如何在GCP中生成DNS日志并在Log Explorer中查询相关记录

问题1：DNS策略配置完成后可生成日志的请求类型，以及保障日志正常生成的配置要求 #

• 会生成日志的DNS请求类型：
  • 所有由Cloud DNS服务处理的标准记录类型查询请求，覆盖A、AAAA、CNAME、MX、TXT、PTR等所有常见DNS记录类型的查询
  • 来源包括同VPC内网的云资源查询、公网对你托管的公共DNS区域的查询、你配置的DNS转发规则处理的转发请求
  • *例外：发往8.8.8.8等公共递归DNS、且不属于你托管区域的查询不会生成日志
• 保障日志正常生成的配置要求：
  • 首先确保你的DNS策略中必须开启日志记录开关，私有DNS区域对应的策略要绑定到你需要采集日志的VPC网络，公共DNS区域要在区域设置中单独开启日志记录选项
  • 确保你VPC的DNS配置使用Cloud DNS作为默认DNS服务，不要配置自定义第三方DNS服务器，否则请求不会被Cloud DNS捕获
  • DNS记录本身无特殊格式要求，只要正常配置在绑定了日志策略的托管区域下即可

问题2：让DNS查询结果正常展示在Log Explorer的操作要求 #

• 配置完成后不需要执行特殊的激活命令，只需要主动发起DNS查询即可生成日志，你可以在VPC内的云服务器上执行dig 你的域名或者nslookup 你的域名命令生成测试流量，日志通常会在1-2分钟内同步到Log Explorer
• 如果你需要通过命令行直接拉取DNS日志，可以在Cloud Shell或者本地安装的gcloud工具中执行以下命令：

  gcloud logging read "resource.type=cloud_dns_managed_zone AND logName=projects/你的项目ID/logs/dns.googleapis.com%2Fqueries" --limit 10
  

  执行前将你的项目ID替换为你实际的GCP项目ID即可拉取最近10条DNS查询日志
• 确认你登录的账号拥有Logs Viewer或更高权限的角色，否则无法正常查看日志内容

内容的提问来源于stack exchange，提问作者Mike R