Configura receptores de registros con cuentas de servicio administradas por el usuario

En esta página, se describe cómo enrutar registros mediante la creación de receptores configurados con cuentas de servicio administradas por el usuario. De forma predeterminada, Logging usa una cuenta de servicio de Logging para todos los receptores en un recurso. Sin embargo, si tus receptores de registros se encuentran en proyectos diferentes, puedes crear y administrar tu propia cuenta de servicio administrada por el usuario, lo que te permite administrar de forma centralizada los permisos de Identity and Access Management del proyecto que contiene tu cuenta de servicio administrada por el usuario.

Solo puedes crear un receptor que use una cuenta de servicio administrada por el usuario cuando el destino del receptor es un bucket de registros.

Antes de comenzar

Para usar los ejemplos de la línea de comandos de esta guía, instala y configura Google Cloud CLI.
Asegúrate de tener una cuenta de servicio administrada por el usuario. Para obtener información sobre cómo crear una cuenta de servicio, consulta Cómo crear cuentas de servicio.
Para usar los comandos de este documento, identifica los siguientes valores:
- DESTINATION_PROJECT_ID: El ID del proyecto que contiene tu bucket de registros.
- CUSTOM_SA_PROJECT_ID: El ID del proyecto que contiene tu cuenta de servicio administrada por el usuario.
- SINK_PROJECT_ID: El ID del proyecto en el que planeas crear el receptor de registros
- CUSTOM_SA: Es la cuenta de servicio administrada por el usuario. Para obtener información sobre cómo crear cuentas de servicio, consulta Crea cuentas de servicio.
  
  El formato de una cuenta de servicio administrada por el usuario es similar al siguiente:
  
  SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com
- LOGGING_SA: Es la cuenta de servicio de Logging predeterminada. Para obtener este correo electrónico, ejecuta el siguiente comando:
```
   gcloud logging settings describe --project=SINK_PROJECT_ID
```
  El resultado incluye la siguiente información sobre tu cuenta de servicio:
  
  loggingServiceAccountId: serviceAccount:[email protected]
- BUCKET_NAME: El nombre de tu bucket de registros.
  
  La ruta de destino del receptor de un bucket de registros se ve de la siguiente manera:
  
  logging.googleapis.com/projects/DESTINATION_PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME
En el proyecto que contiene tu cuenta de servicio administrada por el usuario, asegúrate de que no se aplique la restricción booleana de la política de la organización iam.disableCrossProjectServiceAccountUsage. De forma predeterminada, se aplica esta restricción. Para inhabilitar esta restricción de modo que puedas adjuntar una cuenta de servicio a un recurso en otro proyecto, ejecuta el siguiente comando:
```
  gcloud resource-manager org-policies disable-enforce \
  iam.disableCrossProjectServiceAccountUsage \
  --project=CUSTOM_SA_PROJECT_ID
```
Si quieres obtener más información para habilitar cuentas de servicio en todos los proyectos, consulta Habilita la vinculación de cuentas de servicio entre proyectos.

Asigna funciones de IAM

En esta sección, se describen los requisitos para crear un receptor que use una cuenta de servicio administrada por el usuario.

En el proyecto que contiene el bucket de registros que es el destino de los receptores de registros, haz lo siguiente:

Otorga la función de escritor de buckets de registros (roles/logging.bucketWriter) a la cuenta de servicio administrada por el usuario. Esta función permite que la cuenta de servicio administrada por el usuario escriba registros en el bucket de registros:
```
 gcloud projects add-iam-policy-binding DESTINATION_PROJECT_ID \
 --member="serviceAccount:CUSTOM_SA" \
 --role="roles/logging.bucketWriter"
```

En el proyecto de Google Cloud que deseas crear receptores de registro que usan la cuenta de servicio administrada por el usuario, haz lo siguiente:

Otorga la función de creador de tokens de cuenta de servicio (roles/iam.serviceAccountTokenCreator) a la cuenta de servicio de Cloud Logging en la cuenta de servicio administrada por el usuario:
```
  gcloud iam service-accounts add-iam-policy-binding CUSTOM_SA \
  --project=CUSTOM_SA_PROJECT_ID \
  --member="serviceAccount:LOGGING_SA" \
  --role="roles/iam.serviceAccountTokenCreator"
```
El comando anterior permite que la cuenta de servicio de Logging actúe en nombre de la cuenta de servicio administrada por el usuario mediante la función de creador de tokens de cuenta de servicio (roles/iam.serviceAccountTokenCreator).

