Raccogliere i log dal bucket di storage degli oggetti - Passi non più validi

Consenti raccolta log da storage degli oggetti - Passi non più validi

Le istruzioni dei criteri IAM riportate di seguito devono essere incluse nel criterio per fornire l'autorizzazione al gruppo di utenti per l'esecuzione delle operazioni richieste in ObjectCollectionRule.

allow group <group_name> to use loganalytics-object-collection-rule in compartment <object_collection_rule_compartment>
allow group <group_name> to {LOG_ANALYTICS_LOG_GROUP_UPLOAD_LOGS} in compartment <log_group_compartment>
allow group <group_name> to {LOG_ANALYTICS_ENTITY_UPLOAD_LOGS} in compartment <entity_compartment>
allow group <group_name> to {LOG_ANALYTICS_SOURCE_READ} in tenancy
allow group <group_name> to {BUCKET_UPDATE, BUCKET_READ} in compartment <object_store_bucket_compartment>

Se si stanno creando criteri IAM a livello di risorse aggregate di Oracle Log Analytics, per utilizzare la raccolta di oggetti è necessario includere le istruzioni dei criteri riportate di seguito.

allow group <group_name> to use loganalytics-features-family in tenancy
allow group <group_name> to use loganalytics-resources-family in compartment/tenancy
allow group <group_name> to use object-family in compartment <object_store_bucket_compartment>

D'altra parte, se si stanno creando criteri IAM a livello di singoli tipi di risorse, per utilizzare la raccolta di oggetti sono necessarie le istruzioni dei criteri riportate di seguito.

allow group <group_name> to use loganalytics-object-collection-rule in compartment <object_collection_rule_compartment>
allow group <group_name> to use loganalytics-log-group in compartment <log_group_compartment>
allow group <group_name> to {LOG_ANALYTICS_ENTITY_UPLOAD_LOGS} in compartment <entity_compartment>
allow group <group_name> to read loganalytics-source in tenancy
allow group <group_name> to use object-family in compartment <object_store_bucket_compartment>

group_name in tutte le istruzioni dei criteri sopra riportate fa riferimento al gruppo di utenti a cui devono essere assegnate le autorizzazioni necessarie.

Affinché la raccolta dei log funzioni, insieme alle autorizzazioni precedenti per Creazione di ObjectCollectionRule, è inoltre necessario concedere a Oracle Log Analytics l'autorizzazione per leggere gli oggetti dal bucket nella tenancy e gestire le regole degli eventi cloud nel compartimento o nella tenancy corrispondente in cui si trova il bucket di storage degli oggetti. Di seguito sono riportati i criteri IAM aggiuntivi necessari.

allow service loganalytics to read buckets in compartment/tenancy
allow service loganalytics to read objects in compartment/tenancy
allow service loganalytics to manage cloudevents-rules in compartment/tenancy
allow service loganalytics to inspect compartments in tenancy
allow service loganalytics to use tag-namespaces in tenancy where all {target.tag-namespace.name = /oracle-tags/}

Per impostazione predefinita, lo storage degli oggetti disabilita l'emissione automatica di eventi a livello di oggetto. È possibile abilitare l'emissione di eventi o disporre delle autorizzazioni necessarie durante la creazione di ObjectCollectionRule. Per abilitare l'emissione di eventi, vedere Gestione degli oggetti.

Alcune delle istruzioni dei criteri sopra riportate sono incluse nei modelli di criteri definiti da Oracle immediatamente disponibili. Si consiglia di prendere in considerazione l'utilizzo del modello per il caso d'uso. Vedere Modelli di criteri definiti da Oracle per i casi d'uso comuni.

ObjectCollectionRule Operazioni - Parte dei passi non più validi

Utilizzando l'API REST o l'interfaccia CLI, è possibile eseguire operazioni quali Create, Update, Delete, List e Get sulla risorsa ObjectCollectionRule.

Gestire ObjectCollectionRule mediante l'API REST

Utilizzare le operazioni API riportate di seguito per gestire ObjectCollectionRule.

• Crea ObjectCollectionRule

• Aggiorna ObjectCollectionRule

• Elimina ObjectCollectionRule

• Elenca ObjectCollectionRule

• Scarica ObjectCollectionRule

Gestire ObjectCollectionRule mediante CLI

Per informazioni sull'uso dell'interfaccia CLI, vedere Command Line Interface (CLI).

Per un elenco completo dei flag e delle opzioni disponibili per i comandi CLI, vedere Riferimento per la riga di comando.

Eseguire i comandi CLI riportati di seguito per gestire ObjectCollectionRule.

