Habilita los registros de auditoría de acceso a los datos

Los registros de auditoría de acceso a los datos te permiten registrar las llamadas a la API que leen los metadatos o la configuración de los recursos, así como las llamadas a la API controladas por el usuario que crean, modifican o leen datos de los recursos que proporciona el usuario. Debido a que estos registros están inhabilitados de forma predeterminada para la mayoría de los servicios, puedes habilitarlos, configurarlos o inhabilitarlos de forma explícita para tus proyectos de Google Cloud , cuentas de facturación, carpetas y organizaciones con la consola de Google Cloud o la API.

Antes de comenzar

Importante: El volumen de los registros de auditoría de acceso a los datos puede ser grande. Habilitar los registros de acceso a los datos podría generar cargos en tu proyecto de Google Cloud por el uso de registros adicionales. Para obtener información sobre los precios, consulta las secciones de Cloud Logging en la página Precios de Google Cloud Observability.

Importante: Si configuras los registros de acceso a los datos para realizar un seguimiento del acceso a los objetos de Storage, las descargas autenticadas del navegador desde storage.cloud.google.com podrían generar una respuesta 403: Forbidden. Por ejemplo, si copias la URL autenticada de un objeto y la pegas en otra pestaña del navegador, se produce una descarga autenticada del navegador. Estos tipos de acciones fallan porque Cloud Storage no puede generar una entrada de registro de auditoría de acceso a los datos cuando se accede al objeto con la autenticación basada en cookies.

Antes de continuar con la configuración de los registros de auditoría de acceso a los datos, comprende la siguiente información:

• Los registros de auditoría de acceso a los datos están inhabilitados de forma predeterminada para todos los servicios, excepto algunos de BigQuery. Si quieres que se escriban registros de auditoría de acceso a los datos para los servicios en los que estos registros están inhabilitados de forma predeterminada, debes habilitarlos de forma explícita en la consola de Google Cloud o con la API.

• Los registros de auditoría de acceso a los datos se almacenan en el bucket _Default, a menos que los hayas enrutado a otro lugar. Para obtener más información, consulta Almacena y enruta registros de auditoría.

• Los registros de auditoría de acceso a los datos ayudan a Atención al cliente de Google a solucionar problemas con tu cuenta. Por lo tanto, recomendamos habilitar los registros de auditoría de acceso a los datos cuando sea posible.

• Para obtener los permisos que necesitas para acceder a todos los registros en los buckets _Required y _Default, incluidos los registros de acceso a los datos, pídele a tu administrador que te otorgue el rol de IAM de visualizador de registros privados (roles/logging.privateLogViewer) en tu proyecto.

  El rol de Visualizador de registros privados ((roles/logging.privateLogViewer)) incluye los permisos que contiene el rol de Visualizador de registros (roles/logging.viewer) y los necesarios para leer los registros de auditoría de acceso a los datos en el bucket _Default.

  El rol de editor (roles/editor) no incluye los permisos necesarios para ver los registros de acceso a los datos.

  Para obtener más información sobre los permisos y roles de IAM que se aplican a los datos de los registros de auditoría, consulta Control de acceso con la IAM.

Descripción general de la configuración

Puedes configurar cómo se habilitan los registros de auditoría de acceso a los datos para tus recursos y servicios deGoogle Cloud :

• Organizaciones: Puedes habilitar y configurar los registros de auditoría de acceso a los datos en una organización, lo que se aplica a todos los proyectos y carpetas deGoogle Cloud nuevos y existentes en la organización.

• Carpetas: Puedes habilitar y configurar los registros de auditoría de acceso a los datos en una carpeta, que se aplica a todos los proyectos de Google Cloud nuevos y existentes en la carpeta. No puedes inhabilitar un registro de auditoría de acceso a los datos que se habilitó en la organización superior del proyecto.

• Proyectos: Puedes configurar los registros de auditoría de acceso a los datos para un proyecto deGoogle Cloud individual. No puedes inhabilitar un registro de auditoría de acceso a los datos que se habilitó en una organización o carpeta superior.

• Cuentas de facturación: Para configurar los registros de auditoría de acceso a los datos de las cuentas de facturación, usa Google Cloud CLI. Para obtener más información sobre cómo usar gcloud CLI con los registros de auditoría de acceso a los datos y las cuentas de facturación, consulta la documentación de gcloud beta billing accounts set-iam-policy.

