Identity-Aware Proxy の監査ロギング

重要:

2024 年 2 月 14 日に、Cloud Audit Logging（CAL）タイプが誤って DATA_ACCESS から ADMIN_ACTIVITY に変更されました。この変更により、UpdateIapSettings メソッドと ValidateIapAttributeExpression メソッドのログ名とログバケットのロケーションが変更されます。

CAL タイプが DATA_ACCESS に戻されました。

このドキュメントでは、Identity-Aware Proxy の監査ロギングについて説明します。 Google Cloud サービスは、 Google Cloud リソース内の管理アクティビティとアクセス アクティビティを記録する監査ログを生成します。Cloud Audit Logs の詳細については、以下をご覧ください。

• 監査ログの種類
• 監査ログエントリの構造
• 監査ログの保存とルーティング
• Cloud Logging の料金概要
• データアクセス監査ログを有効にする

メモ

フィールド セクションでは、監査ログの一部のフィールドに関する重要な詳細について説明します。

サービス名

Identity-Aware Proxy 監査ログでは、サービス名 iap.googleapis.com が使用されます。このサービスでフィルタ:

    protoPayload.serviceName="iap.googleapis.com"
  

メソッド（権限タイプ別）

各 IAM 権限には type プロパティがあります。このプロパティの値は列挙型で、ADMIN_READ、ADMIN_WRITE、DATA_READ、DATA_WRITE のいずれかになります。メソッドを呼び出すと、Identity-Aware Proxy は監査ログを生成し、そのカテゴリはそのメソッドの実行に必要な権限の type プロパティに依存します。type プロパティ値が DATA_READ、DATA_WRITE、または ADMIN_READ の IAM 権限を必要とするメソッドは、データアクセス監査ログを生成します。type プロパティ値が ADMIN_WRITE の IAM 権限を必要とするメソッドは、管理アクティビティ監査ログを生成します。

次のリストで（LRO）とマークされている API メソッドは、長時間実行オペレーション（LRO）です。通常、これらのメソッドは 2 つの監査ログエントリを生成します。1 つはオペレーションの開始時、もう 1 つは終了時です。詳細については、長時間実行オペレーションの監査ログをご覧ください。

権限タイプ	メソッド
ADMIN_READ	google.cloud.iap.v1.IdentityAwareProxyAdminService.GetIamPolicy google.cloud.iap.v1.IdentityAwareProxyAdminService.GetIapSettings google.cloud.iap.v1beta1.IdentityAwareProxyAdminV1Beta1.GetIamPolicy
ADMIN_WRITE	google.cloud.iap.v1.IdentityAwareProxyAdminService.SetIamPolicy google.cloud.iap.v1beta1.IdentityAwareProxyAdminV1Beta1.SetIamPolicy
DATA_READ	google.cloud.iap.v1.IdentityAwareProxyAdminService.GetTunnelDestGroup google.cloud.iap.v1.IdentityAwareProxyAdminService.ListTunnelDestGroups
DATA_WRITE	google.cloud.iap.v1.IdentityAwareProxyAdminService.CreateTunnelDestGroup google.cloud.iap.v1.IdentityAwareProxyAdminService.DeleteTunnelDestGroup google.cloud.iap.v1.IdentityAwareProxyAdminService.UpdateIapSettings google.cloud.iap.v1.IdentityAwareProxyAdminService.UpdateTunnelDestGroup google.cloud.iap.v1.IdentityAwareProxyAdminService.ValidateIapAttributeExpression

API インターフェースの監査ログ

各メソッドで評価される権限とその方法については、Identity-Aware Proxy の Identity and Access Management のドキュメントをご覧ください。

google.cloud.iap.v1.IdentityAwareProxyAdminService

次の監査ログは、google.cloud.iap.v1.IdentityAwareProxyAdminService に属するメソッドに関連付けられています。

CreateTunnelDestGroup

• メソッド: google.cloud.iap.v1.IdentityAwareProxyAdminService.CreateTunnelDestGroup
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • iap.tunnelDestGroups.create - DATA_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1.IdentityAwareProxyAdminService.CreateTunnelDestGroup"
  

DeleteTunnelDestGroup

• メソッド: google.cloud.iap.v1.IdentityAwareProxyAdminService.DeleteTunnelDestGroup
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • iap.tunnelDestGroups.delete - DATA_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1.IdentityAwareProxyAdminService.DeleteTunnelDestGroup"
  

GetIamPolicy

• メソッド: google.cloud.iap.v1.IdentityAwareProxyAdminService.GetIamPolicy
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • iap.web.getIamPolicy - ADMIN_READ
  • iap.webServiceVersions.getIamPolicy - ADMIN_READ
  • iap.webServices.getIamPolicy - ADMIN_READ
  • iap.webTypes.getIamPolicy - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1.IdentityAwareProxyAdminService.GetIamPolicy"
  

GetIapSettings

• メソッド: google.cloud.iap.v1.IdentityAwareProxyAdminService.GetIapSettings
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • iap.projects.getSettings - ADMIN_READ
  • iap.web.getSettings - ADMIN_READ
  • iap.webServiceVersions.getSettings - ADMIN_READ
  • iap.webServices.getSettings - ADMIN_READ
  • iap.webTypes.getSettings - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1.IdentityAwareProxyAdminService.GetIapSettings"
  