• Creare ObjectCollectionRule:

  oci log-analytics object-collection-rule create --from-json <json_file_name> --namespace-name <namespace_name>

  Ad esempio:

  oci log-analytics object-collection-rule create --from-json file://create.json --namespace-name MyNamespace

  Nel comando dell'esempio precedente, l'esempio di riferimento create.json:

  {
      "name": "<Rule_Name>",
      "compartmentId": "<Compartment_OCID>",
      "osNamespace": "<Namespace>",
      "osBucketName": "<Bucket_Name>",
      "logGroupId": "<Log_Group_OCID>",
      "logSourceName": "<Log_Source>"
  }

  È necessario fornire le seguenti proprietà obbligatorie nel file json:

  • nome: nome univoco assegnato al file ObjectCollectionRule. Il nome deve essere univoco all'interno della tenancy e non può essere modificato.
  • compartmentId: l'OCID del compartimento in cui si trova ObjectCollectionRule.
  • osNamespace: lo spazio di nomi dello storage degli oggetti.
  • osBucketName: il nome del bucket di storage degli oggetti.
  • logGroupId: OCID del gruppo di log di Log Analytics a cui associare i log elaborati.
  • logSourceName: nome dell'origine di Log Analytics da utilizzare per l'elaborazione.

  Oltre alle proprietà obbligatorie, è inoltre possibile specificare facoltativamente le seguenti proprietà:

  • collectionType: il tipo di raccolta. I valori consentiti sono LIVE, HISTORIC e HISTORIC_LIVE.
  • charEncoding: valori di esempio ISO_8859_1, UTF-16
  • definedTags: tag definite per questa risorsa. Ogni chiave è predefinita e applicata a uno spazio di nomi. Ad esempio, {"foo-namespace": {"bar-key": "value"}}
  • descrizione: stringa che descrive i dettagli della regola con una lunghezza non superiore a 400 caratteri.
  • entityId: OCID dell'entità Log Analytics a cui verranno associati i log raccolti.
  • freeformTags: coppia semplice chiave-valore applicata senza nome, tipo o ambito predefiniti. Esiste solo per la compatibilità incrociata. Ad esempio, {"bar-key": "value"}
  • isEnabled: true per impostazione predefinita.
  • objectNameFilters: per esempi, vedere Eseguire la raccolta oggetti selettiva applicando filtri ai nomi degli oggetti - Passi non più validi.
  • override: per esempi, vedere Override della configurazione ObjectCollectionRule per l'elaborazione di oggetti specifici - Passi non più validi.
  • pollSince: valore di esempio 2019-10-12T07:20:50.52Z in formato RFC3339.
  • pollTill: valore di esempio 2019-10-12T07:20:50.52Z in formato RFC3339.

  Per ulteriori informazioni sulle proprietà di ObjectCollectionRule, vedere ObjectCollectionRule API Reference.

  Risposta di esempio del comando di esempio precedente:

  {
      "id": "ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID",
      "name": "My Rule",
      "compartmentId": "ocid.compartment.oc1..exampleuniqueID",
      "osNamespace": "MyNamespace",
      "osBucketName": "MyBucket1",
      "collectionType": "LIVE",
      "pollSince": "2020-09-08 14:06:28.028",
      "logGroupId": "ocid1.loganalyticsloggroup.oc1.. exampleuniqueID",
      "logSourceName": "MyLogSource",
      "lifecycleState": "ACTIVE",
      "timeCreated": "2020-09-08T14:06:28.028Z",
      "timeUpdated": "2020-09-08T14:06:28.028Z"
  }

• Aggiorna ObjectCollectionRule:

  Di seguito è riportato un comando di esempio per aggiornare un'origine log. Analogamente, è possibile aggiornare anche il gruppo di log, l'entità o qualsiasi altra risorsa.

  oci log-analytics object-collection-rule update --namespace-name <namespace_name> --object-collection-rule-id <object-collection-rule-OCID> --log-source-name <Log-Source>

  Ad esempio:

  oci log-analytics object-collection-rule update --namespace-name MyNamespace --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID --log-source-name MyLogSource

• Elimina ObjectCollectionRule :

  oci log-analytics object-collection-rule delete --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID>

  Ad esempio:

  oci log-analytics object-collection-rule delete --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID

• Elenco ObjectCollectionRule:

  oci log-analytics object-collection-rule list --namespace-name <Namespace> --compartment-id <compartment-OCID>

  Ad esempio:

  oci log-analytics object-collection-rule list --namespace-name “My Namespace” --compartment-id ocid.compartment.oc1..exampleuniqueID

