Collecter des journaux à partir du bucket Object Storage - Etapes en phase d'abandon

Autoriser la collecte de journaux à partir d'Object Storage - Etapes en phase d'abandon

Les instructions de stratégie IAM suivantes doivent être incluses dans votre stratégie afin de fournir le droit d'accès au groupe d'utilisateurs pour l'exécution des opérations requises sur ObjectCollectionRule :

allow group <group_name> to use loganalytics-object-collection-rule in compartment <object_collection_rule_compartment>
allow group <group_name> to {LOG_ANALYTICS_LOG_GROUP_UPLOAD_LOGS} in compartment <log_group_compartment>
allow group <group_name> to {LOG_ANALYTICS_ENTITY_UPLOAD_LOGS} in compartment <entity_compartment>
allow group <group_name> to {LOG_ANALYTICS_SOURCE_READ} in tenancy
allow group <group_name> to {BUCKET_UPDATE, BUCKET_READ} in compartment <object_store_bucket_compartment>

Si vous créez des stratégies IAM au niveau des ressources agrégées Oracle Log Analytics, les instructions de stratégie suivantes doivent être incluses pour utiliser la collection d'objets :

allow group <group_name> to use loganalytics-features-family in tenancy
allow group <group_name> to use loganalytics-resources-family in compartment/tenancy
allow group <group_name> to use object-family in compartment <object_store_bucket_compartment>

En revanche, si vous créez des stratégies IAM au niveau des types de ressource individuels, les instructions de stratégie suivantes sont requises pour utiliser la collection d'objets :

allow group <group_name> to use loganalytics-object-collection-rule in compartment <object_collection_rule_compartment>
allow group <group_name> to use loganalytics-log-group in compartment <log_group_compartment>
allow group <group_name> to {LOG_ANALYTICS_ENTITY_UPLOAD_LOGS} in compartment <entity_compartment>
allow group <group_name> to read loganalytics-source in tenancy
allow group <group_name> to use object-family in compartment <object_store_bucket_compartment>

Dans toutes les instructions de stratégie ci-dessus, group_name fait référence au groupe d'utilisateurs auquel les droits d'accès requis doivent être accordés.

Pour que la collecte de journaux fonctionne, ainsi que les droits d'accès ci-dessus pour Création de ObjectCollectionRule, vous devez également autoriser Oracle Log Analytics à lire les objets du bucket dans votre location et à gérer les règles d'événement cloud dans le compartiment ou la location correspondant où se trouve le bucket de stockage d'objet. Les stratégies IAM supplémentaires requises sont les suivantes :

allow service loganalytics to read buckets in compartment/tenancy
allow service loganalytics to read objects in compartment/tenancy
allow service loganalytics to manage cloudevents-rules in compartment/tenancy
allow service loganalytics to inspect compartments in tenancy
allow service loganalytics to use tag-namespaces in tenancy where all {target.tag-namespace.name = /oracle-tags/}

Par défaut, Object Storage désactive l'émission automatique d'événements au niveau de l'objet. Vous pouvez activer l'émission d'événements ou disposer des droits d'accès requis lors de la création de la règle ObjectCollectionRule. Pour activer l'émission d'événements, reportez-vous à Gestion des objets.

Certaines des instructions de stratégie ci-dessus sont incluses dans les modèles de stratégie facilement disponibles définis par Oracle. Vous pouvez envisager d'utiliser le modèle pour votre cas d'emploi. Reportez-vous à Modèles de stratégie définis par Oracle pour les cas d'utilisation courants.

ObjectCollectionRule Opérations - Fait partie des étapes en phase d'abandon

A l'aide de l'API REST ou de l'interface de ligne de commande, vous pouvez effectuer des opérations telles que Create, Update, Delete, List et Get sur la ressource ObjectCollectionRule.

Gestion de ObjectCollectionRule à l'aide de l'API REST

Utilisez les opérations d'API suivantes pour gérer ObjectCollectionRule :

• Create ObjectCollectionRule

• Update ObjectCollectionRule

• Delete ObjectCollectionRule

• List ObjectCollectionRule

• Get ObjectCollectionRule

Gestion de ObjectCollectionRule à l'aide de l'interface de ligne de commande

Pour plus d'informations sur l'utilisation de l'interface de ligne de commande, reportez-vous à Interface de ligne de commande (CLI).

Afin d'obtenir la liste complète des indicateurs et des options disponibles pour les commandes d'interface de ligne de commande, reportez-vous à Référence de ligne de commande.

