Audit logging

Questa pagina descrive il funzionamento dell'audit logging quando proteggi la consoleGoogle Cloud e le API Google Cloud con Gestore contesto accesso.

Per impostazione predefinita, Gestore contesto accesso registra in Cloud Logging tutte le richieste di accesso alla consoleGoogle Cloud e alle API Google Cloud che vengono rifiutate a causa di violazioni delle policy di sicurezza. I record degli audit log vengono archiviati in modo sicuro nell'infrastruttura di Google e sono disponibili per analisi future. Il contenuto dell'audit log è disponibile per ogni organizzazione nella consoleGoogle Cloud . L'audit log di Gestore contesto accesso viene scritto nel flusso di logging "Risorsa controllata" ed è disponibile in Cloud Logging.

Contenuti dei record di audit log

Ogni record di audit log contiene informazioni che possono essere suddivise in due categorie principali: le informazioni sulla chiamata originale e le informazioni sulle violazioni delle policy di sicurezza. Viene compilato nel modo seguente:

Campo dell'audit log Significato
logName L'identificazione dell'organizzazione e il tipo di audit log.
serviceName Il nome del servizio che gestisce la chiamata, contextawareaccess.googleapis.com, che ha comportato la creazione di questo audit record.
authenticationInfo.principal_email Indirizzo email dell'utente che effettua la chiamata originale.
timestamp L'ora dell'operazione target.
resource Il target dell'operazione sottoposta ad audit.
resourceName L'organizzazione destinata a ricevere questo audit record.
requestMetadata.callerIp L'indirizzo IP da cui ha avuto origine la chiamata.
requestMetadata.requestAttributes.auth.accessLevels I livelli di accesso nell'organizzazione soddisfatti dalla richiesta, indipendentemente dal fatto che siano applicati o meno nell'associazione di accesso.
status Lo stato complessivo della gestione di un'operazione descritta in questo record.
metadata

Un'istanza del tipo protobuf google.cloud.audit.ContextAwareAccessAuditMetadata, serializzata come Struct JSON. Include i seguenti campi:

  • appliedAccessLevels: i livelli di accesso richiesti dalla policy di accesso attiva nell'associazione.
  • appliedDryRunAccessLevels: i livelli di accesso richiesti dalla policy di accesso dry run nell'associazione.
  • unsatisfiedAccessLevels: i livelli di accesso nell'organizzazione che la richiesta non è riuscita a soddisfare. Questo elenco può includere livelli di accesso non applicati nell'associazione di accesso. Per identificare i livelli di accesso che hanno causato un rifiuto dell'accesso, confronta questo campo con appliedAccessLevels o appliedDryRunAccessLevels.
  • evaluationResult: il risultato della valutazione della policy di accesso attiva (GRANTED o DENIED). Se nell'associazione non vengono applicati livelli di accesso attivi, questo campo è impostato su GRANTED.
  • dryRunEvaluationResult: il risultato della valutazione della policy di accesso dry run (GRANTED o DENIED). Se nell'associazione non vengono applicati livelli di accesso dry run, questo campo viene impostato su GRANTED, anche se evaluationResult è DENIED.
  • deniedApplications: le applicazioni per cui l'accesso è stato negato.

Accesso all'audit log

I contenuti dell'audit log sono disponibili per ogni organizzazione nella consoleGoogle Cloud . L'audit log di Gestore contesto accesso viene scritto nel flusso di logging "Risorsa controllata" ed è disponibile in Cloud Logging.

Passaggi successivi