GetTunnelDestGroup

• メソッド: google.cloud.iap.v1.IdentityAwareProxyAdminService.GetTunnelDestGroup
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • iap.tunnelDestGroups.get - DATA_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1.IdentityAwareProxyAdminService.GetTunnelDestGroup"
  

ListTunnelDestGroups

• メソッド: google.cloud.iap.v1.IdentityAwareProxyAdminService.ListTunnelDestGroups
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • iap.tunnelDestGroups.list - DATA_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1.IdentityAwareProxyAdminService.ListTunnelDestGroups"
  

SetIamPolicy

• メソッド: google.cloud.iap.v1.IdentityAwareProxyAdminService.SetIamPolicy
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • iap.web.setIamPolicy - ADMIN_WRITE
  • iap.webServiceVersions.setIamPolicy - ADMIN_WRITE
  • iap.webServices.setIamPolicy - ADMIN_WRITE
  • iap.webTypes.setIamPolicy - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1.IdentityAwareProxyAdminService.SetIamPolicy"
  

UpdateIapSettings

• メソッド: google.cloud.iap.v1.IdentityAwareProxyAdminService.UpdateIapSettings
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • iap.projects.updateSettings - DATA_WRITE
  • iap.web.updateSettings - DATA_WRITE
  • iap.webServiceVersions.updateSettings - DATA_WRITE
  • iap.webServices.updateSettings - DATA_WRITE
  • iap.webTypes.updateSettings - DATA_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1.IdentityAwareProxyAdminService.UpdateIapSettings"
  

UpdateTunnelDestGroup

• メソッド: google.cloud.iap.v1.IdentityAwareProxyAdminService.UpdateTunnelDestGroup
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • iap.tunnelDestGroups.update - DATA_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1.IdentityAwareProxyAdminService.UpdateTunnelDestGroup"
  

ValidateIapAttributeExpression

• メソッド: google.cloud.iap.v1.IdentityAwareProxyAdminService.ValidateIapAttributeExpression
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • iap.projects.updateSettings - DATA_WRITE
  • iap.web.updateSettings - DATA_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1.IdentityAwareProxyAdminService.ValidateIapAttributeExpression"
  

google.cloud.iap.v1beta1.IdentityAwareProxyAdminV1Beta1

次の監査ログは、google.cloud.iap.v1beta1.IdentityAwareProxyAdminV1Beta1 に属するメソッドに関連付けられています。

GetIamPolicy

• メソッド: google.cloud.iap.v1beta1.IdentityAwareProxyAdminV1Beta1.GetIamPolicy
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • iap.web.getIamPolicy - ADMIN_READ
  • iap.webServiceVersions.getIamPolicy - ADMIN_READ
  • iap.webServices.getIamPolicy - ADMIN_READ
  • iap.webTypes.getIamPolicy - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1beta1.IdentityAwareProxyAdminV1Beta1.GetIamPolicy"
  

SetIamPolicy

• メソッド: google.cloud.iap.v1beta1.IdentityAwareProxyAdminV1Beta1.SetIamPolicy
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • iap.webServiceVersions.setIamPolicy - ADMIN_WRITE
  • iap.webServices.setIamPolicy - ADMIN_WRITE
  • iap.webTypes.setIamPolicy - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1beta1.IdentityAwareProxyAdminV1Beta1.SetIamPolicy"
  

監査ログを生成しないメソッド

メソッドが監査ログを生成しない理由としては、次のいずれかが考えられます。

• ログを大量に生成し、かなりのストレージ費用が発生するメソッドである。
• 監査価値が低い。
• 別の監査ログまたはプラットフォーム ログでメソッド カバレッジがすでに提供されている。

次のメソッドは監査ログを生成しません。

• google.cloud.iap.v1.IdentityAwareProxyOAuthService.CreateBrand
• google.cloud.iap.v1.IdentityAwareProxyOAuthService.CreateIdentityAwareProxyClient
• google.cloud.iap.v1.IdentityAwareProxyOAuthService.DeleteIdentityAwareProxyClient
• google.cloud.iap.v1.IdentityAwareProxyOAuthService.GetBrand
• google.cloud.iap.v1.IdentityAwareProxyOAuthService.GetIdentityAwareProxyClient
• google.cloud.iap.v1.IdentityAwareProxyOAuthService.ListBrands
• google.cloud.iap.v1.IdentityAwareProxyOAuthService.ListIdentityAwareProxyClients
• google.cloud.iap.v1.IdentityAwareProxyOAuthService.ResetIdentityAwareProxyClientSecret
• google.cloud.iap.v1beta1.IdentityAwareProxyAdminV1Beta1.TestIamPermissions

フィールド

ログには、ユーザーが満たしたアクセスレベルに関する情報のみが記録されます。未承認のリクエストをブロックしたアクセスレベルは、ログエントリには表示されません。特定のリソースに対するリクエストを成功させるための条件を確認するには、リソースのアクセスレベルを確認します。

ログのフィールドに関する重要な情報を次に示します。

フィールド	値
authenticationInfo	principalEmail としてリソースにアクセスしようとしたユーザーのメールアドレス。この情報は、認証されていないリクエストのログには含まれていません。
requestMetadata.callerIp	リクエストの送信元 IP アドレス。
requestMetadata.requestAttributes	リクエスト メソッドと URL。
authorizationInfo.resource	アクセスされているリソース。
authorizationInfo.granted	リクエストされたアクセスを IAP が許可したかどうかを表すブール値。