Exécutez les commandes d'interface de ligne de commande suivantes pour gérer ObjectCollectionRule :

• Create ObjectCollectionRule :

  oci log-analytics object-collection-rule create --from-json <json_file_name> --namespace-name <namespace_name>

  Par exemple :

  oci log-analytics object-collection-rule create --from-json file://create.json --namespace-name MyNamespace

  Dans l'exemple de commande ci-dessus, l'exemple de fichier référencé est create.json :

  {
      "name": "<Rule_Name>",
      "compartmentId": "<Compartment_OCID>",
      "osNamespace": "<Namespace>",
      "osBucketName": "<Bucket_Name>",
      "logGroupId": "<Log_Group_OCID>",
      "logSourceName": "<Log_Source>"
  }

  Les propriétés obligatoires suivantes doivent être fournies dans le fichier json :

  • nom : nom unique donné à ObjectCollectionRule. Le nom doit être unique dans la location et ne peut pas être modifié.
  • compartmentId : OCID du compartiment dans lequel se trouve ObjectCollectionRule.
  • osNamespace : espace de noms de stockage d'objet.
  • osBucketName : nom du bucket de stockage d'objet.
  • logGroupId : OCID de groupe de journaux Log Analytics auquel associer les journaux traités.
  • logSourceName : nom de la source Log Analytics à utiliser pour le traitement.

  Outre les propriétés obligatoires, vous pouvez également spécifier les propriétés suivantes :

  • collectionType : type de collection. Les valeurs autorisées sont LIVE, HISTORIC et HISTORIC_LIVE.
  • charEncoding : exemples de valeurs ISO_8859_1, UTF-16
  • definedTags : balises définies pour cette ressource. Chaque clé est prédéfinie et ciblée sur un espace de noms. Par exemple, {"foo-namespace": {"bar-key": "value"}}
  • Description : chaîne qui décrit les détails de la règle (400 caractères maximum).
  • entityId : OCID de l'entité Log Analytics à laquelle les journaux collectés seront associés.
  • freeformTags : paire clé-valeur simple appliquée sans nom, type ou portée prédéfinis. Existe uniquement pour la compatibilité croisée. Par exemple, {"bar-key": "value"}
  • isEnabled : par défaut, true.
  • objectNameFilters : pour consulter des exemples, reportez-vous à Exécution d'une collecte sélective d'objets en appliquant des filtres aux noms d'objet - Etapes en phase d'abandon.
  • Remplacement : pour obtenir des exemples, reportez-vous à Remplacement de la configuration ObjectCollectionRule pour traiter des objets spécifiques - Etapes obsolètes.
  • pollSince : exemple de valeur 2019-10-12T07:20:50.52Z au format RFC3339.
  • pollTill : exemple de valeur 2019-10-12T07:20:50.52Z au format RFC3339.

  Pour plus d'informations sur les propriétés de ObjectCollectionRule, reportez-vous à Référence d'API ObjectCollectionRule.

  Exemple de réponse à l'exemple de commande ci-dessus :

  {
      "id": "ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID",
      "name": "My Rule",
      "compartmentId": "ocid.compartment.oc1..exampleuniqueID",
      "osNamespace": "MyNamespace",
      "osBucketName": "MyBucket1",
      "collectionType": "LIVE",
      "pollSince": "2020-09-08 14:06:28.028",
      "logGroupId": "ocid1.loganalyticsloggroup.oc1.. exampleuniqueID",
      "logSourceName": "MyLogSource",
      "lifecycleState": "ACTIVE",
      "timeCreated": "2020-09-08T14:06:28.028Z",
      "timeUpdated": "2020-09-08T14:06:28.028Z"
  }

• Mettre à jour ObjectCollectionRule :

  Voici un exemple de commande permettant de mettre à jour une source de journal. De même, vous pouvez également mettre à jour le groupe de journaux, l'entité ou toute autre ressource.

  oci log-analytics object-collection-rule update --namespace-name <namespace_name> --object-collection-rule-id <object-collection-rule-OCID> --log-source-name <Log-Source>

  Par exemple :

  oci log-analytics object-collection-rule update --namespace-name MyNamespace --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID --log-source-name MyLogSource

• Delete ObjectCollectionRule :

  oci log-analytics object-collection-rule delete --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID>

  Par exemple :

  oci log-analytics object-collection-rule delete --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID

• List ObjectCollectionRule :

  oci log-analytics object-collection-rule list --namespace-name <Namespace> --compartment-id <compartment-OCID>

  Par exemple :

  oci log-analytics object-collection-rule list --namespace-name “My Namespace” --compartment-id ocid.compartment.oc1..exampleuniqueID

• Get ObjectCollectionRule :

  oci log-analytics object-collection-rule get --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID>

