Coletar Logs do Bucket do Object Storage - Etapas Obsoletas

Permitir Coleta de Logs do Serviço Object Storage - Etapas Obsoletas

As seguintes instruções de política do serviço IAM devem ser incluídas na sua política para fornecer a permissão ao grupo de usuários para executar as operações necessárias em ObjectCollectionRule:

allow group <group_name> to use loganalytics-object-collection-rule in compartment <object_collection_rule_compartment>
allow group <group_name> to {LOG_ANALYTICS_LOG_GROUP_UPLOAD_LOGS} in compartment <log_group_compartment>
allow group <group_name> to {LOG_ANALYTICS_ENTITY_UPLOAD_LOGS} in compartment <entity_compartment>
allow group <group_name> to {LOG_ANALYTICS_SOURCE_READ} in tenancy
allow group <group_name> to {BUCKET_UPDATE, BUCKET_READ} in compartment <object_store_bucket_compartment>

Se você estiver criando políticas do IAM no nível de recursos agregados do Oracle Log Analytics, as seguintes instruções de política deverão ser incluídas para usar a coleta de objetos:

allow group <group_name> to use loganalytics-features-family in tenancy
allow group <group_name> to use loganalytics-resources-family in compartment/tenancy
allow group <group_name> to use object-family in compartment <object_store_bucket_compartment>

Por outro lado, se você estiver criando políticas do IAM no nível de tipos de recursos individuais, as seguintes instruções de política serão necessárias para usar a coleta de objetos:

allow group <group_name> to use loganalytics-object-collection-rule in compartment <object_collection_rule_compartment>
allow group <group_name> to use loganalytics-log-group in compartment <log_group_compartment>
allow group <group_name> to {LOG_ANALYTICS_ENTITY_UPLOAD_LOGS} in compartment <entity_compartment>
allow group <group_name> to read loganalytics-source in tenancy
allow group <group_name> to use object-family in compartment <object_store_bucket_compartment>

group_name em todas as instruções de política acima refere-se ao grupo de usuários que deve receber as permissões necessárias.

Para que a coleta de logs funcione, junto com as permissões acima para Criar ObjectCollectionRule, você também deve conceder permissão ao Oracle Log Analytics para ler os objetos do bucket na sua tenancy e gerenciar as regras de evento na nuvem no compartimento ou tenancy correspondente em que o bucket de armazenamento de objetos está localizado. Veja a seguir as políticas adicionais do IAM necessárias:

allow service loganalytics to read buckets in compartment/tenancy
allow service loganalytics to read objects in compartment/tenancy
allow service loganalytics to manage cloudevents-rules in compartment/tenancy
allow service loganalytics to inspect compartments in tenancy
allow service loganalytics to use tag-namespaces in tenancy where all {target.tag-namespace.name = /oracle-tags/}

Por padrão, o serviço Object Storage desativa a emissão automática de eventos no nível do objeto. Você pode ativar a emissão de eventos ou ter as permissões necessárias ao criar ObjectCollectionRule. Para ativar a emissão de eventos, consulte Gerenciando Objetos.

Algumas das instruções de política acima estão incluídas nos modelos de política definidos pela Oracle prontamente disponíveis. Talvez você queira considerar o uso do modelo para seu caso de uso. Consulte Modelos de Política definidos pela Oracle para Casos de Uso Comuns.

ObjectCollectionRule Operações - Parte das Etapas Obsoletas

Usando a API REST ou a CLI, você pode executar operações como Create, Update, Delete, List e Get no recurso ObjectCollectionRule.

Gerenciar ObjectCollectionRule Usando a API REST

Use as seguintes operações de API para gerenciar ObjectCollectionRule:

• Criar ObjectCollectionRule

• Atualizar ObjectCollectionRule

• Excluir ObjectCollectionRule

• Listar ObjectCollectionRule

• Obter ObjectCollectionRule

Gerenciar o ObjectCollectionRule Usando a CLI

Para obter informações sobre como usar a CLI, consulte Interface de Linha de Comando (CLI).

Para obter uma lista completa de flags e opções disponíveis para comandos da CLI, consulte a Referência de Linha de Comando.

