Registro de auditoria do Cloud Key Management Service

O Cloud Key Management Service está atualizando o formato do campo protoPayload nas entradas do registro de auditoria de acesso a dados. Durante o período de migração, o protoPayload nas entradas de registro de auditoria de acesso a dados vai continuar compatível com versões anteriores. No entanto, aplicativos de código novos ou futuros devem usar os campos de substituição recomendados da seguinte maneira:

Campo de substituição recomendado Campo descontinuado Descrição
protoPayload.status.details protoPayload.metadata Detalhes do erro para EXTERNAL (por exemplo, Operações de chave do Cloud EKM.
protoPayload.metadata.entries.caller_provided_context protoPayload.request.caller_provided_context Contexto do caller associado a esta operação do Cloud KMS.


Neste documento, descrevemos a geração de registros de auditoria do Cloud Key Management Service.Os serviços do Google Cloud geram registros de auditoria das atividades administrativas e de acesso nos recursos do Google Cloud . Para mais informações sobre os Registros de auditoria do Cloud, consulte:

Nome do serviço

Os registros de auditoria do Cloud Key Management Service usam o nome de serviço cloudkms.googleapis.com. Filtrar por este serviço: 

    protoPayload.serviceName="cloudkms.googleapis.com"

Métodos por tipo de permissão

Cada permissão do IAM tem uma propriedade type, que tem o valor de um tipo enumerado que pode ser um dos quatro valores: ADMIN_READ, ADMIN_WRITE, DATA_READ ou DATA_WRITE. Quando você chama um método, o Cloud Key Management Service gera um registro de auditoria com categoria dependente da propriedade type da permissão necessária para executar o método. Métodos que exigem uma permissão do IAM com o valor da propriedade type de DATA_READ, DATA_WRITE ou ADMIN_READ geram registros de auditoria de acesso aos dados. Métodos que exigem uma permissão do IAM com o valor da propriedade type de ADMIN_WRITE geram registros de auditoria de Atividade do administrador.

Os métodos de API na lista a seguir marcados com (LRO) são operações de longa duração (LROs). Esses métodos geralmente geram duas entradas de registro de auditoria: uma quando a operação começa e outra quando ela termina. Para mais informações, consulte Registros de auditoria para operações de longa duração.
Tipo de permissão Métodos
ADMIN_READ google.cloud.kms.v1.Autokey.GetKeyHandle
google.cloud.kms.v1.Autokey.ListKeyHandles
google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig
google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig
GetEkmConfig
GetEkmConnection
ListEkmConnections
VerifyConnectivity
GetCryptoKey
GetCryptoKeyVersion
GetImportJob
GetKeyRing
ListCryptoKeyVersions
ListCryptoKeys
ListImportJobs
ListKeyRings
GetIamPolicy
GetOperation
ADMIN_WRITE google.cloud.kms.v1.Autokey.CreateKeyHandle (LRO)
google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig
CreateEkmConnection
UpdateEkmConfig
UpdateEkmConnection
CreateCryptoKey
CreateCryptoKeyVersion
CreateImportJob
CreateKeyRing
DestroyCryptoKeyVersion
ImportCryptoKeyVersion
RestoreCryptoKeyVersion
UpdateCryptoKey
UpdateCryptoKeyPrimaryVersion
UpdateCryptoKeyVersion
SetIamPolicy
DATA_READ AsymmetricDecrypt
AsymmetricSign
Decrypt
Encrypt
GetPublicKey
MacSign
MacVerify
RawDecrypt
RawEncrypt

Registros de auditoria da interface da API

Para saber como e quais permissões são avaliadas para cada método, consulte a documentação do Identity and Access Management para o Cloud Key Management Service.

google.cloud.kms.v1.Autokey

Os registros de auditoria a seguir estão associados a métodos que pertencem a google.cloud.kms.v1.Autokey.

CreateKeyHandle

  • Método: google.cloud.kms.v1.Autokey.CreateKeyHandle
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • cloudkms.keyHandles.create - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: operação de longa duração
  • Filtrar para este método: protoPayload.methodName="google.cloud.kms.v1.Autokey.CreateKeyHandle"

GetKeyHandle

  • Método: google.cloud.kms.v1.Autokey.GetKeyHandle
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.keyHandles.get - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.cloud.kms.v1.Autokey.GetKeyHandle"

ListKeyHandles

  • Método: google.cloud.kms.v1.Autokey.ListKeyHandles
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.keyHandles.list - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.cloud.kms.v1.Autokey.ListKeyHandles"

google.cloud.kms.v1.AutokeyAdmin

Os registros de auditoria a seguir estão associados a métodos que pertencem a google.cloud.kms.v1.AutokeyAdmin.

GetAutokeyConfig

  • Método: google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.autokeyConfigs.get - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig"

ShowEffectiveAutokeyConfig

  • Método: google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.projects.showEffectiveAutokeyConfig - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig"

UpdateAutokeyConfig

  • Método: google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • cloudkms.autokeyConfigs.update - ADMIN_WRITE
    • cloudkms.cryptoKeys.setIamPolicy - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig"

google.cloud.kms.v1.EkmService

Os registros de auditoria a seguir estão associados a métodos que pertencem a google.cloud.kms.v1.EkmService.

