Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

OAuth2 プロキシログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Google Cloud Storage V2 を使用して OAuth2 Proxy ログを Google Security Operations に取り込む方法について説明します。

OAuth2 Proxy は、OAuth2/OIDC プロバイダ（Google、GitHub、Keycloak、Azure AD など）を使用して認証を行い、メール、ドメイン、グループでアカウントを検証する CNCF Sandbox リバースプロキシです。認証ログ（ログインの成功/失敗）、リクエストログ（ユーザー ID を含むプロキシ HTTP リクエスト）、標準アプリケーションログが生成されます。OAuth2 Proxy は Kubernetes のコンテナとして実行され、すべてのログを stdout に書き込むため、Kubernetes ネイティブのログコレクタ（Fluentd）を使用して、Google SecOps の取り込み用にログを GCS バケットに転送します。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
Cloud Storage API が有効になっている GCP プロジェクト
GCS バケットを作成および管理する権限
GCS バケットの IAM ポリシーを管理する権限
OAuth2 Proxy がデプロイされた（Helm チャートまたは手動デプロイ）実行中の Kubernetes クラスタ
DaemonSet、ConfigMap、Secret、Namespace を作成する権限を持つ Kubernetes クラスタへの kubectl アクセス
ターゲット GCS バケットに対する storage.objects.create 権限を持つ GCP サービスアカウントの JSON キー

Google Cloud Storage バケットを作成する

Google Cloud コンソールに移動します。
プロジェクトを選択するか、新しいプロジェクトを作成します。
ナビゲーションメニューで、[Cloud Storage > バケット] に移動します。
[バケットを作成] をクリックします。

次の構成情報を提供してください。

設定	値
バケットに名前を付ける	グローバルに一意の名前（`oauth2-proxy-logs-bucket` など）を入力します。
ロケーションタイプ	ニーズに応じて選択します（リージョン、デュアルリージョン、マルチリージョン）。
ロケーション	場所を選択します（例: `us-central1`）。
ストレージクラス	Standard（アクセス頻度の高いログにおすすめ）
アクセス制御	均一（推奨）
保護ツール	省略可: オブジェクトのバージョニングまたは保持ポリシーを有効にする

[作成] をクリックします。

OAuth2 プロキシのロギングを構成する

OAuth2 プロキシは、標準ログ、認証ログ、リクエストログの 3 種類のログを stdout に書き込みます。3 つすべてがデフォルトで有効になっています。ログにセキュリティ関連の詳細が最大限に含まれるように、次のロギングフラグを使用して OAuth2 Proxy を構成します。

オプション 1: Helm チャート値を使用して構成する

公式の Helm チャートを使用して OAuth2 Proxy をデプロイする場合は、次の内容を values.yaml ファイルに追加します。

config:
  configFile: |-
    standard_logging = true
    auth_logging = true
    request_logging = true
    silence_ping_logging = true
        standard_logging_format = "[{{.Timestamp}}] [{{.File}}] {{.Message}}"
    auth_logging_format = "{{.Client}} - {{.RequestID}} - {{.Username}} [{{.Timestamp}}] [{{.Status}}] {{.Message}}"
    request_logging_format = "{{.Client}} - {{.RequestID}} - {{.Username}} [{{.Timestamp}}] {{.Host}} {{.RequestMethod}} {{.Upstream}} {{.RequestURI}} {{.Protocol}} {{.UserAgent}} {{.StatusCode}} {{.ResponseSize}} {{.RequestDuration}}"

更新された Helm 値を適用します。

helm upgrade oauth2-proxy oauth2-proxy/oauth2-proxy -f values.yaml -n <your-namespace>

オプション 2: コマンドラインフラグを使用して構成する

Kubernetes Deployment マニフェストを使用して OAuth2 Proxy をデプロイする場合は、次の引数をコンテナ仕様に追加します。
```
args:
  - --standard-logging=true
  - --auth-logging=true
  - --request-logging=true
  - --silence-ping-logging=true
```

オプション 3: 環境変数を使用して構成する

OAuth2 Proxy コンテナに次の環境変数を設定します。

env:
  - name: OAUTH2_PROXY_STANDARD_LOGGING
    value: "true"
  - name: OAUTH2_PROXY_AUTH_LOGGING
    value: "true"
  - name: OAUTH2_PROXY_REQUEST_LOGGING
    value: "true"
  - name: OAUTH2_PROXY_SILENCE_PING_LOGGING
    value: "true"

OAuth2 プロキシのロギングを確認する

構成を適用したら、OAuth2 Proxy がログを生成していることを確認します。
```
kubectl logs -l app=oauth2-proxy -n <your-namespace> --tail=20
```

出力には、次のような行が含まれます。

10.0.0.1 - abc123 - user@example.com [2024/01/15 10:30:00] [AuthSuccess] Authenticated via OAuth2
10.0.0.1 - abc123 - user@example.com [2024/01/15 10:30:01] example.com GET 10.0.0.5:8080 "/dashboard" HTTP/1.1 "Mozilla/5.0" 200 1234 0.005

Fluentd 用の GCP サービスアカウントを作成する

Fluentd には、GCS バケットに対する書き込み権限を持つ GCP サービスアカウントが必要です。

GCP コンソールで、[IAM と管理>サービスアカウント] に移動します。
[サービスアカウントを作成] をクリックします。
次の構成情報を指定します。
- サービスアカウント名: 「fluentd-gcs-writer」と入力します。
- サービスアカウントの説明: Service account for Fluentd to write OAuth2 Proxy logs to GCS と入力します。
[作成して続行] をクリックします。
[このサービスアカウントにプロジェクトへのアクセスを許可する] セクションで、次の操作を行います。
1. [ロールを選択] をクリックします。
2. [ストレージオブジェクト管理者] を検索して選択します。
[続行] をクリックします。
[完了] をクリックします。

サービスアカウントキーを作成してダウンロードする

[サービスアカウント] リストで、fluentd-gcs-writer サービスアカウントをクリックします。
[キー] タブに移動します。
[鍵を追加>新しい鍵を作成] をクリックします。
キーのタイプとして [JSON] を選択します。
[作成] をクリックします。
ダウンロードした JSON キーファイルを安全に保存します。このファイルは次のステップで使用します。

サービスアカウントキーの Kubernetes Secret を作成する

Fluentd がデプロイされる Namespace に、GCP サービスアカウントキーを含む Kubernetes Secret を作成します。

kubectl create namespace logging
kubectl create secret generic fluentd-gcs-key \
  --from-file=service-account-key.json=<path-to-downloaded-key>.json \
  -n logging