如何排查GCS跨大陆下载产生的出口费用峰值及对应文件、关联服务

你提到的Download Worldwide Destinations (excluding Asia & Australia)SKU，对应计费范围是：从GCP存储桶流向除亚洲、澳大利亚外的公网地址、或其他GCP区域资源的出口流量，你可以按以下步骤过滤GCS审计日志定位问题：

1. 确认审计日志权限配置 #

如果之前仅开启了基础Bucket访问日志，默认不会包含请求身份、返回字节数等核心字段，需要先确认你已经在IAM审计日志配置中，开启了Cloud Storage的storage.objects.get操作的数据审计日志，才能拿到完整的请求字段。

2. 日志过滤基础规则 #

在Cloud Logging中使用以下查询语句，捞取对应费用峰值时间段的所有GCS对象下载请求：

logName="projects/替换为你的项目ID/logs/cloudaudit.googleapis.com%2Fdata_access"
protoPayload.serviceName="storage.googleapis.com"
protoPayload.methodName="storage.objects.get"
timestamp >= "替换为费用峰值开始的UTC时间"
timestamp <= "替换为费用峰值结束的UTC时间"

3. 提取所需排查信息 #

3.1 定位高流量下载文件 #

日志中protoPayload.resourceName字段格式为projects/_/buckets/[存储桶名称]/objects/[文件完整路径]，可直接提取获得具体被下载的文件。
你可以按该字段做聚合统计，结合protoPayload.response.size（单次请求返回的字节数）计算每个文件的累计出口流量，排序后即可快速找到产生大额费用的文件。

3.2 定位请求发起方所属服务/来源 #

• 如果是GCP内部服务发起的请求：查看protoPayload.authenticationInfo.principalEmail字段，该字段会显示请求使用的服务账号，你可以直接根据服务账号匹配对应的GCP服务（例如Compute Engine默认服务账号、Cloud Run服务账号、GKE工作负载服务账号等）。
• 如果是公网发起的请求：查看protoPayload.requestMetadata.callerIp字段获取请求源IP，查询IP归属地后，只要归属地不属于亚洲、澳大利亚，就对应该SKU的计费项。
  你之前看到的Location字段确实是存储桶所在区域，和请求源位置无关，不要用该字段做过滤。

4. 快速筛选仅属于该SKU的请求 #

你可以在基础查询规则中额外添加过滤条件，直接排除不属于该SKU计费范围的请求：

• 排除请求源IP属于southamerica-east1区域的GCP内部IP段
• 排除请求源IP归属地为亚洲、澳大利亚的公网IP段
  过滤后剩余的所有下载请求，就是产生对应SKU费用的请求，直接聚合统计即可。

内容的提问来源于stack exchange，提问作者Heitor Chang