PingOne Advanced Identity Cloud ログを収集する

パーサーのバージョン: 4.0

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Google Cloud Storage V2 を使用して PingOne Advanced Identity Cloud（旧称 ForgeRock Identity Cloud）ログを Google Security Operations に取り込む方法について説明します。

PingOne Advanced Identity Cloud は、ID 管理、アクセス管理、ID ガバナンス機能を提供するクラウドネイティブの IDaaS（Identity as a Service）プラットフォームです。これにより、組織はユーザー ID の管理、多要素認証を含む認証ポリシーの適用、コンプライアンスとセキュリティを維持しながらアプリケーション全体でのシングル サインオンの提供が可能になります。

詳細については、ForgeRock Identity Cloud のドキュメントをご覧ください。

始める前に

次の前提条件を満たしていることを確認します。

• Google SecOps インスタンス
• Cloud Storage API が有効になっている GCP プロジェクト
• GCS バケットを作成および管理する権限
• GCS バケットの IAM ポリシーを管理する権限
• Cloud Run サービス、Pub/Sub トピック、Cloud Scheduler ジョブを作成する権限
• PingOne Advanced Identity Cloud 管理コンソールへの特権アクセス（テナント管理者）
• モニタリング エンドポイントへのアクセス権を持つ PingOne Advanced Identity Cloud Log API キーとシークレット

Google Cloud Storage バケットを作成する

1. Google Cloud コンソールに移動します。
2. プロジェクトを選択するか、新しいプロジェクトを作成します。
3. ナビゲーション メニューで、[Cloud Storage > バケット] に移動します。
4. [バケットを作成] をクリックします。

5. 次の構成情報を提供してください。

   設定	値
   バケットに名前を付ける	グローバルに一意の名前（forgerock-identity-cloud-logs など）を入力します。
   ロケーション タイプ	ニーズに応じて選択します（リージョン、デュアルリージョン、マルチリージョン）。
   ロケーション	場所を選択します（例: us-central1）。
   ストレージ クラス	Standard（頻繁にアクセスされるログにおすすめ）
   アクセス制御	均一（推奨）
   保護ツール	省略可: オブジェクトのバージョニングまたは保持ポリシーを有効にする

6. [作成] をクリックします。

PingOne Advanced Identity Cloud で Log API キーを作成する

PingOne Advanced Identity Cloud は、Log API キーを使用して /monitoring/logs エンドポイントへのリクエストを認証します。これは、AM/IDM オペレーションに使用されるサービス アカウントとは異なります。

API キーを作成する

1. PingOne Advanced Identity Cloud 管理コンソール（https://<tenant-env-fqdn>/platform/admin（例: https://openam-mycompany-ew2.id.forgerock.io/platform/admin））にログインします。
2. [テナント メニュー]（右上）をクリックします。
3. [テナント設定] をクリックします。
4. [共通設定] タブをクリックします。
5. [Log API Keys] をクリックします。
6. [New Log API Key] をクリックします。
7. わかりやすい名前（例: chronicle-log-collector）を入力します。
8. [作成] をクリックします。

9. 次の値をコピーして安全に保存します。

   • api_key_id: API キーの識別子。
   • api_key_secret: API キー シークレット。
   注: API キーのシークレットは、作成時に 1 回だけ表示されます。紛失した場合は、新しい Log API キーを作成する必要があります。

テナント環境の FQDN を取得する

1. PingOne Advanced Identity Cloud の管理コンソールにログインします。
2. [テナント メニュー]（右上）をクリックします。
3. [テナント設定] をクリックします。
4. [詳細] で、[テナント名] の値をメモします。
   • プロダクション形式: openam-<base-name>-<data-region>.id.forgerock.io
   • 開発形式: openam-<base-name>-<data-region>-dev.id.forgerock.io
   • サンドボックス形式: openam-<sandbox-name>.forgeblocks.com

テスト API へのアクセス

• 統合に進む前に、認証情報をテストします。

  # Replace with your actual tenant FQDN and credentials
  TENANT_FQDN="openam-mycompany-ew2.id.forgerock.io"
  API_KEY="<your-api-key-id>"
  API_SECRET="<your-api-key-secret>"
  
  # List available log sources
  curl -v \
      -H "x-api-key: ${API_KEY}" \
      -H "x-api-secret: ${API_SECRET}" \
      "https://${TENANT_FQDN}/monitoring/logs/sources?_prettyPrint=true"
  