• Configuraciones predeterminadas: Puedes especificar una configuración predeterminada de los registros de auditoría de acceso a los datos en una organización, carpeta o proyecto de Google Cloud que se aplique a los servicios de Google Cloud futuros que comiencen a producir registros de auditoría de acceso a los datos. Para obtener instrucciones, consulta Establece la configuración predeterminada.

• Tipos de permisos: Puedes especificar que las APIs de Google Cloud que solo verifican un tipo de permiso determinado emitan un registro de auditoría. Para obtener más información, consulta la sección Tipos de permisos de esta página.

• Principales exentas: Puedes eximir a principales específicas para que no se registren sus accesos a los datos. Por ejemplo, puedes eximir a tus cuentas de pruebas internas para que sus operaciones de Cloud Monitoring no se registren. Para obtener una lista de principales válidos, incluidos los usuarios y los grupos, consulta la referencia del tipo Binding.

Puedes configurar tus registros de auditoría de acceso a los datos a través de la página Registros de auditoría de IAM de la consola de Google Cloud o con la API. Estos métodos se explican en las siguientes secciones.

Tipos de permisos

Los métodos de la API verifican los permisos de IAM. Cada permiso de IAM tiene un tipo de permiso, que se define con la propiedad type. Los tipos de permisos se clasifican como de acceso a los datos o de actividad del administrador:

• Tipos de permisos de acceso a los datos:

  • ADMIN_READ: Los permisos de IAM de este tipo se verifican para los métodos de la API deGoogle Cloud que leen metadatos o información de configuración. Por lo general, los registros de auditoría de ADMIN_READ están inhabilitados de forma predeterminada y deben habilitarse.

  • DATA_READ: Los permisos de IAM de este tipo se verifican para los métodos de la API deGoogle Cloud que leen datos proporcionados por el usuario. Por lo general, los registros de auditoría deDATA_READ están inhabilitados de forma predeterminada y deben habilitarse.

  • DATA_WRITE: Los permisos de IAM de este tipo se verifican para los métodos de la API deGoogle Cloud que escriben datos proporcionados por el usuario. Por lo general, los registros de auditoría deDATA_WRITE están inhabilitados de forma predeterminada y deben habilitarse.

• Tipo de permiso de actividad del administrador:

  • ADMIN_WRITE: Los permisos de IAM de este tipo se verifican para los métodos de la API deGoogle Cloud que escriben metadatos o información de configuración. Los registros de auditoría asociados con este tipo, los registros de auditoría de la actividad del administrador, están activados de forma predeterminada y no se pueden inhabilitar.

Puedes habilitar o inhabilitar los tipos de permisos para los servicios con la consola deGoogle Cloud o invocando la API.

La mayoría de las APIs de Google Cloud solo verifican si el emisor tiene un único permiso de IAM. Si el tipo de permiso asociado con ese permiso está habilitado para el servicio cuya API se llama, la API genera un registro de auditoría.

En las siguientes secciones, se describen, en general, otras formas en que los métodos de la API de Google Cloud verifican los permisos de IAM. Para obtener información específica del servicio sobre qué métodos se verifican para qué tipos de permisos, consulta la documentación de registro de auditoría del servicio.

Verificación de permisos de IAM para los tipos de permisos de acceso a los datos

Algunos métodos de la API de Google Cloud verifican si el emisor tiene varios permisos de IAM con diferentes tipos de permisos de acceso a los datos. Se escribe un registro de auditoría cuando se habilita uno de esos tipos de permisos de acceso a los datos en el proyecto.

Por ejemplo, un método de API puede verificar que la principal que emite una solicitud a la API tenga los permisos example.resource.get (DATA_READ) y example.resource.write (DATA_WRITE). El proyecto solo necesita que DATA_WRITE o DATA_READ estén habilitados para que el servicio emita el registro de auditoría cuando se emita la llamada.

Tipos de permisos de IAM de actividad del administrador y acceso a los datos verificados

Algunos métodos de la API de Google Cloud verifican un permiso de IAM que tiene el tipo de permiso ADMIN_WRITE y uno o más permisos que tienen un tipo de permiso de acceso a los datos.