Execute os seguintes comandos da CLI para gerenciar ObjectCollectionRule:

• Criar ObjectCollectionRule:

  oci log-analytics object-collection-rule create --from-json <json_file_name> --namespace-name <namespace_name>

  Por Exemplo:

  oci log-analytics object-collection-rule create --from-json file://create.json --namespace-name MyNamespace

  No comando de exemplo anterior, a amostra referida create.json:

  {
      "name": "<Rule_Name>",
      "compartmentId": "<Compartment_OCID>",
      "osNamespace": "<Namespace>",
      "osBucketName": "<Bucket_Name>",
      "logGroupId": "<Log_Group_OCID>",
      "logSourceName": "<Log_Source>"
  }

  As seguintes propriedades obrigatórias devem ser fornecidas no json:

  • nome: Um nome exclusivo fornecido ao ObjectCollectionRule. O nome deve ser exclusivo na tenancy e não pode ser modificado.
  • compartmentId: O OCID do compartimento no qual a ObjectCollectionRule está localizada.
  • osNamespace: O namespace do serviço Object Storage.
  • osBucketName: O nome do bucket de armazenamento de objetos.
  • logGroupId: OCID do grupo de logs do Log Analytics ao qual associar os logs processados.
  • logSourceName: Nome da origem do Log Analytics a ser usada para o processamento.

  Além das propriedades obrigatórias, você também pode especificar as seguintes propriedades:

  • collectionType: O tipo de coleção. Os valores permitidos são LIVE, HISTORIC e HISTORIC_LIVE.
  • charEncoding: Valores de exemplo ISO_8859_1, UTF-16
  • definedTags: Tags definidas para este recurso. Cada chave é predefinida e tem escopo definido para um namespace. Por exemplo, {"foo-namespace": {"bar-key": "value"}}
  • descrição: Uma string que descreve os detalhes da regra, com no máximo 400 caracteres.
  • entityId: O OCID da entidade do Log Analytics à qual os logs coletados serão associados.
  • freeformTags: Par de chave/valor simples que é aplicado sem qualquer nome, tipo ou escopo predefinidos. Existe apenas para compatibilidade cruzada. Por exemplo, {"bar-key": "value"}
  • isEnabled: true por padrão.
  • objectNameFilters: Para obter exemplos, consulte Executar Coleta de Objetos Seletivos Aplicando Filtros em Nomes de Objetos - Etapas Obsoletas.
  • substituições: Para obter exemplos, consulte Substituir Configuração ObjectCollectionRule para Processar Objetos Específicos - Etapas Obsoletas.
  • pollSince: Valor de exemplo 2019-10-12T07:20:50.52Z no formato RFC3339.
  • pollTill: Valor de exemplo 2019-10-12T07:20:50.52Z no formato RFC3339.

  Para obter mais detalhes sobre as propriedades de ObjectCollectionRule, consulte Referência de API ObjectCollectionRule.

  Resposta de amostra do comando de exemplo anterior:

  {
      "id": "ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID",
      "name": "My Rule",
      "compartmentId": "ocid.compartment.oc1..exampleuniqueID",
      "osNamespace": "MyNamespace",
      "osBucketName": "MyBucket1",
      "collectionType": "LIVE",
      "pollSince": "2020-09-08 14:06:28.028",
      "logGroupId": "ocid1.loganalyticsloggroup.oc1.. exampleuniqueID",
      "logSourceName": "MyLogSource",
      "lifecycleState": "ACTIVE",
      "timeCreated": "2020-09-08T14:06:28.028Z",
      "timeUpdated": "2020-09-08T14:06:28.028Z"
  }

• Atualizar ObjectCollectionRule:

  Veja a seguir uma amostra de comando para atualizar uma origem de log. Da mesma forma, o grupo de logs, a entidade ou qualquer outro recurso também pode ser atualizado.

  oci log-analytics object-collection-rule update --namespace-name <namespace_name> --object-collection-rule-id <object-collection-rule-OCID> --log-source-name <Log-Source>

  Por exemplo:

  oci log-analytics object-collection-rule update --namespace-name MyNamespace --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID --log-source-name MyLogSource

• Excluir ObjectCollectionRule :

  oci log-analytics object-collection-rule delete --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID>

  Por Exemplo:

  oci log-analytics object-collection-rule delete --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID

• Listar ObjectCollectionRule:

  oci log-analytics object-collection-rule list --namespace-name <Namespace> --compartment-id <compartment-OCID>

  Por Exemplo:

  oci log-analytics object-collection-rule list --namespace-name “My Namespace” --compartment-id ocid.compartment.oc1..exampleuniqueID

• Obter ObjectCollectionRule:

  oci log-analytics object-collection-rule get --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID>

