Enruta registros a destinos compatibles.

Console

1. En la consola de Google Cloud, ve a la página Enrutador de registros:

   Ir a Enrutador de registros

   Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuyo subtítulo es Logging.

2. Selecciona el proyecto de Google Cloud en el que se originan las entradas de registro que deseas enrutar.

   Por ejemplo, si deseas enrutar tus entradas de registro de acceso a los datos del proyecto llamado Project-A a un bucket de registros en el proyecto llamado Project-B, selecciona Project-A.

3. Selecciona Crear receptor.

4. En el panel Detalles del receptor, ingresa los siguientes detalles:

   • Nombre del receptor: Proporciona un identificador para el receptor. Ten en cuenta que, después de crearlo, no podrás cambiarle el nombre, pero sí borrarlo y crear uno nuevo.

   • Descripción del sumidero (opcional): Describe el propósito o el caso de uso del sumidero.

5. En el panel Destino del receptor, selecciona el servicio de receptor y el destino con el menú Selecciona el servicio de receptor. Realiza una de las siguientes acciones:

   • Para enrutar entradas de registro a un servicio que se encuentra en el mismo proyecto de Google Cloud, selecciona una de las siguientes opciones:

     • Bucket de Cloud Logging: Selecciona o crea un bucket de registro.
     • Conjunto de datos de BigQuery: Selecciona o crea el conjunto de datos con permisos de escritura para recibir las entradas de registro enrutadas. También tienes la opción de usar tablas particionadas.
     • Bucket de Cloud Storage: Selecciona o crea el bucket de Cloud Storage en particular para recibir las entradas de registro enrutadas.
     • Tema de Pub/Sub: Selecciona o crea el tema específico para recibir las entradas de registro enrutadas.
     • Splunk: Selecciona el tema de Pub/Sub para tu servicio de Splunk.

   • Para enrutar las entradas de registro a un proyecto de Google Cloud diferente, selecciona Proyecto de Google Cloud y, luego, ingresa el nombre cualificado del destino. Para obtener información sobre la sintaxis, consulta los formatos de ruta de destino.

   • Para enrutar entradas de registro a un servicio que se encuentra en un proyecto de Google Cloud diferente, haz lo siguiente:

     1. Selecciona Otro recurso.
     2. Ingresa el nombre completamente calificado del destino. Para obtener información sobre la sintaxis, consulta los formatos de ruta de acceso de destino.

6. Especifica las entradas de registro que deseas incluir:

   1. Ve al panel Elige registros para incluirlos en el receptor.

   2. En el campo Build inclusion filter, ingresa una expresión de filtro que coincida con las entradas de registro que deseas incluir. Para obtener más información sobre la sintaxis para escribir filtros, consulta Lenguaje de consulta de Logging.

      Si no configuras un filtro, todas las entradas de registro del recurso seleccionado se enrutan al destino.

      Por ejemplo, para enrutar todas las entradas de registro de acceso a los datos a un bucket de registro, puedes usar el siguiente filtro:

      log_id("cloudaudit.googleapis.com/data_access") OR log_id("externalaudit.googleapis.com/data_access")
      

      La longitud de un filtro no puede superar los 20,000 caracteres.

   3. Para verificar que ingresaste el filtro correcto, selecciona Obtener vista previa de los registros. El Explorador de registros se abrirá en una pestaña nueva con el filtro prepropagado.

7. (Opcional) Configura un filtro de exclusión para eliminar algunas de las entradas de registro incluidas:

   1. Ve al panel Elige registros para filtrar fuera del receptor.

   2. En el campo Nombre de filtro de exclusión, ingresa un nombre.

   3. En el campo Crea un filtro de exclusión, ingresa una expresión de filtro que coincida con las entradas de registro que deseas excluir. También puedes usar la función sample para seleccionar una parte de las entradas de registro que deseas excluir.

   Puedes crear hasta 50 filtros de exclusión por sink. Ten en cuenta que la longitud de un filtro no puede superar los 20,000 caracteres.

8. Selecciona Crear receptor.

9. Otorga a la cuenta de servicio del receptor el permiso para escribir entradas de registro en el destino del receptor. Para obtener más información, consulta Configura los permisos de destino.

gcloud

Para crear un receptor, haz lo siguiente:

1. Ejecuta el siguiente comando gcloud logging sinks create:

   gcloud logging sinks create SINK_NAME SINK_DESTINATION
   

   Antes de ejecutar el comando, realiza los siguientes reemplazos:

   • SINK_NAME: Es el nombre del receptor de registros. No puedes cambiar el nombre de un sumidero después de crearlo.

