Вы можете настроить, какие ресурсы отслеживать, или в Stackdriver Logging автоматически отображаются все используемые ресурсы?

Question

Меня интересует просмотр журналов в Stackdriver Logging с использованием фильтра: role_name: role / owner

Однако я вижу, что ресурс IAM Role отсутствует в списке отслеживаемых ресурсов.(Этот список относится к первому раскрывающемуся списку в журнале Stackdriver> Журналы)

Из этой документации * 1010 я понимаю, что существует много отслеживаемых ресурсов.

Я хотел бы знать, можно ли настроить эти ресурсы для мониторинга (т.е. регистрации) или в журнале Stackdriver автоматически отображается список ресурсов, используемых проектом.

В последнем случаеЯ бы пришел к выводу, что ресурс Роль IAM не был настроен для мониторинга.

Answer 1

Любой отслеживаемый ресурс, для которого есть связанная запись журнала, будет представлен в меню.

Имейте в виду, что вы всегда можете переключиться в режим расширенный фильтр в программе просмотра ипредоставьте фильтр (при условии, что вы ищете ресурсы "iam_role") как

resource.type = "iam_role"

---

Не ясно, на какой вопрос вы пытаетесь ответить, фильтруя по role_name.Если вы ищете изменения политики, связанные с ролью, они записываются для типа ресурса «проект».Вы можете искать

protoPayload.@type="type.googleapis.com/google.cloud.audit.AuditLog"
protoPayload.request.policy.bindings.role="roles/viewer"

Вы также можете запросить действия, предпринятые конкретным пользователем, например

protoPayload.@type="type.googleapis.com/google.cloud.audit.AuditLog"
protoPayload.authenticationInfo.principalEmail="user@example.com"

---

FWIW, возможно исключить журналы , что может привести к тому, что ресурс не будет представлен, если исключены все связанные журналы, но это не разрешено для журналов аудита с включенной по умолчанию.

Answer 2

Роль IAM типа ресурса специально относится к пользовательским ролям 1 , созданным в вашем проекте.Это не относится ни к каким ролям по умолчанию, так как они никогда не могут редактироваться пользователями.Журналы аудита для этого типа ресурса должны отслеживать все изменения, сделанные в этих пользовательских ролях.Но этот тип ресурса нельзя использовать, чтобы увидеть, когда определенный пользователь с определенной ролью (например, роли / владелец) выполнил какие-либо действия в другом месте на облачной платформе.