审核日志记录

本页面介绍了在使用 Access Context Manager 保护Google Cloud 控制台和 Google Cloud API 时，审核日志记录的工作原理。

默认情况下，Access Context Manager 会将因违反安全政策而被拒绝的所有对Google Cloud 控制台和 Google Cloud API 的访问请求记录到 Cloud Logging。审核日志记录安全地存储在 Google 基础架构中，可供未来分析使用。 审核日志的内容可在Google Cloud 控制台中按组织查看。Access Context Manager 审核日志会写入“审核的资源”日志记录流，并可在 Cloud Logging 中查看。

审核日志记录内容

每个审核日志记录包含的信息主要可分为两大类：关于原始调用的信息以及关于安全政策违规的信息。其中填写的内容如下所示：

审核日志字段	含义
logName	组织标识和审核日志类型。
serviceName	负责处理导致创建此审核记录的 contextawareaccess.googleapis.com 调用的服务的名称。
authenticationInfo.principal_email	发出原始调用的用户的电子邮件地址。
timestamp	目标操作的时间。
resource	所审核操作的目标。
resourceName	接收此审核记录的组织。
requestMetadata.callerIp	发出调用的 IP 地址。
requestMetadata.requestAttributes.auth.accessLevels	请求满足的组织中的访问权限级别，无论这些访问权限级别是否在访问权限绑定中应用。
status	此记录中描述的操作的总体处理状态。
metadata	google.cloud.audit.ContextAwareAccessAuditMetadata protobuf 类型的实例，序列化为 JSON Struct。它包含以下字段： appliedAccessLevels：绑定中的有效访问权限政策所需的访问权限级别。 appliedDryRunAccessLevels：绑定中的试运行访问权限政策所需的访问权限级别。 unsatisfiedAccessLevels：请求未能满足的组织中的访问权限级别。此列表可以包含未在访问权限绑定中应用的访问权限级别。如需确定哪些访问权限级别导致访问被拒，请将此字段与 appliedAccessLevels 或 appliedDryRunAccessLevels 进行比较。 evaluationResult：有效访问权限政策（GRANTED 或 DENIED）的评估结果。如果绑定中未应用任何有效访问权限级别，则此字段设置为 GRANTED。 dryRunEvaluationResult：试运行访问权限政策的评估结果（GRANTED 或 DENIED）。如果绑定中未应用试运行访问权限级别，则此字段会设置为 GRANTED，即使 evaluationResult 为 DENIED 也是如此。 deniedApplications：访问权限被拒的应用。

访问审核日志

审核日志的内容在Google Cloud 控制台中按组织提供。Access Context Manager 审核日志会写入“审核的资源”日志记录流，并可在 Cloud Logging 中查看。

后续步骤

• 详细了解 Cloud Audit Logs。
• 详细了解如何在 Identity-Aware Proxy 中启用 Cloud Audit Logs。
• 详细了解 VPC Service Controls 中的审核日志。