取り込みのためのIAM権限の付与
Ingestion REST API またはロギング・エージェントを使用して、ログをIBM Cloud Logsインスタンスに送信できます。
Ingestion REST API を使用してログを送信するには、リクエストを認証するためのIBM Cloud® Identity and Access Management (IAM) アクセス トークンを取得する必要があります。 アクセス トークンを取得するために使用するエンティティに、 IBM Cloud Logsサービスの Sender ロールがあることを確認してください。
IBM Cloud Logsインスタンスにログを送信するには、認証方法として次のいずれかのオプションを使用できます。
- IAM API キー: API キーはIBM Cloud Logs取り込みエンドポイントへの安全な Web ソケットを開き、 ロギング・エージェントをIBM Cloud Logsサービスで認証するために使用されます。
- 信頼できるプロフィール
ロギング・エージェントを使用してIBM Cloud Logsインスタンスにログを送信するための承認を要求するために使用する API キーまたは信頼できるプロファイルに Sender 権限を付与する必要があります。
ロギング・エージェントを使用してIBM Cloud Logsインスタンスにログを送信するには、次のいずれかのオプションを選択します。
| 環境 | サービス ID API 鍵 | トラステッド・プロファイル |
|---|---|---|
| Kubernetes cluster in IBM Cloud | サポート対象 | サポート対象 |
| IBM CloudのOpenShiftクラスター | サポート対象 | サポート対象 |
| IBM CloudのVirtual Server for VPC | サポート対象 | サポート対象 |
| オンプレミスまたは他のクラウド上のKubernetesクラスター | サポート対象 | サポートされていません |
| オンプレミスまたは他のクラウド上のOpenShiftクラスター | サポート対象 | サポートされていません |
| オンプレミスまたは他のクラウド上のLinuxサーバー | サポート対象 | サポートされていません |
コンピューティング リソースとインスタンスが同じアカウントにある場合にのみ、信頼されたプロファイルを使用して、 IBM Cloud IBM Cloud Logsリソースを認証できます。
{ IBM Cloud IBM Cloud LogsアカウントでプロビジョニングされたKubernetesクラスターからログを送信するには、エージェントの認証方法としてサービス ID API キーのみを使用できます。
ロギング・エージェント構成にユーザー ID API キーを使用することはお勧めしません。
取り込みの権限の設定
ログをIBM Cloud Logsインスタンスに直接送信するには、API キーまたは信頼できるプロファイルにIBM Cloud Logsサービスの Sender ロールが必要です。
ID の種類に応じて適切なコマンドを使用します。
| アイデンティティの種類 | コマンド |
|---|---|
| サービス ID | ibmcloud iam service-policy-create <serviceID> --roles Sender --service-name logs |
| トラステッド・プロファイル | ibmcloud iam tp-policy-create <trustedProfile> --roles Sender --service-name logs |
IAM API キーの生成
IAM API キーを使用する場合は、次の情報を考慮してください。
- サービス ID に
Sender権限を付与する必要があります。 - ログを送信するための
Sender権限がサービス ID に付与された後、新しいサービス ID API キーを生成する必要があります。 - ロギング・エージェントの認証方法として API キーを使用すると、 ロギング・エージェントはIBM Cloud®の内外両方でホストできます。
API キーを生成する方法の詳細については、 「認証用のサービス ID を使用して取り込み用の API キーを生成する」 を参照してください。
トラステッド・プロファイルの作成
信頼できるプロファイルを使用する場合は、次の情報を考慮してください。
- 信頼できるプロファイルはIBM Cloud IBM Cloud Logsリソースを認証するためにのみ使用できます。
- 信頼されたプロファイル、コンピューティング リソース、およびIBM Cloud Logsインスタンスは、同じアカウント内に配置されている必要があります。
- 信頼できるプロファイルを使用する前に、そのプロファイルに
Sender権限を付与する必要があります。
信頼できるプロファイルを作成する方法の詳細については、 「取り込み用の信頼できるプロファイルの生成」 を参照してください。