  # Retrieve recent audit logs
  curl -v \
      -H "x-api-key: ${API_KEY}" \
      -H "x-api-secret: ${API_SECRET}" \
      "https://${TENANT_FQDN}/monitoring/logs?source=am-authentication&_pageSize=5"
  

成功したレスポンスは、ログエントリを含む JSON オブジェクトとともに HTTP 200 を返します。HTTP 401 が返された場合は、API キーとシークレットを確認します。HTTP 429 が返された場合は、1 分あたり 60 件のリクエストというレート上限を超えています。

Cloud Run functions のサービス アカウントを作成する

Cloud Run 関数には、GCS バケットに書き込み、Pub/Sub によって呼び出される権限を持つサービス アカウントが必要です。

サービス アカウントの作成

1. GCP Console で、[IAM と管理>サービス アカウント] に移動します。
2. [サービス アカウントを作成] をクリックします。
3. 次の構成の詳細を指定します。
   • サービス アカウント名: 「forgerock-logs-collector-sa」と入力します。
   • サービス アカウントの説明: Service account for Cloud Run function to collect PingOne Advanced Identity Cloud logs と入力します。
4. [作成して続行] をクリックします。
5. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、次のロールを追加します。
   1. [ロールを選択] をクリックします。
   2. [ストレージ オブジェクト管理者] を検索して選択します。
   3. [+ 別のロールを追加] をクリックします。
   4. [Cloud Run 起動元] を検索して選択します。
   5. [+ 別のロールを追加] をクリックします。
   6. [Cloud Functions 起動元] を検索して選択します。
6. [続行] をクリックします。
7. [完了] をクリックします。

これらのロールは、次の操作に必要です。

• Storage オブジェクト管理者: ログを GCS バケットに書き込み、状態ファイルを管理します。
• Cloud Run 起動元: Pub/Sub が関数を呼び出すことを許可します。
• Cloud Functions 起動元: 関数の呼び出しを許可します。

GCS バケットに対する IAM 権限を付与する

GCS バケットに対する書き込み権限をサービス アカウントに付与します。

1. [Cloud Storage] > [バケット] に移動します。
2. バケット名（例: forgerock-identity-cloud-logs）をクリックします。
3. [権限] タブに移動します。
4. [アクセス権を付与] をクリックします。
5. 次の構成の詳細を指定します。
   • プリンシパルを追加: サービス アカウントのメールアドレス（例: forgerock-logs-collector-sa@PROJECT_ID.iam.gserviceaccount.com）を入力します。
   • ロールを割り当てる: [ストレージ オブジェクト管理者] を選択します。
6. [保存] をクリックします。

Pub/Sub トピックの作成

Cloud Scheduler がパブリッシュし、Cloud Run 関数がサブスクライブする Pub/Sub トピックを作成します。

1. GCP Console で、[Pub/Sub>トピック] に移動します。
2. [トピックを作成] をクリックします。
3. 次の構成の詳細を指定します。
   • トピック ID: 「forgerock-logs-trigger」と入力します。
   • その他の設定はデフォルトのままにします。
4. [作成] をクリックします。

ログを収集する Cloud Run 関数を作成する

Cloud Run functions は、Cloud Scheduler からの Pub/Sub メッセージによってトリガーされ、PingOne Advanced Identity Cloud モニタリング API からログを取得して GCS に書き込みます。

1. GCP Console で、[Cloud Run] に移動します。
2. [サービスを作成] をクリックします。
3. [関数] を選択します（インライン エディタを使用して関数を作成します）。

4. [構成] セクションで、次の構成の詳細を指定します。

   設定	値
   サービス名	forgerock-logs-collector
   リージョン	GCS バケットと一致するリージョンを選択します（例: us-central1）。
   ランタイム	[Python 3.12] 以降を選択します。

5. [トリガー（省略可）] セクションで、次の操作を行います。

   1. [+ トリガーを追加] をクリックします。
   2. [Cloud Pub/Sub] を選択します。
   3. [Cloud Pub/Sub トピックを選択してください] で、[forgerock-logs-trigger] を選択します。
   4. [保存] をクリックします。

6. [認証] セクションで次の操作を行います。

   1. [認証が必要] を選択します。
   2. Identity and Access Management（IAM）を確認します。
   注: Pub/Sub は、関数を呼び出すときに認証を自動的に処理します。

