Registro de auditoria

Nesta página, descrevemos como funciona a geração de registros de auditoria ao proteger o console doGoogle Cloud e as APIs do Google Cloud com o Access Context Manager.

Por padrão, o Access Context Manager registra no Cloud Logging todas as solicitações de acesso ao console doGoogle Cloud e às APIs do Google Cloud que são negadas devido a violações da política de segurança. Os registros de auditoria são armazenados com segurança na infraestrutura do Google e estão disponíveis para análise futura. O conteúdo do registro de auditoria está disponível por organização no console doGoogle Cloud . O registro de auditoria do Access Context Manager é gravado no fluxo de geração de registros do "recurso auditado" e está disponível no Cloud Logging.

Conteúdo do registro de auditoria

Cada registro de auditoria contém informações que podem ser divididas em duas categorias principais: as informações sobre a chamada original e as informações sobre violações da política de segurança. Ele é preenchido da seguinte forma:

Campo do registro de auditoria Significado
logName O tipo de registro de auditoria e identificação da organização.
serviceName O nome do serviço que processa a chamada, contextawareaccess.googleapis.com, que resultou na criação desse registro de auditoria.
authenticationInfo.principal_email Endereço de e-mail do usuário que está emitindo a chamada original.
timestamp A hora da operação desejada.
resource O destino da operação auditada.
resourceName A organização que receberá o registro de auditoria.
requestMetadata.callerIp O endereço IP de onde se originou a chamada.
requestMetadata.requestAttributes.auth.accessLevels Os níveis de acesso na organização que a solicitação atendeu, independentemente de esses níveis de acesso serem aplicados na vinculação de acesso.
status O status geral de processamento de uma operação descrita nesse registro.
metadata

Uma instância do tipo de protobuf google.cloud.audit.ContextAwareAccessAuditMetadata, serializada como um Struct JSON. Ele inclui os seguintes campos:

  • appliedAccessLevels: os níveis de acesso exigidos pela política de acesso ativa na vinculação.
  • appliedDryRunAccessLevels: os níveis de acesso exigidos pela política de acesso de simulação na vinculação.
  • unsatisfiedAccessLevels: os níveis de acesso na organização que a solicitação não atendeu. Essa lista pode incluir níveis de acesso que não são aplicados na vinculação de acesso. Para identificar quais níveis de acesso causaram uma negação de acesso, compare esse campo com appliedAccessLevels ou appliedDryRunAccessLevels.
  • evaluationResult: o resultado da avaliação da política de acesso ativa (GRANTED ou DENIED). Se nenhum nível de acesso ativo for aplicado na vinculação, esse campo será definido como GRANTED.
  • dryRunEvaluationResult: o resultado da avaliação da política de acesso de teste (GRANTED ou DENIED). Se nenhum nível de acesso de teste for aplicado na vinculação, esse campo será definido como GRANTED, mesmo quando evaluationResult for DENIED.
  • deniedApplications: os aplicativos que tiveram o acesso negado.

Como acessar o registro de auditoria

O conteúdo do registro de auditoria está disponível por organização no console doGoogle Cloud . O registro de auditoria do Access Context Manager é gravado no fluxo de geração de registros do "recurso auditado" e está disponível no Cloud Logging.

A seguir