רישום ביומן הביקורת של Certificate Manager

במאמר הזה מפורטים ה-methods שנבדקים ב-Certificate Manager.שירותי Google Cloud יוצרים יומני ביקורת שבהם מתועדים אירועי גישה למשאבי Google Cloud והפעולות שהאדמינים עשו בהם. אתם יכולים לקרוא מידע נוסף על יומני הביקורת של Cloud במאמרים האלה:

שם השירות

כדי להציג את יומני הביקורת של Certificate Manager:

  1. נכנסים לדף Logs Explorer במסוף Google Cloud :

    כניסה לדף Logs Explorer

  2. מעתיקים את השאילתה הבאה לשדה Query ב-Logs Explorer ולוחצים על Run query.

        protoPayload.serviceName="certificatemanager.googleapis.com"

קודי Method לפי סוג ההרשאה

לכל הרשאה ב-IAM יש מאפיין type עם enum שיכול להיות אחד מארבעת הערכים הבאים: ADMIN_READ,‏ ADMIN_WRITE,‏ DATA_READ או DATA_WRITE. כשקוראים ל-method, ב-Certificate Manager נוצר יומן ביקורת שהקטגוריה שלו תלויה במאפיין type של ההרשאה שנדרשת לביצוע ה-method. ה-methods שבשבילן צריך הרשאה ב-IAM עם הערכים DATA_READ‏, DATA_WRITE או ADMIN_READ במאפיין type יוצרות יומני ביקורת של Data Access. ה-methods שבשבילן צריך הרשאה ב-IAM עם הערכים ADMIN_WRITE במאפיין type יוצרות יומני ביקורת של Admin Activity.

ה-methods של ה-API ברשימה הבאה שמסומנות ב-(LRO) הן פעולות ממושכות. בדרך כלל, ה-methods האלה יוצרות שתי רשומות ביומן הביקורת: אחת כשהפעולה מתחילה ואחת כשהיא מסתיימת. אתם יכולים לקרוא מידע נוסף במאמר בנושא יומני ביקורת של פעולות ממושכות.
סוג ההרשאה Methods
ADMIN_READ google.cloud.certificatemanager.v1.CertificateManager.GetCertificate
google.cloud.certificatemanager.v1.CertificateManager.GetCertificateIssuanceConfig
google.cloud.certificatemanager.v1.CertificateManager.GetCertificateMap
google.cloud.certificatemanager.v1.CertificateManager.GetCertificateMapEntry
google.cloud.certificatemanager.v1.CertificateManager.GetDnsAuthorization
google.cloud.certificatemanager.v1.CertificateManager.GetTrustConfig
google.cloud.certificatemanager.v1.CertificateManager.ListCertificateIssuanceConfigs
google.cloud.certificatemanager.v1.CertificateManager.ListCertificateMapEntries
google.cloud.certificatemanager.v1.CertificateManager.ListCertificateMaps
google.cloud.certificatemanager.v1.CertificateManager.ListCertificates
google.cloud.certificatemanager.v1.CertificateManager.ListDnsAuthorizations
google.cloud.certificatemanager.v1.CertificateManager.ListTrustConfigs
google.cloud.certificatemanager.v2alpha.CertificateLifecycle.GetObservedCertificate
google.cloud.certificatemanager.v2alpha.CertificateLifecycle.ListObservedCertificates
google.longrunning.Operations.GetOperation
google.longrunning.Operations.ListOperations
ADMIN_WRITE google.cloud.certificatemanager.v1.CertificateManager.CreateCertificate (LRO)
google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateIssuanceConfig (LRO)
google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateMap (LRO)
google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateMapEntry (LRO)
google.cloud.certificatemanager.v1.CertificateManager.CreateDnsAuthorization (LRO)
google.cloud.certificatemanager.v1.CertificateManager.CreateTrustConfig (LRO)
google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificate (LRO)
google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateIssuanceConfig (LRO)
google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateMap (LRO)
google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateMapEntry (LRO)
google.cloud.certificatemanager.v1.CertificateManager.DeleteDnsAuthorization (LRO)
google.cloud.certificatemanager.v1.CertificateManager.DeleteTrustConfig (LRO)
google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificate (LRO)
google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateIssuanceConfig (LRO)
google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateMap (LRO)
google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateMapEntry (LRO)
google.cloud.certificatemanager.v1.CertificateManager.UpdateDnsAuthorization (LRO)
google.cloud.certificatemanager.v1.CertificateManager.UpdateTrustConfig (LRO)
google.longrunning.Operations.CancelOperation
google.longrunning.Operations.DeleteOperation