7. 下にスクロールして、[コンテナ、ネットワーキング、セキュリティ] を開きます。

8. [セキュリティ] タブに移動します。

   • サービス アカウント: forgerock-logs-collector-sa を選択します。

9. [コンテナ] タブに移動します。

   1. [変数とシークレット] をクリックします。
   2. 環境変数ごとに [+ 変数を追加] をクリックします。

   変数名	値の例	説明
   GCS_BUCKET	forgerock-identity-cloud-logs	GCS バケット名
   GCS_PREFIX	forgerock-logs	ログファイルの接頭辞
   STATE_KEY	forgerock-logs/state.json	状態ファイルのパス
   TENANT_FQDN	openam-mycompany-ew2.id.forgerock.io	PingOne AIC テナント環境の FQDN
   API_KEY	<your-api-key-id>	PingOne AIC Log API キーの ID
   API_SECRET	<your-api-key-secret>	PingOne AIC Log API キー シークレット
   LOG_SOURCES	am-authentication,am-access,am-activity,am-config,idm-access,idm-activity,idm-authentication,idm-sync	カンマ区切りのログソース
   MAX_RECORDS	5000	実行あたりのソースあたりの最大レコード数
   PAGE_SIZE	1000	ページあたりのレコード数（最大 1,000）
   LOOKBACK_HOURS	24	最初のルックバック期間

10. [変数とシークレット] セクションで、[リクエスト] まで下にスクロールします。

    • リクエストのタイムアウト: 600 秒（10 分）を入力します。

11. [設定] タブに移動します。

    • [リソース] セクションで次の操作を行います。
      • メモリ: 512 MiB 以上を選択します。
      • CPU: 1 を選択します。

12. [リビジョン スケーリング] セクションで、次の操作を行います。

    • [インスタンスの最小数]: 「0」と入力します。
    • インスタンスの最大数: 100 と入力します（または、予想される負荷に基づいて調整します）。

13. [作成] をクリックします。

14. サービスが作成されるまで待ちます（1 ～ 2 分）。

15. サービスが作成されると、インライン コードエディタが自動的に開きます。

関数コードを追加する

1. [エントリ ポイント] フィールドに「main」と入力します。

2. インライン コードエディタで、次の 2 つのファイルを作成します。

   • main.py:

     import functions_framework
     from google.cloud import storage
     import json
     import os
     import urllib3
     from datetime import datetime, timezone, timedelta
     import time
     
     # Initialize HTTP client with timeouts
     http = urllib3.PoolManager(
         timeout=urllib3.Timeout(connect=5.0, read=30.0),
         retries=False,
     )
     
     # Initialize Storage client
     storage_client = storage.Client()
     
     # Environment variables
     GCS_BUCKET = os.environ.get('GCS_BUCKET')
     GCS_PREFIX = os.environ.get('GCS_PREFIX', 'forgerock-logs')
     STATE_KEY = os.environ.get('STATE_KEY', 'forgerock-logs/state.json')
     TENANT_FQDN = os.environ.get('TENANT_FQDN')
     API_KEY = os.environ.get('API_KEY')
     API_SECRET = os.environ.get('API_SECRET')
     LOG_SOURCES = os.environ.get('LOG_SOURCES', 'am-authentication,am-access,am-activity,idm-access,idm-activity,idm-authentication')
     MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '5000'))
     PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '1000'))
     LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '24'))
     
     def parse_datetime(value: str) -> datetime:
         """Parse ISO datetime string to datetime object."""
         if value.endswith("Z"):
             value = value[:-1] + "+00:00"
         return datetime.fromisoformat(value)
     
     @functions_framework.cloud_event
     def main(cloud_event):
         """
         Cloud Run function triggered by Pub/Sub to fetch PingOne Advanced Identity Cloud
         logs and write to GCS.
     
