Journaux d'audit

Cette page décrit le fonctionnement de la journalisation d'audit lors de la sécurisation de la consoleGoogle Cloud et des API Google Cloud avec Access Context Manager.

Par défaut, Access Context Manager consigne dans Cloud Logging toutes les demandes d'accès à la consoleGoogle Cloud et aux API Google Cloud qui sont refusées en raison d'un non-respect des règles de sécurité. Les enregistrements du journal d'audit sont stockés de manière sécurisée dans l'infrastructure Google et sont accessibles à des fins d'analyse ultérieure. Le contenu du journal d'audit est disponible par organisation dans la consoleGoogle Cloud . Le journal d'audit Access Context Manager est écrit dans le flux de journalisation "Ressource auditée" et est disponible dans Cloud Logging.

Contenu des enregistrements des journaux d'audit

Chaque enregistrement de journal d'audit contient des informations qui peuvent être divisées en deux catégories principales : les informations sur l'appel d'origine et les informations sur les cas de non-respect des règles de sécurité. Il est rempli comme suit :

Champ du journal d'audit Signification
logName Identification de l'organisation et type du journal d'audit.
serviceName Nom du service traitant l'appel, contextawareaccess.googleapis.com, ayant abouti à la création de l'enregistrement d'audit.
authenticationInfo.principal_email Adresse e-mail de l'utilisateur ayant émis l'appel initial.
timestamp Heure de l'opération ciblée.
resource Cible de l'opération auditée.
resourceName Organisation devant recevoir cet enregistrement d'audit.
requestMetadata.callerIp Adresse IP d'origine de la requête.
requestMetadata.requestAttributes.auth.accessLevels Niveaux d'accès de l'organisation que la requête a satisfaits, qu'ils soient appliqués ou non dans la liaison d'accès.
status État général du traitement d'une opération décrite dans l'enregistrement.
metadata

Instance du type protobuf google.cloud.audit.ContextAwareAccessAuditMetadata, sérialisée en tant que Struct JSON. Il comprend les champs suivants :

  • appliedAccessLevels : niveaux d'accès requis par la stratégie d'accès active dans la liaison.
  • appliedDryRunAccessLevels : niveaux d'accès requis par la stratégie d'accès dry run dans la liaison.
  • unsatisfiedAccessLevels : niveaux d'accès de l'organisation que la requête n'a pas pu satisfaire. Cette liste peut inclure des niveaux d'accès qui ne sont pas appliqués dans la liaison d'accès. Pour identifier les niveaux d'accès à l'origine d'un refus d'accès, comparez ce champ à appliedAccessLevels ou appliedDryRunAccessLevels.
  • evaluationResult : résultat de l'évaluation de la règle d'accès active (GRANTED ou DENIED). Si aucun niveau d'accès actif n'est appliqué dans la liaison, ce champ est défini sur GRANTED.
  • dryRunEvaluationResult : résultat de l'évaluation de la règle d'accès dry run (GRANTED ou DENIED). Si aucun niveau d'accès dry run n'est appliqué dans la liaison, ce champ est défini sur GRANTED, même lorsque evaluationResult est défini sur DENIED.
  • deniedApplications : applications pour lesquelles l'accès a été refusé.

Accès au journal d'audit

Le contenu du journal d'audit est disponible par organisation dans la consoleGoogle Cloud . Le journal d'audit Access Context Manager est écrit dans le flux de journalisation "Ressource auditée" et est disponible dans Cloud Logging.

Étapes suivantes