  Por Exemplo:

  oci log-analytics object-collection-rule get --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID

• Adicionar Substituições ao ObjectCollectionRule:

  Se o ObjectCollectionRule já existir, crie um json de substituição, por exemplo, update_override.json, com as condições de substituição que você deseja adicionar ao ObjectCollectionRule:

  {
    "overrides":{"items":[{"matchType":"contains","matchValue":"audit","propertyName":"logSourceName","propertyValue":"myLOGANAuditSource"}]} 
  }

  Agora atualize o ObjectCollectionRule para incluir a substituição:

  oci log-analytics object-collection-rule update --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID> --from-json file://path-to/file

  Por Exemplo:

  oci log-analytics object-collection-rule update --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID --from-json file:///scratch/update_override.json

  Para obter mais detalhes sobre substituições em ObjectCollectionRule, consulte Substituir Configuração ObjectCollectionRule para Processar Objetos Específicos - Etapas Obsoletas.

• Remover Substituições de ObjectCollectionRule:

  Se quiser remover todas as condições de substituição de ObjectCollectionRule, crie um json, por exemplo, remove_overrides.json, que detalhe a propriedade de substituição da seguinte forma:

  {
    "overrides":{"items":[]} 
  }

  Agora atualize o ObjectCollectionRule:

  oci log-analytics object-collection-rule update --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID> --from-json file://path-to/file

  Por Exemplo:

  oci log-analytics object-collection-rule update --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID --from-json file:///scratch/remove_overrides.json

  Para obter mais detalhes sobre substituições em ObjectCollectionRule, consulte Substituir Configuração ObjectCollectionRule para Processar Objetos Específicos - Etapas Obsoletas.

• Adicione objectNameFilters ao ObjectCollectionRule:

  Se o ObjectCollectionRule já existir, crie um json de filtros, por exemplo filters.json, com os filtros nos nomes de objetos que você deseja adicionar a ObjectCollectionRule:

  {
    "objectNameFilters":["a/*","*audit*"]
  }

  Observação
  
  Você só poderá atualizar um ObjectCollectionRule existente com ObjectNameFilters se ele for do tipo LIVE ou HISTORIC_LIVE. Não há suporte para o tipo HISTORIC nesta operação.

  Agora atualize o ObjectCollectionRule para incluir os filtros:

  oci log-analytics object-collection-rule update --namespace-name <Namespace> --object-collection-rule-id <object-collection-rule-OCID> --from-json file://path-to/file

  Por Exemplo:

  oci log-analytics object-collection-rule update --namespace-name “My Namespace” --object-collection-rule-id ocid1.loganalyticsobjectcollectionrule.oc1..exampleuniqueID --from-json file:///scratch/filters.json

  Para obter mais detalhes sobre filtros em ObjectCollectionRule, consulte Executar Coleta de Objetos Seletivos Aplicando Filtros em Nomes de Objetos - Etapas Obsoletas.

Permitir Coleta de Logs entre Tenancies do Object Storage - Etapas Obsoletas

Defina as políticas a seguir para configurar a regra de coleta de objetos para coletar logs de um bucket em um tenant convidado.

Deixe Guest_Tenant ser o tenant convidado e Guest_Compartment o compartimento nesse tenant convidado que tem os buckets de armazenamento de objetos cujos logs devem ser coletados. Deixe Host_Tenant ser o tenant que se inscreve no Oracle Log Analytics.

Para obter informações adicionais sobre a criação de políticas que permitem que sua tenancy acesse recursos do serviço Object Storage em outras tenancies, consulte Acessando Recursos do Object Storage entre Tenancies na Documentação do Oracle Cloud Infrastructure.

Políticas a Serem Adicionadas no Tenant Convidado

Veja um exemplo de instruções de política que permitem que o grupo Host_User_Group do IAM do tenant host Host_Tenant e o serviço Oracle Log Analytics acessem os objetos no compartimento convidado Guest_Compartment na tenancy convidada:

define group <Host_User_Group> as <Host_User_Group_OCID>
define tenancy <Host_Tenant> as <Host_Tenant_OCID>
admit group <Host_User_Group> of tenancy <Host_Tenant> to use buckets in compartment <Guest_Compartment>
allow service loganalytics to read buckets in compartment <Guest_Compartment>
allow service loganalytics to read objects in compartment <Guest_Compartment>
allow service loganalytics to manage cloudevents-rules in compartment <Guest_Compartment>
allow service loganalytics to inspect compartments in tenancy
allow service loganalytics to use tag-namespaces in tenancy where all {target.tag-namespace.name = /oracle-tags /}