CreateEkmConnection

  • Método: CreateEkmConnection
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • cloudkms.ekmConnections.create - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="CreateEkmConnection"

GetEkmConfig

  • Método: GetEkmConfig
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.ekmConfigs.get - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="GetEkmConfig"

GetEkmConnection

  • Método: GetEkmConnection
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.ekmConnections.get - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="GetEkmConnection"

ListEkmConnections

  • Método: ListEkmConnections
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.ekmConnections.list - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="ListEkmConnections"

UpdateEkmConfig

  • Método: UpdateEkmConfig
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • cloudkms.ekmConfigs.update - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="UpdateEkmConfig"

UpdateEkmConnection

  • Método: UpdateEkmConnection
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • cloudkms.ekmConnections.update - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="UpdateEkmConnection"

VerifyConnectivity

  • Método: VerifyConnectivity
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.ekmConnections.verifyConnectivity - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="VerifyConnectivity"

google.cloud.kms.v1.KeyManagementService

Os registros de auditoria a seguir estão associados a métodos que pertencem a google.cloud.kms.v1.KeyManagementService.

AsymmetricDecrypt

  • Método: AsymmetricDecrypt
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="AsymmetricDecrypt"

AsymmetricSign

  • Método: AsymmetricSign
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.cryptoKeyVersions.useToSign - DATA_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="AsymmetricSign"

CreateCryptoKey

  • Método: CreateCryptoKey
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • cloudkms.cryptoKeys.create - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="CreateCryptoKey"

CreateCryptoKeyVersion

  • Método: CreateCryptoKeyVersion
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • cloudkms.cryptoKeyVersions.create - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="CreateCryptoKeyVersion"

CreateImportJob

  • Método: CreateImportJob
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • cloudkms.importJobs.create - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="CreateImportJob"

CreateKeyRing

  • Método: CreateKeyRing
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • cloudkms.keyRings.create - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="CreateKeyRing"

Decrypt

  • Método: Decrypt
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="Decrypt"

DestroyCryptoKeyVersion

  • Método: DestroyCryptoKeyVersion
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • cloudkms.cryptoKeyVersions.destroy - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="DestroyCryptoKeyVersion"

Encrypt

  • Método: Encrypt
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.cryptoKeyVersions.useToEncrypt - DATA_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="Encrypt"

GetCryptoKey

  • Método: GetCryptoKey
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.cryptoKeys.get - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="GetCryptoKey"

GetCryptoKeyVersion

  • Método: GetCryptoKeyVersion
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.cryptoKeyVersions.get - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="GetCryptoKeyVersion"

GetImportJob

  • Método: GetImportJob
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.importJobs.get - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="GetImportJob"

GetKeyRing

  • Método: GetKeyRing
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.keyRings.get - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="GetKeyRing"

GetPublicKey

  • Método: GetPublicKey
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.cryptoKeyVersions.viewPublicKey - DATA_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="GetPublicKey"

ImportCryptoKeyVersion

  • Método: ImportCryptoKeyVersion
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • cloudkms.cryptoKeyVersions.create - ADMIN_WRITE
    • cloudkms.cryptoKeyVersions.update - ADMIN_WRITE
    • cloudkms.importJobs.useToImport - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="ImportCryptoKeyVersion"

ListCryptoKeyVersions

  • Método: ListCryptoKeyVersions
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.cryptoKeyVersions.list - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="ListCryptoKeyVersions"

ListCryptoKeys

  • Método: ListCryptoKeys
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.cryptoKeys.list - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="ListCryptoKeys"

ListImportJobs

  • Método: ListImportJobs
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.importJobs.list - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="ListImportJobs"

ListKeyRings

  • Método: ListKeyRings
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.keyRings.list - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="ListKeyRings"

MacSign

  • Método: MacSign
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.cryptoKeyVersions.useToSign - DATA_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="MacSign"

MacVerify

  • Método: MacVerify
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.cryptoKeyVersions.useToVerify - DATA_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="MacVerify"

RawDecrypt

  • Método: RawDecrypt
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="RawDecrypt"

RawEncrypt

  • Método: RawEncrypt
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.cryptoKeyVersions.useToEncrypt - DATA_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="RawEncrypt"

RestoreCryptoKeyVersion

  • Método: RestoreCryptoKeyVersion
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • cloudkms.cryptoKeyVersions.restore - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="RestoreCryptoKeyVersion"

UpdateCryptoKey

  • Método: UpdateCryptoKey
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • cloudkms.cryptoKeys.update - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="UpdateCryptoKey"

UpdateCryptoKeyPrimaryVersion

  • Método: UpdateCryptoKeyPrimaryVersion
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • cloudkms.cryptoKeys.update - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="UpdateCryptoKeyPrimaryVersion"

UpdateCryptoKeyVersion

  • Método: UpdateCryptoKeyVersion
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • cloudkms.cryptoKeyVersions.update - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="UpdateCryptoKeyVersion"

google.iam.v1.IAMPolicy

Os registros de auditoria a seguir estão associados a métodos que pertencem a google.iam.v1.IAMPolicy.

GetIamPolicy

  • Método: GetIamPolicy
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.cryptoKeys.getIamPolicy - ADMIN_READ
    • cloudkms.keyRings.getIamPolicy - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="GetIamPolicy"

SetIamPolicy

  • Método: SetIamPolicy
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • cloudkms.cryptoKeys.setIamPolicy - ADMIN_WRITE
    • cloudkms.keyRings.setIamPolicy - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="SetIamPolicy"

google.longrunning.Operations

Os registros de auditoria a seguir estão associados a métodos que pertencem a google.longrunning.Operations.

GetOperation

  • Método: GetOperation
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • cloudkms.operations.get - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="GetOperation"

Métodos que não geram registros de auditoria

Um método pode não gerar registros de auditoria por um ou mais dos seguintes motivos:

  • É um método de alto volume que envolve geração de registros significativos e custos de armazenamento.
  • Tem pouco valor para a auditoria.
  • Outro registro de auditoria ou plataforma já oferece cobertura do método.

Os métodos abaixo não geram registros de auditoria:

  • google.cloud.kms.v1.KeyManagementService.GenerateRandomBytes
  • google.cloud.location.Locations.GetLocation
  • google.cloud.location.Locations.ListLocations