Estos tipos de llamadas a la API emiten registros de auditoría de la actividad del administrador, que están activados de forma predeterminada y no se pueden inhabilitar.

El método de la API verifica los permisos de IAM que no pertenecen al servicio

Algunos servicios de Google Cloud tienen métodos de API que generan un registro de auditoría solo cuando se habilita un tipo de permiso específico para un servicio diferente.

Por ejemplo, la Facturación de Cloud tiene un método de API que verifica un tipo de permiso ADMIN_READ que pertenece a Resource Manager. Se debe habilitar ADMIN_READ para el servicio cloudresourcemanager.googleapis.com con el objetivo de habilitar el registro de auditoría asociado con la API de Cloud Billing.

El mismo método de la API verifica diferentes permisos de IAM

En algunas APIs de Google Cloud , la forma en que se llama al método determina qué tipos de permisos de IAM se deben habilitar en el proyecto para que se genere un registro de auditoría.

Por ejemplo, Spanner tiene un método de API que, a veces, verifica un permiso de IAM con el tipo DATA_WRITE y, otras veces, verifica un permiso de IAM con el tipo DATA_READ, según cómo se llame al método. En este caso, habilitar DATA_WRITE para Spanner en el proyecto de la llamada a la API solo habilita el registro de auditoría asociado con la API cuando se verifica el permiso de IAM con el tipo DATA_WRITE.

Configuración específica del servicio

Si hay una Google Cloud configuración para todo el servicio (allServices) y una configuración para un servicio específico ( Google Cloud ), la configuración resultante para el servicio es la unión de las dos configuraciones. En otras palabras:

• Puedes habilitar los registros de auditoría de acceso a los datos para servicios específicos de Google Cloud, pero no puedes inhabilitarlos para los servicios deGoogle Cloud que están habilitados en la configuración más amplia.

• Puedes agregar tipos de información adicionales al registro de auditoría de acceso a los datos de un servicio de Google Cloud, pero no puedes quitar los tipos de información que se especifican en la configuración más amplia.

• Puedes agregar principales a las listas de exenciones, pero no puedes quitarlas de las listas de exenciones en la configuración más amplia.

• En el Servicio de transferencia de datos de BigQuery, la configuración de los registros de auditoría de acceso a los datos se hereda de la configuración predeterminada de los registros de auditoría.

Los servidores de MCP de Google Cloud escriben registros de auditoría de acceso a los datos que son específicos del servicio y usan el formato SERVICE_NAME.googleapis.com/mcp. Puedes habilitar estos registros de acceso a los datos activando los registros de auditoría para mcp.googleapis.com en el objeto AuditConfig de IAM. Para obtener más información sobre los registros de auditoría de los servidores de MCP de Google Cloud, consulta Registros de auditoría de los servidores de MCP de Google Cloud.

Google Cloud parámetro de configuración de recursos

Puedes configurar los registros de auditoría de acceso a los datos para los proyectos de Google Cloud , las cuentas de facturación, las carpetas y las organizaciones. Si hay una configuración para un servicio deGoogle Cloud en toda la jerarquía, la configuración resultante es la unión de las configuraciones. En otras palabras, a nivel del proyecto deGoogle Cloud :

• Puedes habilitar los registros para un servicio de Google Cloud , pero no puedes inhabilitarlos en un servicio de Google Cloud que esté habilitado en una organización o carpeta superior.

• Puedes habilitar tipos de información, pero no puedes inhabilitar los tipos de información que están habilitados en una organización o carpeta superior.

• Puedes agregar principales a las listas de exenciones, pero no puedes quitarlas de las listas de exenciones en una organización o carpeta superior.

• A nivel de la organización o carpeta superior, puedes habilitar los registros de auditoría de acceso a los datos para un proyecto de Google Cloud dentro de esa organización o carpeta, incluso si no se configuraron los registros de auditoría de acceso a los datos en el proyecto deGoogle Cloud .

Control de acceso

Las funciones y los permisos de la administración de identidades y accesos rigen el acceso a los datos de Logging, incluida la visualización y la administración de las políticas de IAM subyacentes de las configuraciones de registro de auditoría de acceso a los datos.

Para ver o establecer las políticas asociadas con la configuración de acceso a los datos, necesitas una función con permisos en el nivel de recursos adecuado. Para obtener instrucciones sobre cómo otorgar estos roles a nivel de recurso, consulta Administra el acceso a proyectos, carpetas y organizaciones de Google Cloud .

