Registros de auditoría

En esta página, se describe cómo funciona el registro de auditoría cuando se protegen la consola deGoogle Cloud y las APIs de Google Cloud con Access Context Manager.

De forma predeterminada, Access Context Manager registra todas las solicitudes de acceso a la consola deGoogle Cloud y las APIs de Google Cloud que se rechazan debido a incumplimientos de política de seguridad en Cloud Logging. Los registros de auditoría se almacenan de forma segura en la infraestructura de Google y están disponibles para su análisis futuro. El contenido del registro de auditoría está disponible por organización en la consola deGoogle Cloud . El registro de auditoría de Access Context Manager se escribe en el flujo de registro "Recurso auditado" y está disponible en Cloud Logging.

Contenido del registro de auditoría

Cada registro de auditoría contiene información que se puede dividir en dos categorías principales: la información sobre la llamada original y la información sobre los incumplimientos de política de seguridad. Se completa de la siguiente manera:

Campo del registro de auditoría Significado
logName El tipo de registro de auditoría y la identificación de la organización
serviceName El nombre del servicio que controla la llamada, contextawareaccess.googleapis.com, que generó la creación de este registro de auditoría.
authenticationInfo.principal_email Dirección de correo electrónico del usuario que emite la llamada original.
timestamp La hora de la operación objetivo.
resource Es el objetivo de la operación auditada.
resourceName La organización que debe recibir este registro de auditoría.
requestMetadata.callerIp La dirección IP desde la cual se originó la solicitud.
requestMetadata.requestAttributes.auth.accessLevels Son los niveles de acceso de la organización que cumplió la solicitud, independientemente de si esos niveles de acceso se aplican en la vinculación de acceso.
status El estado general del control de una operación descrita en este registro.
metadata

Es una instancia del tipo de protobuf google.cloud.audit.ContextAwareAccessAuditMetadata, serializada como un Struct de JSON. Incluye los siguientes campos:

  • appliedAccessLevels: Son los niveles de acceso que requiere la política de acceso activa en la vinculación.
  • appliedDryRunAccessLevels: Son los niveles de acceso que requiere la política de acceso de prueba de validación en la vinculación.
  • unsatisfiedAccessLevels: Son los niveles de acceso de la organización que la solicitud no cumplió. Esta lista puede incluir niveles de acceso que no se aplican en la vinculación de acceso. Para identificar qué niveles de acceso causaron una denegación de acceso, compara este campo con appliedAccessLevels o appliedDryRunAccessLevels.
  • evaluationResult: Es el resultado de la evaluación de la política de acceso activa (GRANTED o DENIED). Si no se aplican niveles de acceso activos en la vinculación, este campo se establece en GRANTED.
  • dryRunEvaluationResult: Es el resultado de la evaluación de la política de acceso de ejecución de prueba (GRANTED o DENIED). Si no se aplican niveles de acceso de ejecución de prueba en la vinculación, este campo se establece en GRANTED, incluso cuando evaluationResult es DENIED.
  • deniedApplications: Son las aplicaciones a las que se les denegó el acceso.

Accede al registro de auditoría

El contenido del registro de auditoría está disponible por organización en la consola deGoogle Cloud . El registro de auditoría de Access Context Manager se escribe en el flujo de registro "Recurso auditado" y está disponible en Cloud Logging.

¿Qué sigue?