収集するサービス・ログのタイプに基づいて、Oracle Logging Analyticsでリソースに関する情報を取得し、各リソースのエンティティを作成できるようにするポリシーを作成する必要があります。

ポリシーを作成すると、作成されるエンティティは、そのリソースから収集されたすべてのログに自動的に関連付けられます。ポリシーを作成しない場合、ログは収集されますが、エンティティは作成されません。

次の権限は、サービス・コネクタからOracle Logging Analyticsにログをアップロードするためのものです。OCIコンソールを使用してサービス・コネクタを作成すると、これらのポリシー・ステートメントを追加するように求められます。または、次のポリシー・ステートメントを含むポリシーを手動で作成できます:

allow any-user to {LOG_ANALYTICS_LOG_GROUP_UPLOAD_LOGS} in compartment id <Log_Group_Compartment_OCID> 
    where all 
    {request.principal.type = 'serviceconnector', 
    target.loganalytics-log-group.id = '<Log_Group_OCID>',
    request.principal.compartment.id = '<Service_Connector_Compartment_OCID>'}
allow group <userGroup> to MANAGE serviceconnectors in tenancy
allow group <userGroup> to READ logging-family in tenancy

上記の方針では、

• Log_Group_Compartment_OCID: ログを格納する必要があるOracle Logging Analyticsのログ・グループのコンパートメントOCID。

• Log_Group_OCID: ログを格納する必要があるOracle Logging Analyticsのログ・グループのOCID。

• Service_Connector_Compartment_OCID: サービス・コネクタ・ハブのコンパートメントOCID。

Oracle Logging Analyticsでは、サービス・コネクタを介して新しいログを受信したときに、基礎となるOCIリソースを表すエンティティが作成されます。OCIリソースから必要な情報を取得するには、Oracle Logging Analyticsに、OCIリソースへの少なくともreadアクセスを提供する必要があります。たとえば、VNICに関する情報を読み取るために、次のポリシーのいずれかを記述できます:

OCIリソースのREAD PRIVILEGEを含むポリシー・ステートメント:

allow service loganalytics to {VNIC_READ} in compartment <specify_compartment>

または

OCI RESOURCEの読取り動詞を含むポリシー文:

allow service loganalytics to read vnics in compartment <specify_compartment>

前述のポリシー・ステートメントは、コンパートメントへのreadアクセスを制限します。テナンシ全体へのアクセスを拡張するには、それに応じてポリシー・ステートメントを変更できます。

Oracle Logging Analyticsでは、サービス・コネクタを介したログ収集用に次のOCIリソースがサポートされています。OCIリソースのread verbを使用してポリシーを作成するか、前述のようにリソースにread privilegeを使用できます。

ログを収集するためのサービス・コネクタを設定する前に、収集するログのコンパートメントおよびログ・グループを識別してください。

次の例のステップでは、Oracle Cloud Infrastructure LoggingサービスからVCNサービス・ログを収集する方法を示します:

1. これは、Oracle Cloud Infrastructure Loggingサービスでログを有効にする方法を示す推奨ステップです。

   Oracle Cloud Infrastructure Loggingサービスに移動し、「ログ」に移動します。

   「リソース・ログの有効化」をクリックして、VCNサービス・ログを有効にします。ダイアログ・ボックスが開きます。

   1. リソース・コンパートメントを選択します。
   2. サービスを選択します。たとえば、仮想クラウド・ネットワーク(サブネット)。
   3. リソースを選択します。たとえば、VCNリソース。
   4. 「ログの構成」で、フロー・ログなどのログ・カテゴリとログ名を選択します。
   5. 「ログの場所」で、Oracle Logging Analyticsがログを参照するコンパートメントとログ・グループを選択します。

   「ログの有効化」をクリックします。

2. ログのソース・サービスおよびターゲットのOracle Logging Analyticsを指定して、サービス・コネクタを設定します。これは、Oracle Cloud Infrastructureサービス・コネクタ・ハブと統合されているソース・サービス(Oracle Cloud Infrastructure Loggingサービスなど)から、または直接Oracle Cloud Infrastructureサービス・コネクタ・ハブから設定できます。

   Oracle Cloud Infrastructure Loggingサービスに移動し、「サービス・コネクタ」に移動して、「コネクタの作成」をクリックします。

   または、Oracle Cloud Infrastructureサービス・コネクタ・ハブ・サービスに移動し、「サービス・コネクタの作成」をクリックします。

   「サービス・コネクタの作成」ページが開きます。

   1. コネクタの名前を入力し、説明を指定します。
   2. コネクタ・リソースを作成する必要があるリソース・コンパートメントを選択します。
   3. 「サービス・コネクタの構成」で、ロギングをソース・サービスとして、ログ・アナリティクスをターゲット・サービスとして指定します。
   4. 「ソース接続の構成」で、サービスから収集するログの詳細(VCNサービス・ログなど)を指定します。

      コンパートメント名、ログが属しているログ・グループ、およびステップ1で構成したログの名前を選択します。

   同じサービス・コネクタを構成して、より多くのログを収集できます。「別のログ」をクリックし、ステップ2-dを繰り返します。

   オプションで、「タスクの構成」でフィルタを作成できます。

   「コネクタの作成」をクリックします。

サービス・コネクタの作成後、選択したログがOracle Logging Analyticsで使用できることを確認できます。

ログを収集するOracle Cloud Infrastructure Loggingなどのソース・サービスのテナントをSource_Tenantとします。サービス・コネクタを作成するテナントをTarget_Tenantとします。サービス・コネクタは、ソース・サービスから収集されるログのターゲットがOracle Logging Analyticsとなるように構成されます。サービス・コネクタ・ハブとOracle Logging Analyticsが同じターゲット・テナントで使用できると想定しています。

次のポリシーを設定して、サービス・コネクタが作成されるテナンシとは異なるテナンシからのログ収集を構成します。

define tenancy <Target_Tenant> as <Target_Tenant_OCID>
define group <Common_User_Group> as <Common_User_Group_OCID>
admit any-user of tenancy <Target_Tenant> to read logging-family IN TENANCY WHERE ALL {request.principal.type = 'serviceconnector'}
admit group <Common_User_Group> of tenancy <Target_Tenant> to read logging-family IN TENANCY

define tenancy <Source_Tenant> as <Source_Tenant_OCID>
endorse any-user to read logging-family IN tenancy <Source_Tenant> WHERE ALL {request.principal.type = 'serviceconnector'}
endorse group <Common_User_Group> to read logging-family IN tenancy <Source_Tenant>

allow any-user to {LOG_ANALYTICS_LOG_GROUP_UPLOAD_LOGS} in compartment id <Log_Group_Compartment_OCID> 
    where all 
    {request.principal.type = 'serviceconnector', 
    target.loganalytics-log-group.id = '<Log_Group_OCID>',
    request.principal.compartment.id = '<Service_Connector_Compartment_OCID>'}
allow group <Common_User_Group> to MANAGE serviceconnectors in tenancy

oci --profile <Target_Profile> sch service-connector create 
    --display-name XTenancyConnector 
    --compartment-id <Connector_Compartment_OCID> 
    --source '{ "kind": "logging", "logSources": 
        [ { "compartmentId": "<Logging_LogGroup_Compartment_OCID>", 
            "logGroupId": "<Logging_LogGroup_OCID>" } ] }' 
    --target '{ "kind": "loggingAnalytics", "logGroupId": "<LoggingAnalytics_LogGroup_OCID>" }'