审核日志记录

此产品或功能 受服务专用条款的约束。 非正式版产品和功能“按原样”提供，可能只能获得有限的支持。 如需了解详情，请参阅发布阶段说明。

本文档列出了 Certificate Manager 的受审核方法。 Google Cloud 服务会生成审核日志，以记录 Google Cloud 资源中的管理和访问活动。如需详细了解 Cloud Audit Logs，请参阅以下内容：

• 审核日志类型
• 审核日志条目结构
• 存储和路由审核日志
• Cloud Logging 价格摘要
• 启用数据访问审核日志

服务名称

如需查看 Certificate Manager 审核日志，请执行以下操作：

1. 在 Google Cloud 控制台中，前往 Logs Explorer 页面：

   转到日志浏览器

2. 将以下查询复制并粘贴到Logs Explorer的查询字段中，然后点击运行查询。

       protoPayload.serviceName="certificatemanager.googleapis.com"
     

方法（按权限类型）

每个 IAM 权限都有一个 type 属性，该属性的值是一个枚举，可以是以下四个值之一：ADMIN_READ、ADMIN_WRITE、DATA_READ 或 DATA_WRITE。在您调用某个方法时，Certificate Manager 会生成一个审核日志，该日志的类别取决于执行该方法所需权限的 type 属性。需要 IAM 权限且 type 属性值为 DATA_READ、DATA_WRITE 或 ADMIN_READ 的方法会生成数据访问审核日志。需要 IAM 权限且 type 属性值为 ADMIN_WRITE 的方法会生成管理员活动审核日志。

以下列表中标记为 (LRO) 的 API 方法是长时间运行的操作 (LRO)。 这些方法通常会生成两个审核日志条目：一个在操作开始时生成，另一个在操作结束时生成。如需了解详情，请参阅长时间运行的操作的审核日志。

权限类型	方法
ADMIN_READ	google.cloud.certificatemanager.v1.CertificateManager.GetCertificate google.cloud.certificatemanager.v1.CertificateManager.GetCertificateIssuanceConfig google.cloud.certificatemanager.v1.CertificateManager.GetCertificateMap google.cloud.certificatemanager.v1.CertificateManager.GetCertificateMapEntry google.cloud.certificatemanager.v1.CertificateManager.GetDnsAuthorization google.cloud.certificatemanager.v1.CertificateManager.GetTrustConfig google.cloud.certificatemanager.v1.CertificateManager.ListCertificateIssuanceConfigs google.cloud.certificatemanager.v1.CertificateManager.ListCertificateMapEntries google.cloud.certificatemanager.v1.CertificateManager.ListCertificateMaps google.cloud.certificatemanager.v1.CertificateManager.ListCertificates google.cloud.certificatemanager.v1.CertificateManager.ListDnsAuthorizations google.cloud.certificatemanager.v1.CertificateManager.ListTrustConfigs google.cloud.certificatemanager.v2alpha.CertificateLifecycle.GetObservedCertificate google.cloud.certificatemanager.v2alpha.CertificateLifecycle.ListObservedCertificates google.longrunning.Operations.GetOperation google.longrunning.Operations.ListOperations
ADMIN_WRITE	google.cloud.certificatemanager.v1.CertificateManager.CreateCertificate (LRO) google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateIssuanceConfig (LRO) google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateMap (LRO) google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateMapEntry (LRO) google.cloud.certificatemanager.v1.CertificateManager.CreateDnsAuthorization (LRO) google.cloud.certificatemanager.v1.CertificateManager.CreateTrustConfig (LRO) google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificate (LRO) google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateIssuanceConfig (LRO) google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateMap (LRO) google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateMapEntry (LRO) google.cloud.certificatemanager.v1.CertificateManager.DeleteDnsAuthorization (LRO) google.cloud.certificatemanager.v1.CertificateManager.DeleteTrustConfig (LRO) google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificate (LRO) google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateIssuanceConfig (LRO) google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateMap (LRO) google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateMapEntry (LRO) google.cloud.certificatemanager.v1.CertificateManager.UpdateDnsAuthorization (LRO) google.cloud.certificatemanager.v1.CertificateManager.UpdateTrustConfig (LRO) google.longrunning.Operations.CancelOperation google.longrunning.Operations.DeleteOperation

API 接口审核日志

如需了解如何评估每种方法的权限以及评估哪些权限，请参阅 Certificate Manager 的 Identity and Access Management 文档。

google.cloud.certificatemanager.v1.CertificateManager

以下审核日志与属于 google.cloud.certificatemanager.v1.CertificateManager 的方法相关联。

CreateCertificate

• 方法：google.cloud.certificatemanager.v1.CertificateManager.CreateCertificate
  
• 审核日志类型：管理员活动
  
• 权限：
  • certificatemanager.certs.create - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.CreateCertificate"
  