   • SINK_DESTINATION: Es el servicio o proyecto al que deseas que se enruten tus entradas de registro. Establece SINK_DESTINATION con la ruta de acceso adecuada, como se describe en Formatos de ruta de acceso de destino.

     Por ejemplo, si el destino del receptor es un tema de Pub/Sub, SINK_DESTINATION se verá de la siguiente manera:

     pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID
     

   También puedes proporcionar las siguientes opciones:

   • --log-filter : Usa esta opción para establecer un filtro que coincida con las entradas de registro que deseas incluir en tu receptor. Si no proporcionas un valor para el filtro de inclusión, este coincidirá con todas las entradas de registro.
   • --exclusion: Usa esta opción para establecer un filtro de exclusión para las entradas de registro que deseas excluir del enrutamiento de tu receptor. También puedes usar la función sample para seleccionar una parte de las entradas de registro que deseas excluir. Esta opción se puede repetir. Puedes crear hasta 50 filtros de exclusión por receptor.
   • --description: Usa esta opción para describir el propósito o el caso de uso del sumidero.

   Por ejemplo, para crear un receptor a un bucket de Logging, tu comando podría verse de la siguiente manera:

   gcloud logging sinks create my-sink logging.googleapis.com/projects/myproject123/locations/global/buckets/my-bucket \
    --log-filter='logName="projects/myproject123/logs/matched"' --description="My first sink"
   

   Para obtener más información sobre cómo crear sumideros con Google Cloud CLI, consulta la referencia de gcloud logging sinks.

2. Si la respuesta del comando contiene una clave JSON etiquetada como "writerIdentity", otorga a la cuenta de servicio del receptor el permiso para escribir en el destino del receptor. Para obtener más información, consulta Configura los permisos de destino.

   No necesitas establecer permisos de destino cuando la respuesta no contiene una clave JSON etiquetada como "writerIdentity".

REST

1. Para crear un receptor de registros en tu proyecto de Google Cloud, usa projects.sinks.create en la API de Logging. En el objeto LogSink, proporciona los valores obligatorios adecuados en el cuerpo de la solicitud del método:

   • name: Es un identificador para el receptor. Ten en cuenta que, después de crear el sink, no puedes cambiarle el nombre, pero puedes borrarlo y crear uno nuevo.

   • destination: Es el servicio y el destino al que deseas que se enruten tus entradas de registro. Para enrutar entradas de registro a un proyecto diferente o a un destino que se encuentra en otro proyecto, configura el campo destination con la ruta de acceso adecuada, como se describe en Formatos de ruta de acceso de destino.

     Por ejemplo, si el destino del receptor es un tema de Pub/Sub, destination se verá de la siguiente manera:

     pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID
     

2. En el objeto LogSink, proporciona la información opcional adecuada:

   • filter : Establece el campo filter para que coincida con las entradas de registro que deseas incluir en tu sink. Si no configuras un filtro, todas las entradas de registro de tu proyecto de Google Cloud se enrutan al destino. Ten en cuenta que la longitud de un filtro no puede superar los 20,000 caracteres.
   • exclusions: Configura este campo para que coincida con las entradas de registro que deseas excluir de tu receptor. También puedes usar la función sample para seleccionar una parte de las entradas de registro que deseas excluir. Puedes crear hasta 50 filtros de exclusión por receptor.
   • description: Establece este campo para describir el propósito o el caso de uso del sumidero.

3. Llama a projects.sinks.create para crear el receptor.

4. Si la respuesta de la API contiene una clave JSON etiquetada como "writerIdentity", otorga a la cuenta de servicio del destino el permiso para escribir en el destino. Para obtener más información, consulta Configura los permisos de destino.

   No necesitas establecer permisos de destino cuando la respuesta de la API no contiene una clave JSON etiquetada como "writerIdentity".

Para obtener más información sobre cómo crear receptores con la API de Logging, consulta la referencia de LogSink.

Console

1. En la consola de Google Cloud, ve a la página Enrutador de registros:

   Ir a Enrutador de registros

   Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuyo subtítulo es Logging.

2. En la barra de herramientas, selecciona el recurso que contiene tu sink. El recurso puede ser un proyecto, una carpeta, una organización o una cuenta de facturación.

