GKE ID 서비스 (GIS)

Google Distributed Cloud (GDC) 에어 갭의 GKE ID 서비스 (GIS) 감사 로그를 사용하면 루트 및 조직 워크로드에서 인증 활동과 토큰 요청을 추적할 수 있습니다. 이러한 로그는 로그인 토큰을 만들거나 취소하고 Security Token Service (STS) 토큰을 만들기 위한 사용자 ID, 발급기관, 대상 리소스, JSON 페이로드 필드를 기록합니다.

워크로드 위치

루트 및 조직 워크로드
감사 로그 소스

GKE ID 서비스
감사 대상 작업

로그인 토큰 취소 또는 생성

감사 정보가 포함된 로그 항목의 필드
감사 메타데이터 감사 필드 이름 값
사용자 또는 서비스 ID payload.user

예를 들면 다음과 같습니다.

"payload":{
  "user":"fop-infrastructure-operator@example.com"
}

대상

(API를 호출하는 필드 및 값)

 resource "resource":"login_token"

작업

(수행된 작업이 포함된 필드)

 operation "operation":"revoke"
이벤트 타임스탬프 metadata.timestamp

예를 들면 다음과 같습니다.

"metadata":{
  "timestamp":"2023-01-13T20:04:30.529916149+00:00"
}
조치 소스 payload.issuer

예를 들면 다음과 같습니다.

"payload":{
  "issuer":"fake-oidc-provider"
}
결과 description "description":"Revoked Login Token '84518e03-396a-425d-93ac-5ff1e1c993f8' which was previously issued to user 'fop-infrastructure-operator@example.com' due to a web logout"
기타 필드 해당 없음 해당 없음

예시 로그

{
  "description":"Revoked Login Token '84518e03-396a-425d-93ac-5ff1e1c993f8' which was previously issued to user 'fop-infrastructure-operator@example.com' due to a web logout",
  "id":"55f2ae33-d229-4057-aa1f-d62349281e9c",
  "_gdch_service_tenant":"platform-obs",
  "resource":"login_token",
  "_gdch_tenant_id":"platform-obs",
  "payload":{
    "id":"84518e03-396a-425d-93ac-5ff1e1c993f8",
    "expirationTime":"2023-01-14T08:03:33.413710266+00:00",
    "user":"fop-infrastructure-operator@example.com",
    "groups":[""],
    "issuer":"fake-oidc-provider"
    },
  "_gdch_service_name":"ais",
  "_gdch_namespace":"anthos-identity-service",
  "operation":"revoke",
  "metadata":{
    "userAgent":"",
    "timestamp":"2023-01-13T20:04:30.529916149+00:00"
    },
  "_gdch_org_name":"UNKNOWN",
  "_gdch_org_id":"UNKNOWN",
  "_gdch_cluster":"org-1-admin",
  "_gdch_fluentbit_pod":"anthos-audit-logs-forwarder-nhbwb"
}

STS 토큰 만들기

감사 정보가 포함된 로그 항목의 필드
감사 메타데이터 감사 필드 이름 값
사용자 또는 서비스 ID identity

예를 들면 다음과 같습니다.

"identity":"fop-shengjiang"

대상

(API를 호출하는 필드 및 값)

 resource "resource":"AIS STS token"

작업

(수행된 작업이 포함된 필드)

 action "action":"Create"
이벤트 타임스탬프 time

예를 들면 다음과 같습니다.

"time":"2022-11-22T18:31:37.084205362+00:00"
조치 소스 userAgent

예를 들면 다음과 같습니다.

"userAgent":"Go-http-client/2.0"
결과 response

예를 들면 다음과 같습니다.

"response":"Success"
기타 필드 해당 없음 해당 없음

예시 로그

{
  "action":"Create",
  "auditID":"vwWq8fQ-o9RTopgcZtAC_psm1aYyMKxkv47GOkdU",
  "description":"An AIS STS token is minted for fop-shengjiang (from fake-oidc-provider) and will be valid for 11h59m49.438314611s",
  "resource":"AIS STS token",
  "response":"Success",
  "time":"2022-11-22T18:31:37.084205362+00:00",
  "user":{
    "groups":[
      "group-claim-1",
      "group-claim-2"
      ],
    "identity":"fop-shengjiang",
    "issuer":"fake-oidc-provider"
    },
  "userAgent":"Go-http-client/2.0"
}