Collecter les journaux à partir de votre seau de stockage d'objets - Étapes obsolètes

Autoriser la collecte de journaux à partir du stockage d'objets - Étapes obsolètes

Les énoncés de la politique IAM suivants doivent être inclus dans votre politique pour fournir l'autorisation au groupe d'utilisateurs d'effectuer les opérations requises sur ObjectCollectionRule :

allow group <group_name> to use loganalytics-object-collection-rule in compartment <object_collection_rule_compartment>
allow group <group_name> to {LOG_ANALYTICS_LOG_GROUP_UPLOAD_LOGS} in compartment <log_group_compartment>
allow group <group_name> to {LOG_ANALYTICS_ENTITY_UPLOAD_LOGS} in compartment <entity_compartment>
allow group <group_name> to {LOG_ANALYTICS_SOURCE_READ} in tenancy
allow group <group_name> to {BUCKET_UPDATE, BUCKET_READ} in compartment <object_store_bucket_compartment>

Si vous créez des politiques IAM au niveau des ressources agrégées Oracle Log Analytics, les énoncés de politique suivants doivent être inclus pour utiliser la collection d'objets :

allow group <group_name> to use loganalytics-features-family in tenancy
allow group <group_name> to use loganalytics-resources-family in compartment/tenancy
allow group <group_name> to use object-family in compartment <object_store_bucket_compartment>

D'autre part, si vous créez des politiques IAM au niveau de types de ressource individuels, les énoncés de politique suivants sont requis pour utiliser la collection d'objets :

allow group <group_name> to use loganalytics-object-collection-rule in compartment <object_collection_rule_compartment>
allow group <group_name> to use loganalytics-log-group in compartment <log_group_compartment>
allow group <group_name> to {LOG_ANALYTICS_ENTITY_UPLOAD_LOGS} in compartment <entity_compartment>
allow group <group_name> to read loganalytics-source in tenancy
allow group <group_name> to use object-family in compartment <object_store_bucket_compartment>

group_name dans tous les énoncés de politique ci-dessus fait référence au groupe d'utilisateurs auquel les autorisations requises doivent être accordées.

Pour que la collecte de journaux fonctionne, ainsi que les autorisations ci-dessus pour Création de ObjectCollectionRule, vous devez également autoriser Oracle Log Analytics à lire les objets à partir du seau de votre location et à gérer les règles d'événement en nuage dans le compartiment ou la location correspondant où se trouve le seau de stockage d'objets. Les politiques IAM supplémentaires requises sont les suivantes :

allow service loganalytics to read buckets in compartment/tenancy
allow service loganalytics to read objects in compartment/tenancy
allow service loganalytics to manage cloudevents-rules in compartment/tenancy
allow service loganalytics to inspect compartments in tenancy
allow service loganalytics to use tag-namespaces in tenancy where all {target.tag-namespace.name = /oracle-tags/}

Par défaut, le service de stockage d'objets désactive l'émission automatique d'événements au niveau de l'objet. Vous pouvez activer l'émission d'événements ou disposer des autorisations requises lors de la création de règle ObjectCollectionRule. Pour activer les émissions d'événements, voir Gestion des objets.

Certains des énoncés de politique ci-dessus sont inclus dans les modèles de politique prédéfinis par Oracle. Vous pouvez envisager d'utiliser le modèle pour votre cas d'utilisation. Voir Modèles de politique définis par Oracle pour les cas d'utilisation communs.

ObjectCollectionRule Opérations - Partie des étapes obsolètes

À l'aide de l'API REST ou de l'interface de ligne de commande, vous pouvez effectuer des opérations telles que Create, Update, Delete, List et Get sur la ressource ObjectCollectionRule.

Gérer ObjectCollectionRule à l'aide d'une API REST

Pour gérer ObjectCollectionRule, utilisez les opérations d'API suivantes :

• Créer ObjectCollectionRule

• Mettre à jour ObjectCollectionRule

• Supprimer ObjectCollectionRule

• Lister ObjectCollectionRule

• Obtenir ObjectCollectionRule

Gérer ObjectCollectionRule à l'aide de l'interface de ligne de commande

Pour des informations sur l'utilisation de l'interface de ligne de commande, voir Interface de ligne de commande.

Pour la liste complète des indicateurs et les options disponibles pour les commandes de l'interface de ligne de commande, voir Informations de référence sur la ligne de commande.