Políticas a Serem Adicionadas no Tenant de Host

Aqui está um exemplo de instruções de política que permitem ao grupo do IAM de host Host_User_Group ter acesso USE aos buckets na tenancy convidada Guest_Tenant:

define tenancy <Guest_Tenant> as <Guest_Tenant_OCID>
endorse group <Host_User_Group> to use buckets in tenancy <Guest_Tenant>
allow group <Host_User_Group> to use loganalytics-object-collection-rule in compartment <Rule_Compartment>
allow group <Host_User_Group> to {LOG_ANALYTICS_LOG_GROUP_UPLOAD_LOGS} in compartment <LogGroup_Compartment>
allow group <Host_User_Group> to {LOG_ANALYTICS_SOURCE_READ} in tenancy

Se desejar, defina essa política caso ObjectCollectionRule tenha entidades associadas:

allow group <Host_User_Group> to {LOG_ANALYTICS_ENTITY_UPLOAD_LOGS} in compartment <Entity_Compartment>

Nas políticas anteriores,

• Rule_Compartment: O compartimento no qual ObjectCollectionRule deve ser criado.

• LogGroup_Compartment: O compartimento do grupo de log do Oracle Log Analytics no qual os logs devem ser armazenados.

• Entity_Compartment: O compartimento da entidade do Oracle Log Analytics.

Após a criação das políticas necessárias, você pode criar ObjectCollectionRule para coletar os logs do serviço Object Storage da tenancy convidada. Informe o namespace osNamespace e o nome do bucket osBucketName do tenant convidado no arquivo JSON, conforme mostrado no seguinte exemplo:

{
 "name": "<My_Rule>",
 "compartmentId": "<Compartment_OCID>",
 "osNamespace": "<Guest_Tenant_Namespace>", // Namespace of the guest tenant
"osBucketName": "<Guest_Tenant__Bucket1>", // Bucket in the guest tenant object store namespace
"logGroupId": "<Log_Group_OCID>",
 "logSourceName": "<My_Log_Source>"
 }

Para obter detalhes sobre como criar ObjectCollectionRule, consulte ObjectCollectionRule Operations - Parte das Etapas Obsoletas.

Substituir Configuração ObjectCollectionRule para Processar Objetos Específicos - Etapas Obsoletas

Quando quiser processar objetos específicos dentro de um bucket usando uma configuração diferente da definida para ObjectCollectionRule, você poderá usar o recurso de substituição. O recurso substituir facilita o fornecimento de propriedades de configuração com base em nomes de objetos que correspondem a padrões, prefixos ou diretórios específicos dentro do bucket.

• As propriedades cujas substituições você pode especificar: logSourceName, charEncoding, entityId, timezone

• O tipo de correspondência que você pode usar na substituição: contains

• O valor de correspondência é sempre aplicado no nome do objeto.

• Você pode criar um máximo de 10 substituições por ObjectCollectionRule, que é o valor padrão. Para alterar esse valor padrão, gere uma Solicitação de Serviço (SR) com justificativa. A solicitação será revisada.

Se você estiver criando o ObjectCollectionRule pela primeira vez, um dos seguintes exemplos do create.json poderá ser usado para criar o json para seu caso de uso:

• Exemplo de create.json com substituições para processar nomes de objeto contendo audit com logSourceName myLOGANAuditSource:

  {
    "name":"testRule1",
    "compartmentId":"ocid1.compartment.oc1..aaa...",
    "osNamespace":"myObjectStorageNameSpace",
    "osBucketName":"myObjectStorageBucket",
    "logGroupId":"ocid1.loganalyticsloggroup.oc1..aaa...",
    "logSourceName":"myLOGANSourceName",
    "overrides":{"items":[{"matchType":"contains","matchValue":"audit","propertyName":"logSourceName","propertyValue":"myLOGANAuditSource"}]} 
  }

  Usando a regra acima, os objetos que contêm audit são processados com logSourceName myLOGANAuditSource, enquanto todos os outros objetos no bucket são processados com logSourceName myLOGANSourceName.