CreateCertificateIssuanceConfig

• 方法：google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateIssuanceConfig
  
• 审核日志类型：管理员活动
  
• 权限：
  • certificatemanager.certissuanceconfigs.create - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateIssuanceConfig"
  

CreateCertificateMap

• 方法：google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateMap
  
• 审核日志类型：管理员活动
  
• 权限：
  • certificatemanager.certmaps.create - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateMap"
  

CreateCertificateMapEntry

• 方法：google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateMapEntry
  
• 审核日志类型：管理员活动
  
• 权限：
  • certificatemanager.certmapentries.create - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateMapEntry"
  

CreateDnsAuthorization

• 方法：google.cloud.certificatemanager.v1.CertificateManager.CreateDnsAuthorization
  
• 审核日志类型：管理员活动
  
• 权限：
  • certificatemanager.dnsauthorizations.create - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.CreateDnsAuthorization"
  

CreateTrustConfig

• 方法：google.cloud.certificatemanager.v1.CertificateManager.CreateTrustConfig
  
• 审核日志类型：管理员活动
  
• 权限：
  • certificatemanager.trustconfigs.create - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.CreateTrustConfig"
  

DeleteCertificate

• 方法：google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificate
  
• 审核日志类型：管理员活动
  
• 权限：
  • certificatemanager.certs.delete - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificate"
  

DeleteCertificateIssuanceConfig

• 方法：google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateIssuanceConfig
  
• 审核日志类型：管理员活动
  
• 权限：
  • certificatemanager.certissuanceconfigs.delete - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateIssuanceConfig"
  

DeleteCertificateMap

• 方法：google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateMap
  
• 审核日志类型：管理员活动
  
• 权限：
  • certificatemanager.certmaps.delete - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateMap"
  

DeleteCertificateMapEntry

• 方法：google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateMapEntry
  
• 审核日志类型：管理员活动
  
• 权限：
  • certificatemanager.certmapentries.delete - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateMapEntry"
  

DeleteDnsAuthorization

• 方法：google.cloud.certificatemanager.v1.CertificateManager.DeleteDnsAuthorization
  
• 审核日志类型：管理员活动
  
• 权限：
  • certificatemanager.dnsauthorizations.delete - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.DeleteDnsAuthorization"
  

DeleteTrustConfig

• 方法：google.cloud.certificatemanager.v1.CertificateManager.DeleteTrustConfig
  
• 审核日志类型：管理员活动
  
• 权限：
  • certificatemanager.trustconfigs.delete - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.DeleteTrustConfig"
  

GetCertificate

• 方法：google.cloud.certificatemanager.v1.CertificateManager.GetCertificate
  
• 审核日志类型：数据访问
  
• 权限：
  • certificatemanager.certs.get - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.GetCertificate"
  

GetCertificateIssuanceConfig

• 方法：google.cloud.certificatemanager.v1.CertificateManager.GetCertificateIssuanceConfig
  
• 审核日志类型：数据访问
  
• 权限：
  • certificatemanager.certissuanceconfigs.get - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.GetCertificateIssuanceConfig"
  

GetCertificateMap

• 方法：google.cloud.certificatemanager.v1.CertificateManager.GetCertificateMap
  
• 审核日志类型：数据访问
  
• 权限：
  • certificatemanager.certmaps.get - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.GetCertificateMap"
  

GetCertificateMapEntry

• 方法：google.cloud.certificatemanager.v1.CertificateManager.GetCertificateMapEntry
  
• 审核日志类型：数据访问
  
• 权限：
  • certificatemanager.certmapentries.get - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.GetCertificateMapEntry"
  

GetDnsAuthorization

• 方法：google.cloud.certificatemanager.v1.CertificateManager.GetDnsAuthorization
  
• 审核日志类型：数据访问
  
• 权限：
  • certificatemanager.dnsauthorizations.get - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.GetDnsAuthorization"
  

GetTrustConfig

• 方法：google.cloud.certificatemanager.v1.CertificateManager.GetTrustConfig
  
• 审核日志类型：数据访问
  
• 权限：
  • certificatemanager.trustconfigs.get - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.GetTrustConfig"
  

ListCertificateIssuanceConfigs

• 方法：google.cloud.certificatemanager.v1.CertificateManager.ListCertificateIssuanceConfigs
  
• 审核日志类型：数据访问
  
• 权限：
  • certificatemanager.certissuanceconfigs.list - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.ListCertificateIssuanceConfigs"
  

ListCertificateMapEntries

• 方法：google.cloud.certificatemanager.v1.CertificateManager.ListCertificateMapEntries
  
• 审核日志类型：数据访问
  
• 权限：
  • certificatemanager.certmapentries.list - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.ListCertificateMapEntries"
  

ListCertificateMaps

• 方法：google.cloud.certificatemanager.v1.CertificateManager.ListCertificateMaps
  
• 审核日志类型：数据访问
  
• 权限：
  • certificatemanager.certmaps.list - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.ListCertificateMaps"
  