Exécutez les commandes d'interface de ligne de commande suivantes pour gérer ObjectCollectionRule :

• Créer ObjectCollectionRule :

  oci log-analytics object-collection-rule create --from-json <json_file_name> --namespace-name <namespace_name>

  Par exemple :

  oci log-analytics object-collection-rule create --from-json file://create.json --namespace-name MyNamespace

  Dans l'exemple de commande ci-dessus, l'exemple référencé est create.json :

  {
      "name": "<Rule_Name>",
      "compartmentId": "<Compartment_OCID>",
      "osNamespace": "<Namespace>",
      "osBucketName": "<Bucket_Name>",
      "logGroupId": "<Log_Group_OCID>",
      "logSourceName": "<Log_Source>"
  }

  Les propriétés obligatoires suivantes doivent être fournies dans le fichier json :

  • name : Nom unique donné à ObjectCollectionRule. Le nom doit être unique dans la location et ne peut pas être modifié.
  • compartmentId : OCID du compartiment dans lequel se trouve ObjectCollectionRule.
  • osNamespace : Espace de noms du stockage d'objets.
  • osBucketName : Nom du seau de stockage d'objets.
  • logGroupId : OCID du groupe de journaux Log Analytics auquel associer les journaux traités.
  • logSourceName : Nom de la source Log Analytics à utiliser pour le traitement.

  En plus des propriétés obligatoires, vous pouvez également spécifier les propriétés suivantes :

  • collectionType : Type de collection. Les valeurs autorisées sont LIVE, HISTORIC et HISTORIC_LIVE.
  • charEncoding : Exemples de valeurs ISO_8859_1, UTF-16
  • definedTags : Marqueurs définis pour cette ressource. Chaque clé est prédéfinie et porte sur un espace de noms. Par exemple, {"foo-namespace": {"bar-key": "value"}}
  • description : Chaîne décrivant les détails de la règle, comportant au plus 400 caractères.
  • entityId : OCID de l'entité Log Analytics à laquelle les journaux collectés seront associés.
  • freeformTags : Paire clé-valeur simple appliquée sans nom, type ou portée prédéfinis. Existe uniquement pour la compatibilité croisée. Par exemple, {"bar-key": "value"}
  • isEnabled : true par défaut.
  • objectNameFilters : Pour obtenir des exemples, voir Effectuer une collecte sélective d'objets en appliquant des filtres sur les noms d'objet - Étapes obsolètes.
  • remplacements : Pour obtenir des exemples, voir Remplacer la configuration ObjectCollectionRule pour traiter des objets spécifiques - Étapes obsolètes.
  • pollSince : Exemple de valeur 2019-10-12T07:20:50.52Z au format RFC3339.
  • pollTill : Exemple de valeur 2019-10-12T07:20:50.52Z au format RFC3339.

  Pour plus de détails sur les propriétés de ObjectCollectionRule, voir Informations de référence sur les API ObjectCollectionRule.

  Exemple de réponse de la commande ci-dessus :

  {
      "id": "ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID",
      "name": "My Rule",
      "compartmentId": "ocid.compartment.oc1..exampleuniqueID",
      "osNamespace": "MyNamespace",
      "osBucketName": "MyBucket1",
      "collectionType": "LIVE",
      "pollSince": "2020-09-08 14:06:28.028",
      "logGroupId": "ocid1.loganalyticsloggroup.oc1.. exampleuniqueID",
      "logSourceName": "MyLogSource",
      "lifecycleState": "ACTIVE",
      "timeCreated": "2020-09-08T14:06:28.028Z",
      "timeUpdated": "2020-09-08T14:06:28.028Z"
  }

• Mise à jour ObjectCollectionRule :

  Voici un exemple de commande pour mettre à jour une source de journaux. De même, il est possible de mettre à jour un groupe de journaux, une entité ou toute autre ressource.

  oci log-analytics object-collection-rule update --namespace-name <namespace_name> --object-collection-rule-id <object-collection-rule-OCID> --log-source-name <Log-Source>

  Par exemple :

  oci log-analytics object-collection-rule update --namespace-name MyNamespace --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID --log-source-name MyLogSource

• Supprimer ObjectCollectionRule :

  oci log-analytics object-collection-rule delete --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID>

  Par exemple :

  oci log-analytics object-collection-rule delete --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID

• Lister ObjectCollectionRule:

  oci log-analytics object-collection-rule list --namespace-name <Namespace> --compartment-id <compartment-OCID>

  Par exemple :

  oci log-analytics object-collection-rule list --namespace-name “My Namespace” --compartment-id ocid.compartment.oc1..exampleuniqueID

• Obtenir ObjectCollectionRule:

  oci log-analytics object-collection-rule get --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID>