• Para establecer las políticas de IAM, necesitas una función con el permiso resourcemanager.RESOURCE_TYPE.setIamPolicy.

• Para ver las políticas de IAM, necesitas una función con el permiso resourcemanager.RESOURCE_TYPE.getIamPolicy.

  Importante: Cuando veas la configuración de acceso a los datos en la consola de Google Cloud a nivel de proyecto o carpeta de Google Cloud , si no tienes el permiso getIamPolicy para una organización o carpeta superior, no se mostrará ninguna configuración de acceso a los datos presente en esas entidades principales en la consola de Google Cloud . Esos parámetros de configuración de acceso a los datos se siguen aplicando a todas las llamadas a la API en el proyecto o la carpeta de Google Cloud que estás viendo.

Para obtener la lista de los permisos y los roles que necesitas para ver los registros de auditoría de acceso a los datos, consulta Control de acceso con IAM.

Configura registros de auditoría de acceso a los datos con la consola de Google Cloud

En esta sección, se explica cómo usar la consola de Google Cloud para configurar los registros de auditoría de acceso a datos.

También puedes usar la API o Google Cloud CLI para realizar estas tareas de manera programática. Consulta Configura los registros de auditoría de acceso a los datos con la API para obtener más detalles.

Para acceder a las opciones de configuración de los registros de auditoría en la consola de Google Cloud , sigue estos pasos:

1. En la consola de Google Cloud , ve a la página Registros de auditoría:

   Ir a Registros de auditoría

   Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuyo subtítulo es IAM y administrador.

2. Elige una organización, un proyecto o una carpeta de Google Cloud existentes.

Habilita registros de auditoría

Para habilitar los registros de auditoría de acceso a los datos, haz lo siguiente:

1. En la tabla Configuración de los registros de auditoría de acceso a los datos, selecciona uno o más servicios deGoogle Cloud en la columna Servicio.

2. En la pestaña Tipos de permisos, selecciona los tipos de registros de auditoría de acceso a los datos que quieres habilitar para los servicios seleccionados.

3. Haz clic en Guardar.

Cuando hayas habilitado correctamente los registros de auditoría, la tabla incluirá un ícono de Verificación.

En el siguiente ejemplo, verás que, para el servicio de Aprobación de acceso, el tipo de registro de auditoría Lectura de datos está habilitado:

También puedes habilitar los registros de auditoría para todos los servicios de Google Cloud que producen registros de auditoría de acceso a los datos. En la tabla Configuración de los registros de auditoría de acceso a los datos, selecciona todos los servicios de Google Cloud .

Ten en cuenta que este método de configuración masiva solo se aplica a los servicios de Google Cloud que están disponibles para tu recurso. Si se agrega un servicio deGoogle Cloud nuevo, este hereda tu configuración de auditoría predeterminada.

Inhabilita registros de auditoría de acceso a los datos

Para inhabilitar los registros de auditoría de acceso a los datos, haz lo siguiente:

1. En la tabla Configuración de los registros de auditoría de acceso a los datos, selecciona uno o más servicios deGoogle Cloud .

2. En la pestaña Tipos de registro del panel de información, selecciona los tipos de registros de auditoría de acceso a los datos que deseas inhabilitar para los servicios seleccionados.

3. Haz clic en Guardar.

Cuando inhabilitas correctamente los registros de auditoría de acceso a los datos, la tabla lo indica con un guion. Los registros de auditoría de acceso a los datos habilitados se indican con un ícono de Verificación.

Establece exenciones

Puedes establecer exenciones para controlar qué principales generan registros de auditoría de acceso a los datos para servicios específicos. Cuando agregas una principal exenta, no se crean registros de auditoría para ella en los tipos de registros seleccionados.

Precaución: Si agregas una principal exenta a un servicio para un tipo de registro de auditoría, se habilitará el tipo de registro de auditoría, incluso si se inhabilitó antes.

Para establecer exenciones, haz lo siguiente:

1. En la tabla Configuración de los registros de auditoría de acceso a los datos, selecciona un servicio deGoogle Cloud en la columna Servicio.

2. Selecciona la pestaña Principales exentas en el panel de información.

3. En Agregar principal exenta, ingresa la principal que deseas eximir de generar registros de auditoría de acceso a los datos para el servicio seleccionado.