• Exemplo de create.json com substituições para processar nomes de objeto contendo audit com logSourceName myLOGANAuditSource e os nomes de objeto contendo dir1/ com charEncoding UTF-16:

  {
    "name":"testRule2",
    "compartmentId":"ocid1.compartment.oc1..aaa...",
    "osNamespace":"myObjectStorageNameSpace",
    "osBucketName":"myObjectStorageBucket",
    "logGroupId":"ocid1.loganalyticsloggroup.oc1..aaa...",
    "logSourceName":"myLOGANSourceName",
    "overrides":{"items":[{"matchType":"contains","matchValue":"audit","propertyName":"logSourceName","propertyValue":"myLOGANAuditSource"}, {"matchType":"contains","matchValue":"dir1/","propertyName":"charEncoding","propertyValue":"UTF-16"}]} 
  }

Depois de criar o json de configuração, especifique o caminho do arquivo ao criar o ObjectCollectionRule. Consulte a seção Criar ObjectCollectionRule em ObjectCollectionRule Operações - Parte das Etapas Obsoletas.

Se você já tiver criado o ObjectCollectionRule, crie um json com os detalhes da substituição e atualize o ObjectCollectionRule para incluí-lo. Consulte a seção Add Overrides to ObjectCollectionRule em ObjectCollectionRule Operations- Part of Deprecated Steps.

Se quiser remover todas as condições de substituição, crie um json conforme especificado na seção Remover Substituições de ObjectCollectionRule e atualize o ObjectCollectionRule. Consulte ObjectCollectionRule Operations- Parte das Etapas Obsoletas.

Executar Coleta Seletiva de Objetos Aplicando Filtros em Nomes de Objetos - Etapas Obsoletas

Use o recurso Coleção de Objetos Seletivos para coletar apenas um subconjunto de objetos em um determinado bucket de armazenamento de objetos. O recurso é suportado com filtros em nomes de objeto. Quando os filtros são aplicados, somente os objetos que correspondem aos filtros são coletados para processamento.

A propriedade matchType só suporta correspondência exata com o caractere curinga *. Veja a seguir alguns exemplos de filtros que usam o curinga:

• O filtro objectName* especifica objetos com o prefixo objectName.
• O filtro *objectName especifica objetos com o sufixo objectName.
• O filtro *objectName* especifica objetos que contêm o texto objectName.

Para obter mais informações sobre filtros, consulte Correspondendo Eventos com Filtros.

Se você estiver criando o ObjectCollectionRule pela primeira vez, um dos seguintes exemplos do create.json poderá ser usado para criar o json para seu caso de uso:

• Amostra create.json com objectNameFilters para processar nomes de objetos que tenham um prefixo a/ e contenham o texto audit:

  {
    "name":"testRule1",
    "compartmentId":"ocid1.compartment.oc1..aaa...",
    "osNamespace":"myObjectStorageNameSpace",
    "osBucketName":"myObjectStorageBucket",
    "logGroupId":"ocid1.loganalyticsloggroup.oc1..aaa...",
    "logSourceName":"myLOGANSourceName",
    "objectNameFilters":["a/*","*audit*"]
  }

• Se necessário, você também pode usar o recurso de substituição para especificar uma configuração diferente para cada um dos filtros. Para o exemplo acima, você pode também especificar que todos os objetos que contêm o texto audit devem usar a origem myLOGANAuditSource:

  {
    "name":"testRule2",
    "compartmentId":"ocid1.compartment.oc1..aaa...",
    "osNamespace":"myObjectStorageNameSpace",
    "osBucketName":"myObjectStorageBucket",
    "logGroupId":"ocid1.loganalyticsloggroup.oc1..aaa...",
    "logSourceName":"myLOGANSourceName",
    "objectNameFilters":["a/*","*audit*"],
    "overrides":{"items":[{"matchType":"contains","matchValue":"audit","propertyName":"logSourceName","propertyValue":"myLOGANAuditSource"}]} 
  }

  Para obter mais informações sobre substituições, consulte Substituir Configuração ObjectCollectionRule para Processar Objetos Específicos - Etapas Obsoletas.

Depois de criar o json de configuração, especifique o caminho do arquivo ao criar o ObjectCollectionRule. Consulte a seção Criar ObjectCollectionRule em ObjectCollectionRule Operações - Parte das Etapas Obsoletas.

Se você já tiver criado o ObjectCollectionRule, crie um json com os detalhes dos filtros e atualize o ObjectCollectionRule para incluí-lo. Consulte a seção Add objectNameFilters to ObjectCollectionRule em ObjectCollectionRule Operations- Part of Deprecated Steps.