  Par exemple :

  oci log-analytics object-collection-rule get --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID

• Ajouter des remplacements à ObjectCollectionRule :

  Si ObjectCollectionRule existe déjà, créez un fichier json de remplacement, par exemple update_override.json, avec les conditions de remplacement à ajouter à ObjectCollectionRule :

  {
    "overrides":{"items":[{"matchType":"contains","matchValue":"audit","propertyName":"logSourceName","propertyValue":"myLOGANAuditSource"}]} 
  }

  Mettez à jour le fichier ObjectCollectionRule pour inclure le remplacement :

  oci log-analytics object-collection-rule update --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID> --from-json file://path-to/file

  Par exemple :

  oci log-analytics object-collection-rule update --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID --from-json file:///scratch/update_override.json

  Pour plus de détails sur les remplacements dans ObjectCollectionRule, voir Remplacer la configuration ObjectCollectionRule pour traiter des objets spécifiques - Étapes obsolètes.

• Supprimer les remplacements de ObjectCollectionRule :

  Si vous voulez supprimer toutes les conditions de remplacement de ObjectCollectionRule, créez un fichier json, par exemple remove_overrides.json, qui détaille la propriété de remplacement comme suit :

  {
    "overrides":{"items":[]} 
  }

  Maintenant, mettez à jour ObjectCollectionRule :

  oci log-analytics object-collection-rule update --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID> --from-json file://path-to/file

  Par exemple :

  oci log-analytics object-collection-rule update --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID --from-json file:///scratch/remove_overrides.json

  Pour plus de détails sur les remplacements dans ObjectCollectionRule, voir Remplacer la configuration ObjectCollectionRule pour traiter des objets spécifiques - Étapes obsolètes.

• Ajoutez objectNameFilters à ObjectCollectionRule :

  Si ObjectCollectionRule existe déjà, créez un json de filtres, par exemple filters.json, avec les filtres sur les noms d'objet que vous voulez ajouter à ObjectCollectionRule :

  {
    "objectNameFilters":["a/*","*audit*"]
  }

  Note
  
  Vous pouvez mettre à jour un ObjectCollectionRule existant avec ObjectNameFilters uniquement s'il est de type LIVE ou HISTORIC_LIVE. Le type HISTORIC n'est pas pris en charge pour cette opération.

  Maintenant, mettez à jour ObjectCollectionRule pour inclure les filtres :

  oci log-analytics object-collection-rule update --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID> --from-json file://path-to/file

  Par exemple :

  oci log-analytics object-collection-rule update --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID --from-json file:///scratch/filters.json

  Pour plus de détails sur les filtres dans ObjectCollectionRule, voir Effectuer une collecte sélective d'objets en appliquant des filtres sur les noms d'objet - Étapes obsolètes.

Autoriser la collecte de journaux interlocation à partir du stockage d'objets - Étapes obsolètes

Définissez les politiques suivantes pour configurer la règle de collecte d'objets pour collecter les journaux d'un seau situé dans une location invitée.

Supposons que Guest_Tenant est le locataire invité et que Guest_Compartment est le compartiment de ce locataire invité qui comporte les seaux de stockage d'objets à partir desquels les journaux doivent être collectés. Laissez Host_Tenant être le locataire abonné à Oracle Log Analytics.

Pour plus d'informations sur l'écriture de politiques qui permettent à votre location d'accéder aux ressources du service de stockage d'objets dans d'autres locations, voir Accès aux ressources de stockage d'objets entre des locations dans la documentation sur Oracle Cloud Infrastructure.

Politiques à ajouter dans le locataire invité

Voici un exemple d'énoncés de politique qui permettent au groupe IAM Host_User_Group à partir du locataire hôte Host_Tenant et du service Oracle Log Analytics d'accéder aux objets du compartiment invité Guest_Compartment dans la location invitée :

define group <Host_User_Group> as <Host_User_Group_OCID>
define tenancy <Host_Tenant> as <Host_Tenant_OCID>
admit group <Host_User_Group> of tenancy <Host_Tenant> to use buckets in compartment <Guest_Compartment>
allow service loganalytics to read buckets in compartment <Guest_Compartment>
allow service loganalytics to read objects in compartment <Guest_Compartment>
allow service loganalytics to manage cloudevents-rules in compartment <Guest_Compartment>
allow service loganalytics to inspect compartments in tenancy
allow service loganalytics to use tag-namespaces in tenancy where all {target.tag-namespace.name = /oracle-tags /}

