Visualizzare e gestire gli audit log per Google Workspace

Puoi configurare, visualizzare e instradare i log di controllo per Google Workspace aGoogle Cloud per monitorare l'attività degli amministratori e l'attività utente nella tua organizzazione. Il routing di questi audit log a Google Cloud ti aiuta a diagnosticare e risolvere i problemi relativi alla sicurezza dei dati e alla conformità.

Per una panoramica degli audit log di Google Workspace, consulta Audit log per Google Workspace.

Panoramica

Puoi condividere i log di controllo con la tua organizzazione Google Cloud utilizzando il tuo account Google Workspace, Cloud Identity o Google Drive Enterprise. Puoi accedere agli audit log condivisi tramite Cloud Logging inGoogle Cloud.

Puoi accedere agli audit log di Google Workspace, Cloud Identity e Google Drive Enterprise dei seguenti servizi in Google Cloud:

  • Audit log amministrativi
  • Log di controllo di Enterprise Groups
  • Log di controllo degli accessi
  • Log di controllo dei token OAuth
  • Log di controllo SAML

Per saperne di più sugli audit log di questi servizi, consulta Informazioni specifiche per i servizi.

Prima di iniziare

Per visualizzare gli audit log di Google Workspace in Google Cloud, assicurati di disporre delle autorizzazioni corrette per visualizzare gli audit log di Google Workspace.

I ruoli e le autorizzazioni IAM determinano la tua capacità di accedere ai dati degli audit log nell'API Logging, in Esplora log e in Google Cloud CLI.

Per informazioni dettagliate sui ruoli e sulle autorizzazioni IAM a livello di organizzazione di cui potresti avere bisogno, consulta Controllo dell'accesso con IAM di Cloud Logging.

Visualizza i log di controllo nella Console di amministrazione Google

Puoi visualizzare i log di controllo per Google Workspace direttamente nella Console di amministrazione Google. Per scoprire come visualizzare questi audit log, consulta i seguenti argomenti:

Condividi gli audit log con Google Cloud

Per attivare la condivisione dei dati di Google Workspace con Google Cloud dal tuo account Google Workspace, Cloud Identity o Google Drive Enterprise, segui le istruzioni riportate in Condividi i dati con i servizi Google Cloud .

Dopo aver attivato la condivisione dei dati di Google Workspace con Google Cloud, Google Cloud riceve tutti i log di controllo per Google Workspace. Per escludere determinati audit log da Google Cloud, configura i sink con filtri di esclusione. Non puoi utilizzare la pagina IAM nella console Google Cloud per disattivare in modo selettivo la condivisione dei dati.

Visualizza i log di controllo per Google Workspace in Google Cloud

Per visualizzare i log di controllo di Google Workspace in Logging, utilizza il linguaggio di query di Logging per selezionare i dati. Come minimo, devi conoscere l'identificatore della tua organizzazioneGoogle Cloud . Puoi specificare ulteriormente altri campi LogEntry indicizzati, come resource.type, e filtrare per tipi di eventi.

Di seguito sono riportati i nomi degli audit log che si applicano a Google Workspace:

Nei nomi dei log precedenti, ORGANIZATION_ID si riferisce all'organizzazioneGoogle Cloud per cui vuoi visualizzare gli audit log.

Hai diverse opzioni per visualizzare le voci degli audit log:

Console

Per ottenere le voci di audit log per la tua organizzazione Google Cloud utilizzando Esplora log nella console Google Cloud , segui questi passaggi:

  1. Nella console Google Cloud , vai alla pagina Esplora log:

    Vai a Esplora log

    Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Logging.

  2. Nel menu Selettore di progetti, seleziona un'organizzazione.

  3. Dal menu a discesa Risorsa, seleziona il tipo di risorsa di cui vuoi visualizzare gli audit log.

  4. Nel menu a discesa Nome log, seleziona data_access per gli audit log di accesso ai dati o activity per gli audit log di Attività di amministrazione.

    Se non vedi queste opzioni, significa che questi audit log non sono attualmente disponibili nell'organizzazione.

  5. (Facoltativo) Puoi creare un filtro nel riquadro Query Builder per specificare ulteriormente i log che vuoi visualizzare. Per scoprire di più sull'esecuzione di query sui log, consulta Crea query.

API

Per leggere le voci di audit log utilizzando l'API Logging, segui questi passaggi:

  1. Vai alla sezione Prova questa API nella documentazione del metodo entries.list.

  2. Inserisci il codice seguente nella sezione Corpo della richiesta del modulo Prova questa API. Facendo clic su questo modulo precompilato, il corpo della richiesta viene compilato automaticamente, ma devi fornire un ORGANIZATION_ID valido in ciascuno dei nomi di log.

          {
        "resourceNames": [
          "organizations/ORGANIZATION_ID"
        ],
        "pageSize": 5,
        "filter": "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com"
      }

  3. Fai clic su Esegui.

Per maggiori dettagli sull'utilizzo dell'API Logging per leggere i log, consulta Linguaggio di query di Logging.

gcloud

Google Cloud CLI fornisce un'interfaccia a riga di comando per l'API Cloud Logging. Per leggere le voci di audit log, esegui il comando seguente:

    gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com"

Sostituisci ORGANIZATION_ID in ciascuno dei nomi dei log con l'ID dell'organizzazione Google Cloud per cui vuoi leggere gli audit log.

Per ulteriori informazioni su questo comando, consulta il riferimento gcloud logging read.

Ogni servizio Google Workspace che fornisce audit log acquisisce eventi specifici del servizio. Se vuoi leggere i log per un determinato evento controllato, ad esempio un accesso riuscito o un accesso revocato, aggiungi quanto segue al filtro e fornisci un EVENT_NAME valido:

protoPayload.metadata.event.eventName="EVENT_NAME"
resource.type="audited_resource"

Per un elenco dei nomi degli eventi validi e dei relativi parametri, consulta la documentazione dell'API Reports e seleziona uno dei servizi elencati.

Ad esempio, se vuoi leggere i log ogni volta che il servizio di accesso segnala che la password dell'account è stata modificata, il filtro sarà simile al seguente:

protoPayload.metadata.event.eventName="password_edit"
resource.type="audited_resource"

Instrada gli audit log da Google Cloud

Una volta che gli audit log di Google Workspace sono in Google Cloud, puoi instradarli alle destinazioni supportate. Ad esempio, puoi creare un sink per instradare i log a Splunk o BigQuery. Per una panoramica concettuale di come i log vengono indirizzati da Cloud Logging, consulta Panoramica su routing e archiviazione.

Poiché gli audit log di Google Workspace sono log a livello di organizzazione, li instradi utilizzando i sink aggregati a livello di organizzazione verso queste destinazioni:

Per istruzioni su come configurare i sink per instradare i log, consulta Raccogli e instrada i log a livello di organizzazione verso destinazioni supportate.

Personalizza il periodo di conservazione dei dati

I periodi di conservazione di Cloud Logging si applicano agli audit log archiviati nei bucket di log.

Per conservare gli audit log per un periodo più lungo rispetto ai periodi di conservazione predefiniti, puoi configurare la conservazione personalizzata.

Passaggi successivi