• Ottieni ObjectCollectionRule:

  oci log-analytics object-collection-rule get --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID>

  Ad esempio:

  oci log-analytics object-collection-rule get --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID

• Aggiungi sostituzioni a ObjectCollectionRule:

  Se ObjectCollectionRule esiste già, creare un json di sostituzione, ad esempio update_override.json, con le condizioni di sostituzione che si desidera aggiungere a ObjectCollectionRule:

  {
    "overrides":{"items":[{"matchType":"contains","matchValue":"audit","propertyName":"logSourceName","propertyValue":"myLOGANAuditSource"}]} 
  }

  Aggiornare ora ObjectCollectionRule per includere l'override:

  oci log-analytics object-collection-rule update --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID> --from-json file://path-to/file

  Ad esempio:

  oci log-analytics object-collection-rule update --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID --from-json file:///scratch/update_override.json

  Per ulteriori dettagli sulle sostituzioni in ObjectCollectionRule, vedere Sostituisci configurazione ObjectCollectionRule per elaborare oggetti specifici - Passi non più validi.

• Rimuovi sostituzioni da ObjectCollectionRule:

  Se si desidera rimuovere tutte le condizioni di sostituzione da ObjectCollectionRule, creare un json, ad esempio remove_overrides.json, che dettagli la proprietà di sostituzione come indicato di seguito.

  {
    "overrides":{"items":[]} 
  }

  Aggiornare ora ObjectCollectionRule:

  oci log-analytics object-collection-rule update --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID> --from-json file://path-to/file

  Ad esempio:

  oci log-analytics object-collection-rule update --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID --from-json file:///scratch/remove_overrides.json

  Per ulteriori dettagli sulle sostituzioni in ObjectCollectionRule, vedere Sostituisci configurazione ObjectCollectionRule per elaborare oggetti specifici - Passi non più validi.

• Aggiungere objectNameFilters a ObjectCollectionRule:

  Se ObjectCollectionRule esiste già, creare un json dei filtri, ad esempio filters.json, con i filtri sui nomi degli oggetti che si desidera aggiungere a ObjectCollectionRule:

  {
    "objectNameFilters":["a/*","*audit*"]
  }

  Nota
  
  È possibile aggiornare un ObjectCollectionRule esistente con ObjectNameFilters solo se è di tipo LIVE o HISTORIC_LIVE. Il tipo HISTORIC non è supportato per questa operazione.

  Aggiornare ora ObjectCollectionRule per includere i filtri:

  oci log-analytics object-collection-rule update --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID> --from-json file://path-to/file

  Ad esempio:

  oci log-analytics object-collection-rule update --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID --from-json file:///scratch/filters.json

  Per ulteriori dettagli sui filtri in ObjectCollectionRule, vedere Eseguire la raccolta oggetti selettiva applicando filtri ai nomi degli oggetti - Passi non più validi.

Consenti raccolta di log cross-tenancy dallo storage degli oggetti - Passi non più validi

Impostare i criteri riportati di seguito per configurare la regola di raccolta degli oggetti per la raccolta dei log da un bucket in un tenant guest.

Lascia che Guest_Tenant sia il tenant guest e Guest_Compartment il compartimento in quel tenant guest in cui sono presenti i bucket di storage degli oggetti da cui devono essere raccolti i log. Lascia che Host_Tenant sia il tenant sottoscritto a Oracle Log Analytics.

Per ulteriori informazioni sulla scrittura di criteri che consentono alla tenancy di accedere alle risorse di storage degli oggetti in altre tenancy, vedere Accesso alle risorse di storage degli oggetti tra tenancy nella Documentazione di Oracle Cloud Infrastructure.

Criteri da aggiungere nel tenant cliente

Di seguito è riportato un esempio di istruzioni dei criteri che consentono al gruppo IAM Host_User_Group dal tenant host Host_Tenant e al servizio Oracle Log Analytics di accedere agli oggetti nel compartimento guest Guest_Compartment nella tenancy guest.

define group <Host_User_Group> as <Host_User_Group_OCID>
define tenancy <Host_Tenant> as <Host_Tenant_OCID>
admit group <Host_User_Group> of tenancy <Host_Tenant> to use buckets in compartment <Guest_Compartment>
allow service loganalytics to read buckets in compartment <Guest_Compartment>
allow service loganalytics to read objects in compartment <Guest_Compartment>
allow service loganalytics to manage cloudevents-rules in compartment <Guest_Compartment>
allow service loganalytics to inspect compartments in tenancy
allow service loganalytics to use tag-namespaces in tenancy where all {target.tag-namespace.name = /oracle-tags /}

