ログ記録を設定する [ベータ版]

Foundry のアプリケーションは、トランスフォームの実行、ビルドの失敗、その他のシステムイベントを含む、動作状況を把握するためのログを発行します。

Foundry のログには、次の情報が含まれます。

• アプリケーションと関数の実行イベント
• トランスフォームとパイプラインの実行
• ビルドとデプロイのアクティビティ
• システムエラーと警告

また、Code Repositories に記述されたユーザー追加のログも発行されます。

これらのログは、リアルタイムの監視と分析のために Foundry のストリーミングデータセットにエクスポートできます。この機能は組織管理者のみが利用でき、Foundry アプリケーションのログを Foundry のストリーミングデータセットに送る宛先を設定できます。

ログのエクスポート管理に加えて、プラットフォーム内でのオントロジーと AIP のログへのアクセスは、組織管理者と情報セキュリティ責任者が管理します。

組織のログの観測可能性設定の管理を開始するには、次の手順を実行します。

1. Control Panel アプリケーションに移動します。
2. 上部のバナーで、ドロップダウンから該当する組織を選択します。
3. 左側のサイドバーで、組織セクションのログの観測可能性設定を選択します。または、ホームページでログの観測可能性設定を検索し、検索結果から該当するページを選択します。

Foundry ログをエクスポートする

Foundry ログは、組織ごとに Foundry のストリーミングデータセットへ直接エクスポートできます。

エクスポート設定を定義すると、設定が作成された時点から、ログエントリーがストリーミングデータセットに継続的に書き込まれます。Foundry の豊富なデータ変換ツールや可視化ツールを使ってデータをリアルタイムで処理・分析したり、外部の監視システムにログをエクスポートしたりできます。

エクスポート権限

Foundry ログをエクスポートするには、ユーザーが組織管理者である必要があります。このロールには、組織のログエクスポート先を設定するために必要な権限があります。組織レベルの権限の詳細については、組織の権限を参照してください。

ログデータには機密情報が含まれる場合があります。プライバシー保護のベストプラクティスとして、エクスポートを作成する前に、監視の目的と対象プロジェクトの範囲を定義します。ユーザー識別子が必要かどうかを判断し、保持期間を設定して、作成されるデータセットへのアクセスを制限します。ログは、セキュリティや運用の分析のために収集された場合でも、ユーザーの活動やアプリケーションの機密データを明らかにする可能性があるため、これらの判断は重要です。セキュリティマーキングを適用してアクセスを制御し、目的の制限、説明責任、保持期間に関するガイダンスについては、プライバシーと市民的自由の実践を確認してください。マーキングは、エクスポートの作成時に直接適用することも、後からデータセットに適用することもできます。

要件と制限

ログのエクスポートは、ソースエグゼキューターごとに行われます。ソースエグゼキューターとは、関数、アクション、自動化など、ログを発行するリソースです。エクスポートを設定すると、Foundry は選択したプロジェクト内のソースエグゼキューターからログを収集し、エクスポートデータセットだけではなく、それらのソースエグゼキューターに対して以下の制約を評価します。

ログのエクスポートを設定するには、以下の要件を満たす必要があります。

• エクスポートデータセットのすべての組織マーキングが、ソースエグゼキューターにもついている必要があります： エクスポートデータセットには、組織マーキングが1つ以上ついている必要もあります。エクスポートデータセットは作成先の場所の組織マーキングを継承するため、ログをエクスポートするソースエグゼキューターに、その場所の組織マーキングがすべてついている場所を選択します。
• アクションはプロジェクトベースの権限を使用する必要があります： エクスポートの対象範囲に含まれるアクションタイプは、ログのエクスポートを設定する前に、オントロジーのプロジェクトベースの権限に移行する必要があります。レガシーのオントロジー権限で管理されているアクションタイプは、まずプロジェクトベースの権限に移行する必要があります。

