GKE Multi-Cloud 审核日志记录

本文档介绍了 GKE Multi-Cloud 产品（包括 GKE on AWS、GKE on AWS 和 GKE 关联集群 [EKS、AKS 和通用集群]）的审核日志记录。 Google Cloud 服务会生成审核日志，以记录 Google Cloud 资源中的管理和访问活动。如需详细了解 Cloud Audit Logs，请参阅以下内容：

服务名称

GKE Multi-Cloud 产品（包括 GKE on AWS、GKE on AWS 和 GKE 关联集群 [EKS、AKS 和通用集群]）审核日志使用服务名称 gkemulticloud.googleapis.com。针对此服务的过滤条件：

    protoPayload.serviceName="gkemulticloud.googleapis.com"

方法（按权限类型）

每个 IAM 权限都有一个 type 属性，该属性的值是一个枚举，可以是以下四个值之一：ADMIN_READ、ADMIN_WRITE、DATA_READ 或 DATA_WRITE。在您调用某个方法时，GKE Multi-Cloud 产品（包括 GKE on AWS、GKE on AWS 和 GKE 关联集群 [EKS、AKS 和通用集群]）会生成一个审核日志，其类别取决于执行该方法所需权限的 type 属性。需要 IAM 权限且 type 属性值为 DATA_READ、DATA_WRITE 或 ADMIN_READ 的方法会生成数据访问审核日志。需要 IAM 权限且 type 属性值为 ADMIN_WRITE 的方法会生成管理员活动审核日志。

以下列表中标记为 (LRO) 的 API 方法是长时间运行的操作 (LRO)。 这些方法通常会生成两条审核日志条目：一条在操作开始时生成，另一条在操作结束时生成。如需了解详情，请参阅长时间运行的操作的审核日志。
权限类型 方法
ADMIN_READ google.cloud.gkemulticloud.v1.AttachedClusters.GenerateAttachedClusterInstallManifest
google.cloud.gkemulticloud.v1.AttachedClusters.GetAttachedCluster
google.cloud.gkemulticloud.v1.AttachedClusters.GetAttachedServerConfig
google.cloud.gkemulticloud.v1.AttachedClusters.ListAttachedClusters
google.cloud.gkemulticloud.v1.AwsClusters.GenerateAwsAccessToken
google.cloud.gkemulticloud.v1.AwsClusters.GetAwsCluster
google.cloud.gkemulticloud.v1.AwsClusters.GetAwsNodePool
google.cloud.gkemulticloud.v1.AwsClusters.GetAwsServerConfig
google.cloud.gkemulticloud.v1.AwsClusters.ListAwsClusters
google.cloud.gkemulticloud.v1.AwsClusters.ListAwsNodePools
google.cloud.gkemulticloud.v1.AzureClusters.GenerateAzureAccessToken
google.cloud.gkemulticloud.v1.AzureClusters.GetAzureClient
google.cloud.gkemulticloud.v1.AzureClusters.GetAzureCluster
google.cloud.gkemulticloud.v1.AzureClusters.GetAzureNodePool
google.cloud.gkemulticloud.v1.AzureClusters.GetAzureServerConfig
google.cloud.gkemulticloud.v1.AzureClusters.ListAzureClients
google.cloud.gkemulticloud.v1.AzureClusters.ListAzureClusters
google.cloud.gkemulticloud.v1.AzureClusters.ListAzureNodePools
ADMIN_WRITE google.cloud.gkemulticloud.v1.AttachedClusters.CreateAttachedCluster (LRO)
google.cloud.gkemulticloud.v1.AttachedClusters.DeleteAttachedCluster (LRO)
google.cloud.gkemulticloud.v1.AttachedClusters.ImportAttachedCluster
google.cloud.gkemulticloud.v1.AttachedClusters.UpdateAttachedCluster (LRO)
google.cloud.gkemulticloud.v1.AwsClusters.CreateAwsCluster (LRO)
google.cloud.gkemulticloud.v1.AwsClusters.CreateAwsNodePool (LRO)
google.cloud.gkemulticloud.v1.AwsClusters.DeleteAwsCluster (LRO)
google.cloud.gkemulticloud.v1.AwsClusters.DeleteAwsNodePool (LRO)
google.cloud.gkemulticloud.v1.AwsClusters.UpdateAwsCluster (LRO)
google.cloud.gkemulticloud.v1.AwsClusters.UpdateAwsNodePool (LRO)
google.cloud.gkemulticloud.v1.AzureClusters.CreateAzureClient (LRO)
google.cloud.gkemulticloud.v1.AzureClusters.CreateAzureCluster (LRO)
google.cloud.gkemulticloud.v1.AzureClusters.CreateAzureNodePool (LRO)
google.cloud.gkemulticloud.v1.AzureClusters.DeleteAzureClient (LRO)
google.cloud.gkemulticloud.v1.AzureClusters.DeleteAzureCluster (LRO)
google.cloud.gkemulticloud.v1.AzureClusters.DeleteAzureNodePool (LRO)
google.cloud.gkemulticloud.v1.AzureClusters.UpdateAzureCluster (LRO)
google.cloud.gkemulticloud.v1.AzureClusters.UpdateAzureNodePool (LRO)