  Par exemple :

  oci log-analytics object-collection-rule get --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID

• Ajouter des remplacements à ObjectCollectionRule :

  Si ObjectCollectionRule existe déjà, créez un json de remplacement, par exemple update_override.json, avec les conditions de remplacement que vous souhaitez ajouter à ObjectCollectionRule :

  {
    "overrides":{"items":[{"matchType":"contains","matchValue":"audit","propertyName":"logSourceName","propertyValue":"myLOGANAuditSource"}]} 
  }

  Maintenant, mettez à jour le fichier ObjectCollectionRule pour inclure le remplacement :

  oci log-analytics object-collection-rule update --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID> --from-json file://path-to/file

  Par exemple :

  oci log-analytics object-collection-rule update --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID --from-json file:///scratch/update_override.json

  Pour plus d'informations sur les remplacements dans ObjectCollectionRule, reportez-vous à Remplacer la configuration ObjectCollectionRule pour traiter des objets spécifiques - Etapes obsolètes.

• Supprimer les remplacements de ObjectCollectionRule :

  Si vous souhaitez supprimer toutes les conditions de remplacement du fichier ObjectCollectionRule, créez un fichier json, par exemple remove_overrides.json, qui détaille la propriété de remplacement comme suit :

  {
    "overrides":{"items":[]} 
  }

  Maintenant, mettez à jour ObjectCollectionRule :

  oci log-analytics object-collection-rule update --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID> --from-json file://path-to/file

  Par exemple :

  oci log-analytics object-collection-rule update --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID --from-json file:///scratch/remove_overrides.json

  Pour plus d'informations sur les remplacements dans ObjectCollectionRule, reportez-vous à Remplacer la configuration ObjectCollectionRule pour traiter des objets spécifiques - Etapes obsolètes.

• Ajoutez objectNameFilters à ObjectCollectionRule :

  Si ObjectCollectionRule existe déjà, créez un filtre json, par exemple filters.json, avec les filtres sur les noms d'objet que vous souhaitez ajouter à ObjectCollectionRule :

  {
    "objectNameFilters":["a/*","*audit*"]
  }

  Remarque
  
  Vous ne pouvez mettre à jour un fichier ObjectCollectionRule existant avec ObjectNameFilters que s'il est de type LIVE ou HISTORIC_LIVE. Le type HISTORIC n'est pas pris en charge pour cette opération.

  Mettez à jour le fichier ObjectCollectionRule pour inclure les filtres :

  oci log-analytics object-collection-rule update --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID> --from-json file://path-to/file

  Par exemple :

  oci log-analytics object-collection-rule update --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID --from-json file:///scratch/filters.json

  Pour plus d'informations sur les filtres dans ObjectCollectionRule, reportez-vous à Exécution d'une collecte sélective d'objets en appliquant des filtres aux noms d'objet - Etapes en phase d'abandon.

Autoriser la collecte de journaux inter-location à partir d'Object Storage - Etapes en phase d'abandon

Définissez les stratégies suivantes pour configurer la règle de collecte d'objets afin de collecter les journaux d'un bucket dans un locataire invité.

Conservez Guest_Tenant en tant que locataire invité et Guest_Compartment en tant que compartiment de ce locataire invité contenant les buckets de stockage d'objet à partir desquels les journaux doivent être collectés. Host_Tenant est le locataire abonné à Oracle Log Analytics.

Pour plus d'informations sur l'écriture de stratégies permettant à la location d'accéder aux ressources Object Storage d'autres locations, reportez-vous à Accès aux ressources Object Storage dans des locations dans la documentation Oracle Cloud Infrastructure.

Stratégies à ajouter dans le locataire invité

Voici un exemple d'instructions de stratégie permettant au groupe IAM Host_User_Group du locataire hôte Host_Tenant et au service Oracle Log Analytics d'accéder aux objets du compartiment invité Guest_Compartment dans la location d'invité :

define group <Host_User_Group> as <Host_User_Group_OCID>
define tenancy <Host_Tenant> as <Host_Tenant_OCID>
admit group <Host_User_Group> of tenancy <Host_Tenant> to use buckets in compartment <Guest_Compartment>
allow service loganalytics to read buckets in compartment <Guest_Compartment>
allow service loganalytics to read objects in compartment <Guest_Compartment>
allow service loganalytics to manage cloudevents-rules in compartment <Guest_Compartment>
allow service loganalytics to inspect compartments in tenancy
allow service loganalytics to use tag-namespaces in tenancy where all {target.tag-namespace.name = /oracle-tags /}

