Permitir recopilación de logs de Object Storage: pasos en desuso

Las siguientes sentencias de política de IAM se deben incluir en la política para proporcionar el permiso al grupo de usuarios para realizar las operaciones necesarias en ObjectCollectionRule:

allow group <group_name> to use loganalytics-object-collection-rule in compartment <object_collection_rule_compartment>
allow group <group_name> to {LOG_ANALYTICS_LOG_GROUP_UPLOAD_LOGS} in compartment <log_group_compartment>
allow group <group_name> to {LOG_ANALYTICS_ENTITY_UPLOAD_LOGS} in compartment <entity_compartment>
allow group <group_name> to {LOG_ANALYTICS_SOURCE_READ} in tenancy
allow group <group_name> to {BUCKET_UPDATE, BUCKET_READ} in compartment <object_store_bucket_compartment>

Si está creando políticas de IAM en el nivel de recursos agregados de Oracle Logging Analytics, se deben incluir las siguientes sentencias de política para utilizar la recopilación de objetos:

allow group <group_name> to use loganalytics-features-family in tenancy
allow group <group_name> to use loganalytics-resources-family in compartment/tenancy
allow group <group_name> to use object-family in compartment <object_store_bucket_compartment>

Por otro lado, si está creando políticas de IAM en el nivel de tipos de recursos individuales, se necesitan las siguientes sentencias de política para utilizar la recopilación de objetos:

allow group <group_name> to use loganalytics-object-collection-rule in compartment <object_collection_rule_compartment>
allow group <group_name> to use loganalytics-log-group in compartment <log_group_compartment>
allow group <group_name> to {LOG_ANALYTICS_ENTITY_UPLOAD_LOGS} in compartment <entity_compartment>
allow group <group_name> to read loganalytics-source in tenancy
allow group <group_name> to use object-family in compartment <object_store_bucket_compartment>

group_name en todas las sentencias de política anteriores hace referencia al grupo de usuarios al que se deben otorgar los permisos necesarios.

Para que la recopilación de logs funcione, junto con los permisos anteriores para crear ObjectCollectionRule, también debe otorgar permiso a Oracle Logging Analytics para leer los objetos del cubo de su arrendamiento y gestionar las reglas de eventos en la nube en el compartimento o arrendamiento correspondiente donde se encuentra el cubo de almacenamiento de objetos. A continuación, se muestran las políticas de IAM adicionales necesarias:

allow service loganalytics to read buckets in compartment/tenancy
allow service loganalytics to read objects in compartment/tenancy
allow service loganalytics to manage cloudevents-rules in compartment/tenancy
allow service loganalytics to inspect compartments in tenancy
allow service loganalytics to use tag-namespaces in tenancy where all {target.tag-namespace.name = /oracle-tags/}

Por defecto, Object Storage desactiva la emisión automática de eventos a nivel de objeto. Puede activar la emisión de eventos o tener los permisos necesarios al crear ObjectCollectionRule. Para activar la emisión de eventos, consulte Gestión de objetos.

Algunas de las sentencias de política anteriores se incluyen en las plantillas de política definidas por Oracle disponibles. Puede que desee considerar el uso de la plantilla para su caso de uso. Consulte Plantillas de políticas definidas por Oracle para casos de uso comunes.

ObjectCollectionRule Operaciones: parte de los pasos en desuso

Mediante la API o la CLI de REST, puede realizar operaciones como Create, Update, Delete, List y Get en el recurso ObjectCollectionRule.

Gestionar ObjectCollectionRule mediante la API de REST

Utilice las siguientes operaciones de API para gestionar ObjectCollectionRule:

• Creación de ObjectCollectionRule

• Actualización de ObjectCollectionRule

• Supresión de ObjectCollectionRule

• Visualización de ObjectCollectionRule

• Obtención de ObjectCollectionRule

Gestionar ObjectCollectionRule con la CLI

Para obtener información sobre el uso de la CLI, consulte Interfaz de línea de comandos (CLI).

Para obtener una lista completa de los indicadores y las opciones disponibles para los comandos de la CLI, consulte Referencia de la línea de comandos.