每个 API 接口的审核日志

google.cloud.gkemulticloud.v1.AttachedClusters

以下审核日志与属于 google.cloud.gkemulticloud.v1.AttachedClusters 的方法相关联。

CreateAttachedCluster

  • 方法：google.cloud.gkemulticloud.v1.AttachedClusters.CreateAttachedCluster
  • 审核日志类型：管理员活动
  • 权限：
    • gkemulticloud.attachedClusters.create - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AttachedClusters.CreateAttachedCluster"

DeleteAttachedCluster

  • 方法：google.cloud.gkemulticloud.v1.AttachedClusters.DeleteAttachedCluster
  • 审核日志类型：管理员活动
  • 权限：
    • gkemulticloud.attachedClusters.delete - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AttachedClusters.DeleteAttachedCluster"

GenerateAttachedClusterInstallManifest

  • 方法：google.cloud.gkemulticloud.v1.AttachedClusters.GenerateAttachedClusterInstallManifest
  • 审核日志类型：数据访问
  • 权限：
    • gkemulticloud.attachedClusters.generateInstallManifest - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AttachedClusters.GenerateAttachedClusterInstallManifest"

GetAttachedCluster

  • 方法：google.cloud.gkemulticloud.v1.AttachedClusters.GetAttachedCluster
  • 审核日志类型：数据访问
  • 权限：
    • gkemulticloud.attachedClusters.get - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AttachedClusters.GetAttachedCluster"

GetAttachedServerConfig

  • 方法：google.cloud.gkemulticloud.v1.AttachedClusters.GetAttachedServerConfig
  • 审核日志类型：数据访问
  • 权限：
    • gkemulticloud.attachedServerConfigs.get - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AttachedClusters.GetAttachedServerConfig"

ImportAttachedCluster

  • 方法：google.cloud.gkemulticloud.v1.AttachedClusters.ImportAttachedCluster
  • 审核日志类型：管理员活动
  • 权限：
    • gkemulticloud.attachedClusters.import - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AttachedClusters.ImportAttachedCluster"

ListAttachedClusters

  • 方法：google.cloud.gkemulticloud.v1.AttachedClusters.ListAttachedClusters
  • 审核日志类型：数据访问
  • 权限：
    • gkemulticloud.attachedClusters.list - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AttachedClusters.ListAttachedClusters"

UpdateAttachedCluster

  • 方法：google.cloud.gkemulticloud.v1.AttachedClusters.UpdateAttachedCluster
  • 审核日志类型：管理员活动
  • 权限：
    • gkemulticloud.attachedClusters.update - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AttachedClusters.UpdateAttachedCluster"

google.cloud.gkemulticloud.v1.AwsClusters

以下审核日志与属于 google.cloud.gkemulticloud.v1.AwsClusters 的方法相关联。

CreateAwsCluster

  • 方法：google.cloud.gkemulticloud.v1.AwsClusters.CreateAwsCluster
  • 审核日志类型：管理员活动
  • 权限：
    • gkemulticloud.awsClusters.create - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AwsClusters.CreateAwsCluster"

CreateAwsNodePool

  • 方法：google.cloud.gkemulticloud.v1.AwsClusters.CreateAwsNodePool
  • 审核日志类型：管理员活动
  • 权限：
    • gkemulticloud.awsNodePools.create - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AwsClusters.CreateAwsNodePool"

DeleteAwsCluster

  • 方法：google.cloud.gkemulticloud.v1.AwsClusters.DeleteAwsCluster
  • 审核日志类型：管理员活动
  • 权限：
    • gkemulticloud.awsClusters.delete - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AwsClusters.DeleteAwsCluster"