Stratégies à ajouter dans le locataire hôte

Voici un exemple d'instructions de stratégie permettant au groupe IAM hôte Host_User_Group de disposer d'un accès USE aux buckets dans la location d'invité Guest_Tenant :

define tenancy <Guest_Tenant> as <Guest_Tenant_OCID>
endorse group <Host_User_Group> to use buckets in tenancy <Guest_Tenant>
allow group <Host_User_Group> to use loganalytics-object-collection-rule in compartment <Rule_Compartment>
allow group <Host_User_Group> to {LOG_ANALYTICS_LOG_GROUP_UPLOAD_LOGS} in compartment <LogGroup_Compartment>
allow group <Host_User_Group> to {LOG_ANALYTICS_SOURCE_READ} in tenancy

Définissez éventuellement la stratégie suivante si des entités sont associées à ObjectCollectionRule :

allow group <Host_User_Group> to {LOG_ANALYTICS_ENTITY_UPLOAD_LOGS} in compartment <Entity_Compartment>

Dans les stratégies ci-dessus :

• Rule_Compartment : compartiment dans lequel ObjectCollectionRule est à créer

• LogGroup_Compartment : compartiment du groupe de journaux Oracle Log Analytics dans lequel les journaux doivent être stockés.

• Entity_Compartment : compartiment de l'entité Oracle Log Analytics.

Une fois les stratégies requises créées, vous pouvez créer ObjectCollectionRule pour collecter les journaux à partir d'Object Storage dans la location d'invité. Indiquez l'espace de noms osNamespace et le nom de bucket osBucketName du locataire invité dans le fichier JSON, comme dans l'exemple suivant :

{
 "name": "<My_Rule>",
 "compartmentId": "<Compartment_OCID>",
 "osNamespace": "<Guest_Tenant_Namespace>", // Namespace of the guest tenant
"osBucketName": "<Guest_Tenant__Bucket1>", // Bucket in the guest tenant object store namespace
"logGroupId": "<Log_Group_OCID>",
 "logSourceName": "<My_Log_Source>"
 }

Pour plus de détails sur la création de ObjectCollectionRule, reportez-vous à Opérations ObjectCollectionRule - Partie des étapes en phase d'abandon.

Remplacer la configuration ObjectCollectionRule pour traiter des objets spécifiques - Etapes en phase d'abandon

Lorsque vous souhaitez traiter des objets spécifiques à l'intérieur d'un bucket à l'aide d'une configuration différente de celle définie pour ObjectCollectionRule, vous pouvez utiliser la fonctionnalité de remplacement. La fonctionnalité de remplacement permet de fournir des propriétés de configuration basées sur des noms d'objet correspondant à des modèles, préfixes ou répertoires spécifiques à l'intérieur du bucket.

• Propriétés pour lesquelles vous pouvez indiquer des remplacements : logSourceName, charEncoding, entityId, timezone

• Type de correspondance que vous pouvez utiliser dans le remplacement : contains

• La valeur de correspondance est toujours appliquée sur le nom d'objet.

• Vous pouvez créer un maximum de 10 remplacements par ObjectCollectionRule, qui est la valeur par défaut. Pour modifier cette valeur par défaut, créez une demande de service (SR) avec justification. La demande sera vérifiée.

Si vous créez le fichier ObjectCollectionRule pour la première fois, l'un des exemples suivants du fichier create.json peut être utilisé pour créer le fichier json pour votre cas d'emploi :

• Exemple create.json avec des remplacements pour traiter les noms d'objet contenant audit avec logSourceName myLOGANAuditSource :

  {
    "name":"testRule1",
    "compartmentId":"ocid1.compartment.oc1..aaa...",
    "osNamespace":"myObjectStorageNameSpace",
    "osBucketName":"myObjectStorageBucket",
    "logGroupId":"ocid1.loganalyticsloggroup.oc1..aaa...",
    "logSourceName":"myLOGANSourceName",
    "overrides":{"items":[{"matchType":"contains","matchValue":"audit","propertyName":"logSourceName","propertyValue":"myLOGANAuditSource"}]} 
  }

  A l'aide de la règle ci-dessus, les objets contenant audit sont traités avec logSourceName myLOGANAuditSource tandis que tous les autres objets du bucket sont traités avec logSourceName myLOGANSourceName.

