Cloud Identity デバイス ユーザーログを収集する

以下でサポートされています。

このドキュメントでは、推奨される方法である Third Party API メソッドを使用して、Cloud Identity デバイスユーザー ログを Google Security Operations に収集する方法について説明します。パーサーは、まず JSON 形式の Cloud Identity Device Users ログからデータを抽出し、タイムスタンプを標準化された形式に変換します。次に、未加工のログデータから特定のフィールドを、ユーザー エンティティ、アセットとの関係、管理状態やパスワード状態などの追加のユーザー属性の統合データモデル（UDM）の対応するフィールドにマッピングします。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • サービス アカウントのドメイン全体の委任の設定。サービス アカウントは、次のスコープに対して承認されている必要があります。
    • https://www.googleapis.com/auth/cloud-identity.devices.readonly
  • Google Cloud プロジェクトで次の API が有効になっています。
    • Cloud Identity API
    • Google Workspace Admin SDK
    • Alert Center API

推奨: サードパーティ API フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

  • [SIEM 設定] > [フィード] > [新しいフィードを追加]
  • Content Hub > Content Packs > Get Started

Google Cloud Identity Device Users フィードを設定する方法

  1. [Google Cloud Compute platform] パックをクリックします。
  2. [Google Cloud Identity Device Users] ログタイプを見つけて、[新しいフィードを追加] をクリックします。
  3. 次のフィールドに値を指定します。
    • ソースタイプ: [サードパーティ API] を選択します。
    • OAuth JWT エンドポイント: OAuth トークン エンドポイント（https://oauth2.googleapis.com/token）を入力します。
    • JWT クレーム発行者: サービス アカウントのメールアドレスを入力します（サービス アカウントの JSON キーファイルにあります）。
    • JWT クレームのサブジェクト: Workspace コンソールでサービス管理者または特権管理者のロールが付与されているユーザーのメールアドレスを入力します（ドメイン全体の委任を通じてユーザーを偽装します）。
    • JWT クレームのオーディエンス: エンドポイント https://oauth2.googleapis.com/token を再度入力します。
    • RSA 秘密鍵: サービス アカウントの JSON 鍵ファイルから秘密鍵のすべての内容を貼り付けます（-----BEGIN PRIVATE KEY----- 行と -----END PRIVATE KEY----- 行も含む）。

詳細オプション

  • フィード名: フィードを識別する事前入力された値。
  • アセットの名前空間: フィードに関連付けられた名前空間。
  • Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。
  1. [フィードを作成] をクリックします。

このプロダクト ファミリー内の異なるログタイプに対して複数のフィードを構成する方法については、プロダクト別にフィードを構成するをご覧ください。

代替方法: Cloud Storage を介した取り込み

  1. Google Cloud コンソールにログインします。

  2. [Cloud Storage バケット] のページに移動します。

    [バケット] に移動

  3. [作成] をクリックします。

  4. [バケットの作成] ページでユーザーのバケット情報を入力します。以下のステップでは、操作を完了した後に [続行] をクリックして、次のステップに進みます。

    1. [始める] セクションで、次の操作を行います。

      1. バケット名の要件を満たす一意の名前を入力します（例: gcp-cloudidentity-users-logs）。

      2. 階層名前空間を有効にするには、展開矢印をクリックして [Optimize for file oriented and data-intensive workloads] セクションを開き、[このバケットで階層的な名前空間を有効にする] を選択します。

      3. バケットラベルを追加するには、展開矢印をクリックして [ラベル] セクションを開きます。

      4. [ラベルを追加] をクリックし、ラベルのキーと値を指定します。

    2. [データの保存場所の選択] セクションで、次の操作を行います。

      1. ロケーション タイプを選択してください。

      2. ロケーション タイプのメニューを使用して、バケット内のオブジェクト データが永続的に保存されるロケーションを選択します。

      3. クロスバケット レプリケーションを設定するには、[クロスバケット レプリケーションを設定する] セクションを開きます。

    3. [データのストレージ クラスを選択する] セクションで、バケットのデフォルトのストレージ クラスを選択します。あるいは、Autoclass を選択して、バケットデータのストレージ クラスを自動的に管理します。