En la página Enrutador de registros, se muestran los receptores en el recurso seleccionado. Cada fila de la tabla contiene información sobre las propiedades de un receptor:

• Habilitado: Indica si el estado del receptor está habilitado o inhabilitado.
• Tipo: Es el servicio de destino del receptor; por ejemplo, Cloud Logging bucket.
• Nombre: Es el identificador del receptor, tal como se proporcionó cuando se creó, por ejemplo, _Default.
• Descripción: Es la descripción del receptor, tal como se proporcionó cuando se creó.
• Destination: Es el nombre completo del destino al que se envían las entradas de registro enrutadas.
• Created: La fecha y hora de creación del sumidero.
• Última actualización: Es la fecha y hora en que se editó el sumidero por última vez.

Para cada fila de la tabla, el menú Más acciones de more_vert proporciona las siguientes opciones:

• Ver detalles del receptor: Muestra el nombre, la descripción, el servicio de destino, el destino y los filtros de inclusión y exclusión del receptor. Si seleccionas Editar, se abrirá el panel Editar receptor.
• Editar receptor: Abre un panel de Editar receptor en el que puedes actualizar los parámetros del receptor.
• Inhabilitar el receptor: Te permite inhabilitar el receptor y dejar de enrutar entradas de registro al destino del receptor. Para obtener más información sobre cómo inhabilitar los sinks, consulta Cómo dejar de almacenar registros en buckets de registros.
• Habilitar el receptor: te permite habilitar un receptor inhabilitado y reiniciar las entradas de registro de enrutamiento al destino del receptor.
• Borrar receptor: Te permite borrar el receptor y detener el enrutamiento de las entradas de registro al destino del receptor.
• Solucionar problemas del receptor: Abre el Explorador de registros, en el que puedes solucionar problemas del receptor.
• Visualiza las tasas de error y el volumen de registro del receptor: Abre el Explorador de métricas, en el que puedes ver y analizar los datos del receptor.

Para ordenar la tabla por una columna, selecciona el nombre de la columna.

gcloud

• Para ver la lista de receptores de tu proyecto de Google Cloud, usa el comando gcloud logging sinks list, que corresponde al método de la API de Logging projects.sinks.list:

  gcloud logging sinks list
  

  Para ver tu lista de sumideros agregados, usa la opción adecuada para especificar el recurso que contiene el sumidero. Por ejemplo, si creaste el receptor a nivel de la organización, usa la opción --organization=ORGANIZATION_ID para enumerar los receptores de la organización.

• Para describir un receptor, usa el comando gcloud logging sinks describe, que corresponde al método de la API de Logging projects.sinks.get:

  gcloud logging sinks describe SINK_NAME
  

• Para actualizar un receptor, usa el comando gcloud logging sinks update, que corresponde al método de la API projects.sink.update.

  Puedes actualizar un receptor para cambiar el destino, los filtros y la descripción, o bien inhabilitarlo o volver a habilitarlo:

  gcloud logging sinks update SINK_NAME NEW_DESTINATION --log-filter=NEW_FILTER

  Omite NEW_DESTINATION o --log-filter si esas partes no cambian.

  Por ejemplo, para actualizar el destino de tu sink llamado my-project-sink a un nuevo destino de bucket de Cloud Storage llamado my-second-gcs-bucket, el comando se verá de la siguiente manera:

  gcloud logging sinks update  my-project-sink storage.googleapis.com/my-second-gcs-bucket
  

• Para inhabilitar un receptor, usa el comando gcloud logging sinks update, que corresponde al método de la API projects.sink.update, y agrega la opción --disabled:

  gcloud logging sinks update SINK_NAME --disabled
  

  Para volver a habilitar el sumidero, usa el comando gcloud logging sinks update, quita la opción --disabled y agrega la opción --no-disabled:

  gcloud logging sinks update SINK_NAME --no-disabled
  

• Para borrar un receptor, usa el comando gcloud logging sinks delete, que corresponde al método de la API projects.sinks.delete:

  gcloud logging sinks delete SINK_NAME
  

  Para obtener más información sobre cómo administrar los sumideros con Google Cloud CLI, consulta la referencia de gcloud logging sinks.

REST

• Para ver los receptores de tu proyecto de Google Cloud, llama a projects.sinks.list.

• Para ver los detalles de un receptor, llama a projects.sinks.get.

• Para actualizar un receptor, llama a projects.sink.update.