次のテーブルは、組織 A と組織 B のマーキングがついたソースエグゼキューターから、どのエクスポートデータセットにログが送信されるかを示しています。

エクスポート設定を定義する

Foundry ログは、指定したプロジェクトに属するリソースから、または組織内のすべてのリソースからエクスポートできます。エクスポート設定の定義には、いくつかの制限があります。

• 各組織には、最大50個のエクスポート設定を作成できます。
• 各プロジェクトを含めることができるエクスポート設定は、最大3個です。
  • この上限には、すべてのプロジェクトからログをエクスポートする設定も含まれます。
• 設定の対象としてプロジェクトを選択する場合、1個の設定につき最大100個のプロジェクトを含めることができます。

エクスポート設定を定義するには、以下の手順に沿って進めます。

1. ログエクスポートを作成を選択すると、設定を定義するためのダイアログが開きます。

2. 関連するログのエクスポート元となるプロジェクトを選択します。ドロップダウンを使ってプロジェクトの一覧をスペースで絞り込むか、名前でプロジェクトを検索できます。すでにほかのエクスポート設定に含まれているプロジェクトには、既存のエクスポートの件数が表示されます。

3. ログのエクスポート先となるストリーミングデータセットの名前と場所を指定します。場所は Foundry ファイルシステム内である必要があり、ユーザーが作成したフォルダーは指定できません。

4. ログスキーマの形式を選択します。Foundry には、ペイロードをシリアライズされた JSON 文字列として提供する Palantir 内部形式と、ペイロードをプロトコルバッファーのバイナリとしてシリアライズする OpenTelemetry (OTel) プロトコル形式の2種類のスキーマがあります。同じステップで、ユーザーIDの秘匿化を解除トグルを使って、エクスポートされたログでユーザーIDを秘匿化するかどうかを制御します。デフォルトでは、ユーザーIDは秘匿化されます。

5. マーキングを適用ステップで、出力ストリーミングデータセットに適用するセキュリティマーキングを選択します。このステップは任意ですが、ログデータには機密情報が含まれる場合があるため、アクセスを制御するために実施することを推奨します。選択したマーキングは、エクスポート設定の作成後に、作成されるログデータセットに適用されます。

6. 概要とアクセス要件を確認した後、設定を作成を選択します。概要には、選択したマーキングがほかの設定の詳細とともに表示されるため、エクスポートを作成する前に選択内容を確認できます。

7. 設定が作成されると、既存の設定の一覧に表示されます。適用したマーキングは、エクスポート設定の詳細とともに表示されます。

ログエクスポートを初めて設定する場合、エクスポート先のデータセットへのログのストリーミングが開始されるまで、最大5分かかることがあります。

ログのエクスポートを無効にする

ログのエクスポートを無効にするには、設定の右側にあるゴミ箱アイコンを選択して、一覧に表示されているログ保存設定を削除します。作成されたデータセットは引き続き存在しますが、新しいログはエクスポートされなくなります。また、ストリーミングデータセットがゴミ箱に入っている場合や完全に削除された場合も、ログのエクスポートは停止します。

ログデータを分析する

ログ保存データセットには大量のストリーミングデータが含まれる場合があるため、分析を行う前にデータセットを適切に絞り込むことを推奨します。監視やトラブルシューティングに必要なログエントリーに焦点を当てるため、時間に基づく絞り込みを検討してください。

Foundry には、トランスフォームや Pipeline Builderなど、ログ分析を行うための強力なツールが数多く用意されています。

ログスキーマ

Foundry のアプリケーションログは、一貫したスキーマに従う構造化ログであり、プログラムによる分析や監視に適しています。

具体的には、Foundry のログには、トランスフォームの実行、ビルドプロセス、システムエラー、その他の運用上の活動など、さまざまなアプリケーションイベントに関する情報が含まれます。ログの構造は、ログエントリーを生成するアプリケーションやサービスの種類によって異なります。