Criteri da aggiungere nel tenant host

Di seguito è riportato un esempio di istruzioni dei criteri che consentono al gruppo IAM host Host_User_Group di disporre dell'accesso USE ai bucket nella tenancy guest Guest_Tenant.

define tenancy <Guest_Tenant> as <Guest_Tenant_OCID>
endorse group <Host_User_Group> to use buckets in tenancy <Guest_Tenant>
allow group <Host_User_Group> to use loganalytics-object-collection-rule in compartment <Rule_Compartment>
allow group <Host_User_Group> to {LOG_ANALYTICS_LOG_GROUP_UPLOAD_LOGS} in compartment <LogGroup_Compartment>
allow group <Host_User_Group> to {LOG_ANALYTICS_SOURCE_READ} in tenancy

Se si desidera, definire questo criterio se a ObjectCollectionRule sono associate entità:

allow group <Host_User_Group> to {LOG_ANALYTICS_ENTITY_UPLOAD_LOGS} in compartment <Entity_Compartment>

nelle politiche di cui sopra,

• Rule_Compartment: il compartimento in cui deve essere creato ObjectCollectionRule.

• LogGroup_Compartment: il compartimento del gruppo di log di Oracle Log Analytics in cui devono essere memorizzati i log.

• Entity_Compartment: il compartimento dell'entità Oracle Log Analytics.

Dopo aver creato i criteri necessari, puoi creare ObjectCollectionRule per raccogliere i log dallo storage degli oggetti della tenancy guest. Fornire lo spazio di nomi osNamespace e il nome bucket osBucketName del tenant guest nel file JSON, come mostrato nell'esempio riportato di seguito.

{
 "name": "<My_Rule>",
 "compartmentId": "<Compartment_OCID>",
 "osNamespace": "<Guest_Tenant_Namespace>", // Namespace of the guest tenant
"osBucketName": "<Guest_Tenant__Bucket1>", // Bucket in the guest tenant object store namespace
"logGroupId": "<Log_Group_OCID>",
 "logSourceName": "<My_Log_Source>"
 }

Per informazioni dettagliate sulla creazione di ObjectCollectionRule, vedere ObjectCollectionRule Operations - Parte dei passi non più validi.

Esegui override configurazione ObjectCollectionRule per elaborare oggetti specifici - Passi non più validi

Quando si desidera elaborare oggetti specifici all'interno di un bucket utilizzando una configurazione diversa da quella definita per ObjectCollectionRule, è possibile utilizzare la funzione di override. La funzione di override facilita la fornitura di proprietà di configurazione basate su nomi di oggetti che corrispondono a pattern o prefissi o directory specifici all'interno del bucket.

• Le proprietà per le quali è possibile specificare le sostituzioni: logSourceName, charEncoding, entityId, timezone

• Il tipo di corrispondenza che è possibile utilizzare nella sostituzione: contains

• Il valore di corrispondenza viene sempre applicato nel nome oggetto.

• È possibile creare al massimo 10 sostituzioni per ObjectCollectionRule, che è il valore predefinito. Per modificare questo valore predefinito, generare una richiesta di servizio (SR) con giustificazione. La richiesta verrà esaminata.

Se si sta creando il file ObjectCollectionRule per la prima volta, è possibile utilizzare uno dei seguenti esempi del file create.json per creare il file json per lo use case:

• Esempio di create.json con override per l'elaborazione dei nomi oggetto contenenti audit con logSourceName myLOGANAuditSource:

  {
    "name":"testRule1",
    "compartmentId":"ocid1.compartment.oc1..aaa...",
    "osNamespace":"myObjectStorageNameSpace",
    "osBucketName":"myObjectStorageBucket",
    "logGroupId":"ocid1.loganalyticsloggroup.oc1..aaa...",
    "logSourceName":"myLOGANSourceName",
    "overrides":{"items":[{"matchType":"contains","matchValue":"audit","propertyName":"logSourceName","propertyValue":"myLOGANAuditSource"}]} 
  }

  Utilizzando la regola precedente, gli oggetti contenenti audit vengono elaborati con logSourceName myLOGANAuditSource, mentre tutti gli altri oggetti nel bucket vengono elaborati con logSourceName myLOGANSourceName.