         Args:
             cloud_event: CloudEvent object containing Pub/Sub message
         """
     
         if not all([GCS_BUCKET, TENANT_FQDN, API_KEY, API_SECRET]):
             print('Error: Missing required environment variables')
             return
     
         try:
             # Get GCS bucket
             bucket = storage_client.bucket(GCS_BUCKET)
     
             # Load state
             state = load_state(bucket, STATE_KEY)
     
             # Determine time window
             now = datetime.now(timezone.utc)
             last_time = None
     
             if isinstance(state, dict) and state.get("last_event_time"):
                 try:
                     last_time = parse_datetime(state["last_event_time"])
                     # Overlap by 2 minutes to catch any delayed events
                     last_time = last_time - timedelta(minutes=2)
                 except Exception as e:
                     print(f"Warning: Could not parse last_event_time: {e}")
     
             if last_time is None:
                 last_time = now - timedelta(hours=LOOKBACK_HOURS)
     
             print(f"Fetching logs from {last_time.isoformat()} to {now.isoformat()}")
     
             # Fetch logs for configured sources
             all_records = []
             newest_event_time = None
             sources = [s.strip() for s in LOG_SOURCES.split(',') if s.strip()]
     
             for source in sources:
                 records, source_newest_time = fetch_logs(
                     tenant_fqdn=TENANT_FQDN,
                     api_key=API_KEY,
                     api_secret=API_SECRET,
                     source=source,
                     start_time=last_time,
                     end_time=now,
                     page_size=PAGE_SIZE,
                     max_records=MAX_RECORDS,
                 )
                 all_records.extend(records)
     
                 if source_newest_time:
                     if newest_event_time is None or parse_datetime(source_newest_time) > parse_datetime(newest_event_time):
                         newest_event_time = source_newest_time
     
                 print(f"Source '{source}': {len(records)} records")
     
             if not all_records:
                 print("No new log records found.")
                 save_state(bucket, STATE_KEY, now.isoformat())
                 return
     
             # Write to GCS as NDJSON
             timestamp = now.strftime('%Y%m%d_%H%M%S')
             object_key = f"{GCS_PREFIX}/logs_{timestamp}.ndjson"
             blob = bucket.blob(object_key)
     
             ndjson = '\n'.join([json.dumps(record, ensure_ascii=False) for record in all_records]) + '\n'
             blob.upload_from_string(ndjson, content_type='application/x-ndjson')
     
             print(f"Wrote {len(all_records)} records to gs://{GCS_BUCKET}/{object_key}")
     
             # Update state with newest event time
             if newest_event_time:
                 save_state(bucket, STATE_KEY, newest_event_time)
             else:
                 save_state(bucket, STATE_KEY, now.isoformat())
     
             print(f"Successfully processed {len(all_records)} records")
     
         except Exception as e:
             print(f'Error processing logs: {str(e)}')
             raise
     
     def load_state(bucket, key):
         """Load state from GCS."""
         try:
             blob = bucket.blob(key)
             if blob.exists():
                 state_data = blob.download_as_text()
                 return json.loads(state_data)
         except Exception as e:
             print(f"Warning: Could not load state: {e}")
     
         return {}
     
     def save_state(bucket, key, last_event_time_iso: str):
         """Save the last event timestamp to GCS state file."""
         try:
             state = {'last_event_time': last_event_time_iso}
             blob = bucket.blob(key)
             blob.upload_from_string(
                 json.dumps(state, indent=2),
                 content_type='application/json'
             )
             print(f"Saved state: last_event_time={last_event_time_iso}")
         except Exception as e:
             print(f"Warning: Could not save state: {e}")
     
     def fetch_logs(tenant_fqdn: str, api_key: str, api_secret: str, source: str, start_time: datetime, end_time: datetime, page_size: int, max_records: int):
         """
         Fetch logs from PingOne Advanced Identity Cloud Monitoring API with pagination.
     
         Args:
             tenant_fqdn: Tenant environment FQDN
             api_key: Log API key ID
             api_secret: Log API key secret
             source: Log source (am-authentication, am-access, idm-access, etc.)
             start_time: Start time for log query
             end_time: End time for log query
             page_size: Number of records per page (max 1000)
             max_records: Maximum total records to fetch
     
         Returns:
             Tuple of (records list, newest_event_time ISO string)
         """
         endpoint = f"https://{tenant_fqdn}/monitoring/logs"
     
         headers = {
             'x-api-key': api_key,
             'x-api-secret': api_secret,
             'Accept': 'application/json',
             'User-Agent': 'GoogleSecOps-ForgeRockCollector/1.0'
         }
     
         records = []
         newest_time = None
         page_num = 0
         backoff = 1.0
     
         begin_time = start_time.strftime('%Y-%m-%dT%H:%M:%SZ')
         end_time_str = end_time.strftime('%Y-%m-%dT%H:%M:%SZ')
         paged_results_cookie = None
     
         while True:
             page_num += 1
     
             if len(records) >= max_records:
                 print(f"Reached max_records limit ({max_records})")
                 break
     
             current_limit = min(page_size, max_records - len(records))
             url = f"{endpoint}?source={source}&beginTime={begin_time}&endTime={end_time_str}&_pageSize={current_limit}"
     
             if paged_results_cookie:
                 url += f"&_pagedResultsCookie={paged_results_cookie}"
     
             try:
                 response = http.request('GET', url, headers=headers)
     