DeleteAwsNodePool

  • 方法：google.cloud.gkemulticloud.v1.AwsClusters.DeleteAwsNodePool
  • 审核日志类型：管理员活动
  • 权限：
    • gkemulticloud.awsNodePools.delete - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AwsClusters.DeleteAwsNodePool"

GenerateAwsAccessToken

  • 方法：google.cloud.gkemulticloud.v1.AwsClusters.GenerateAwsAccessToken
  • 审核日志类型：数据访问
  • 权限：
    • gkemulticloud.awsClusters.generateAccessToken - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AwsClusters.GenerateAwsAccessToken"

GetAwsCluster

  • 方法：google.cloud.gkemulticloud.v1.AwsClusters.GetAwsCluster
  • 审核日志类型：数据访问
  • 权限：
    • gkemulticloud.awsClusters.get - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AwsClusters.GetAwsCluster"

GetAwsNodePool

  • 方法：google.cloud.gkemulticloud.v1.AwsClusters.GetAwsNodePool
  • 审核日志类型：数据访问
  • 权限：
    • gkemulticloud.awsNodePools.get - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AwsClusters.GetAwsNodePool"

GetAwsServerConfig

  • 方法：google.cloud.gkemulticloud.v1.AwsClusters.GetAwsServerConfig
  • 审核日志类型：数据访问
  • 权限：
    • gkemulticloud.awsServerConfigs.get - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AwsClusters.GetAwsServerConfig"

ListAwsClusters

  • 方法：google.cloud.gkemulticloud.v1.AwsClusters.ListAwsClusters
  • 审核日志类型：数据访问
  • 权限：
    • gkemulticloud.awsClusters.list - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AwsClusters.ListAwsClusters"

ListAwsNodePools

  • 方法：google.cloud.gkemulticloud.v1.AwsClusters.ListAwsNodePools
  • 审核日志类型：数据访问
  • 权限：
    • gkemulticloud.awsNodePools.list - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AwsClusters.ListAwsNodePools"

UpdateAwsCluster

  • 方法：google.cloud.gkemulticloud.v1.AwsClusters.UpdateAwsCluster
  • 审核日志类型：管理员活动
  • 权限：
    • gkemulticloud.awsClusters.update - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AwsClusters.UpdateAwsCluster"

UpdateAwsNodePool

  • 方法：google.cloud.gkemulticloud.v1.AwsClusters.UpdateAwsNodePool
  • 审核日志类型：管理员活动
  • 权限：
    • gkemulticloud.awsNodePools.update - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AwsClusters.UpdateAwsNodePool"

google.cloud.gkemulticloud.v1.AzureClusters

以下审核日志与属于 google.cloud.gkemulticloud.v1.AzureClusters 的方法相关联。

CreateAzureClient

  • 方法：google.cloud.gkemulticloud.v1.AzureClusters.CreateAzureClient
  • 审核日志类型：管理员活动
  • 权限：
    • gkemulticloud.azureClients.create - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AzureClusters.CreateAzureClient"

CreateAzureCluster

  • 方法：google.cloud.gkemulticloud.v1.AzureClusters.CreateAzureCluster
  • 审核日志类型：管理员活动
  • 权限：
    • gkemulticloud.azureClusters.create - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AzureClusters.CreateAzureCluster"

CreateAzureNodePool

  • 方法：google.cloud.gkemulticloud.v1.AzureClusters.CreateAzureNodePool
  • 审核日志类型：管理员活动
  • 权限：
    • gkemulticloud.azureNodePools.create - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AzureClusters.CreateAzureNodePool"

DeleteAzureClient

  • 方法：google.cloud.gkemulticloud.v1.AzureClusters.DeleteAzureClient
  • 审核日志类型：管理员活动
  • 权限：
    • gkemulticloud.azureClients.delete - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AzureClusters.DeleteAzureClient"

DeleteAzureCluster

  • 方法：google.cloud.gkemulticloud.v1.AzureClusters.DeleteAzureCluster
  • 审核日志类型：管理员活动
  • 权限：
    • gkemulticloud.azureClusters.delete - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AzureClusters.DeleteAzureCluster"

DeleteAzureNodePool

  • 方法：google.cloud.gkemulticloud.v1.AzureClusters.DeleteAzureNodePool
  • 审核日志类型：管理员活动
  • 权限：
    • gkemulticloud.azureNodePools.delete - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AzureClusters.DeleteAzureNodePool"