   Puedes agregar varias principales haciendo clic en el botón Agregar principal exenta tantas veces como sea necesario.

   Para obtener una lista de principales válidos, incluidos usuarios y grupos, consulta la referencia de tipo Binding.

4. En Tipos de registros inhabilitados, selecciona los tipos de registros de auditoría de acceso a los datos que quieres inhabilitar.

5. Haz clic en Guardar.

Cuando agregas principales exentas a un servicio de forma correcta, la tabla Configuración de los registros de auditoría de acceso a los datos lo indica con un número en la columna Principales exentas.

Para quitar una principal de tu lista de exenciones, haz lo siguiente:

1. En la tabla Configuración de los registros de auditoría de acceso a los datos, selecciona un servicio deGoogle Cloud en la columna Servicio.

2. Selecciona la pestaña Principales exentas en el panel de información.

3. Mantén el puntero sobre el nombre de una principal y, luego, selecciona Borrar.

4. Después de que el nombre de la principal se muestre en texto tachado, haz clic en Guardar.

Para editar la información de un principal exento, haz lo siguiente:

1. En la tabla Configuración de los registros de auditoría de acceso a los datos, selecciona un servicio deGoogle Cloud en la columna Servicio.

2. Selecciona la pestaña Principales exentas en el panel de información.

3. Busca la principal y selecciona expandir Mostrar más.

4. Selecciona o anula la selección de los tipos de registros de auditoría de acceso a los datos según corresponda para la principal.

5. Haz clic en Guardar.

Establece la configuración predeterminada

Puedes establecer una configuración que hereden todos los servicios de Google Cloud nuevos y existentes en tu proyecto, carpeta u organización de Google Cloud . La configuración predeterminada se aplica si un servicio de Google Cloud nuevo está disponible y los principales de tu organización comienzan a usarlo: el servicio hereda la política de registro de auditoría que ya configuraste para otros servicios deGoogle Cloud , lo que garantiza que se capturen los registros de auditoría de acceso a los datos.

Para establecer o editar la configuración predeterminada, haz lo siguiente:

1. Haz clic en Establecer configuración predeterminada.

2. En la pestaña Tipos de registro del panel de información, selecciona los tipos de registros de auditoría de acceso a los datos que deseas habilitar o inhabilitar.

3. Haz clic en Guardar.

4. Selecciona la pestaña Principales exentas en el panel de información.

5. En Agregar principal exenta, ingresa la principal que deseas eximir de generar registros de auditoría de acceso a los datos para el servicio seleccionado.

   Puedes agregar varias principales haciendo clic en el botón Agregar principal exenta tantas veces como sea necesario.

   Para obtener una lista de principales válidos, incluidos usuarios y grupos, consulta la referencia de tipo Binding.

6. En Tipos de registros inhabilitados, selecciona los tipos de registros de auditoría de acceso a los datos que quieres inhabilitar.

7. Haz clic en Guardar.

Configura registros de auditoría de acceso a los datos con la API

En esta sección, se explica cómo usar la API y gcloud CLI para configurar los registros de auditoría de acceso a los datos de manera programática.

Muchas de estas tareas también se pueden realizar con la consola de Google Cloud . Para obtener instrucciones, consulta Configura los registros de auditoría de acceso a los datos con la consola de Google Cloud en esta página.

Algunos servicios de BigQuery, como la API de BigQuery Reservation, requieren que habilites de forma explícita los registros de auditoría de acceso a los datos. Para habilitar los registros de auditoría de acceso a los datos de la API de BigQuery Reservation, debes editar tu configuración para habilitar los registros de auditoría de ADMIN_READ para bigquery.googleapis.com.

Objetos de la política de IAM

Para configurar los registros de auditoría de acceso a los datos con la API, debes editar la política de IAM asociada con tu organización, carpeta o proyecto de Google Cloud . La configuración del registro de auditoría se encuentra en la sección auditConfigs de la política:

"auditConfigs": [
  {
    object(AuditConfig)
  }
]

Para obtener más detalles, consulta el tipo de Política de IAM.

En las siguientes secciones se describe el objeto AuditConfig con más detalle. Para ver los comandos de la API y de gcloud CLI que se usan para cambiar la configuración, consulta la sección titulada getIamPolicy y setIamPolicy.

