稽核記錄功能

本頁面說明使用 Access Context Manager 保護Google Cloud 控制台和 Google Cloud API 時，稽核記錄的運作方式。

根據預設，Access Context Manager 會將所有因違反安全性政策而遭拒絕的Google Cloud 控制台和 Google Cloud API 存取要求，記錄到 Cloud Logging。稽核記錄會安全地儲存在 Google 基礎架構中，供日後分析使用。稽核記錄的內容會依組織顯示在Google Cloud 控制台中。Access Context Manager 稽核記錄會寫入「Audited Resource」(已稽核資源) 記錄串流，並可在 Cloud Logging 中查看。

稽核記錄內容

每筆稽核記錄都包含兩大類別的資訊：原始呼叫的相關資訊，以及安全性政策違規相關資訊。填寫方式如下：

稽核記錄欄位 意義
logName 組織識別資訊和稽核記錄類型。
serviceName 處理呼叫的服務名稱，contextawareaccess.googleapis.com，導致建立這筆稽核記錄。
authenticationInfo.principal_email 發出原始呼叫的使用者電子郵件地址。
timestamp 指定作業的時間。
resource 稽核作業的目標。
resourceName 預定接收這項稽核記錄的組織。
requestMetadata.callerIp 呼叫來源的 IP 位址。
requestMetadata.requestAttributes.auth.accessLevels 要求符合的組織存取層級，無論這些存取層級是否套用至存取權繫結。
status 該記錄所述的作業整體處理狀態。
metadata

google.cloud.audit.ContextAwareAccessAuditMetadata protobuf 類型的執行個體，序列化為 JSON Struct。當中包含下列欄位：

  • appliedAccessLevels：繫結中有效存取權政策所需的存取層級。
  • appliedDryRunAccessLevels：繫結中模擬測試存取權政策所需的存取層級。
  • unsatisfiedAccessLevels：要求不符合的組織存取層級。這份清單可以包含未套用至存取權繫結的存取層級。如要找出導致存取遭拒的存取層級，請將這個欄位與 appliedAccessLevels 或 appliedDryRunAccessLevels 進行比較。
  • evaluationResult：有效存取政策 (GRANTED 或 DENIED) 的評估結果。如果繫結中未套用任何有效存取層級，這個欄位會設為 GRANTED。
  • dryRunEvaluationResult：模擬測試存取權政策的評估結果 (GRANTED 或 DENIED)。如果繫結中未套用模擬測試存取層級，即使 evaluationResult 為 DENIED，這個欄位也會設為 GRANTED。
  • deniedApplications：遭拒絕存取的應用程式。

存取稽核記錄

您可以在Google Cloud 控制台中，依機構查看稽核記錄內容。Access Context Manager 稽核記錄會寫入「稽核資源」記錄串流，並可在 Cloud Logging 中查看。

後續步驟