Ejecute los siguientes comandos de la CLI para gestionar ObjectCollectionRule:

• Creación de ObjectCollectionRule:

  oci log-analytics object-collection-rule create --from-json <json_file_name> --namespace-name <namespace_name>

  Por ejemplo:

  oci log-analytics object-collection-rule create --from-json file://create.json --namespace-name MyNamespace

  En el comando del ejemplo anterior, el ejemplo mencionado create.json:

  {
      "name": "<Rule_Name>",
      "compartmentId": "<Compartment_OCID>",
      "osNamespace": "<Namespace>",
      "osBucketName": "<Bucket_Name>",
      "logGroupId": "<Log_Group_OCID>",
      "logSourceName": "<Log_Source>"
  }

  Las siguientes propiedades obligatorias se deben proporcionar en el json:

  • nombre: nombre único asignado a ObjectCollectionRule. El nombre debe ser único en el arrendamiento y no se puede modificar.
  • compartmentId: OCID del compartimento en el que se encuentra ObjectCollectionRule.
  • osNamespace: espacio de nombres de almacenamiento de objetos.
  • osBucketName: nombre del cubo de almacenamiento de objetos.
  • logGroupId: OCID del grupo de logs de Logging Analytics con el que asociar los logs procesados.
  • logSourceName: nombre del origen de Logging Analytics que se utilizará para el procesamiento.

  Además de las propiedades obligatorias, también puede especificar opcionalmente las siguientes propiedades:

  • collectionType: tipo de recopilación. Los valores permitidos son LIVE, HISTORIC y HISTORIC_LIVE.
  • charEncoding: valores de ejemplo ISO_8859_1, UTF-16
  • definedTags: etiquetas definidas para este recurso. Cada clave está predefinida y su ámbito es un espacio de nombre. Por ejemplo, {"foo-namespace": {"bar-key": "value"}}
  • descripción: cadena que describe los detalles de la regla, con una longitud máxima de 400 caracteres.
  • entityId: OCID de la entidad Logging Analytics con la que se asociarán los logs recopilados.
  • freeformTags: par clave-valor simple que se aplica sin ningún nombre, tipo o ámbito predefinidos. Sólo existe para compatibilidad cruzada. Por ejemplo, {"bar-key": "value"}
  • isEnabled: true por defecto.
  • objectNameFilters: para ver ejemplos, consulte Realización de Recopilación Selectiva de Objetos mediante la Aplicación de Filtros en Nombres de Objetos: Pasos en Desuso.
  • sustituciones: para ver ejemplos, consulte Sustitución de la configuración ObjectCollectionRule para procesar objetos específicos: pasos en desuso.
  • pollSince: valor de ejemplo 2019-10-12T07:20:50.52Z en formato RFC3339.
  • pollTill: valor de ejemplo 2019-10-12T07:20:50.52Z en formato RFC3339.

  Para obtener más información sobre las propiedades de ObjectCollectionRule, consulte Referencia de API ObjectCollectionRule.

  Respuesta de ejemplo del comando de ejemplo anterior:

  {
      "id": "ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID",
      "name": "My Rule",
      "compartmentId": "ocid.compartment.oc1..exampleuniqueID",
      "osNamespace": "MyNamespace",
      "osBucketName": "MyBucket1",
      "collectionType": "LIVE",
      "pollSince": "2020-09-08 14:06:28.028",
      "logGroupId": "ocid1.loganalyticsloggroup.oc1.. exampleuniqueID",
      "logSourceName": "MyLogSource",
      "lifecycleState": "ACTIVE",
      "timeCreated": "2020-09-08T14:06:28.028Z",
      "timeUpdated": "2020-09-08T14:06:28.028Z"
  }

• Actualizar ObjectCollectionRule:

  A continuación se muestra un comando de muestra para actualizar un origen de log. Del mismo modo, también se puede actualizar el grupo de logs, la entidad o cualquier otro recurso.

  oci log-analytics object-collection-rule update --namespace-name <namespace_name> --object-collection-rule-id <object-collection-rule-OCID> --log-source-name <Log-Source>

  Por ejemplo:

  oci log-analytics object-collection-rule update --namespace-name MyNamespace --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID --log-source-name MyLogSource

• Supresión de ObjectCollectionRule :

  oci log-analytics object-collection-rule delete --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID>

  Por ejemplo:

  oci log-analytics object-collection-rule delete --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID

• Visualización de ObjectCollectionRule:

  oci log-analytics object-collection-rule list --namespace-name <Namespace> --compartment-id <compartment-OCID>

  Por ejemplo:

  oci log-analytics object-collection-rule list --namespace-name “My Namespace” --compartment-id ocid.compartment.oc1..exampleuniqueID