GenerateAzureAccessToken

  • 方法：google.cloud.gkemulticloud.v1.AzureClusters.GenerateAzureAccessToken
  • 审核日志类型：数据访问
  • 权限：
    • gkemulticloud.azureClusters.generateAccessToken - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AzureClusters.GenerateAzureAccessToken"

GetAzureClient

  • 方法：google.cloud.gkemulticloud.v1.AzureClusters.GetAzureClient
  • 审核日志类型：数据访问
  • 权限：
    • gkemulticloud.azureClients.get - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AzureClusters.GetAzureClient"

GetAzureCluster

  • 方法：google.cloud.gkemulticloud.v1.AzureClusters.GetAzureCluster
  • 审核日志类型：数据访问
  • 权限：
    • gkemulticloud.azureClusters.get - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AzureClusters.GetAzureCluster"

GetAzureNodePool

  • 方法：google.cloud.gkemulticloud.v1.AzureClusters.GetAzureNodePool
  • 审核日志类型：数据访问
  • 权限：
    • gkemulticloud.azureNodePools.get - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AzureClusters.GetAzureNodePool"

GetAzureServerConfig

  • 方法：google.cloud.gkemulticloud.v1.AzureClusters.GetAzureServerConfig
  • 审核日志类型：数据访问
  • 权限：
    • gkemulticloud.azureServerConfigs.get - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AzureClusters.GetAzureServerConfig"

ListAzureClients

  • 方法：google.cloud.gkemulticloud.v1.AzureClusters.ListAzureClients
  • 审核日志类型：数据访问
  • 权限：
    • gkemulticloud.azureClients.list - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AzureClusters.ListAzureClients"

ListAzureClusters

  • 方法：google.cloud.gkemulticloud.v1.AzureClusters.ListAzureClusters
  • 审核日志类型：数据访问
  • 权限：
    • gkemulticloud.azureClusters.list - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AzureClusters.ListAzureClusters"

ListAzureNodePools

  • 方法：google.cloud.gkemulticloud.v1.AzureClusters.ListAzureNodePools
  • 审核日志类型：数据访问
  • 权限：
    • gkemulticloud.azureNodePools.list - ADMIN_READ
  • 方法是长时间运行的操作或流式传输操作：否。
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AzureClusters.ListAzureNodePools"

UpdateAzureCluster

  • 方法：google.cloud.gkemulticloud.v1.AzureClusters.UpdateAzureCluster
  • 审核日志类型：管理员活动
  • 权限：
    • gkemulticloud.azureClusters.update - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AzureClusters.UpdateAzureCluster"

UpdateAzureNodePool

  • 方法：google.cloud.gkemulticloud.v1.AzureClusters.UpdateAzureNodePool
  • 审核日志类型：管理员活动
  • 权限：
    • gkemulticloud.azureNodePools.update - ADMIN_WRITE
  • 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  • 此方法的过滤条件： protoPayload.methodName="google.cloud.gkemulticloud.v1.AzureClusters.UpdateAzureNodePool"

不会生成审核日志的方法

由于以下一个或多个原因，方法可能不会生成审核日志：

  • 这是一种高容量方法，涉及较高的日志生成和存储费用。
  • 它的审核价值较低。
  • 其他审核或平台日志已提供方法覆盖功能。

以下方法不会生成审核日志：

  • google.cloud.gkemulticloud.v1.AttachedClusters.GenerateAttachedClusterAgentToken
  • google.cloud.gkemulticloud.v1.AwsClusters.GenerateAwsClusterAgentToken
  • google.cloud.gkemulticloud.v1.AwsClusters.GetAwsJsonWebKeys
  • google.cloud.gkemulticloud.v1.AwsClusters.GetAwsOpenIdConfig
  • google.cloud.gkemulticloud.v1.AwsClusters.RollbackAwsNodePoolUpdate
  • google.cloud.gkemulticloud.v1.AzureClusters.GenerateAzureClusterAgentToken
  • google.cloud.gkemulticloud.v1.AzureClusters.GetAzureJsonWebKeys
  • google.cloud.gkemulticloud.v1.AzureClusters.GetAzureOpenIdConfig
  • google.longrunning.Operations.CancelOperation
  • google.longrunning.Operations.DeleteOperation
  • google.longrunning.Operations.GetOperation
  • google.longrunning.Operations.ListOperations
  • google.longrunning.Operations.WaitOperation