Politiques à ajouter dans le locataire hôte

Voici un exemple d'énoncés de politique qui permettent au groupe GIA hôte Host_User_Group d'avoir un accès USE aux seaux de la location invitée Guest_Tenant :

define tenancy <Guest_Tenant> as <Guest_Tenant_OCID>
endorse group <Host_User_Group> to use buckets in tenancy <Guest_Tenant>
allow group <Host_User_Group> to use loganalytics-object-collection-rule in compartment <Rule_Compartment>
allow group <Host_User_Group> to {LOG_ANALYTICS_LOG_GROUP_UPLOAD_LOGS} in compartment <LogGroup_Compartment>
allow group <Host_User_Group> to {LOG_ANALYTICS_SOURCE_READ} in tenancy

Facultativement, définissez cette politique si ObjectCollectionRule comporte des entités associées :

allow group <Host_User_Group> to {LOG_ANALYTICS_ENTITY_UPLOAD_LOGS} in compartment <Entity_Compartment>

Dans les politiques ci-dessus,

• Rule_Compartment : Compartiment dans lequel ObjectCollectionRule doit être créé.

• LogGroup_Compartment : Compartiment du groupe de journaux Oracle Log Analytics dans lequel les journaux doivent être stockés.

• Entity_Compartment : Compartiment de l'entité Oracle Log Analytics.

Une fois les politiques requises créées, vous pouvez créer ObjectCollectionRule pour collecter les journaux à partir du stockage d'objets de la location invitée. Indiquez l'espace de noms osNamespace et le nom du seau osBucketName du locataire invité dans le fichier JSON, comme illustré dans l'exemple suivant :

{
 "name": "<My_Rule>",
 "compartmentId": "<Compartment_OCID>",
 "osNamespace": "<Guest_Tenant_Namespace>", // Namespace of the guest tenant
"osBucketName": "<Guest_Tenant__Bucket1>", // Bucket in the guest tenant object store namespace
"logGroupId": "<Log_Group_OCID>",
 "logSourceName": "<My_Log_Source>"
 }

Pour plus de détails sur la création de ObjectCollectionRule, voir ObjectCollectionRule Opérations - Partie des étapes obsolètes.

Remplacer la configuration ObjectCollectionRule pour traiter des objets spécifiques - Étapes obsolètes

Lorsque vous voulez traiter des objets spécifiques dans un seau à l'aide d'une configuration différente de celle définie pour ObjectCollectionRule, vous pouvez utiliser la fonction de remplacement. La fonction de remplacement facilite la fourniture de propriétés de configuration basées sur des noms d'objet correspondant à des modèles, préfixes ou répertoires spécifiques dans le seau.

• Propriétés pour lesquelles vous pouvez spécifier des remplacements : logSourceName, charEncoding, entityId, timezone

• Type de correspondance que vous pouvez utiliser dans le remplacement : contains

• La valeur de correspondance est toujours appliquée au nom d'objet.

• Vous pouvez créer un maximum de 10 remplacements par ObjectCollectionRule, qui est la valeur par défaut. Pour modifier cette valeur par défaut, créez une demande de service (demande de service) avec justification. La demande sera examinée.

Si vous créez le fichier ObjectCollectionRule pour la première fois, l'un des exemples suivants de fichier create.json peut être utilisé pour créer le fichier json pour votre cas d'utilisation :

• Exemple create.json avec des remplacements pour traiter les noms d'objet contenant audit avec logSourceName myLOGANAuditSource :

  {
    "name":"testRule1",
    "compartmentId":"ocid1.compartment.oc1..aaa...",
    "osNamespace":"myObjectStorageNameSpace",
    "osBucketName":"myObjectStorageBucket",
    "logGroupId":"ocid1.loganalyticsloggroup.oc1..aaa...",
    "logSourceName":"myLOGANSourceName",
    "overrides":{"items":[{"matchType":"contains","matchValue":"audit","propertyName":"logSourceName","propertyValue":"myLOGANAuditSource"}]} 
  }

  À l'aide de la règle ci-dessus, les objets contenant audit sont traités avec logSourceName myLOGANAuditSource alors que tous les autres objets du seau sont traités avec logSourceName myLOGANSourceName.