AuditConfig objetos

La configuración del registro de auditoría consta de una lista de objetos AuditConfig. Cada objeto configura los registros de un servicio o establece una configuración más amplia para todos los servicios. Cada objeto se ve de la siguiente manera:

{
  "service": SERVICE_NAME,
  "auditLogConfigs": [
    {
      "logType": "ADMIN_READ"
      "exemptedMembers": [ PRINCIPAL,]
    },
    {
      "logType": "DATA_READ"
      "exemptedMembers": [ PRINCIPAL,]
    },
    {
      "logType": "DATA_WRITE"
      "exemptedMembers": [ PRINCIPAL,]
    },
  ]
},

SERVICE_NAME tiene un valor como "appengine.googleapis.com" o es el valor especial, "allServices". Si una configuración no menciona un servicio en particular, entonces se usa la configuración más amplia para ese servicio. Si no hay ninguna configuración, los registros de auditoría de acceso a los datos no están habilitados para ese servicio. Para obtener una lista de los nombres de los servicios, consulta Servicios de registro.

La sección auditLogConfigs del objeto AuditConfig es una lista de 0 a 3 objetos, cada uno de los cuales configura un tipo de información de registro de auditoría. Si omites uno de los tipos de la lista, ese tipo de información no estará habilitado para el servicio.

PRINCIPAL es un usuario para el que no se recopilan registros de auditoría de acceso a los datos. El tipo Binding describe diferentes tipos de principales, incluidos usuarios y grupos, pero no todos se pueden usar para configurar los registros de auditoría de acceso a los datos.

A continuación, se presenta un ejemplo de una configuración de auditoría en formatos JSON y YAML. El formato YAML es el predeterminado cuando se usa Google Cloud CLI.

JSON

"auditConfigs": [
  {
    "auditLogConfigs": [
      {
        "logType": "ADMIN_READ"
      },
      {
        "logType": "DATA_WRITE"
      },
      {
        "logType": "DATA_READ"
      }
    ],
    "service": "allServices"
  },
  {
    "auditLogConfigs": [
      {
        "exemptedMembers": [
          "[e-mail]"
        ],
        "logType": "ADMIN_READ"
      }
    ],
    "service": "cloudsql.googleapis.com"
  }
],

YAML

auditConfigs:
- auditLogConfigs:
  - logType: ADMIN_READ
  - logType: DATA_WRITE
  - logType: DATA_READ
  service: allServices
- auditLogConfigs:
  - exemptedMembers:
    - [e-mail]
    logType: ADMIN_READ
  service: cloudsql.googleapis.com

Configuraciones comunes

A continuación, se muestran algunas configuraciones comunes de registros de auditoría para los proyectos de Google Cloud .

Habilita todos los registros de auditoría de acceso a los datos

En la siguiente sección auditConfigs, se habilitan los registros de auditoría de acceso a los datos para todos los servicios y las principales:

JSON

"auditConfigs": [
      {
        "service": "allServices",
        "auditLogConfigs": [
          { "logType": "ADMIN_READ" },
          { "logType": "DATA_READ"  },
          { "logType": "DATA_WRITE" },
        ]
      },
    ]

YAML

auditConfigs:
- auditLogConfigs:
  - logType: ADMIN_READ
  - logType: DATA_WRITE
  - logType: DATA_READ
  service: allServices

Habilita un tipo de información y servicio

La siguiente configuración habilita los registros de auditoría de acceso a los datos de DATA_WRITE para Cloud SQL:

JSON

"auditConfigs": [
  {
    "service": "cloudsql.googleapis.com",
    "auditLogConfigs": [
      { "logType": "DATA_WRITE" },
    ]
  },
]

YAML

auditConfigs:
- auditLogConfigs:
  - logType: DATA_WRITE
  service: cloudsql.googleapis.com

Inhabilita todos los registros de auditoría de acceso a los datos

Para inhabilitar todos los registros de auditoría de acceso a los datos (excepto algunos registros de BigQuery) en un proyecto de Google Cloud , incluye una sección auditConfigs: vacía en tu nueva política de IAM:

JSON

"auditConfigs": [],

YAML

auditConfigs:

Si quitas la sección auditConfigs por completo de tu política nueva, setIamPolicy no cambia la configuración existente de los registros de auditoría de acceso a los datos. Para obtener más información, consulta la sección titulada La máscara de actualización setIamPolicy.