ListCertificates

• 方法：google.cloud.certificatemanager.v1.CertificateManager.ListCertificates
  
• 审核日志类型：数据访问
  
• 权限：
  • certificatemanager.certs.list - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.ListCertificates"
  

ListDnsAuthorizations

• 方法：google.cloud.certificatemanager.v1.CertificateManager.ListDnsAuthorizations
  
• 审核日志类型：数据访问
  
• 权限：
  • certificatemanager.dnsauthorizations.list - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.ListDnsAuthorizations"
  

ListTrustConfigs

• 方法：google.cloud.certificatemanager.v1.CertificateManager.ListTrustConfigs
  
• 审核日志类型：数据访问
  
• 权限：
  • certificatemanager.trustconfigs.list - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.ListTrustConfigs"
  

UpdateCertificate

• 方法：google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificate
  
• 审核日志类型：管理员活动
  
• 权限：
  • certificatemanager.certs.update - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificate"
  

UpdateCertificateIssuanceConfig

• 方法：google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateIssuanceConfig
  
• 审核日志类型：管理员活动
  
• 权限：
  • certificatemanager.certissuanceconfigs.update - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateIssuanceConfig"
  

UpdateCertificateMap

• 方法：google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateMap
  
• 审核日志类型：管理员活动
  
• 权限：
  • certificatemanager.certmaps.update - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateMap"
  

UpdateCertificateMapEntry

• 方法：google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateMapEntry
  
• 审核日志类型：管理员活动
  
• 权限：
  • certificatemanager.certmapentries.update - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateMapEntry"
  

UpdateDnsAuthorization

• 方法：google.cloud.certificatemanager.v1.CertificateManager.UpdateDnsAuthorization
  
• 审核日志类型：管理员活动
  
• 权限：
  • certificatemanager.dnsauthorizations.update - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.UpdateDnsAuthorization"
  

UpdateTrustConfig

• 方法：google.cloud.certificatemanager.v1.CertificateManager.UpdateTrustConfig
  
• 审核日志类型：管理员活动
  
• 权限：
  • certificatemanager.trustconfigs.update - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.UpdateTrustConfig"
  

google.cloud.certificatemanager.v2alpha.CertificateLifecycle

以下审核日志与属于 google.cloud.certificatemanager.v2alpha.CertificateLifecycle 的方法相关联。

GetObservedCertificate

• 方法：google.cloud.certificatemanager.v2alpha.CertificateLifecycle.GetObservedCertificate
  
• 审核日志类型：数据访问
  
• 权限：
  • certificatemanager.observedcerts.get - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v2alpha.CertificateLifecycle.GetObservedCertificate"
  

ListObservedCertificates

• 方法：google.cloud.certificatemanager.v2alpha.CertificateLifecycle.ListObservedCertificates
  
• 审核日志类型：数据访问
  
• 权限：
  • certificatemanager.observedcerts.list - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.certificatemanager.v2alpha.CertificateLifecycle.ListObservedCertificates"
  

google.longrunning.Operations

以下审核日志与属于 google.longrunning.Operations 的方法相关联。

CancelOperation

• 方法：google.longrunning.Operations.CancelOperation
  
• 审核日志类型：管理员活动
  
• 权限：
  • certificatemanager.operations.cancel - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.longrunning.Operations.CancelOperation"
  

DeleteOperation

• 方法：google.longrunning.Operations.DeleteOperation
  
• 审核日志类型：管理员活动
  
• 权限：
  • certificatemanager.operations.delete - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.longrunning.Operations.DeleteOperation"
  

GetOperation

• 方法：google.longrunning.Operations.GetOperation
  
• 审核日志类型：数据访问
  
• 权限：
  • certificatemanager.operations.get - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.longrunning.Operations.GetOperation"
  

ListOperations

• 方法：google.longrunning.Operations.ListOperations
  
• 审核日志类型：数据访问
  
• 权限：
  • certificatemanager.operations.list - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.longrunning.Operations.ListOperations"
  

不会生成审核日志的方法

由于以下一个或多个原因，方法可能不会生成审核日志：

• 这是一种会产生大量日志的方法，日志生成和存储的费用高昂。
• 它的审核价值较低。
• 其他审核或平台日志已提供方法覆盖功能。

以下方法不会生成审核日志：

• google.cloud.location.Locations.GetLocation
• google.cloud.location.Locations.ListLocations
• google.longrunning.Operations.WaitOperation

查询示例

查询说明	表达式
Certificate Manager 审核日志	logName="projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity" resource.type="certificate_manager_certificate" protoPayload.serviceName="certificatemanager.googleapis.com"

后续步骤

• Certificate Manager（第 2 代）的运作方式
• 角色和权限
• 使用 Cloud Monitoring 监控资源
• 问题排查