יומני ביקורת של ממשק ה-API

במאמר בנושא ניהול הזהויות והרשאות הגישה (IAM) ל-Certificate Manager מוסבר איך מתבצעת הבדיקה של ההרשאות לכל method ואילו הרשאות נבדקות.

google.cloud.certificatemanager.v1.CertificateManager

יומני הביקורת הבאים משויכים ל-methods ששייכות ל-google.cloud.certificatemanager.v1.CertificateManager.

CreateCertificate

CreateCertificateIssuanceConfig

CreateCertificateMap

CreateCertificateMapEntry

CreateDnsAuthorization

CreateTrustConfig

DeleteCertificate

DeleteCertificateIssuanceConfig

DeleteCertificateMap

DeleteCertificateMapEntry

DeleteDnsAuthorization

DeleteTrustConfig

GetCertificate

GetCertificateIssuanceConfig

GetCertificateMap

GetCertificateMapEntry

GetDnsAuthorization

GetTrustConfig

ListCertificateIssuanceConfigs

ListCertificateMapEntries

ListCertificateMaps

ListCertificates

ListDnsAuthorizations

ListTrustConfigs

UpdateCertificate

UpdateCertificateIssuanceConfig

UpdateCertificateMap

UpdateCertificateMapEntry

UpdateDnsAuthorization

UpdateTrustConfig

google.cloud.certificatemanager.v2alpha.CertificateLifecycle

יומני הביקורת הבאים משויכים ל-methods ששייכות ל-google.cloud.certificatemanager.v2alpha.CertificateLifecycle.

GetObservedCertificate

ListObservedCertificates

google.longrunning.Operations

יומני הביקורת הבאים משויכים ל-methods ששייכות ל-google.longrunning.Operations.

CancelOperation

  • Method:‏ google.longrunning.Operations.CancelOperation
  • סוג יומן הביקורת: פעילות אדמין
  • הרשאות:
    • certificatemanager.operations.cancel - ADMIN_WRITE
  • ה-method היא פעולה ממושכת או פעולת סטרימינג: לא.
  • סינון לפי ה-method: ‏ protoPayload.methodName="google.longrunning.Operations.CancelOperation"

DeleteOperation

  • Method:‏ google.longrunning.Operations.DeleteOperation
  • סוג יומן הביקורת: פעילות אדמין
  • הרשאות:
    • certificatemanager.operations.delete - ADMIN_WRITE
  • ה-method היא פעולה ממושכת או פעולת סטרימינג: לא.
  • סינון לפי ה-method: ‏ protoPayload.methodName="google.longrunning.Operations.DeleteOperation"

GetOperation

  • Method:‏ google.longrunning.Operations.GetOperation
  • סוג יומן הביקורת: גישה לנתונים
  • הרשאות:
    • certificatemanager.operations.get - ADMIN_READ
  • ה-method היא פעולה ממושכת או פעולת סטרימינג: לא.
  • סינון לפי ה-method: ‏ protoPayload.methodName="google.longrunning.Operations.GetOperation"

ListOperations

  • Method:‏ google.longrunning.Operations.ListOperations
  • סוג יומן הביקורת: גישה לנתונים
  • הרשאות:
    • certificatemanager.operations.list - ADMIN_READ
  • ה-method היא פעולה ממושכת או פעולת סטרימינג: לא.
  • סינון לפי ה-method: ‏ protoPayload.methodName="google.longrunning.Operations.ListOperations"

אילו methods לא יוצרות יומני ביקורת

יכולות להיות כמה סיבות שב-method מסוימת לא נוצרים יומני ביקורת:

  • מדובר ב-method שיש בה נפח גבוה של יומנים, שיצירה שלהם עלולה לגרור עלויות גבוהות של אחסון ויצירה.
  • הערך של הביקורת נמוך.
  • כבר יש יומן ביקורת או יומן פלטפורמה אחרים שמכסים את ה-method.

