Visualizzare e gestire gli audit log per Google Workspace

Questo documento descrive come configurare, visualizzare ed esportare gli audit log per Google Workspace in Google Cloud. Se indirizzi gli audit log a Google Cloud, puoi diagnosticare e risolvere i problemi comuni relativi alla sicurezza e alla conformità dei dati.

Per una discussione concettuale sugli audit log di Google Workspace, vedi Audit log per Google Workspace.

Panoramica

Puoi condividere i log di controllo con la tua Google Cloud organizzazione utilizzando il tuo account Google Workspace, Cloud Identity o Google Drive Enterprise. Puoi accedere agli audit log condivisi tramite Cloud Logging in Google Cloud.

Puoi accedere ai log di controllo di Google Workspace, Cloud Identity e Google Drive Enterprise dei seguenti servizi in Google Cloud:

Audit log amministrativi
Log di controllo di Enterprise Groups
Log di controllo degli accessi
Log di controllo dei token OAuth
Log di controllo SAML

Per ulteriori informazioni sui log di controllo di questi servizi, consulta Informazioni specifiche del servizio.

Prima di iniziare

Per visualizzare gli audit log di Google Workspace in Google Cloud, assicurati di disporre delle autorizzazioni corrette per visualizzare gli audit log di Google Workspace.

I ruoli e le autorizzazioni IAM determinano la tua capacità di accedere ai dati degli audit log nell'API Logging, in Esplora log e in Google Cloud CLI.

Per informazioni dettagliate sui ruoli e sulle autorizzazioni IAM a livello di organizzazione di cui potresti aver bisogno, consulta Controllo dell'accesso con IAM.

Visualizzare i log di controllo nella Console di amministrazione Google

Puoi visualizzare i log di controllo di Google Workspace direttamente nella Console di amministrazione Google. Per scoprire come visualizzare questi log di controllo, consulta i seguenti argomenti:

Condividi i log di controllo con Google Cloud

Per attivare la condivisione dei dati di Google Workspace con Google Cloud dal tuo account Google Workspace, Cloud Identity o Google Drive Enterprise, segui le istruzioni riportate in Condividere i dati con i servizi Google Cloud .

Dopo aver attivato la condivisione dei dati di Google Workspace con Google Cloud, Google Cloud riceve tutti gli audit log per Google Workspace. Per escludere determinati log di controllo da Google Cloud, configura i sink con filtri di esclusione. Non puoi utilizzare la pagina IAM nella console Google Cloud per disattivare selettivamente la condivisione dei dati.

Visualizzare gli audit log per Google Workspace in Google Cloud

Per visualizzare i log di controllo per Google Workspace in Logging, utilizza il linguaggio di query di Logging per selezionare i dati. Come minimo, devi conoscere l'identificatore della tua organizzazioneGoogle Cloud . Puoi specificare ulteriormente altri campi LogEntry indicizzati, ad esempio resource.type, e filtrare in base ai tipi di eventi.

Di seguito sono riportati i nomi degli audit log che si applicano a Google Workspace:

Audit log dell'accesso ai dati:

organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access

Audit log delle attività di amministrazione:

organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity

Nei nomi dei log precedenti, ORGANIZATION_ID si riferisce all'Google Cloud organizzazione per cui vuoi visualizzare gli audit log.

Hai diverse opzioni per visualizzare le voci dell'audit log:

Console

Per ottenere le voci di audit log per la tua organizzazione Google Cloud utilizzando Esplora log nella console Google Cloud , segui questi passaggi:

Nella console Google Cloud , vai alla pagina Esplora log:
Vai a Esplora log

Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Logging.
Dal menu Selettore di progetti, seleziona un'organizzazione.
Nel menu a discesa Risorsa, seleziona il tipo di risorsa di cui vuoi visualizzare gli audit log.
Nel menu a discesa Nome log, seleziona data_access per gli audit log di accesso ai dati o activity per gli audit log dell'attività di amministrazione.

Se non vedi queste opzioni, significa che questi audit log non sono attualmente disponibili nell'organizzazione.
(Facoltativo) Puoi creare un filtro nel riquadro Query Builder per specificare ulteriormente i log che vuoi visualizzare. Per saperne di più su come eseguire query sui log, consulta Crea query.

API

Per leggere le voci di audit log utilizzando l'API Logging, procedi nel seguente modo:

Vai alla sezione Prova questa API nella documentazione del metodo entries.list.
Inserisci il codice seguente nella sezione Corpo della richiesta del modulo Prova questa API. Facendo clic su questo modulo precompilato, il corpo della richiesta viene compilato automaticamente, ma devi fornire un ORGANIZATION_ID valido in ciascuno dei nomi di log.
```
      {
        "resourceNames": [
          "organizations/ORGANIZATION_ID"
        ],
        "pageSize": 5,
        "filter": "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com"
      }
```
Fai clic su Esegui.

Per saperne di più sull'utilizzo dell'API Logging per leggere i log, consulta Linguaggio di query di Logging.

gcloud

Google Cloud CLI fornisce un'interfaccia a riga di comando per l'API Cloud Logging. Per leggere le voci di audit log, esegui il comando seguente:

    gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com"

Sostituisci ORGANIZATION_ID in ciascuno dei nomi dei log con l'ID dell' Google Cloud organizzazione per cui vuoi leggere gli audit log.

Per ulteriori informazioni su questo comando, consulta il riferimento gcloud logging read.

Ogni servizio Google Workspace che fornisce audit log acquisisce eventi specifici del servizio. Se vuoi leggere i log di un evento controllato specifico, ad esempio un accesso riuscito o un accesso revocato, aggiungi quanto segue al filtro e fornisci un EVENT_NAME valido:

protoPayload.metadata.event.eventName="EVENT_NAME"
resource.type="audited_resource"

Per un elenco dei nomi degli eventi validi e dei relativi parametri, consulta la documentazione dell'API Reports e seleziona i servizi elencati.

Ad esempio, se vuoi leggere i log ogni volta che il servizio di accesso segnala che è stata modificata la password di un account, il filtro sarà simile a questo:

protoPayload.metadata.event.eventName="password_edit"
resource.type="audited_resource"

Instrada gli audit log da Google Cloud

Una volta inseriti gli audit log per Google Workspace Google Cloud, puoi instradare i log alle destinazioni supportate. Ad esempio, puoi creare un sink per indirizzare i log a Splunk o BigQuery. Per una panoramica concettuale di come vengono instradati i log da Cloud Logging, consulta la panoramica su routing e archiviazione.

Poiché gli audit log per Google Workspace sono log a livello di organizzazione, li indirizzi utilizzando sink aggregati a livello di organizzazione verso queste destinazioni:

Per istruzioni su come configurare i sink per instradare i log, vedi Raccogliere e instradare i log a livello di organizzazione verso destinazioni supportate.

Personalizzare il periodo di conservazione dei dati

I periodi di conservazione di Cloud Logging si applicano agli audit log archiviati nei bucket di log.

Per conservare i log di controllo più a lungo dei periodi di conservazione predefiniti, puoi configurare la conservazione personalizzata.

Passaggi successivi

Risolvi i problemi relativi agli audit log di Google Workspace.
Consulta le best practice per Cloud Audit Logs.
Scopri di più sui log di Access Transparency per Google Workspace.

Visualizzare e gestire gli audit log per Google Workspace Mantieni tutto organizzato con le raccolte Salva e classifica i contenuti in base alle tue preferenze.