• Exemple create.json avec des remplacements pour traiter les noms d'objet contenant audit avec logSourceName myLOGANAuditSource et les noms d'objet contenant dir1/ avec charEncoding UTF-16 :

  {
    "name":"testRule2",
    "compartmentId":"ocid1.compartment.oc1..aaa...",
    "osNamespace":"myObjectStorageNameSpace",
    "osBucketName":"myObjectStorageBucket",
    "logGroupId":"ocid1.loganalyticsloggroup.oc1..aaa...",
    "logSourceName":"myLOGANSourceName",
    "overrides":{"items":[{"matchType":"contains","matchValue":"audit","propertyName":"logSourceName","propertyValue":"myLOGANAuditSource"}, {"matchType":"contains","matchValue":"dir1/","propertyName":"charEncoding","propertyValue":"UTF-16"}]} 
  }

Après avoir créé le fichier json de configuration, spécifiez le chemin d'accès au fichier lorsque vous créez ObjectCollectionRule. Voir la section Créer ObjectCollectionRule dans ObjectCollectionRule Opérations - Partie des étapes obsolètes.

Si vous avez déjà créé ObjectCollectionRule, créez un fichier json avec les détails du remplacement et mettez à jour ObjectCollectionRule pour l'inclure. Voir la section Ajouter des remplacements à ObjectCollectionRule dans ObjectCollectionRule Opérations - Partie des étapes obsolètes.

Si vous voulez supprimer toutes les conditions de remplacement, créez un fichier json tel que spécifié dans la section Supprimer les remplacements de ObjectCollectionRule et mettez à jour ObjectCollectionRule. Voir ObjectCollectionRule Opérations - Partie des étapes obsolètes.

Effectuer une collecte sélective d'objets en appliquant des filtres sur les noms d'objet - Étapes obsolètes

Utilisez la fonction Collection d'objets sélectifs pour collecter uniquement un sous-ensemble d'objets dans un seau de stockage d'objets donné. La fonction est prise en charge avec des filtres sur les noms d'objet. Lorsque les filtres sont appliqués, seuls les objets correspondant aux filtres sont collectés pour traitement.

La propriété matchType prend uniquement en charge la correspondance exacte avec le caractère générique *. Voici quelques exemples de filtres utilisant le caractère générique :

• Le filtre objectName* spécifie des objets avec le préfixe objectName.
• Le filtre *objectName spécifie les objets avec le suffixe objectName.
• Le filtre *objectName* spécifie les objets qui contiennent le texte objectName.

Pour plus d'informations sur les filtres, voir Correspondance d'événements avec des filtres.

Si vous créez le fichier ObjectCollectionRule pour la première fois, l'un des exemples suivants de fichier create.json peut être utilisé pour créer le fichier json pour votre cas d'utilisation :

• Exemple create.json avec objectNameFilters pour traiter les noms d'objet ayant un préfixe a/ et contenant le texte audit :

  {
    "name":"testRule1",
    "compartmentId":"ocid1.compartment.oc1..aaa...",
    "osNamespace":"myObjectStorageNameSpace",
    "osBucketName":"myObjectStorageBucket",
    "logGroupId":"ocid1.loganalyticsloggroup.oc1..aaa...",
    "logSourceName":"myLOGANSourceName",
    "objectNameFilters":["a/*","*audit*"]
  }

• Si nécessaire, vous pouvez également utiliser la fonction de remplacement pour spécifier une configuration différente pour chacun des filtres. Pour l'exemple ci-dessus, vous pouvez également spécifier que tous les objets contenant le texte audit doivent utiliser la source myLOGANAuditSource :

  {
    "name":"testRule2",
    "compartmentId":"ocid1.compartment.oc1..aaa...",
    "osNamespace":"myObjectStorageNameSpace",
    "osBucketName":"myObjectStorageBucket",
    "logGroupId":"ocid1.loganalyticsloggroup.oc1..aaa...",
    "logSourceName":"myLOGANSourceName",
    "objectNameFilters":["a/*","*audit*"],
    "overrides":{"items":[{"matchType":"contains","matchValue":"audit","propertyName":"logSourceName","propertyValue":"myLOGANAuditSource"}]} 
  }

  Pour plus d'informations sur les remplacements, voir Remplacer la configuration ObjectCollectionRule pour traiter des objets spécifiques - Étapes obsolètes.

Après avoir créé le fichier json de configuration, spécifiez le chemin d'accès au fichier lorsque vous créez ObjectCollectionRule. Voir la section Créer ObjectCollectionRule dans ObjectCollectionRule Opérations - Partie des étapes obsolètes.

Si vous avez déjà créé ObjectCollectionRule, créez un fichier json avec les détails des filtres et mettez à jour ObjectCollectionRule pour l'inclure. Voir la section Ajouter objectNameFilters à ObjectCollectionRule dans ObjectCollectionRule Opérations - Partie des étapes obsolètes.