ה-methods הבאות לא יוצרות יומני ביקורת:

  • google.cloud.location.Locations.GetLocation
  • google.cloud.location.Locations.ListLocations
  • google.longrunning.Operations.WaitOperation

יומני הביקורת הזמינים

אלה סוגי יומני הביקורת שזמינים ל-Public Certificate Authority:

  • יומני הביקורת Admin Activity

    כוללים רישום של פעולות במסגרת הרשאת admin write, שבהן נכתב מידע במטא-נתונים או ההגדרות.

    לא ניתן להשבית את יומני הביקורת Admin Activity.

  • יומני הביקורת Data Access

    כוללים רישום של פעולות במסגרת הרשאת admin read, שבהן נקרא מידע ממטא-נתונים או מהגדרות.

    כדי לקבל את יומני הביקורת Data Access, אתם צריכים להפעיל אותם באופן מפורש.

לתיאורים מלאים של סוגי יומני הביקורת, קראו את המאמר סוגים של יומני ביקורת.

הפורמט של יומן הביקורת

הרשומות ביומן הביקורת כוללות את האובייקטים הבאים:

  • הרשומה עצמה, שהיא אובייקט מסוג LogEntry. אלה כמה מהשדות השימושיים ברשומה:

    • השדה logName מכיל את מזהה המשאב ואת סוג יומן הביקורת.
    • השדה resource מכיל את היעד של הפעולה המבוקרת.
    • השדה timeStamp מכיל את השעה של הפעולה המבוקרת.
    • השדה protoPayload מכיל את המידע המבוקר.

  • אובייקט מסוג AuditLog ששמור בשדה protoPayload של הרשומה ביומן, ומכיל את הנתונים של יומני הביקורת.

  • אובייקט ספציפי לשירות שמכיל מידע אופציונלי על ביקורת ספציפית לשירות. בשילובים קודמים, האובייקט הזה נשמר בשדה serviceData של האובייקט AuditLog. בשילובים מאוחרים יותר נעשה שימוש בשדה metadata.

למידע על שדות אחרים באובייקטים האלה, ואיך לפרש אותם, קראו את המאמר הסבר על יומני הביקורת.

שם יומן הביקורת

השמות של יומני הביקורת ב-Cloud כוללים את מזהי המשאבים, שמהם אפשר להבין לאיזהGoogle Cloud פרויקט או ישות אחרת Google Cloud ב-Google Cloud יומני הביקורת שייכים. בנוסף, הם מציינים אם היומן מכיל נתוני ביקורת מסוג Admin Activity, ‏ Data Access‏, Policy Denied או System Event.

אלה השמות של יומני הביקורת, כולל המשתנים שמציינים את מזהי המשאבים:

‫
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Factivity
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Factivity
   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fpolicy

הפעלת הרישום ביומן הביקורת

יומני הביקורת Admin Activity תמיד מופעלים, ולא ניתן להשבית אותם.

יומני הביקורת Data Access מושבתים כברירת מחדל, ולא מתעדכנים אלא אם כן מפעילים אותם בצורה מפורשת (למעט יומני Data Access של BigQuery, שלא ניתן להשבית אותם).

הסבר על הפעלת יומני הביקורת Data Access מופיע במאמר הפעלת יומני הביקורת Data Access.

הצגה של יומני ביקורת

תוכלו לשלוח שאילתה על כל יומני הביקורת, או לשלוח שאילתה על יומנים מסוימים לפי שם יומן הביקורת שלהם. השם של יומן הביקורת כולל את מזהה המשאב של Google Cloud הפרויקט, התיקייה, החשבון לחיוב או הארגון שבמידע של יומני הביקורת שלהם רוצים לצפות. אפשר להגדיר בשאילתות את השדות LogEntry שנוספו לאינדקס. אם אתם משתמשים בדף Log Analytics, שתומך בשאילתות SQL, תוכלו לצפות בתוצאות השאילתה כתרשים.

למידע נוסף לגבי שליחת שאילתות על היומנים, ראו את הדפים הבאים:

אתם יכולים לצפות ביומני ביקורת ב-Cloud Logging באמצעותGoogle Cloud מסוף Google Cloud, באמצעות Google Cloud CLI או באמצעות Logging API.

המסוף

ב Google Cloud מסוף, תוכלו להשתמש ב-Logs Explorer כדי לאחזר את הרשומות ביומן הביקורת של Google Cloud הפרויקט, התיקייה או הארגון:

  1. במסוף Google Cloud , נכנסים לדף Logs Explorer:

    כניסה אל Logs Explorer

    אם משתמשים בסרגל החיפוש כדי למצוא את הדף הזה, בוחרים בתוצאה שכותרת המשנה שלה היא Logging.

