監査ロギング

このページでは、Access Context Manager を使用してGoogle Cloud コンソールと Google Cloud API を保護する場合の監査ロギングの仕組みについて説明します。

Access Context Manager はデフォルトで、セキュリティ ポリシー違反で拒否されたGoogle Cloud コンソールと Google Cloud API へのすべてのアクセス リクエストを Cloud Logging に記録します。監査ログレコードは、Google のインフラストラクチャに安全に保存され、分析に利用されます。Google Cloud コンソールでは、監査ログの内容が組織単位で確認できます。Access Context Manager の監査ログは「監査対象リソース」のロギング ストリームに書き込まれ、Cloud Logging で利用できます。

監査ログレコードの内容

監査ログレコードには 2 種類の情報が含まれます。1 つは元の呼び出しに関する情報、もう 1 つはセキュリティ ポリシー違反に関する情報です。これは次のように入力されます。

監査ログのフィールド 意味
logName 組織 ID と監査ログタイプ。
serviceName この監査レコードを作成した呼び出し contextawareaccess.googleapis.com を処理したサービスの名前。
authenticationInfo.principal_email 元の呼び出しを開始したユーザーのメールアドレス。
timestamp 対象のオペレーションの時刻。
resource 監査対象オペレーションのターゲット。
resourceName この監査レコードを受信する組織。
requestMetadata.callerIp 呼び出しを開始した IP アドレス。
requestMetadata.requestAttributes.auth.accessLevels リクエストが満たした組織内のアクセスレベル。これらのアクセスレベルがアクセス バインディングに適用されているかどうかは関係ありません。
status このレコードに記録されているオペレーションの全体的な処理ステータス。
metadata

google.cloud.audit.ContextAwareAccessAuditMetadata protobuf 型のインスタンス。JSON Struct としてシリアル化されます。次のフィールドが含まれます。

  • appliedAccessLevels: バインディングのアクティブなアクセス ポリシーで必要なアクセスレベル。
  • appliedDryRunAccessLevels: バインディングのドライラン アクセス ポリシーで必要なアクセスレベル。
  • unsatisfiedAccessLevels: リクエストが満たせなかった組織のアクセスレベル。このリストには、アクセス バインディングに適用されていないアクセスレベルを含めることができます。アクセス拒否の原因となったアクセスレベルを特定するには、このフィールドを appliedAccessLevels または appliedDryRunAccessLevels と比較します。
  • evaluationResult: アクティブなアクセス ポリシーの評価結果（GRANTED または DENIED）。バインディングにアクティブなアクセスレベルが適用されていない場合、このフィールドは GRANTED に設定されます。
  • dryRunEvaluationResult: ドライラン アクセス ポリシーの評価結果（GRANTED または DENIED）。バインディングにドライラン アクセスレベルが適用されていない場合、evaluationResult が DENIED であっても、このフィールドは GRANTED に設定されます。
  • deniedApplications: アクセスが拒否されたアプリケーション。

監査ログへのアクセス

Google Cloud コンソールでは、監査ログの内容が組織単位で確認できます。Access Context Manager の監査ログは「監査対象リソース」のロギング ストリームに書き込まれ、Cloud Logging で利用できます。

次のステップ