• Obtención de ObjectCollectionRule:

  oci log-analytics object-collection-rule get --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID>

  Por ejemplo:

  oci log-analytics object-collection-rule get --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID

• Agregar sustituciones a ObjectCollectionRule:

  Si ya existe ObjectCollectionRule, cree un json de sustitución, por ejemplo update_override.json, con las condiciones de sustitución que desea agregar a ObjectCollectionRule:

  {
    "overrides":{"items":[{"matchType":"contains","matchValue":"audit","propertyName":"logSourceName","propertyValue":"myLOGANAuditSource"}]} 
  }

  Ahora actualice ObjectCollectionRule para incluir la sustitución:

  oci log-analytics object-collection-rule update --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID> --from-json file://path-to/file

  Por ejemplo:

  oci log-analytics object-collection-rule update --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID --from-json file:///scratch/update_override.json

  Para obtener más información sobre las sustituciones en ObjectCollectionRule, consulte Sustitución de la configuración de ObjectCollectionRule para procesar objetos específicos: pasos en desuso.

• Eliminar sustituciones de ObjectCollectionRule:

  Si desea eliminar todas las condiciones de sustitución de ObjectCollectionRule, cree un json, por ejemplo remove_overrides.json, que detalle la propiedad de sustitución de la siguiente manera:

  {
    "overrides":{"items":[]} 
  }

  Ahora actualice ObjectCollectionRule:

  oci log-analytics object-collection-rule update --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID> --from-json file://path-to/file

  Por ejemplo:

  oci log-analytics object-collection-rule update --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID --from-json file:///scratch/remove_overrides.json

  Para obtener más información sobre las sustituciones en ObjectCollectionRule, consulte Sustitución de la configuración de ObjectCollectionRule para procesar objetos específicos: pasos en desuso.

• Agregue objectNameFilters a ObjectCollectionRule:

  Si ya existe ObjectCollectionRule, cree un json de filtros, por ejemplo filters.json, con los filtros de los nombres de objeto que desea agregar a ObjectCollectionRule:

  {
    "objectNameFilters":["a/*","*audit*"]
  }

  Nota
  
  Puede actualizar un ObjectCollectionRule existente con ObjectNameFilters solo si es del tipo LIVE o HISTORIC_LIVE. El tipo HISTORIC no está soportado para esta operación.

  Ahora actualice ObjectCollectionRule para incluir los filtros:

  oci log-analytics object-collection-rule update --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID> --from-json file://path-to/file

  Por ejemplo:

  oci log-analytics object-collection-rule update --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID --from-json file:///scratch/filters.json

  Para obtener más información sobre los filtros en ObjectCollectionRule, consulte Realización de la recopilación selectiva de objetos mediante la aplicación de filtros en nombres de objetos: pasos en desuso.

Permitir recopilación de logs entre arrendamientos desde Object Storage: pasos en desuso

Defina las siguientes políticas para configurar la regla de recopilación de objetos para recopilar logs de un cubo en un inquilino invitado.

Deje que Guest_Tenant sea el inquilino invitado y Guest_Compartment el compartimento de ese inquilino invitado que tenga los cubos de almacenamiento de objetos cuyos logs se deben recopilar. Deje que Host_Tenant sea el inquilino suscrito a Oracle Logging Analytics.

Para obtener información adicional sobre la escritura de políticas que permitan al arrendamiento acceder a los recursos de Object Storage de otros arrendamientos, consulte Acceso a recursos de Object Storage entre arrendamientos en la documentación de Oracle Cloud Infrastructure.

Políticas que se agregarán en el inquilino invitado

A continuación se incluye un ejemplo de sentencias de política que permiten al grupo IAM Host_User_Group del inquilino del host Host_Tenant y al servicio Oracle Logging Analytics acceder a la objetos del compartimento invitado Guest_Compartment en el arrendamiento de invitado:

define group <Host_User_Group> as <Host_User_Group_OCID>
define tenancy <Host_Tenant> as <Host_Tenant_OCID>
admit group <Host_User_Group> of tenancy <Host_Tenant> to use buckets in compartment <Guest_Compartment>
allow service loganalytics to read buckets in compartment <Guest_Compartment>
allow service loganalytics to read objects in compartment <Guest_Compartment>
allow service loganalytics to manage cloudevents-rules in compartment <Guest_Compartment>
allow service loganalytics to inspect compartments in tenancy
allow service loganalytics to use tag-namespaces in tenancy where all {target.tag-namespace.name = /oracle-tags /}

