日志管理在云中和在数据中心同样重要。本文将评估公有云的日志管理工具，如AWS 的CloudWatch和谷歌的Stackdriver。

日志文件记录了硬件系统、企业服务、应用和用户的动作和响应。IT管理员通过分析和审查日志活动来提高性能、排除问题，发现恶意活动等等。

但是日志可用性在公有云领域是处于落后的。客户在传统意义上对于云提供商机出架构的可见性如果有的话也是极少的。幸运的是，公有云提供商正在意识到日志在故障排除，安全和合规性的方面都是极为关键的，而如亚马逊网络服务（AWS），微软Azure和谷歌之类的供应商现在都开始提供某种类型的日志管理服务。

下面我们来仔细了解一下公有云的日志管理工具，以及如何从这些服务中收获更多的价值。

主流公有云提供商提供了哪些日志管理工具？

大多数主要的公有云供应商都提供了日志管理服务。考虑到价格，整合程度和功能方面的差异，在将它们添加到你的每月云账单之前，请先对这些日志管理工具进行评估。

AWS提供CloudWatch日志，其目的是监控和解决虚拟服务器的问题，如弹性计算云（EC2）实例，以及那些有着原生或自定义日志文件的应用。日志文件经由API编程传输到AWS 的CloudWatch日志，并进行近实时监测。用户可以设置日志数据触发报警来提醒他们，例如，当错误达到一定的数量，或者使用指标生成图表或报告。

谷歌云平台（GCP）提供完全托管的Stackdriver日志服务，旨在对GCP实例中产生的日志数据，事件指标进行存储，监控，搜索，分析和产生实时警报。谷歌Stackdriver服务，目前仍处于测试阶段，目标是与AWS EC2实例以及任何来源的自定义日志数据兼容。

微软则采用了更混合的方式来进行日志管理。不同于将日志管理作为Azure服务组合的一个菜单项来提供，微软将运营管理套件作为System Center的一个附加组件来提供，这样便可以摄取，关联和可视化所有Windows和Linux的跨本地，Azure和AWS实例的工作负载所产生的日志数据。

云日志管理中的事件、流和组是什么？

像AWS之类的供应商将日志分解为事件、流和组。日志一般由事件或系统，服务或应用所生成的特定活动组成。日志文件必须在运行中才能捕获事件。而日志事件通常包含一个标注事件的日期和时间的时间戳，以及描述该事件的原始消息。

相关的日志条目通常会组成一个流。例如，一个流可以显示某个特定的服务器实例所产生的所有事件。管理员可以监控特定的流来更好的了解资源的行为。他们也可以删除旧的流来为更多的日志释放存储空间。

设定云日志的保留期限

管理员通常可以选择日志组的保留期限，范围从一天到10年，或者选择设定为永不过期。但是日志数据量可能使巨大的，尤其当由很多个日志组的时候。所以我们应该选择一个适当的保留期限，能够提供足够的合规性要求遵循，并同时让云日志存储的成本可控。

为了更好的管理，相关的日志流会被分组。每一个具有相同配置的流，如管理权限，保留期限和其他特点等，通常会关联到一组。

日志管理工具提供查找事件并将其转换成数据点的指标筛选器。例如，管理员可以创建一个计算日志组内列出的无效登录尝试的指标过滤器。这有助于识别可能的攻击或恶意的登录活动。在针对日志建立指标之后，还可以在满足某些条件时创建一个警报。

公有云与本地的日志管理工具和实践有何不同？

在本地日志管理和公有云提供商的日志管理服务之间并不存在深刻的分歧。然而，也有一些小细节是必须注意的。

首先，你可能需要使用不止一个工具。理想情况下，一个单一的日志管理工具可以同时用于本地部署和云部署。供应商可以获取本地日志并将内容添加到云部署收集到的日志中。不过，底层的日志管理工具，如AWS CloudWatch日志和Google Stackdriver Logging，是云服务提供商的服务；这对于那些已经对本地日志管理工具做了大笔投资的企业来说会是一件痛苦的事。

其次，只靠云提供商自身的日志管理工具可能不够。组织可能需要额外的云服务，如存储、消息传递和警报，以创建一个合适的日志管理环境。然而，每一个附加的功能都可能会增加每月的日志管理成本。

最后，成功的云日志系统可能需要IT团队在记录日志的每个云实例上安装代理。不是所有的应用程序或服务都会生成日志文件，即便那些会产生日志的应用的日志在格式和细节上也会有所不同。这使得日志管理工具处理日志内容变得困难。使用一个统一的代理以一致的方式捕获事件，并按正确的格式将内容传递给日志工具。

此外，还需制定一个处理代理更新的计划；日志管理服务通常使用代理从部署的云实例上收集和传递数据到日志服务。日志代理可能会定期更新以反映日志服务的API、功能集或依赖项的变更。了解如何检查代理的版本，如何在运行中更新代理，以及如何调整代理所在的虚拟机镜像文件。