|
|
| Строка 1: |
Строка 1: |
|
| |
|
| = Настройка разрешений Grail для логов =
| |
| Ключ-АСТРОМ использует модель разрешений для хранилища данных. Она применяется ко всем данным телеметрии, таким как метрики, события, спаны и логи. Рекомендуется настраивать разрешения в соответствии с организационной структурой и областями развёртывания. Подходящие концепции включают группы хостов, кластеры Kubernetes и пространства имён Kubernetes. Эти атрибуты обычно доступны для всех данных телеметрии, загружаемых через методы сбора Ключ-АСТРОМ, такие как '''ЕдиныйАгент''', '''OpenTelemetry''' или '''Оператор'''. Следовательно, эти атрибуты можно использовать для включения разрешений на уровне записей. Для развёртываний на основе Kubernetes убедитесь, что '''Оператор''' Ключ-АСТРОМ имеет включённое обогащение метаданными.
| |
|
| |
| Если вам нужна только базовая концепция разрешений, лучше всего настроить разрешения на уровне бакетов. Затем можно направить данные в правильный бакет в '''OpenPipeline''', сопоставив одно из упомянутых полей, релевантных развёртыванию. Для большего контроля можно настроить границы политик с более детальными ограничениями на уровне данных. По умолчанию можно использовать следующие атрибуты:
| |
|
| |
| * <code>dt.host_group.id</code>
| |
| * <code>k8s.cluster.name</code>
| |
| * <code>k8s.namespace.name</code>
| |
| * Любой другой атрибут, перечисленный в модели разрешений.
| |
|
| |
| Ключ-АСТРОМ предоставляет комплексную модель разрешений для хранилища данных, которая применяется ко всем данным телеметрии, включая метрики, логи, спаны и события.
| |
|
| |
| == Настройка контекста безопасности ==
| |
| Если разрешений на атрибуты уровня развёртывания или на уровне бакета недостаточно, Ключ-АСТРОМ позволяет настроить детализированные разрешения, добавив атрибут <code>dt.security_context</code> к вашим данным. Этот контекст может представлять вашу архитектуру безопасности и может быть даже иерархическим, если закодировать его в строку вида: <code>department-A/department-AB/team-C</code>. Это позволяет задавать дополнительные параметры, например разрешения для отдельных записей. Подробности см. в разделе '''Разрешения в хранилище данных'''.
| |
|
| |
| === Использование существующих тегов в источнике ===
| |
| Вы можете определить контекст безопасности в источнике через '''ЕдиныйАгент''', '''OpenTelemetry''' или метки и аннотации Kubernetes. Это позволяет использовать существующие метки и теги для упрощения настройки разрешений в Ключ-АСТРОМ.
| |
|
| |
| == Настройка контекста безопасности для логов в OpenPipeline ==
| |
| Предположим, ваши записи логов содержат атрибут <code>log.source</code> со значением <code>payment-api</code>, и только определённые пользователи или группы пользователей должны иметь доступ к этим записям логов. Чтобы создать корректировку контекста безопасности для ваших загруженных данных логов, создайте правило обработки, которое:
| |
|
| |
| * Обрабатывает все записи, где значение атрибута <code>log.source</code> равно <code>payment-api</code>.
| |
| * Добавляет атрибут <code>dt.security_context</code> со значением <code>sec-lvl-7</code>.
| |
|
| |
| Чтобы настроить процессор в '''OpenPipeline''':
| |
|
| |
| # Перейдите в '''Настройки > Обработка и контекстуализация > OpenPipeline > Логи'''.
| |
| # Найдите существующий конвейер или создайте новый.
| |
| # Перейдите в '''Разрешения > > Set security context'''.
| |
| # В поле '''Имя''' введите <code>Level 7 - payment-api</code>.
| |
| # Установите '''Условие сопоставления''' в <code>matchesValue(log.source, "payment-api")</code>.
| |
| # Настройте процессор. Установите '''Значение контекста безопасности''' в '''Статическая строка''', а затем установите значение <code>sec-lvl-7</code>.
| |
| # Сохраните конвейер.
| |
|
| |
| Как только новые данные логов поступят, они будут обработаны правилами контекста безопасности логов, и новый атрибут <code>dt.security_context</code> будет добавлен со значением <code>sec-lvl-7</code>. Перейдите в '''Логи''', чтобы проверить, обрабатываются ли новые записи логов вашим правилом контекста безопасности <code>Level 7 - payment-api</code>. Отфильтруйте логи по полю <code>dt.security_context</code>, равному <code>sec-lvl-7</code>. На основе этого атрибута можно создавать политики безопасности для пользователей и групп. Дополнительную информацию см. в разделе '''Настройка расширенных разрешений с помощью контекста безопасности'''.
| |