Políticas que se agregarán en el inquilino del host

A continuación, se muestra un ejemplo de sentencias de política que permiten al grupo de IAM del host Host_User_Group tener acceso USE a los cubos del arrendamiento de invitado Guest_Tenant:

define tenancy <Guest_Tenant> as <Guest_Tenant_OCID>
endorse group <Host_User_Group> to use buckets in tenancy <Guest_Tenant>
allow group <Host_User_Group> to use loganalytics-object-collection-rule in compartment <Rule_Compartment>
allow group <Host_User_Group> to {LOG_ANALYTICS_LOG_GROUP_UPLOAD_LOGS} in compartment <LogGroup_Compartment>
allow group <Host_User_Group> to {LOG_ANALYTICS_SOURCE_READ} in tenancy

De manera opcional, defina esta política si ObjectCollectionRule tiene entidades asociadas:

allow group <Host_User_Group> to {LOG_ANALYTICS_ENTITY_UPLOAD_LOGS} in compartment <Entity_Compartment>

En las políticas anteriores,

• Rule_Compartment: compartimento en el que se debe crear ObjectCollectionRule.

• LogGroup_Compartment: compartimento del grupo de log de Oracle Logging Analytics en el que se deben almacenar los logs.

• Entity_Compartment: compartimento de la entidad Oracle Logging Analytics.

Después de crear las políticas necesarias, puede crear ObjectCollectionRule para recopilar los logs del almacenamiento de objetos del arrendamiento invitado. Proporcione el espacio de nombre osNamespace y el nombre de cubo osBucketName del inquilino invitado en el archivo JSON, como se muestra en el siguiente ejemplo:

{
 "name": "<My_Rule>",
 "compartmentId": "<Compartment_OCID>",
 "osNamespace": "<Guest_Tenant_Namespace>", // Namespace of the guest tenant
"osBucketName": "<Guest_Tenant__Bucket1>", // Bucket in the guest tenant object store namespace
"logGroupId": "<Log_Group_OCID>",
 "logSourceName": "<My_Log_Source>"
 }

Para obtener detalles sobre la creación de ObjectCollectionRule, consulte ObjectCollectionRule Operations- Part of Deprecated Steps.

Sustituir la configuración de ObjectCollectionRule para procesar objetos específicos: pasos en desuso

Cuando desea procesar objetos específicos dentro de un cubo mediante una configuración diferente a la definida para ObjectCollectionRule, puede utilizar la función de sustitución. La función sustituir facilita proporcionar propiedades de configuración basadas en nombres de objetos que coincidan con patrones, prefijos o directorios específicos dentro del cubo.

• Las propiedades para las que puede especificar sustituciones: logSourceName, charEncoding, entityId, timezone

• Tipo de coincidencia que puede utilizar en la sustitución: contains

• El valor de coincidencia siempre se aplica en el nombre de objeto.

• Puede crear un máximo de 10 sustituciones por ObjectCollectionRule, que es el valor predeterminado. Para cambiar este valor por defecto, genere una solicitud de servicio (solicitud de servicio) con justificación. La solicitud se revisará.

Si está creando ObjectCollectionRule por primera vez, se puede utilizar uno de los siguientes ejemplos de create.json para crear el json para su caso de uso:

• Ejemplo de create.json con sustituciones para procesar nombres de objetos que contengan audit con logSourceName myLOGANAuditSource:

  {
    "name":"testRule1",
    "compartmentId":"ocid1.compartment.oc1..aaa...",
    "osNamespace":"myObjectStorageNameSpace",
    "osBucketName":"myObjectStorageBucket",
    "logGroupId":"ocid1.loganalyticsloggroup.oc1..aaa...",
    "logSourceName":"myLOGANSourceName",
    "overrides":{"items":[{"matchType":"contains","matchValue":"audit","propertyName":"logSourceName","propertyValue":"myLOGANAuditSource"}]} 
  }

  Mediante la regla anterior, los objetos que contienen audit se procesan con logSourceName myLOGANAuditSource mientras que el resto de objetos del cubo se procesan con logSourceName myLOGANSourceName.

