Visualiza y administra los registros de auditoría de Google Workspace

Puedes configurar, ver y enrutar los registros de auditoría de Google Workspace a Google Cloud para supervisar la actividad de los usuarios y los administradores en tu organización. Enrutar estos registros de auditoría a Google Cloud te ayuda a diagnosticar y resolver problemas relacionados con la seguridad de los datos y el cumplimiento.

Para obtener una descripción general de los registros de auditoría de Google Workspace, consulta Registros de auditoría para Google Workspace.

Descripción general

Puedes compartir los registros de auditoría con tu organización de Google Cloud con tu cuenta empresarial de Google Workspace, Cloud Identity o Google Drive Enterprise. Puedes acceder a los registros de auditoría compartidos a través de Cloud Logging en Google Cloud.

Puedes acceder a los registros de auditoría de Google Workspace, Cloud Identity y Google Drive Enterprise de los siguientes servicios en Google Cloud:

  • Registros de auditoría del administrador
  • Registros de auditoría de Grupos de Enterprise
  • Registros de auditoría de acceso
  • Registros de auditoría de tokens de OAuth
  • Registros de auditoría de SAML

Para obtener más información sobre los registros de auditoría de estos servicios, consulta Información específica del servicio.

Antes de comenzar

Para ver los registros de auditoría de Google Workspace en Google Cloud, asegúrate de tener los permisos correctos para ver los registros de auditoría de Google Workspace.

Los permisos y roles de IAM determinan tu capacidad para acceder a los datos de los registros de auditoría en la API de Logging, el Explorador de registros y la Google Cloud CLI.

Para obtener información detallada sobre los permisos y roles de IAM a nivel de la organización que podrías necesitar, consulta Control de acceso con IAM de Cloud Logging.

Consulta los registros de auditoría en la Consola del administrador de Google

Puedes ver los registros de auditoría de Google Workspace directamente en la Consola del administrador de Google. Para obtener información sobre cómo ver estos registros de auditoría, consulta los siguientes temas:

Comparte registros de auditoría con Google Cloud

Para habilitar el uso compartido de datos de Google Workspace con Google Cloud desde tu cuenta empresarial de Google Workspace, Cloud Identity o Google Drive Enterprise, sigue las instrucciones que se indican en Comparte datos con los servicios de Google Cloud .

Después de habilitar el uso compartido de datos de Google Workspace con Google Cloud, Google Cloud recibe todos los registros de auditoría de Google Workspace. Para excluir ciertos registros de auditoría de Google Cloud, configura receptores con filtros de exclusión. No puedes usar la página de IAM en la consola de Google Cloud para inhabilitar de forma selectiva el uso compartido de los datos.

Visualiza los registros de auditoría de Google Workspace en Google Cloud

Para ver los registros de auditoría de Google Workspace en Logging, usa el lenguaje de consulta de Logging para seleccionar datos. Como mínimo, debes conocer el identificador de tu organización deGoogle Cloud . Además, puedes especificar otros campos LogEntry indexados, como resource.type, y filtrar por tipos de eventos.

Estos son los nombres de los registros de auditoría que se aplican a Google Workspace:

En los nombres de registro anteriores, ORGANIZATION_ID hace referencia a la organización deGoogle Cloud cuyos registros de auditoría quieres ver.

Tienes varias opciones para ver tus entradas de registro de auditoría:

Console

Para recuperar las entradas del registro de auditoría de tu organización de Google Cloud con el Explorador de registros de la consola de Google Cloud , haz lo siguiente:

  1. En la consola de Google Cloud , ve a la página Explorador de registros del :

    Ir al Explorador de registros

    Si usas la barra de búsqueda para encontrar esta página, selecciona el resultado cuyo subtítulo es Logging.

  2. En el menú Selector de proyectos, selecciona una organización.

  3. En el menú desplegable Recurso, selecciona el tipo de recurso cuyos registros de auditoría quieres ver.

  4. En el menú desplegable Nombre del registro, selecciona data_access si deseas ver los registros de auditoría de acceso a los datos o activity para ver los registros de auditoría de actividad del administrador.

    Si no ves estas opciones, se debe a que estos registros de auditoría no están disponibles en la organización en este momento.

  5. Opcional: Puedes crear un filtro en el panel Compilador de consultas para especificar aún más los registros que deseas ver. Para obtener más información sobre cómo consultar registros, consulta Compila consultas.

API

Para leer tus entradas de registro de auditoría con la API de Logging, sigue estos pasos:

  1. Ve a la sección Probar esta API en la documentación del método entries.list.

  2. Ingresa lo siguiente en la parte Cuerpo de la solicitud del formulario Probar esta API. Si haces clic en este formulario prepropagado, se completará el cuerpo de la solicitud de manera automática, pero deberás proporcionar un ORGANIZATION_ID válido para cada nombre de registro.

          {
        "resourceNames": [
          "organizations/ORGANIZATION_ID"
        ],
        "pageSize": 5,
        "filter": "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com"
      }

  3. Haz clic en Ejecutar.

Si deseas obtener más detalles sobre cómo usar la API de Logging para leer registros, consulta Lenguaje de consulta de Logging.

gcloud

Google Cloud CLI proporciona una interfaz de línea de comandos para la API de Cloud Logging. Para leer las entradas de registros de auditoría, ejecuta el siguiente comando:

    gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com"

Reemplaza ORGANIZATION_ID en cada uno de los nombres de registro por el ID de la organización de Google Cloud para la que deseas leer los registros de auditoría.

Para obtener más información sobre este comando, consulta la referencia de gcloud logging read.

Cada servicio de Google Workspace que proporciona registros de auditoría captura eventos específicos del servicio. Si deseas leer los registros de un evento auditado en particular, como un acceso exitoso o acceso revocado, agrega lo siguiente al filtro y proporciona un EVENT_NAME válido:

protoPayload.metadata.event.eventName="EVENT_NAME"
resource.type="audited_resource"

Para obtener una lista de nombres de eventos válidos y sus parámetros, consulta la documentación de la API de informes y selecciona uno de los servicios mencionados.

Por ejemplo, si deseas leer los registros de cada vez que el servicio de acceso informa que se cambió la contraseña de una cuenta, el filtro se vería de la siguiente manera:

protoPayload.metadata.event.eventName="password_edit"
resource.type="audited_resource"

Enruta registros de auditoría desde Google Cloud

Después de que los registros de auditoría de Google Workspace estén en Google Cloud, puedes enrutarlos a destinos compatibles. Por ejemplo, puedes crear un receptor para enrutar registros a Splunk o BigQuery. Para obtener una descripción general conceptual de cómo se enrutan los registros desde Cloud Logging, consulta Descripción general del enrutamiento y el almacenamiento.

Debido a que los registros de auditoría de Google Workspace son registros a nivel de la organización, los enrutas con receptores agregados a nivel de la organización a estos destinos:

Para obtener instrucciones sobre cómo configurar receptores para enrutar registros, consulta Recopila y enruta registros a nivel de la organización a destinos compatibles.

Personaliza el período de retención de datos

Los períodos de retención de Cloud Logging se aplican a los registros de auditoría que almacenas en los buckets de registros.

Para conservar los registros de auditoría durante más tiempo que los períodos de retención predeterminados, puedes configurar la retención personalizada.

¿Qué sigue?