Logging audit

Halaman ini menjelaskan cara kerja logging audit saat mengamankan konsolGoogle Cloud dan API Google Cloud dengan Access Context Manager.

Access Context Manager secara default mencatat semua permintaan akses ke konsolGoogle Cloud dan API Google Cloud yang ditolak karena pelanggaran kebijakan keamanan ke Cloud Logging. Data log audit disimpan dengan aman di infrastruktur Google dan tersedia untuk analisis mendatang. Konten log audit tersedia per organisasi di konsolGoogle Cloud . Log audit Access Context Manager ditulis ke dalam aliran logging "Audited Resource" dan tersedia di Cloud Logging.

Isi data log audit

Setiap data log audit berisi informasi yang dapat dibagi menjadi dua kategori utama: informasi tentang panggilan asli, dan informasi tentang pelanggaran kebijakan keamanan. Data ini diisi sebagai berikut:

Kolom Log Audit Arti
logName Identifikasi organisasi dan jenis log audit.
serviceName Nama layanan yang menangani panggilan, contextawareaccess.googleapis.com, yang menghasilkan pembuatan data audit ini.
authenticationInfo.principal_email Alamat email pengguna yang melakukan panggilan asli.
timestamp Waktu operasi yang ditargetkan.
resource Target operasi yang diaudit.
resourceName Organisasi yang dimaksudkan untuk menerima data audit ini.
requestMetadata.callerIp Alamat IP tempat panggilan berasal.
requestMetadata.requestAttributes.auth.accessLevels Tingkat akses dalam organisasi yang dipenuhi oleh permintaan, terlepas dari apakah tingkat akses tersebut diterapkan dalam binding akses.
status Status keseluruhan penanganan operasi yang dijelaskan dalam data ini.
metadata

Instance jenis protobuf google.cloud.audit.ContextAwareAccessAuditMetadata, yang diserialisasi sebagai Struct JSON. Isinya adalah kolom berikut:

  • appliedAccessLevels: Tingkat akses yang diperlukan oleh kebijakan akses aktif dalam binding.
  • appliedDryRunAccessLevels: Tingkat akses yang diperlukan oleh kebijakan akses uji coba dalam binding.
  • unsatisfiedAccessLevels: Tingkat akses dalam organisasi yang gagal dipenuhi oleh permintaan. Daftar ini dapat mencakup tingkat akses yang tidak diterapkan dalam binding akses. Untuk mengidentifikasi tingkat akses mana yang menyebabkan penolakan akses, bandingkan kolom ini dengan appliedAccessLevels atau appliedDryRunAccessLevels.
  • evaluationResult: Hasil evaluasi kebijakan akses aktif (GRANTED atau DENIED). Jika tidak ada tingkat akses aktif yang diterapkan dalam binding, kolom ini ditetapkan ke GRANTED.
  • dryRunEvaluationResult: Hasil evaluasi kebijakan akses uji coba (GRANTED atau DENIED). Jika tidak ada tingkat akses uji coba yang diterapkan dalam binding, kolom ini ditetapkan ke GRANTED, meskipun evaluationResult adalah DENIED.
  • deniedApplications: Aplikasi yang aksesnya ditolak.

Mengakses log audit

Konten log audit tersedia per organisasi di konsolGoogle Cloud . Log audit Access Context Manager ditulis ke dalam aliran logging "Audited Resource" dan tersedia di Cloud Logging.

Langkah berikutnya