --location=LOCATION

Restaure um contentor eliminado

Pode restaurar ou anular a eliminação de um contentor de registos que esteja no estado de eliminação pendente. Para restaurar um contentor de registos, faça o seguinte:

gcloud logging buckets undelete BUCKET_ID --location=LOCATION

Escreva num contentor

Não escreve diretamente registos num contentor de registo. Em vez disso, escreve registos num Google Cloud recurso: um Google Cloud projeto, uma pasta ou uma organização. Em seguida, os destinos no recurso principal encaminham os registos para destinos, incluindo contentores de registos. Um destino encaminha os registos para um contentor de registos quando os registos correspondem ao filtro do destino e o destino tem autorização para encaminhar os registos para o contentor de registos.

Leia a partir de um contentor

Cada contentor de registos tem um conjunto de vistas de registos. Para ler registos de um contentor de registo, precisa de acesso a uma visualização de registos no contentor de registo. As visualizações de registos permitem-lhe conceder a um utilizador acesso apenas a um subconjunto dos registos armazenados num contentor de registos. Para obter informações sobre como configurar visualizações de registos e como conceder acesso a visualizações de registos específicas, consulte o artigo Configure visualizações de registos num contentor de registos.

Para ler registos de um contentor de registos, faça o seguinte:

gcloud logging read LOG_FILTER --bucket=BUCKET_ID --location=LOCATION --view=LOG_VIEW_ID

Para obter informações detalhadas sobre a sintaxe de filtragem, consulte o artigo Linguagem de consulta de registo.

Configure a retenção personalizada

Quando cria um contentor de registos, tem a opção de personalizar o período durante o qual o Cloud Logging armazena os registos do contentor. Pode configurar o período de retenção para qualquer contentor de registos definido pelo utilizador e também para o contentor de registos _Default. Não pode alterar o período de retenção do contentor de registos _Required.

Se reduzir a retenção de um contentor, existe um período de tolerância de 7 dias durante o qual os registos expirados não são eliminados. Não pode consultar nem ver esses registos expirados, mas, nesses 7 dias, pode restaurar o acesso total prolongando a retenção do contentor. Os registos armazenados durante o período de tolerância contam para os seus custos de retenção.

Para atualizar o período de retenção de um contentor de registos personalizado ou do contentor de registos _Default, faça o seguinte:

gcloud logging buckets update BUCKET_ID  --location=LOCATION --retention-days=RETENTION_DAYS

gcloud logging buckets update _Default --location=global --retention-days=365

Se prolongar o período de retenção de um contentor, as regras de retenção aplicam-se a partir desse momento e não retroativamente. Não é possível recuperar os registos após o período de retenção aplicável terminar.

Resolva problemas comuns

Se tiver problemas ao usar contentores de registos, consulte os seguintes passos de resolução de problemas e respostas a perguntas comuns.

Por que motivo não consigo eliminar este contentor?

Se estiver a tentar eliminar um contentor, faça o seguinte:

• Verifique se tem as autorizações corretas para eliminar o contentor. Para ver a lista das autorizações de que precisa, consulte o artigo Controlo de acesso com a IAM.

• Determine se o contentor está bloqueado listando os atributos do contentor. Se o contentor estiver bloqueado, verifique o período de retenção do contentor. Não é possível eliminar um contentor bloqueado até que todos os registos no contentor tenham cumprido o período de retenção do contentor.

Que contas de serviço estão a encaminhar registos para o meu contentor?

Para determinar se alguma conta de serviço tem autorizações da IAM para encaminhar registos para o seu contentor, faça o seguinte:

1. Na Google Cloud consola, aceda à página IAM:

   Aceda ao IAM

   Se usar a barra de pesquisa para encontrar esta página, selecione o resultado cujo subtítulo é IAM e administração.

2. No separador Autorizações, veja por Funções. É apresentada uma tabela com todas as funções e os principais da IAM associados ao seuGoogle Cloud projeto.

3. Na caixa de texto Filtro da tabela filter_list, introduza Logs Bucket Writer.

   Verá todos os principais com a função Logs Bucket Writer. Se um principal for uma conta de serviço, o respetivo ID contém a string .

4. Opcional: se quiser impedir que uma conta de serviço encaminhe registos para o seu projeto Google Cloud , selecione a caixa de verificação check_box_outline_blank da conta de serviço e clique em Remover.