  Puedes actualizar el destino, los filtros y la descripción de un sumidero. También puedes inhabilitar o volver a habilitar el receptor.

• Para inhabilitar un sumidero, configura el campo disabled en el objeto LogSink como true y, luego, llama a projects.sink.update.

  Para volver a habilitar el sink, configura el campo disabled en el objeto LogSink como false y, luego, llama a projects.sink.update.

• Para borrar un sumidero, llama a projects.sinks.delete.

  Para obtener más información sobre cómo administrar los sumideros con la API de Logging, consulta la referencia de LogSink.

Console

1. En la consola de Google Cloud, ve a la página Enrutador de registros:

   Ir a Enrutador de registros

   Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuyo subtítulo es Logging.

2. Para encontrar todos los receptores que enrutan las entradas de registro al bucket de registros _Default, filtra los receptores por destino y, luego, ingresa _Default.

3. Para cada receptor, selecciona more_vert Menú y, luego, Inhabilitar receptor.

   Los receptores ahora están inhabilitados y los del proyecto de Google Cloud ya no reciben entradas de registro de ruta en el bucket _Default.

Para volver a habilitar un receptor inhabilitado y reiniciar las entradas de registro de enrutamiento al destino del receptor, haz lo siguiente:

1. En la consola de Google Cloud, ve a la página Enrutador de registros:

   Ir a Enrutador de registros

   Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuyo subtítulo es Logging.

2. Para encontrar todos los receptores que enrutan las entradas de registro al bucket de registros _Default, filtra los receptores por destino y, luego, ingresa _Default.
3. Para cada receptor, selecciona more_vert Menú y, luego, Habilitar receptor.

gcloud

1. Para ver la lista de receptores de tu proyecto de Google Cloud, usa el comando gcloud logging sinks list, que corresponde al método de la API de Logging projects.sinks.list:

   gcloud logging sinks list
   

2. Identifica los receptores que se enrutan al bucket de registros _Default. Para describir un receptor, incluido ver el nombre de destino, usa el comando gcloud logging sinks describe, que corresponde al método de la API de Logging projects.sinks.get:

   gcloud logging sinks describe SINK_NAME
   

3. Ejecuta el comando gcloud logging sinks update y, además, incluye la opción --disabled. Por ejemplo, para inhabilitar el receptor _Default, usa el siguiente comando:

   gcloud logging sinks update _Default  --disabled
   

   El receptor _Default ahora está inhabilitado y ya no enruta las entradas de registro al bucket de registros _Default.

Para inhabilitar los otros receptores de tu proyecto de Google Cloud que se enrutan al bucket _Default, repite los pasos anteriores.

Para volver a habilitar un sumidero, usa el comando gcloud logging sinks update, quita la opción --disabled y agrega la opción --no-disabled:

gcloud logging sinks update _Default  --no-disabled

REST

1. Para ver los receptores de tu proyecto de Google Cloud, llama al método de la API de Logging projects.sinks.list.

   Identifica los sumideros que se enrutan al bucket _Default.

2. Por ejemplo, para inhabilitar el sumidero _Default, configura el campo disabled en el objeto LogSink como true y, luego, llama a projects.sink.update.

   El receptor _Default ahora está inhabilitado y ya no enruta las entradas de registro al bucket _Default.

Para inhabilitar los otros receptores de tu proyecto de Google Cloud que se enrutan al bucket _Default, repite los pasos anteriores.

Para volver a habilitar un sumidero, configura el campo disabled en el objeto LogSink como false y, luego, llama a projects.sink.update.

Console

1. Asegúrate de tener acceso de propietario en el proyecto de Google Cloud que contiene el destino. Si no tienes acceso de Propietario al destino del sumidero, pídele al propietario del proyecto que agregue la identidad del escritor como principal.

2. Para obtener la identidad de escritor del receptor nuevo, que es una dirección de correo electrónico, haz lo siguiente:

   1. En la consola de Google Cloud, ve a la página Enrutador de registros:

      Ir a Enrutador de registros

      Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuyo subtítulo es Logging.

   2. En la barra de herramientas, selecciona el proyecto que contiene el sumidero.
   3. Selecciona more_vert Menú y, luego, Ver detalles del receptor. La identidad de escritor aparece en el panel Detalles del receptor.

3. Si el valor del campo writerIdentity contiene una dirección de correo electrónico, continúa con el siguiente paso. Cuando el valor es None, no es necesario configurar los permisos de destino para el receptor.