                 # Handle rate limiting with exponential backoff
                 if response.status == 429:
                     retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
                     print(f"Rate limited (429). Retrying after {retry_after}s...")
                     time.sleep(retry_after)
                     backoff = min(backoff * 2, 30.0)
                     continue
     
                 backoff = 1.0
     
                 if response.status != 200:
                     print(f"HTTP Error: {response.status}")
                     response_text = response.data.decode('utf-8')
                     print(f"Response body: {response_text}")
                     return [], None
     
                 data = json.loads(response.data.decode('utf-8'))
     
                 page_results = data.get('result', [])
     
                 if not page_results:
                     print(f"No more results (empty page)")
                     break
     
                 print(f"Page {page_num}: Retrieved {len(page_results)} events")
                 records.extend(page_results)
     
                 # Track newest event time
                 for event in page_results:
                     try:
                         event_time = event.get('timestamp')
                         if event_time:
                             if newest_time is None or parse_datetime(event_time) > parse_datetime(newest_time):
                                 newest_time = event_time
                     except Exception as e:
                         print(f"Warning: Could not parse event time: {e}")
     
                 # Check for more results
                 paged_results_cookie = data.get('pagedResultsCookie')
                 if not paged_results_cookie or paged_results_cookie == "-1":
                     print(f"Reached last page (no more results)")
                     break
     
             except Exception as e:
                 print(f"Error fetching logs: {e}")
                 return [], None
     
         print(f"Retrieved {len(records)} total records from {page_num} pages")
         return records, newest_time
     

   • requirements.txt:

     functions-framework==3.*
     google-cloud-storage==2.*
     urllib3>=2.0.0
     

3. [デプロイ] をクリックして、関数を保存してデプロイします。

4. デプロイが完了するまで待ちます（2 ～ 3 分）。

   注: Pub/Sub トリガー構成では、必要なサブスクリプションと権限が自動的に作成されます。

Cloud Scheduler ジョブの作成

Cloud Scheduler は、定期的に Pub/Sub トピックにメッセージをパブリッシュし、Cloud Run functions の関数をトリガーします。

1. GCP Console で、[Cloud Scheduler] に移動します。
2. [ジョブを作成] をクリックします。

3. 次の構成情報を提供してください。

   設定	値
   名前	forgerock-logs-collector-hourly
   リージョン	Cloud Run functions と同じリージョンを選択する
   周波数	0 * * * *（1 時間ごとに正時）
   タイムゾーン	タイムゾーンを選択します（UTC を推奨）
   ターゲット タイプ	Pub/Sub
   トピック	forgerock-logs-trigger を選択
   メッセージ本文	{}（空の JSON オブジェクト）

4. [作成] をクリックします。

スケジュールの頻度のオプション

ログの量とレイテンシの要件に基づいて頻度を選択します。

頻度	CRON 式	ユースケース
5 分おき	*/5 * * * *	大容量、低レイテンシ
15 分ごと	*/15 * * * *	検索量が普通
1 時間ごと	0 * * * *	標準（推奨）
6 時間ごと	0 */6 * * *	少量、バッチ処理
毎日	0 0 * * *	過去のデータの収集

統合をテストする

1. Cloud Scheduler コンソールで、ジョブ（forgerock-logs-collector-hourly）を見つけます。
2. [強制実行] をクリックして、ジョブを手動でトリガーします。
3. 数秒待ちます。
4. Cloud Run > サービスに移動します。
5. [forgerock-logs-collector] をクリックします。
6. [ログ] タブをクリックします。

7. 関数が正常に実行されたことを確認します。以下のものを探します。

   Fetching logs from YYYY-MM-DDTHH:MM:SS+00:00 to YYYY-MM-DDTHH:MM:SS+00:00
   Source 'am-authentication': X records
   Source 'am-access': X records
   Wrote X records to gs://forgerock-identity-cloud-logs/forgerock-logs/logs_YYYYMMDD_HHMMSS.ndjson
   Successfully processed X records
   