アプリケーション固有の情報は構造化フィールドに記録されます。これらのフィールドには、実行の詳細、エラー情報、パフォーマンスメトリクスなど、実行中の操作に関するコンテキストが含まれます。

Foundry は2種類のスキーマを提供しています。

• ペイロードをシリアライズされた JSON 文字列として提供する Palantir 内部形式
• OpenTelemetry（OTel）プロトコルは、OTel プロトコル ↗形式でログを提供します。ペイロードは、下流の OTel コレクターへの取り込み用に、プロトコルバッファーのバイナリとしてシリアライズされます。

ログの帰属

Foundry のアプリケーションログは、プラットフォーム内のさまざまなサービスやアプリケーションによって生成されます。設定されたデータセットにログがストリーミングされる際には、ログストレージ設定を行った組織に関連するログのみが含まれるように絞り込まれます。

特定の組織に対して設定されたログエクスポートは、その組織が使用するアプリケーションやサービスからログを受信します。これには、組織のコンテキスト内で行われるトランスフォームの実行、ビルド、その他の活動が含まれます。

ログを生成したリソースの RID はログエントリーに含まれており、ログの生成元リソースを追跡するために使用できます。

ログの保証

Foundry のログは監査ログではありません。ログが100%確実に配送される保証はありません。

Foundry が生成するログの内容は、予告なく変更される場合があります。

オントロジーおよび AIP ワークフローのプラットフォーム内ログアクセス

オントロジーおよび AIP のプラットフォーム内ログアクセスは、プロジェクトレベルで管理されます。プラットフォーム内での閲覧に対するログアクセス制御は、エクスポート用のストリーミングデータセットに設定された権限とは別のものです。これらの制御は、ログアクセスが有効なプロジェクトから呼び出される関数、アクション、自動化ワークフロー、言語モデルに適用されます。

プラットフォーム内ログアクセスは、Control Panelから、または Workflow Lineage のリソースノードから直接設定できます。

ユーザーが自身で呼び出していない実行のログ（保持期間は30日間）を閲覧するには、次の条件を満たす必要があります。

• 実行元のエグゼキューターが存在するプロジェクトで、またはリソースレベルのオーバーライドを通じて、ログの読み取りが有効になっていること。
• プロジェクトのログアクセス設定、またはリソースレベルのオーバーライドに設定されたすべてのマーキングに対するマーキングへのアクセス権があること。
• ログを発行した実行元のエグゼキューターに対する編集権限があること。

具体的には、編集権限の要件は foundry-telemetry-service:view-execution-history 操作権限に対応し、編集者ロールがデフォルトでこの操作権限を付与します。カスタムロールを使用して、別のロールを通じてこの操作権限を付与できます。

管理者が管理するログアクセスのステータスに関係なく、ユーザーは過去24時間以内に自身が行った実行のログを閲覧できます。この例外は、CBAC スタックには適用されません。

閲覧要件とそれに対応するロールの正式な一覧については、ログ権限を参照してください。

Control Panel からログアクセスを設定する

デフォルトでは、組織管理者ロールにより、ログの観測可能性設定拡張機能へのアクセス権が付与されます。この拡張機能では、組織のプロジェクトレベルのログアクセス設定を表示できます。プロジェクトのログアクセスを設定するには、そのプロジェクトに対する編集権限と、情報セキュリティ責任者またはエンロールメント管理者のいずれかのロールも必要です。

プロジェクトごとにログアクセス制御を管理するには、次の手順に従います。

1. ログアクセスタブに移動します。このタブには、組織内でログの読み取りが有効になっているプロジェクトがある場合、それらのプロジェクトが表示されます。デフォルトでは、組織内のすべてのプロジェクトでログアクセスが無効になっています。

