查看及管理 Google Workspace 稽核記錄

您可以設定、查看及轉送 Google Workspace 的稽核記錄至Google Cloud ，監控整個組織的管理和使用者活動。將這些稽核記錄轉送至 Google Cloud ，有助於診斷及解決資料安全性和法規遵循相關問題。

如要瞭解 Google Workspace 稽核記錄，請參閱「Google Workspace 稽核記錄」。

總覽

您可以使用 Google Workspace、Cloud Identity 或 Google 雲端硬碟企業版公司帳戶，與 Google Cloud 組織共用稽核記錄。您可以透過Google Cloud的 Cloud Logging 存取共用的稽核記錄。

您可以在 Google Cloud中存取下列服務的 Google Workspace、Cloud Identity 和 Google 雲端硬碟企業版稽核記錄：

  • 管理員稽核記錄
  • 企業群組稽核記錄
  • 登入稽核記錄
  • OAuth 權杖稽核記錄
  • SAML 稽核記錄

如要進一步瞭解這些服務的稽核記錄，請參閱「服務專屬資訊」。

事前準備

如要在 Google Cloud中查看 Google Workspace 的稽核記錄，請確認您具備查看 Google Workspace 稽核記錄的適當權限。

IAM 權限和角色會決定您能否存取 Logging API、Logs Explorer 和 Google Cloud CLI 中的稽核記錄資料。

如要進一步瞭解可能需要的組織層級 IAM 權限和角色，請參閱 Cloud Logging 的「使用 IAM 控管存取權」一文。

在 Google 管理控制台中查看稽核記錄

您可以直接在 Google 管理控制台中查看 Google Workspace 的稽核記錄。如要瞭解如何查看這些稽核記錄，請參閱下列主題：

與 Google Cloud分享稽核記錄

如要啟用與 Google Cloud 共用 Google Workspace 資料的功能，請按照「與 Google Cloud 服務共用資料」一文中的操作說明，從 Google Workspace、Cloud Identity 或 Google 雲端硬碟企業版帳戶進行設定。

啟用與「 Google Cloud」共用 Google Workspace 資料的功能後，Google Cloud 會收到 Google Workspace 的所有稽核記錄。如要從 Google Cloud排除特定稽核記錄，請設定含有排除篩選器的接收器。您無法在 Google Cloud 控制台的 IAM 頁面，選擇性停用資料共用功能。

在 Google Cloud查看 Google Workspace 稽核記錄

如要在 Logging 中查看 Google Workspace 的稽核記錄，請使用記錄查詢語言選取資料。您至少需要知道Google Cloud 組織的 ID。您可以進一步指定其他已建立索引的 LogEntry 欄位 (例如 resource.type)，並依事件類型篩選。

以下是適用於 Google Workspace 的稽核記錄名稱：

在上述記錄名稱中，ORGANIZATION_ID 是指您要查看稽核記錄的Google Cloud 組織。

您可以採取以下幾種做法查看稽核記錄項目：

控制台

如要使用 Google Cloud 控制台中的 Logs Explorer 取得 Google Cloud 組織的稽核記錄項目，請按照下列步驟操作：

  1. 前往 Google Cloud 控制台的 「Logs Explorer」頁面：

    前往「Logs Explorer」(記錄檔探索工具)

    如果您是使用搜尋列尋找這個頁面，請選取子標題為「Logging」的結果。

  2. 從「Project selector」(專案選取器) 選單中選取機構。

  3. 在「Resource」(資源) 下拉式選單中，選取要查看稽核記錄的資源類型。

  4. 在「Log name」(記錄檔名稱) 下拉式選單中，選取「data_access」查看資料存取稽核記錄，或選取「activity」查看管理員活動稽核記錄。

    如果沒有看到這些選項，表示組織目前沒有這些稽核記錄。

  5. 選用：您可以在「Query Builder」(查詢建立工具) 窗格中建立篩選器，進一步指定要查看的記錄。如要進一步瞭解如何查詢記錄，請參閱「建構查詢」。

API

如要使用 Logging API 讀取稽核記錄項目，請按照下列步驟操作：

  1. 前往 entries.list 方法說明文件中的「Try this API」(試用這個 API) 區段。

  2. 將下列內容放入「Try this API」(試用這個 API) 表單的「Request body」(要求主體) 部分。按一下這份已預先填入資料的表單就能自動填入要求主體，但您必須在每個記錄檔名稱中提供有效的 ORGANIZATION_ID。

          {
        "resourceNames": [
          "organizations/ORGANIZATION_ID"
        ],
        "pageSize": 5,
        "filter": "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com"
      }

  3. 點選「Execute」。

如要進一步瞭解如何使用 Logging API 讀取記錄，請參閱「Logging 查詢語言」。

gcloud

Google Cloud CLI 提供 Cloud Logging API 的指令列介面，如要讀取稽核記錄項目，請執行下列指令：

    gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com"

將每個記錄名稱中的 ORGANIZATION_ID 替換為要讀取稽核記錄的 Google Cloud 組織 ID。

如要進一步瞭解這個指令，請參閱 gcloud logging read 參考資料。

每個提供稽核記錄的 Google Workspace 服務，都會擷取該服務專屬的事件。如要讀取特定稽核事件 (例如成功登入或撤銷存取權) 的記錄，請在篩選器中加入下列內容，並提供有效的 EVENT_NAME：

protoPayload.metadata.event.eventName="EVENT_NAME"
resource.type="audited_resource"

如需有效事件名稱及其參數的清單，請參閱 Reports API 說明文件，並從列出的服務中選取。

舉例來說，如果您想在每次登入服務回報帳戶密碼變更時讀取記錄，篩選器會如下所示：

protoPayload.metadata.event.eventName="password_edit"
resource.type="audited_resource"

轉送 Google Cloud的稽核記錄

Google Workspace 稽核記錄進入 Google Cloud後，您就能將記錄轉送至支援的目的地。舉例來說，您可以建立接收器，將記錄檔轉送至 Splunk 或 BigQuery。如要瞭解 Cloud Logging 轉送記錄檔的概念，請參閱「轉送和儲存空間總覽」。

Google Workspace 的稽核記錄屬於組織層級記錄，因此您可以使用組織層級的匯總接收器，將記錄轉送至下列目的地：

如需設定接收器來轉送記錄檔的操作說明，請參閱「整理組織層級記錄檔並轉送至支援的目的地」。

自訂資料保留期限

Cloud Logging 保留期限適用於儲存在記錄檔 bucket 中的稽核記錄。

如要保留稽核記錄的時間超過預設保留期限，可以設定自訂保留期限。

後續步驟