8. [Cloud Storage] > [バケット] に移動します。

9. バケット名（forgerock-identity-cloud-logs）をクリックします。

10. forgerock-logs/ フォルダに移動します。

11. 現在のタイムスタンプで新しい .ndjson ファイルが作成されたことを確認します。

ログにエラーが表示された場合:

• HTTP 401: 環境変数の Log API キーとシークレットを確認します。
• HTTP 403: PingOne Advanced Identity Cloud で API キーが取り消されていないことを確認します。
• HTTP 429: レート制限（環境ごとに 1 分あたり 60 件のリクエスト） - 関数はバックオフで自動的に再試行されます。
• 環境変数が不足している: 必要な変数がすべて設定されていることを確認します。

Google SecOps サービス アカウントを取得する

Google SecOps は、一意のサービス アカウントを使用して GCS バケットからデータを読み取ります。このサービス アカウントにバケットへのアクセス権を付与する必要があります。

サービス アカウントのメールアドレスを取得する

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. [単一フィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: ForgeRock Identity Cloud Logs）。
5. [ソースタイプ] として [Google Cloud Storage V2] を選択します。
6. [ログタイプ] として [ForgeRock Identity Cloud] を選択します。

7. [サービス アカウントを取得する] をクリックします。一意のサービス アカウントのメールアドレスが表示されます（例:）。

   [e-mail]
   

8. このメールアドレスをコピーして、次のステップで使用します。

   注: 各 Google SecOps インスタンスには一意のサービス アカウントがあります。他のドキュメントや例のサービス アカウントは使用しないでください。

9. [次へ] をクリックします。

10. 次の入力パラメータの値を指定します。

    • ストレージ バケットの URL: 接頭辞パスを含む GCS バケット URI を入力します。

      gs://forgerock-identity-cloud-logs/forgerock-logs/
      

      注: URI の末尾には常にスラッシュ（/）を付けます。

    • Source deletion option: 必要に応じて削除オプションを選択します。

      • なし: 転送後にファイルを削除しません（テストにおすすめ）。
      • 転送されたファイルを削除する: 転送が完了した後にファイルを削除します。
      • 転送されたファイルと空のディレクトリを削除する: 転送が完了した後にファイルと空のディレクトリを削除します。
      注: 削除オプションを選択する場合は、サービス アカウントに Storage オブジェクト閲覧者ではなく Storage オブジェクト管理者のロールが必要です。必要に応じて IAM 権限を更新します。

    • ファイルの最大経過日数: 指定した日数以内に変更されたファイルを含めます（デフォルトは 180 日）。

    • アセットの名前空間: アセットの名前空間。

    • Ingestion labels: このフィードのイベントに適用されるラベル。

11. [次へ] をクリックします。

12. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

Google SecOps サービス アカウントに IAM 権限を付与する

Google SecOps サービス アカウントには、GCS バケットに対する Storage オブジェクト閲覧者ロールが必要です。

1. [Cloud Storage] > [バケット] に移動します。
2. バケット名（forgerock-identity-cloud-logs）をクリックします。
3. [権限] タブに移動します。
4. [アクセス権を付与] をクリックします。
5. 次の構成の詳細を指定します。
   • プリンシパルを追加: Google SecOps サービス アカウントのメールアドレスを貼り付けます。
   • ロールを割り当てる: [Storage オブジェクト閲覧者] を選択します。

6. [保存] をクリックします。

   注: 削除オプションの [転送されたファイルを削除] または [転送されたファイルと空のディレクトリを削除] を使用する場合は、Storage オブジェクト閲覧者ではなく、Storage オブジェクト管理者ロールを付与します。