    4. [オブジェクトへのアクセスを制御する方法を選択する] セクションで、[公開アクセスの防止を適用する] をオフにして、バケットのオブジェクトの [アクセス制御] モデルを選択します。

    5. [オブジェクト データを保護する方法を選択する] セクションで、次の操作を行います。

      1. [データ保護] で、バケットに設定するオプションを選択します。
      2. オブジェクト データの暗号化方法を選択するには、[データ暗号化] というラベルの付いた展開矢印をクリックし、データ暗号化方法を選択します。

  5. [作成] をクリックします。

Cloud Identity デバイスユーザーのログのエクスポートを構成する

  1. Google Cloud コンソールにログインします。
  2. [ロギング>ログルーター] に移動します。
  3. [シンクを作成] をクリックします。

  4. 次の構成パラメータを指定します。

    • シンク名: わかりやすい名前を入力します（例: Cloudidentity-Users-Sink）。
    • シンクの宛先: [Cloud Storage] を選択し、バケットの URI（例: gs://gcp-cloudidentity-users-logs/）を入力します。

    • ログフィルタ:

      logName="projects/<your-project-id>/logs/cloudaudit.googleapis.com%2Factivity"
resource.type="cloud_identity_user"

    • エクスポート オプションを設定: すべてのログエントリを含めます。

  5. [作成] をクリックします。

Cloud Storage の権限を構成する

  1. [IAM と管理] > [IAM] に移動します。
  2. Cloud Logging サービス アカウントを見つけます。
  3. バケットに対する roles/storage.admin を付与します。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
collection_time.nanos timestamp.nanos ログフィールドから直接マッピングされます。イベントのタイムスタンプをナノ秒単位で表します。
collection_time.seconds timestamp.seconds ログフィールドから直接マッピングされます。イベントのタイムスタンプ（秒単位）を表します。
createTime entity.metadata.creation_timestamp date フィルタで解析された後、ログフィールドから直接マッピングされます。ユーザーの作成タイムスタンプを表します。
managementState entity.additional.fields.value.string_value ログフィールドから直接マッピングされます。ユーザーの管理状態を表します。
name entity.entity.resource.name ログフィールドから直接マッピングされます。デバイスユーザーの完全なリソース名を表します。
passwordState entity.additional.fields.value.string_value ログフィールドから直接マッピングされます。ユーザーのパスワードの状態を表します。このフィールドは、passwordState フィールドが未加工ログに存在する場合にのみマッピングされます。
userEmail entity.entity.user.email_addresses ログフィールドから直接マッピングされます。ユーザーのメールアドレスを表します。
entity.additional.fields.key パーサー内の定数値 Management State に設定します。このフィールドは、managementState 値にコンテキストを提供するために使用されます。
entity.additional.fields.key パーサー内の定数値 Password State に設定します。このフィールドは、passwordState 値のコンテキストを提供するために使用され、passwordState が未加工ログに存在する場合にのみ存在します。
entity.entity.user.product_object_id grok フィルタを使用して name フィールドから抽出され、deviceuser_id 部分がキャプチャされます。デバイス ユーザーの一意の識別子を表します。
entity.metadata.collected_timestamp.nanos コピー元: collection_time.nanos。ログが収集されたときのタイムスタンプを表します。
entity.metadata.collected_timestamp.seconds コピー元: collection_time.seconds。ログが収集されたときのタイムスタンプを表します。
entity.metadata.entity_type パーサー内の定数値 USER に設定します。
entity.metadata.product_name パーサー内の定数値 GCP Cloud Identity Device Users に設定します。
entity.metadata.vendor_name パーサー内の定数値 Google Cloud Platform に設定します。
relations.entity.asset.product_object_id grok フィルタを使用して name フィールドから抽出され、device_id 部分がキャプチャされます。デバイスの一意の識別子を表します。
relations.entity_type パーサー内の定数値 ASSET に設定します。
relations.relationship パーサー内の定数値 MEMBER に設定します。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。