概要

Observability Pipelines の Google SecOps 宛先を使用して、ログを Google SecOps に送信します。

Observability Pipelines Worker は、標準的な Google 認証方法を使用します。ケースに適した認証方法の選択については、Google の認証方法を参照してください。

セットアップ

パイプラインをセットアップする際に、Google SecOps 宛先を設定します。パイプラインは、UI、API、または Terraform を使用してセットアップできます。このセクションの手順は、UI で設定します。

パイプライン UI で Google SecOps 宛先を選択した後:

1. Google SecOps エンドポイント URL の識別子を入力します。空白のままにすると、デフォルトが使用されます。
2. Google SecOps インスタンスのカスタマー ID を入力します。
3. 認証情報 JSON ファイルがある場合は、そのファイルへのパスを入力します。認証情報ファイルは DD_OP_DATA_DIR/config の下に配置する必要があります。または、GOOGLE_APPLICATION_CREDENTIALS 環境変数を使用して認証情報パスを指定することもできます。
   • Google Kubernetes Engine (GKE) で Workload Identity を使用している場合、GOOGLE_APPLICATION_CREDENTIALS が自動的に提供されます。
   • Worker は標準の Google 認証方法を使用します。
4. ドロップダウンメニューで JSON または Raw エンコーディングを選択します。
5. ログタイプを入力します。ログの特定のフィールドに基づいて異なるログタイプに振り分けたい場合は、テンプレート構文を参照してください。

オプションのバッファリング

Toggle the switch to enable Buffering Options. Enable a configurable buffer on your destination to ensure intermittent latency or an outage at the destination doesn’t create immediate backpressure, and allow events to continue to be ingested from your source. Disk buffers can also increase pipeline durability by writing data to disk, ensuring buffered data persists through a Worker restart. See Destination buffers for more information.

• If left unconfigured, your destination uses a memory buffer with a capacity of 500 events.
• To configure a buffer on your destination:
  1. Select the buffer type you want to set (Memory or Disk).
  2. Enter the buffer size and select the unit.
     1. Maximum memory buffer size is 128 GB.
     2. Maximum disk buffer size is 5 TB.
        • Note: For Worker versions 2.20.x and older, the maximum disk buffer size is 500 GB.
  3. In the Behavior on full buffer dropdown menu, select whether you want to block events or drop new events when the buffer is full.

注: Google SecOps 宛先に送信されるログには、取り込みラベルが必要です。たとえば、ログが A10 ロードバランサからのものである場合、取り込みラベル A10_LOAD_BALANCER が必要です。利用可能なログタイプとその取り込みラベルのリストについては、Google Cloud の Support log types with a default parser を参照してください。

シークレットのデフォルト

These are the defaults used for secret identifiers and environment variables.

健全性メトリクス

すべての宛先から出力される コンポーネントメトリクス および 宛先バッファメトリクス については、Pipelines Usage Metrics のドキュメントを参照してください。Google SecOps 宛先メトリクスでフィルタリングまたはグループ化するには、タグ component_type:gcp_chronicle_unstructured を使用します。

送信先の仕組み

イベントのバッチ処理

イベントのバッチは、次のパラメータのいずれかが満たされたときにフラッシュされます。詳細については、送信先のイベントのバッチ処理を参照してください。