No se pueden inhabilitar los registros de auditoría de acceso a los datos de BigQuery.

getIamPolicy y setIamPolicy

Usa los métodos getIamPolicy y setIamPolicy de la API de Cloud Resource Manager para leer y escribir tu política de IAM. Puedes elegir entre diferentes opciones para los métodos específicos que usarás:

• La API de Cloud Resource Manager tiene los siguientes métodos:

  projects.getIamPolicy
  projects.setIamPolicy
  organizations.getIamPolicy
  organizations.setIamPolicy
  

• La Google Cloud CLI tiene los siguientes comandos de Resource Manager:

  gcloud projects get-iam-policy
  gcloud projects set-iam-policy
  gcloud resource-manager folders get-iam-policy
  gcloud resource-manager folders set-iam-policy
  gcloud organizations get-iam-policy
  gcloud organizations set-iam-policy
  gcloud beta billing accounts get-iam-policy
  gcloud beta billing accounts set-iam-policy
  

Nota: Cuando llamas a projects.getIamPolicy o projects get-iam-policy, el resultado solo muestra las políticas establecidas en el proyecto Google Cloud , no las políticas heredadas de una organización o carpeta superior.

Independientemente de tu elección, sigue estos tres pasos:

1. Lee la política actual mediante uno de los métodos getIamPolicy. Guarda la política en un archivo temporal.
2. Edita la política en el archivo temporal. Cambia (o agrega) solo la sección auditConfigs.
3. Escribe la política editada en el archivo temporal mediante uno de los métodos setIamPolicy.

setIamPolicy falla si Resource Manager detecta que otra persona cambió la política después de que la leíste en el primer paso. Si esto sucede, repite los tres pasos.

Precaución: Tu política de IAM editada reemplazará la política actual. Si cambias partes de la política que no estén relacionadas con el registro de auditoría, esto podría hacer que tu proyecto deGoogle Cloud sea inaccesible.

Ejemplos

En los siguientes ejemplos, se muestra cómo configurar los registros de auditoría de acceso a los datos de tu proyecto con el comando de gcloud y la API de Cloud Resource Manager.

A fin de configurar los registros de auditoría de acceso a datos de la organización, reemplaza la versión de "proyectos" de los comandos y los métodos de la API con la versión de "organizaciones".

Precaución: Sigue las instrucciones con cuidado. Editas un objeto de la política que contiene información importante sobre quién puede acceder a tu recurso. La alteración accidental de esa información podría hacer que tu recurso se vuelva inutilizable.

gcloud

Para configurar los registros de auditoría de acceso a datos con el comando gcloud projects, haz lo siguiente:

1. Lee la política de IAM de tu proyecto y almacénala en un archivo.

   gcloud projects get-iam-policy PROJECT_ID > /tmp/policy.yaml
   

   A continuación, se muestra la política de devoluciones. Esta política no tiene una sección auditConfigs:

   bindings:
   - members:
     - user:[e-mail]
     role: roles/editor
   - members:
     - user:[e-mail]
     role: roles/owner
   etag: BwVM-FDzeYM=
   version: 1
   

2. Edita la política en /tmp/policy.yaml. Para ello, agrega o cambia solo la configuración de los registros de auditoría de acceso a datos.

   Precaución: Debes conservar las secciones bindings: y etag: sin cambios. De lo contrario, tu proyecto de Google Cloud podría volverse inutilizable. Para obtener más información, consulta Máscara de actualización de setIamPolicy en esta página.

   A continuación, se muestra un ejemplo de tu política editada, que habilita los registros de auditoría de acceso a los datos de escritura de datos de Cloud SQL:

   auditConfigs:
   - auditLogConfigs:
     - logType: DATA_WRITE
     service: cloudsql.googleapis.com
   bindings:
   - members:
     - user:[e-mail]
     role: roles/editor
   - members:
     - user:[e-mail]
     role: roles/owner
   etag: BwVM-FDzeYM=
   version: 1
   

   Como se muestra en el ejemplo anterior, se agregaron cuatro líneas al principio de la política.