El robo de identidad de cuentas de servicio involucra a dos principales: la cuenta de servicio que no tiene permisos para acceder a un recurso y la cuenta de servicio con privilegios que tiene los permisos para acceder a un recurso. En este caso, la cuenta de servicio administrada por el usuario es la cuenta que contiene privilegios, ya que puede escribir registros en un bucket de registros en el proyecto de destino. La cuenta de servicio de Logging tiene los privilegios para enrutar los registros.

Para obtener más información sobre la función de creador de tokens de cuentas de servicio, consulta Funciones para administrar y actuar en nombre de cuentas de servicio: función de creador de tokens de cuentas de servicio.

Para obtener más información sobre el robo de identidad de cuentas de servicio, consulta Acerca del robo de identidad de cuentas de servicio.
Otorga la función de usuario de cuenta de servicio (roles/iam.serviceAccountUser) a la principal que crea los receptores de registros. En particular, una principal necesita el permiso iam.serviceAccounts.actAs en la cuenta de servicio:
```
 gcloud iam service-accounts add-iam-policy-binding CUSTOM_SA \
 --member 'user:[email protected]' \
 --role "roles/iam.serviceAccountUser"
```
El comando anterior permite que un usuario ejecute operaciones como la cuenta de servicio administrada por el usuario.

Para obtener más información sobre la función de usuario de cuenta de servicio, consulta Funciones para administrar y actuar en nombre de cuentas de servicio: función de usuario de cuenta de servicio.

Crea un receptor de registros que use una cuenta de servicio administrada por el usuario

gcloud

Para crear un receptor con una cuenta de servicio administrada por el usuario, reemplaza las variables con tu propia información y ejecuta el comando gcloud logging sinks create con la marca --custom-writer-identity:

    gcloud logging sinks create SINK_NAME logging.googleapis.com/projects/DESTINATION_PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME \
    --custom-writer-identity=serviceAccount:CUSTOM_SA \
    --project=SINK_PROJECT_ID

API

Para crear un receptor de registros en tu proyecto de Google Cloud, usa projects.sinks.create en la API de Logging. En el objeto LogSink, pasa el parámetro customWriterIdentity y proporciona los valores necesarios apropiados en el cuerpo de la solicitud del método:
- name: Es un identificador para el receptor. Ten en cuenta que, después de crear el receptor, no puedes cambiarle el nombre al receptor, pero puedes borrarlo y crear un receptor nuevo.
- destination: El bucket de registros al que deseas enrutar los registros. La ruta de destino tiene el siguiente formato:
```
logging.googleapis.com/projects/DESTINATION_PROJECT_ID/locations/LOCATION/buckets/BUCKET_NAME
```
Llama a projects.sinks.create para crear el receptor.

Si quieres obtener más información para crear receptores con la API de Logging, consulta la documentación de referencia de LogSink.

Verifica que tu receptor enrute registros

En esta sección, usarás gcloud CLI para escribir y leer una entrada de registro a fin de verificar que tu receptor enrute los registros de forma correcta.

Para verificar que tu receptor enruta los registros de forma correcta, haz lo siguiente:

Reemplaza las variables con tu propia información y escribe una entrada de registro de muestra con el comando gcloud logging write:
```
gcloud logging write LOG_NAME "Test log entry" --project=SINK_PROJECT_ID
```
El comando anterior muestra el siguiente mensaje:

Created log entry.

Para leer la entrada de registro que acabas de escribir, ejecuta el siguiente comando:

gcloud logging read 'textPayload="Test log entry"' \
--bucket=BUCKET_NAME --location=LOCATION \
--view=_AllLogs --project=SINK_PROJECT_ID

¿Qué sigue?

Para obtener información sobre el enrutamiento de los registros a destinos compatibles, consulta Cómo enrutar registros a destinos compatibles.
Para obtener una descripción general sobre cómo Logging enruta y almacena los registros, consulta Descripción general del enrutamiento y el almacenamiento.
Si tienes problemas cuando usas receptores para enrutar registros, consulta Soluciona problemas de registros de enrutamiento.
Si deseas obtener información para ver tus registros enrutados en sus destinos, así como la forma y el formato de los registros, consulta Visualiza registros en destinos de receptores.