Audit-Logging

Auf dieser Seite wird beschrieben, wie das Audit-Logging funktioniert, wenn dieGoogle Cloud Console und die Google Cloud APIs mit Access Context Manager gesichert werden.

Access Context Manager protokolliert standardmäßig alle Zugriffsanfragen an dieGoogle Cloud Console und die Google Cloud APIs, die aufgrund von Verstößen gegen Sicherheitsrichtlinien abgelehnt wurden, in Cloud Logging. Die Audit-Log-Einträge werden sicher in der Google-Infrastruktur gespeichert und stehen für zukünftige Analysen zur Verfügung. Der Inhalt des Audit-Logs ist pro Organisation in derGoogle Cloud -Konsole verfügbar. Das Audit-Log von Access Context Manager wird in den Logging-Stream „Geprüfte Ressource“ geschrieben und ist in Cloud Logging verfügbar.

Inhalt von Audit-Log-Einträgen

Jeder Audit-Logeintrag enthält Informationen, die in zwei Hauptkategorien unterteilt werden können: Informationen zum ursprünglichen Aufruf und Informationen zu Richtlinienverstößen. Er wird so ausgefüllt:

Audit-Log-Feld Bedeutung
logName ID der Organisation und Audit-Logtyp.
serviceName Der Name des Dienstes, von dem der Aufruf contextawareaccess.googleapis.com verarbeitet wurde, der zur Erstellung dieses Audit-Eintrags geführt hat.
authenticationInfo.principal_email E-Mail-Adresse des Nutzers, der den ursprünglichen Aufruf ausgeführt hat.
timestamp Die Zeit des Zielvorgangs.
resource Das Ziel des geprüften Vorgangs.
resourceName Die Organisation, die diesen Audit-Eintrag erhalten soll.
requestMetadata.callerIp Die IP-Adresse, von der der Aufruf stammt.
requestMetadata.requestAttributes.auth.accessLevels Die Zugriffsebenen in der Organisation, die die Anfrage erfüllt hat, unabhängig davon, ob diese Zugriffsebenen in der Zugriffsbindung angewendet werden.
status Der allgemeine Status der Bearbeitung eines in diesem Eintrag beschriebenen Vorgangs.
metadata

Eine Instanz des Protobuf-Typs google.cloud.audit.ContextAwareAccessAuditMetadata, serialisiert als JSON-Struct. Sie enthält die folgenden Felder:

  • appliedAccessLevels: Die Zugriffsebenen, die für die aktive Zugriffsrichtlinie in der Bindung erforderlich sind.
  • appliedDryRunAccessLevels: Die Zugriffsebenen, die für die Zugriffsrichtlinie für Probeläufe in der Bindung erforderlich sind.
  • unsatisfiedAccessLevels: Die Zugriffsebenen in der Organisation, die die Anfrage nicht erfüllt hat. Diese Liste kann Zugriffsebenen enthalten, die nicht in der Zugriffsberechtigungsbindung angewendet werden. Um festzustellen, welche Zugriffsebenen eine Zugriffsverweigerung verursacht haben, vergleichen Sie dieses Feld mit appliedAccessLevels oder appliedDryRunAccessLevels.
  • evaluationResult: Das Bewertungsergebnis der aktiven Zugriffsrichtlinie (GRANTED oder DENIED). Wenn in der Bindung keine aktiven Zugriffsebenen angewendet werden, wird dieses Feld auf GRANTED gesetzt.
  • dryRunEvaluationResult: Das Bewertungsergebnis der Zugriffsrichtlinie für den Probelauf (GRANTED oder DENIED). Wenn in der Bindung keine Zugriffsebenen für den Probelauf angewendet werden, wird dieses Feld auf GRANTED gesetzt, auch wenn evaluationResult den Wert DENIED hat.
  • deniedApplications: Die Anwendungen, für die der Zugriff verweigert wurde.

Audit-Log aufrufen

Der Inhalt des Audit-Logs ist in derGoogle Cloud Console pro Organisation verfügbar. Das Access Context Manager-Audit-Log wird in den Logging-Stream „Geprüfte Ressource“ geschrieben und ist in Cloud Logging verfügbar.

Nächste Schritte