• Ejemplo de create.json con sustituciones para procesar nombres de objetos que contengan audit con logSourceName myLOGANAuditSource y los nombres de objetos que contengan dir1/ con charEncoding UTF-16:

  {
    "name":"testRule2",
    "compartmentId":"ocid1.compartment.oc1..aaa...",
    "osNamespace":"myObjectStorageNameSpace",
    "osBucketName":"myObjectStorageBucket",
    "logGroupId":"ocid1.loganalyticsloggroup.oc1..aaa...",
    "logSourceName":"myLOGANSourceName",
    "overrides":{"items":[{"matchType":"contains","matchValue":"audit","propertyName":"logSourceName","propertyValue":"myLOGANAuditSource"}, {"matchType":"contains","matchValue":"dir1/","propertyName":"charEncoding","propertyValue":"UTF-16"}]} 
  }

Después de crear el json de configuración, especifique la ruta de archivo al crear ObjectCollectionRule. Consulte la sección Creación de ObjectCollectionRule en ObjectCollectionRule Operaciones: parte de pasos en desuso.

Si ya ha creado ObjectCollectionRule, cree un json con los detalles de la sustitución y actualice ObjectCollectionRule para incluirlo. Consulte la sección Agregar sustituciones a ObjectCollectionRule en ObjectCollectionRule Operaciones: parte de pasos en desuso.

Si desea eliminar todas las condiciones de sustitución, cree un json como se especifica en la sección Eliminar sustituciones de ObjectCollectionRule y actualice ObjectCollectionRule. Consulte ObjectCollectionRule Operations- Part of Deprecated Steps.

Realizar recopilación selectiva de objetos mediante la aplicación de filtros en nombres de objetos: pasos en desuso

Utilice la función Selective Objects Collection para recopilar solo un subjuego de objetos de un cubo de almacenamiento de objetos determinado. La función está soportada con filtros en los nombres de objeto. Cuando se aplican los filtros, solo se recopilan los objetos que coinciden con los filtros para su procesamiento.

La propiedad matchType solo soporta la coincidencia exacta junto con el comodín *. A continuación, se presentan ejemplos de filtros que utilizan el comodín:

• El filtro objectName* especifica objetos con el prefijo objectName.
• El filtro *objectName especifica objetos con el sufijo objectName.
• El filtro *objectName* especifica los objetos que contienen el texto objectName.

Para obtener más información sobre los filtros, consulte Coincidencia de eventos con filtros.

Si está creando ObjectCollectionRule por primera vez, se puede utilizar uno de los siguientes ejemplos de create.json para crear el json para su caso de uso:

• Ejemplo de create.json con objectNameFilters para procesar los nombres de objeto que tienen un prefijo a/ y contienen el texto audit:

  {
    "name":"testRule1",
    "compartmentId":"ocid1.compartment.oc1..aaa...",
    "osNamespace":"myObjectStorageNameSpace",
    "osBucketName":"myObjectStorageBucket",
    "logGroupId":"ocid1.loganalyticsloggroup.oc1..aaa...",
    "logSourceName":"myLOGANSourceName",
    "objectNameFilters":["a/*","*audit*"]
  }

• Si es necesario, también puede utilizar la función de sustitución para especificar una configuración diferente para cada uno de los filtros. Para el ejemplo anterior, también puede especificar que todos los objetos que contienen el texto audit deben utilizar el origen myLOGANAuditSource:

  {
    "name":"testRule2",
    "compartmentId":"ocid1.compartment.oc1..aaa...",
    "osNamespace":"myObjectStorageNameSpace",
    "osBucketName":"myObjectStorageBucket",
    "logGroupId":"ocid1.loganalyticsloggroup.oc1..aaa...",
    "logSourceName":"myLOGANSourceName",
    "objectNameFilters":["a/*","*audit*"],
    "overrides":{"items":[{"matchType":"contains","matchValue":"audit","propertyName":"logSourceName","propertyValue":"myLOGANAuditSource"}]} 
  }

  Para obtener más información sobre las sustituciones, consulte Sustitución de la configuración de ObjectCollectionRule para procesar objetos específicos: pasos en desuso.

Después de crear el json de configuración, especifique la ruta de archivo al crear ObjectCollectionRule. Consulte la sección Creación de ObjectCollectionRule en ObjectCollectionRule Operaciones: parte de pasos en desuso.

Si ya ha creado ObjectCollectionRule, cree un json con los detalles de los filtros y actualice ObjectCollectionRule para incluirlo. Consulte la sección Agregar objectNameFilters a ObjectCollectionRule en ObjectCollectionRule Operaciones: parte de pasos en desuso.