  2. בוחרים פרויקט, תיקייה או ארגון קיימים ב- Google Cloud .

  3. כדי להציג את כל יומני הביקורת, מזינים אחת מהשאילתות הבאות בשדה עורך השאילתות ולוחצים על Run query:

    logName:"cloudaudit.googleapis.com"

    protoPayload."@type"="type.googleapis.com/google.cloud.audit.AuditLog"

  4. כדי להציג את יומני הביקורת למשאב וסוג יומן ביקורת ספציפיים, בחלונית Query builder, מבצעים את הפעולות הבאות:

    • בקטע Resource Type, בוחרים את המשאב שרוצים לראות את יומני הביקורת שלו. Google Cloud

    • בקטע Log name, בוחרים את סוג יומן הביקורת שרוצים לראות:

      • ליומני הביקורת Admin Activity בוחרים באפשרות activity.
      • ליומני הביקורת Data Access בוחרים באפשרות data_access.
      • ליומני הביקורת System Event בוחרים באפשרות system_event.
      • ליומני הביקורת Policy Denied בוחרים באפשרות policy.

    • לוחצים על Run query.

    אם האפשרויות האלה לא מוצגות, המשמעות היא שאין יומני ביקורת מאותו סוג ב Google Cloud פרויקט, בתיקייה או בארגון.

    לא הצלחתם לצפות ביומנים ב-Logs Explorer? פתרון בעיות

    מידע נוסף על שליחת שאילתות באמצעות Logs Explorer מופיע במאמר יצירת שאילתות ב-Logs Explorer.

gcloud

הכלי Google Cloud CLI מספק גישה ל-Logging API באמצעות ממשק שורת הפקודה (CLI). חשוב לציין מזהה משאב תקין בכל אחד משמות היומנים. לדוגמה, אם שאילתה כוללת את השדה PROJECT_ID, מזהה הפרויקט שאתם מציינים חייב להתייחס לפרויקט ב-Google Cloud שבחרתם.

כדי לקרוא את הרשומות ביומן הביקורת ברמת הפרויקט Google Cloud , מריצים את הפקודה הבאה:

gcloud logging read "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" \
    --project=PROJECT_ID

כדי לקרוא את הרשומות ביומן הביקורת ברמת התיקייה, מריצים את הפקודה הבאה:

gcloud logging read "logName : folders/FOLDER_ID/logs/cloudaudit.googleapis.com" \
    --folder=FOLDER_ID

כדי לקרוא את הרשומות ביומן הביקורת ברמת הארגון, מריצים את הפקודה הבאה:

gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com" \
    --organization=ORGANIZATION_ID

כדי לקרוא את הרשומות ביומן הביקורת ברמת החשבון לחיוב ב-Cloud, מריצים את הפקודה הבאה:

gcloud logging read "logName : billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com" \
    --billing-account=BILLING_ACCOUNT_ID

כדי לקרוא את הרשומות ביומן שנרשמו לפני יותר מיום אחד, מוסיפים לפקודה את הדגל --freshness.

למידע נוסף על השימוש ב-CLI של gcloud:‏ gcloud logging read.

API

כשיוצרים את השאילתות, חשוב לציין מזהה משאב תקין בכל אחד משמות היומנים. לדוגמה, אם שאילתה כוללת את השדה PROJECT_ID, מזהה הפרויקט שאתם מציינים חייב להתייחס לפרויקטGoogle Cloud שבחרתם.

לדוגמה, אם רוצים להשתמש ב-Logging API כדי לצפות ברשומות יומן הביקורת ברמת הפרויקט:

  1. עוברים לקטע Try this API במאמרי העזרה של ה-method entries.list.

  2. מזינים את הפרטים הבאים בקטע Request body בטופס Try this API. אם לוחצים על הטופס למילוי פרטים אוטומטי, גוף הבקשה יאוכלס בפרטים באופן אוטומטי אבל תצטרכו לציין PROJECT_ID תקין בכל אחד משמות יומני הביקורת.

    {
  "resourceNames": [
    "projects/PROJECT_ID"
  ],
  "pageSize": 5,
  "filter": "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com"
}

  3. לוחצים על Execute.