UDM マッピング テーブル

ログフィールド	UDM マッピング	ロジック
aav_label	additional.fields	統合済み
detail_label	additional.fields	統合済み
id_label	additional.fields	統合済み
objectId_label	additional.fields	統合済み
secure_label	additional.fields	統合済み
source_label	additional.fields	統合済み
topic_label	additional.fields	統合済み
trackingId_list	additional.fields	統合済み
transactionId_label	additional.fields	統合済み
extensions	extensions	名前変更済み/マッピング済み
metadata	metadata	名前変更済み/マッピング済み
payload.eventName	metadata.product_event_type	直接マッピングされます。
network	network	名前変更済み/マッピング済み
x-forwarded-proto	network.application_protocol	直接マッピングされます。
payload.http.request.method	network.http.method	直接マッピングされます。
value	network.http.response_code	名前変更済み/マッピング済み
user-agent	network.http.user_agent	直接マッピングされます。
principal	principal	名前変更済み/マッピング済み
host	principal.asset.hostname	直接マッピングされます。
payload.client.ip	principal.asset.ip	統合済み
xip	principal.asset.ip	統合済み
host	principal.hostname	直接マッピングされます。
entry.info.ipAddress	principal.ip	統合済み
payload.client.ip	principal.ip	統合済み
xip	principal.ip	統合済み
payload.client.port	principal.port	名前変更済み/マッピング済み
user_distinguished_name	principal.user.attribute.labels	統合済み
payload.userId	principal.user.userid	直接マッピングされます。
userId	principal.user.userid	直接マッピングされます。
Security_Result	security_result	統合済み
target	target	名前変更済み/マッピング済み
payload.applicationPrincipal.0	target.application	直接マッピングされます。
app_label	target.resource.attribute.labels	統合済み
realm_label	target.resource.attribute.labels	統合済み
payload.component	target.resource.name	直接マッピングされます。
payload.http.request.path	target.url	直接マッピングされます。
該当なし	additional.fields	定数: topic_label
該当なし	extensions.auth.type	定数: AUTHTYPE_UNSPECIFIED
該当なし	metadata.event_type	定数: USER_LOGIN
該当なし	principal.asset.ip	定数: payload.client.ip
該当なし	principal.ip	定数: payload.client.ip
該当なし	principal.user.attribute.labels	定数: user_distinguished_name
該当なし	security_result	定数: Security_Result
該当なし	target.resource.attribute.labels	定数: app_label
source_cloud	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
type	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
entry_info_nodeExtraLogging_auditInfo_Timestamp	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
entry_info_nodeOutcome	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
entry_info_authLevel	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
entry_info_nodeExtraLogging_auditInfo_clientId	event.idm.read_only_udm.principal.application	変更履歴からマッピング
entry_info_nodeExtraLogging_auditInfo_EventName	event.idm.read_only_udm.security_result.detection_fields	変更履歴からマッピング
entry_info_nodeExtraLogging_auditInfo_FlowType	event.idm.read_only_udm.security_result.detection_fields	変更履歴からマッピング
entry_info_displayName	event.idm.read_only_udm.security_result.detection_fields	変更履歴からマッピング
entry_info_nodeType	event.idm.read_only_udm.security_result.detection_fields	変更履歴からマッピング
entry_info_nodeExtraLogging_auditInfo_Status	event.idm.read_only_udm.security_result.action	変更履歴からマッピング
entry_info_nodeExtraLogging_auditInfo_TransactionId	event.idm.read_only_udm.metadata.product_log_id	変更履歴からマッピング
entry_info_nodeId	event.idm.read_only_udm.principal.user.userid	変更履歴からマッピング
entry_info_treeName	event.idm.read_only_udm.security_result.description	変更履歴からマッピング
tenant_url	event.idm.read_only_udm.principal.url	変更履歴からマッピング
payload.client.ip	event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip	変更履歴からマッピング
payload.http.request.headers.x-forwarded-for	event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip	変更履歴からマッピング
payload.client.port	event.idm.read_only_udm.principal.port	変更履歴からマッピング
payload.http.request.method	event.idm.read_only_udm.network.http.request.method	変更履歴からマッピング
payload.http.request.path	event.idm.read_only_udm.target.url	変更履歴からマッピング
payload.topic	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
payload.http.request.headers.accept-api-version	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
payload.http.request.secure	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
payload.request.detail	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
payload.response	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
payload.request	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
payload.trackingIds	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
payload.objectId	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
payload.http.request.headers.user-agent	event.idm.read_only_udm.network.http.user_agent	変更履歴からマッピング
payload.http.request.headers.host	event.idm.read_only_udm.principal.hostname と event.idm.read_only_udm.principal.asset.hostname	変更履歴からマッピング
payload.http.request.headers.x-forwarded-proto	event.idm.read_only_udm.network.application_protocol	変更履歴からマッピング
payload.response.statusCode	event.idm.read_only_udm.network.http.response_code	変更履歴からマッピング
payload.operation	event.idm.read_only_udm.security_result.action_details	変更履歴からマッピング

変更履歴

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。