2. プロジェクトのログアクセスを有効にするには、プロジェクトを追加を選択します。プロジェクトのテレメトリーログの表示設定を行うダイアログが開きます。

3. プロジェクトを選択すると、プロジェクトのログの読み取りを有効にし、必要なマーキングを適用するための2つ目のダイアログが表示されます。

4. プロジェクトのログアクセスを有効にすると、有効なプロジェクトの一覧に表示されます。

5. その後、更新されたポリシーがプラットフォーム全体に反映され、プロジェクト内に存在するすべての実行元のエグゼキューターリソースでログの閲覧が有効になります。

Workflow Lineage からログアクセスを設定する

Control Panel での手順に加えて、管理者は Workflow Lineage のログアクセスの概要ダイアログからリソースのログアクセスを確認し、調整できます。ログの権限の説明に従ってダイアログを開き、ログアクセスポリシーの要件で編集を選択して、設定ステップを開きます。

プロジェクトレベルのログアクセスを推奨します。有効にするには、Control Panel で設定するを選択し、Control Panel での手順に従います。

設定ステップには、リソースのログアクセスがどのレベルで決まるかをまとめたテーブルが表示されます。

プロジェクトの帰属先を更新する

ソースエグゼキューターは、ログアクセスのためにプロジェクトに帰属します。デフォルトでは、帰属先プロジェクトは、ソースエグゼキューターが最初にログを書き込んだときに配置されていたプロジェクトです。最初のログを書き込んだ後にリソースが移動されると、現在のプロジェクトと帰属先プロジェクトが異なり、ログアクセスには両方のプロジェクトの設定が適用されます。

2つのプロジェクトが異なる場合、管理者は帰属先を現在のプロジェクトに変更できます。以前のプロジェクトのステータスタグにカーソルを合わせ、クリアして継承を選択します。

レガシーオントロジー権限のリソースオーバーライドを設定する

アクションをプロジェクトレベルで管理できるのは、オントロジーのプロジェクトベースの権限に移行した後のみです。レガシーオントロジー権限で引き続き管理されているアクションは、まずプロジェクトベースの権限に移行する必要があります。アクションの移行後、管理者はレガシーオントロジーのリソース識別子をクリアして、プロジェクトの帰属先を更新します。

レガシーオントロジー権限を使用するアクションの場合、設定ステップでは2つの方法を選べます。アクションをプロジェクトに移行する方法（推奨）と、リソースのオーバーライドを設定する方法です。プロジェクトの代わりにアクションのオントロジーリソース識別子が表示されます。管理者はこの識別子のログアクセスを有効にすることも、Foundry のプロジェクトおよびファイルシステムを通じてアクセスすることもできません。

アクションを移行するまでは、リソースのオーバーライドを有効にし、閲覧者がリソースのログを読むために保有しなければならない必須マーキングを適用することで、ログアクセスを有効にできます。これらのマーキングは、リソースとプロジェクトのログ設定にすでに存在するマーキングに加えて、ログに適用されます。実行がアクセスするオブジェクトやデータからマーキングは伝播されないため、アクションがログに記録する可能性のあるすべての情報の機密性をカバーするマーキングを選択してください。

無効なリソースオーバーライドは非推奨です。テーブルに無効なオーバーライドが表示されている場合は、それを削除し、プロジェクトレベルのポリシーを使用してください。削除するまで、ダイアログでは次へを選択できません。

ポリシーを設定した後、次へを選択して確認ステップに進みます。

変更を了承する

変更を反映する前に、セキュリティ上のトレードオフを了承するチェックボックスを選択する必要があります。オーバーライドを有効にする場合は、機密性の高いオブジェクトデータがログに記録される可能性があること、および正しいマーキングを適用したことを確認します。オーバーライドをクリアする場合は、リソースのログの表示設定がプロジェクトレベルに戻ることを確認します。チェックボックスを選択した後、変更を適用を選択して保存します。

ログ履歴を削除する

情報セキュリティ責任者またはエンロールメント管理者ロールを持つユーザーは、いつでもログを削除できます。Workflow Lineage の実行履歴またはログ検索パネルから、権限を編集 > ログ履歴を削除 > ログを削除を選択します。