• Exemple create.json avec des remplacements pour traiter les noms d'objet contenant audit avec logSourceName myLOGANAuditSource et les noms d'objet contenant dir1/ avec charEncoding UTF-16 :

  {
    "name":"testRule2",
    "compartmentId":"ocid1.compartment.oc1..aaa...",
    "osNamespace":"myObjectStorageNameSpace",
    "osBucketName":"myObjectStorageBucket",
    "logGroupId":"ocid1.loganalyticsloggroup.oc1..aaa...",
    "logSourceName":"myLOGANSourceName",
    "overrides":{"items":[{"matchType":"contains","matchValue":"audit","propertyName":"logSourceName","propertyValue":"myLOGANAuditSource"}, {"matchType":"contains","matchValue":"dir1/","propertyName":"charEncoding","propertyValue":"UTF-16"}]} 
  }

Une fois la configuration json créée, indiquez le chemin d'accès au fichier lors de la création de ObjectCollectionRule. Reportez-vous à la section Créer ObjectCollectionRule dans ObjectCollectionRule Opérations - Partie des étapes en phase d'abandon.

Si vous avez déjà créé le fichier ObjectCollectionRule, créez un fichier json avec les détails du remplacement et mettez à jour le fichier ObjectCollectionRule pour l'inclure. Reportez-vous à la section Add Overrides to ObjectCollectionRule dans ObjectCollectionRule Operations- Part of Deprecated Steps.

Si vous souhaitez enlever toutes les conditions de remplacement, créez un fichier json tel qu'indiqué dans la section Supprimer les remplacements de ObjectCollectionRule et mettez à jour le fichier ObjectCollectionRule. Reportez-vous à ObjectCollectionRule Opérations - Partie des étapes en phase d'abandon.

Effectuer une collecte sélective d'objets en appliquant des filtres aux noms d'objet - Etapes en phase d'abandon

Utilisez la fonctionnalité Collection d'objets sélectifs pour collecter uniquement un sous-ensemble d'objets dans un bucket de stockage d'objets donné. La fonctionnalité est prise en charge avec des filtres sur les noms d'objet. Lorsque les filtres sont appliqués, seuls les objets correspondant aux filtres sont collectés pour traitement.

La propriété matchType prend uniquement en charge la correspondance exacte avec le caractère générique *. Voici quelques exemples de filtres utilisant le caractère générique :

• Le filtre objectName* spécifie les objets avec le préfixe objectName.
• Le filtre *objectName spécifie les objets avec le suffixe objectName.
• Le filtre *objectName* indique les objets qui contiennent le texte objectName.

Pour plus d'informations sur les filtres, reportez-vous à Correspondance d'événements avec des filtres.

Si vous créez le fichier ObjectCollectionRule pour la première fois, l'un des exemples suivants du fichier create.json peut être utilisé pour créer le fichier json pour votre cas d'emploi :

• Exemple create.json avec objectNameFilters pour traiter les noms d'objet qui ont un préfixe a/ et contiennent le texte audit :

  {
    "name":"testRule1",
    "compartmentId":"ocid1.compartment.oc1..aaa...",
    "osNamespace":"myObjectStorageNameSpace",
    "osBucketName":"myObjectStorageBucket",
    "logGroupId":"ocid1.loganalyticsloggroup.oc1..aaa...",
    "logSourceName":"myLOGANSourceName",
    "objectNameFilters":["a/*","*audit*"]
  }

• Si nécessaire, vous pouvez également utiliser la fonction de remplacement pour spécifier une configuration différente pour chacun des filtres. Pour l'exemple ci-dessus, vous pouvez également indiquer que tous les objets contenant le texte audit doivent utiliser la source myLOGANAuditSource :

  {
    "name":"testRule2",
    "compartmentId":"ocid1.compartment.oc1..aaa...",
    "osNamespace":"myObjectStorageNameSpace",
    "osBucketName":"myObjectStorageBucket",
    "logGroupId":"ocid1.loganalyticsloggroup.oc1..aaa...",
    "logSourceName":"myLOGANSourceName",
    "objectNameFilters":["a/*","*audit*"],
    "overrides":{"items":[{"matchType":"contains","matchValue":"audit","propertyName":"logSourceName","propertyValue":"myLOGANAuditSource"}]} 
  }

  Pour plus d'informations sur les remplacements, voir Remplacer la configuration ObjectCollectionRule pour traiter des objets spécifiques - Etapes en phase d'abandon.

Une fois la configuration json créée, indiquez le chemin d'accès au fichier lors de la création de ObjectCollectionRule. Reportez-vous à la section Créer ObjectCollectionRule dans ObjectCollectionRule Opérations - Partie des étapes en phase d'abandon.

Si vous avez déjà créé le fichier ObjectCollectionRule, créez un fichier json avec les détails des filtres et mettez à jour le fichier ObjectCollectionRule pour l'inclure. Reportez-vous à la section Ajouter objectNameFilters à ObjectCollectionRule dans ObjectCollectionRule Opérations - Partie des étapes en phase d'abandon