4. Copia la identidad de escritor del receptor en el portapapeles.

5. Si el destino es un servicio en un proyecto diferente o si es otro proyecto, selecciona el proyecto de destino en la barra de herramientas.

6. Agrega la cuenta de servicio como principal de IAM en el proyecto de destino:

   1. En la consola de Google Cloud, ve a la página IAM:

      Ir a IAM

      Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuyo subtítulo es IAM y administrador.

   2. Selecciona el proyecto de destino.

   3. Haz clic en person_addGrant access.

   4. Otorga a la cuenta de servicio el rol de IAM necesario:

      • Para los destinos de Cloud Storage, agrega la identidad de escritor del receptor como principal con IAM y, luego, asígnale el rol de creador de objetos de almacenamiento (roles/storage.objectCreator).
      • Para los destinos de BigQuery, agrega la identidad de escritor del receptor como principal con IAM y, luego, asígnale el rol de editor de datos de BigQuery (roles/bigquery.dataEditor).
      • En el caso de los destinos de Pub/Sub, incluido Splunk, agrega la identidad de escritor del receptor como principal con IAM y, luego, asígnale el rol de publicador de Pub/Sub (roles/pubsub.publisher).
      • Para los destinos del bucket de Logging en diferentes proyectos de Google Cloud, agrega la identidad de escritor del receptor como principal con IAM y, luego, otórgale el rol de escritor del bucket de registros (roles/logging.bucketWriter).
      • Para los destinos de proyectos de Google Cloud, usa IAM para agregar la identidad de escritor del sink como principal y, luego, otorgarle el rol de escritor de registros (roles/logging.logWriter). Específicamente, un principal necesita el permiso logging.logEntries.route.

gcloud

1. Asegúrate de tener acceso de propietario en el proyecto de Google Cloud que contiene el destino. Si no tienes acceso de Propietario al destino del sumidero, pídele al propietario del proyecto que agregue la identidad del escritor como principal.

2. Obtén la cuenta de servicio del campo writerIdentity en tu receptor:

   gcloud logging sinks describe SINK_NAME
   

3. Busca el sink cuyos permisos deseas modificar y, si los detalles del sink contienen una línea con writerIdentity, continúa con el siguiente paso. Cuando los detalles no incluyen un campo writerIdentity, no es necesario que configures los permisos de destino para el receptor.

   La identidad del escritor de la cuenta de servicio se ve de la siguiente manera:

   serviceAccount:[email protected]
   

4. Agrega la cuenta de servicio como principal de IAM en el proyecto de destino:

   Antes de usar el siguiente comando, realiza los siguientes reemplazos:

   • PROJECT_ID: Es el identificador del proyecto.
   • PRINCIPAL: Es un identificador para la principal a la que deseas otorgar el rol. Los identificadores principales suelen tener el siguiente formato: PRINCIPAL-TYPE:ID. Por ejemplo, user:[email protected]. Para obtener una lista completa de los formatos que puede tener PRINCIPAL, consulta Identificadores de principal.

   • ROLE: Es un rol de IAM.

     • Para los destinos de Cloud Storage, agrega la identidad de escritor del receptor como principal con IAM y, luego, asígnale el rol de creador de objetos de almacenamiento (roles/storage.objectCreator).
     • Para los destinos de BigQuery, agrega la identidad de escritor del receptor como principal con IAM y, luego, asígnale el rol de editor de datos de BigQuery (roles/bigquery.dataEditor).
     • En el caso de los destinos de Pub/Sub, incluido Splunk, agrega la identidad de escritor del receptor como principal con IAM y, luego, asígnale el rol de publicador de Pub/Sub (roles/pubsub.publisher).
     • Para los destinos del bucket de Logging en diferentes proyectos de Google Cloud, agrega la identidad de escritor del receptor como principal con IAM y, luego, otórgale el rol de escritor del bucket de registros (roles/logging.bucketWriter).
     • Para los destinos de proyectos de Google Cloud, agrega la identidad de escritor del sink como principal con IAM y, luego, bríndale el rol de escritor de registros (roles/logging.logWriter). Específicamente, un principal necesita el permiso logging.logEntries.route.

   Ejecuta el comando gcloud projects add-iam-policy-binding:

   gcloud projects add-iam-policy-binding PROJECT_ID --member=PRINCIPAL --role=ROLE
   

REST

Te recomendamos que uses la consola de Google Cloud o Google Cloud CLI para otorgar un rol a la cuenta de servicio.