• Esempio di create.json con sostituzioni per elaborare i nomi oggetto contenenti audit con logSourceName myLOGANAuditSource e i nomi oggetto contenenti dir1/ con charEncoding UTF-16:

  {
    "name":"testRule2",
    "compartmentId":"ocid1.compartment.oc1..aaa...",
    "osNamespace":"myObjectStorageNameSpace",
    "osBucketName":"myObjectStorageBucket",
    "logGroupId":"ocid1.loganalyticsloggroup.oc1..aaa...",
    "logSourceName":"myLOGANSourceName",
    "overrides":{"items":[{"matchType":"contains","matchValue":"audit","propertyName":"logSourceName","propertyValue":"myLOGANAuditSource"}, {"matchType":"contains","matchValue":"dir1/","propertyName":"charEncoding","propertyValue":"UTF-16"}]} 
  }

Dopo aver creato il file json di configurazione, specificare il percorso del file quando si crea ObjectCollectionRule. Vedere la sezione Crea ObjectCollectionRule in ObjectCollectionRule Operations - Parte dei passi non più validi.

Se è già stato creato il file ObjectCollectionRule, creare un file json con i dettagli della sostituzione e aggiornare il file ObjectCollectionRule per includerlo. Vedere la sezione Aggiunta di override a ObjectCollectionRule in ObjectCollectionRule Operations - Parte dei passi non più validi.

Se si desidera rimuovere tutte le condizioni di sostituzione, creare un json come specificato nella sezione Rimuovi sostituzioni da ObjectCollectionRule e aggiornare ObjectCollectionRule. Vedere ObjectCollectionRule Operations - Parte dei passi non più validi.

Esegui raccolta oggetti selettiva applicando filtri ai nomi oggetto - Passi non più validi

Utilizzare la funzione Raccolta oggetti selettivi per raccogliere solo un subset di oggetti in un determinato bucket di storage degli oggetti. La funzione è supportata con filtri sui nomi degli oggetti. Quando vengono applicati i filtri, vengono raccolti per l'elaborazione solo gli oggetti corrispondenti ai filtri.

La proprietà matchType supporta solo la corrispondenza esatta insieme al carattere jolly *. Di seguito sono riportati alcuni esempi di filtri che utilizzano il carattere jolly:

• Il filtro objectName* specifica gli oggetti con il prefisso objectName.
• Il filtro *objectName specifica gli oggetti con il suffisso objectName.
• Il filtro *objectName* specifica gli oggetti che contengono il testo objectName.

Per ulteriori informazioni sui filtri, vedere Corrispondenza di eventi con filtri.

Se si sta creando il file ObjectCollectionRule per la prima volta, è possibile utilizzare uno dei seguenti esempi del file create.json per creare il file json per lo use case:

• Esempio di create.json con objectNameFilters per elaborare i nomi oggetto con prefisso a/ e contenente il testo audit:

  {
    "name":"testRule1",
    "compartmentId":"ocid1.compartment.oc1..aaa...",
    "osNamespace":"myObjectStorageNameSpace",
    "osBucketName":"myObjectStorageBucket",
    "logGroupId":"ocid1.loganalyticsloggroup.oc1..aaa...",
    "logSourceName":"myLOGANSourceName",
    "objectNameFilters":["a/*","*audit*"]
  }

• Se necessario, è anche possibile utilizzare la funzione di override per specificare una configurazione diversa per ciascuno dei filtri. Per l'esempio precedente, è inoltre possibile specificare che tutti gli oggetti contenenti il testo audit devono utilizzare l'origine myLOGANAuditSource:

  {
    "name":"testRule2",
    "compartmentId":"ocid1.compartment.oc1..aaa...",
    "osNamespace":"myObjectStorageNameSpace",
    "osBucketName":"myObjectStorageBucket",
    "logGroupId":"ocid1.loganalyticsloggroup.oc1..aaa...",
    "logSourceName":"myLOGANSourceName",
    "objectNameFilters":["a/*","*audit*"],
    "overrides":{"items":[{"matchType":"contains","matchValue":"audit","propertyName":"logSourceName","propertyValue":"myLOGANAuditSource"}]} 
  }

  Per ulteriori informazioni sulle sostituzioni, vedere Sostituisci configurazione ObjectCollectionRule per elaborare oggetti specifici - Passi non più validi.

Dopo aver creato il file json di configurazione, specificare il percorso del file quando si crea ObjectCollectionRule. Vedere la sezione Crea ObjectCollectionRule in ObjectCollectionRule Operations - Parte dei passi non più validi.

Se è già stato creato il file ObjectCollectionRule, creare un file json con i dettagli dei filtri e aggiornare il file ObjectCollectionRule per includerlo. Vedere la sezione Aggiungere objectNameFilters a ObjectCollectionRule in ObjectCollectionRule Operations - Parte dei passi non più validi.