3. Escribe tu nueva política de IAM:

   gcloud projects set-iam-policy PROJECT_ID /tmp/policy.yaml
   

   Si el comando anterior informa un conflicto con otro cambio, repite estos pasos y comienza con el primero.

JSON

Para trabajar con tu política de IAM en formato JSON en lugar de YAML, reemplaza los siguientes comandos gcloud en el ejemplo:

gcloud projects get-iam-policy PROJECT_ID --format=json >/tmp/policy.json
gcloud projects set-iam-policy PROJECT_ID /tmp/policy.json

API

Para configurar tus registros de auditoría de acceso a los datos con la API de Cloud Resource Manager, haz lo siguiente:

1. Lee la política de IAM de tu proyecto en la que se especifican los siguientes parámetros del método de la API getIamPolicy:

   • Recurso: projects/PROJECT_ID
   • Cuerpo de la solicitud: vacío

   El método devuelve el objeto de política actual:

   {
     "version": 1,
     "etag": "BwXqwxkr40M=",
     "bindings": [
       {
         "role": "roles/owner",
         "members": [
           "user:[e-mail]"
         ]
       }
     ]
   }
   

   En el ejemplo anterior, se muestra que la política del proyecto no tiene una sección auditConfigs.

2. Edita la política actual:

   • Cambia o agrega la sección auditConfigs.

     Si deseas inhabilitar tus registros de auditoría de acceso a los datos, incluye un valor vacío para la sección: auditConfigs:[].

   • Conserva el valor de etag.

   También puedes quitar toda la demás información del objeto de política nuevo, siempre y cuando tengas la precaución de configurar updateMask en el paso siguiente. A continuación, se muestra la política editada, que habilita los registros de auditoría de DATA_WRITE de Cloud SQL:

   {
     "policy": {
       "auditConfigs": [
         {
           "auditLogConfigs": [
             {
               "logType": "DATA_WRITE"
             }
           ],
           "service": "cloudsql.googleapis.com"
         }
       ],
       "etag": "BwXqwxkr40M="
     },
     "updateMask": "auditConfigs,etag"
   }
   

3. Escribe la política nueva con el método de la API setIamPolicy y especifica los siguientes parámetros:

   • Recurso: projects/PROJECT_ID
   • Cuerpo de la solicitud: Incluye la política editada.

Precaución: Debes especificar el parámetro updateMask como se muestra. Si no especificas updateMask, es posible que pierdas todo el acceso a tu proyecto deGoogle Cloud . Para obtener más información, consulta la siguiente sección, La máscara de actualización setIamPolicy.

La máscara de actualización setIamPolicy

En esta sección, se explica la importancia del parámetro updateMask en el método setIamPolicy y por qué debes tener cuidado con el comando set-iam-policy de gcloud CLI para no causar daños accidentales a tu proyecto u organización de Google Cloud .

El método de la API setIamPolicy usa un parámetro updateMask para controlar qué campos de la política se actualizan. Por ejemplo, si la máscara no contiene bindings, no puedes cambiar esa sección de la política por error. Por otro lado, si la máscara contiene bindings, esa sección siempre se actualiza. Si no incluyes un valor actualizado para bindings, esa sección se quita por completo de la política.

El comando gcloud projects set-iam-policy, que llama a setIamPolicy, no te permite especificar el parámetro updateMask. En su lugar, el comando calcula un valor para updateMask de la siguiente manera:

• La updateMask siempre contiene los campos bindings y etag.
• Si el objeto de política proporcionado en set-iam-policy contiene algún otro campo de nivel superior, como auditConfigs, esos campos se agregan a updateMask.

Como consecuencia de estas reglas, el comando set-iam-policy tiene los siguientes comportamientos:

• Si omites la sección auditConfigs en tu política nueva, el valor anterior de la sección auditConfigs (si existe) no se modifica porque esa sección no está en la máscara de actualización. Esto es inofensivo, pero puede ser confuso.

• Si omites bindings en tu objeto de política nuevo, la sección bindings se quitará de tu política, ya que esta sección aparece en la máscara de actualización. Esto es muy perjudicial y hace que todas las principales pierdan el acceso a tu proyecto de Google Cloud .

• Si omites etag en tu nuevo objeto de política, esto inhabilita la verificación de cambios simultáneos en tu política y podría dar como resultado cambios que reemplacen de manera accidental los cambios de otra persona.