Google Workspace の監査ログ

このドキュメントでは、Cloud Audit Logs の一部として Google Workspace が提供する監査ログのコンセプトの概要について説明します。

Google Workspace の監査ログの管理については、Google Workspace の監査ログを表示して管理するをご覧ください。

概要

Google Cloud サービスは、「誰がいつどこで何をしたか」を調べるために役立つ監査ログを記録します。Google Workspace 監査ログを Google Cloud と共有して、Google Workspace データの保存、分析、モニタリング、アラートを行うことができます。

Google Workspace の監査ログは、Cloud Identity、Cloud Identity Premium、すべての Google Workspace のお客様がご利用いただけます。

Google Cloudで Google Workspace データ共有を有効にしている場合、Google Workspace の監査ログは常に有効になります。

Google Workspace データ共有を無効にすると、新しい Google Workspace 監査ログのイベントが Google Cloudに送信されなくなりますが、カスタム保持を構成してログを長期間保持する場合を除き、既存のログはデフォルトの保持期間を通じて保持されます。

Google Cloudとの Google Workspace データ共有が有効になっていない場合、 Google Cloudで Google Workspace の監査ログを表示できません。

注: Enterprise グループの監査メンバーシップの変更によっては、監査ログの principalEmail フィールドに [e-mail] が自動的に入力されます。たとえば、ユーザーのメンバーシップが期限切れになったためにユーザーの削除が自動的に行われた場合、監査ログには、グループからユーザーを削除したプリンシパルとして [e-mail] と表示されます。

監査ログの種類

管理アクティビティの監査ログには、リソースの構成やメタデータを変更する API 呼び出しやその他の操作に関するログエントリが含まれます。このログは、たとえば、ユーザーが VM インスタンスを作成したときや、Identity and Access Management（IAM）権限を変更したときに記録されます。

データアクセス監査ログには、リソースの構成やメタデータを読み取る API 呼び出しや、ユーザー指定のリソースデータの作成、変更、または読み取りのための、ユーザーによる API 呼び出しが含まれます。データアクセス監査ログには、一般公開されているリソース（すべてのユーザーまたは認証済みのすべてのユーザーが利用可能）や、 Google Cloud、Google Workspace、Cloud Identity、Drive Enterprise のアカウントにログインせずにアクセスできるリソースのデータアクセス操作は記録されません。

監査ログを Google Cloudに転送する Google Workspace サービス

Google Workspace は、Google Cloud 　組織レベルで次の監査ログを提供します。

• アクセスの透明性: アクセスの透明性ログには、Google の担当者がお客様の Google Workspace リソース内のお客様のコンテンツにアクセスした際のアクションが記録されます。アクセスの透明性とは対照的に、Cloud Audit Logs には、 Google Cloud 　組織のメンバーが　 Google Cloud 　リソースで行った操作が記録されます。

  アクセスの透明性ログの構造とログに記録されるアクセスの種類の詳細については、ログフィールドの説明をご覧ください。

• Google Workspace 管理監査: 管理者の監査ログには、Google 管理コンソールで行われた操作の記録が表示されます。たとえば、管理者がユーザーを追加した日時や Google Workspace サービスを有効にした日時を確認できます。

  管理監査ログは、管理アクティビティ監査ログのみを書き込みます。

  注: Google 管理コンソールを使用しない場合、グループ設定の変更は Google Workspace Enterprise グループの監査ログに記録されます。Google 管理コンソールを使用すると、Google Workspace 管理者の監査ログにグループ設定の変更が記録されます。たとえば、groups.google.com でグループのメールアドレスを変更すると、その変更は Google Workspace Enterprise グループの監査ログに記録されます。

• Google Workspace Enterprise グループの監査ログ: Enterprise グループの監査ログは、グループとグループ メンバーシップに対して行われたアクションの記録を提供します。たとえば、管理者がいつユーザーを追加したか、グループ オーナーがいつグループを削除したかを確認できます。

  Enterprise グループの監査では、管理アクティビティの監査ログのみを書き込みます。

• Google Workspace ログイン監査: ログイン監査ログは、ドメインへのユーザーのログインを追跡します。これらのログにはログイン イベントのみが記録されます。どのシステムがログイン操作の実行に使用されたかは記録されません。

  ログイン監査は、データアクセス監査ログのみを書き込みます。

• Google Workspace OAuth トークン監査: OAuth トークン監査ログは、ドメイン内でどのユーザーがどのサードパーティのモバイルアプリまたはウェブ アプリケーションを使用しているかを追跡します。たとえば、Google Workspace Marketplace アプリをユーザーが起動すると、そのアプリ名とユーザーが記録されます。また、Google アカウント データ（Google コンタクト、カレンダー、ドライブ ファイルなど）へのアクセスがサードパーティ製アプリケーションに対して承認された場合も、その都度ログに記録されます（Google Workspace のみ）。

  OAuth トークン監査では、管理アクティビティの監査ログとデータアクセスの監査ログの両方が書き込まれます。

• Google Workspace SAML 監査: SAML 監査ログは、ユーザーの SAML アプリケーションへのログインの成功と失敗を追跡します。通常、ユーザーの操作は 1 時間以内にログに記録されます。

  SAML Audit は、データアクセス監査ログのみを書き込みます。

サービス固有の情報

Google Workspace サービスの監査ログの詳細は次のとおりです。

Google Workspace 管理者の監査

Google Workspace 管理監査ログでは、すべての監査ログに対してリソースタイプ audited_resource が使用されます。

Google Workspace 管理監査ログでは、サービス名 admin.googleapis.com が使用されます。

Google Workspace 管理監査は、管理アクティビティ監査ログのみを書き込みます。監査対象のオペレーションは次のとおりです。

アクティビティのタイプ	AuditLog.method_name
AI_CLASSIFICATION_SETTINGS	google.admin.AdminService.aiClassificationInsufficientTrainingExamples google.admin.AdminService.aiClassificationModelLowScore google.admin.AdminService.aiClassificationNewModelReady
ALERT_CENTER	google.admin.AdminService.alertCenterBatchDeleteAlerts google.admin.AdminService.alertCenterBatchUndeleteAlerts google.admin.AdminService.alertCenterCreateAlert google.admin.AdminService.alertCenterCreateFeedback google.admin.AdminService.alertCenterDeleteAlert google.admin.AdminService.alertCenterGetAlertMetadata google.admin.AdminService.alertCenterGetCustomerSettings google.admin.AdminService.alertCenterGetSitLink google.admin.AdminService.alertCenterListChange google.admin.AdminService.alertCenterListFeedback google.admin.AdminService.alertCenterListRelatedAlerts google.admin.AdminService.alertCenterUndeleteAlert google.admin.AdminService.alertCenterUpdateAlert google.admin.AdminService.alertCenterUpdateAlertMetadata google.admin.AdminService.alertCenterUpdateCustomerSettings google.admin.AdminService.alertCenterView
APPLICATION_SETTINGS	google.admin.AdminService.changeApplicationSetting google.admin.AdminService.createApplicationSetting google.admin.AdminService.deleteApplicationSetting google.admin.AdminService.reorderGroupBasedPoliciesEvent google.admin.AdminService.gplusPremiumFeatures google.admin.AdminService.createManagedConfiguration google.admin.AdminService.deleteManagedConfiguration google.admin.AdminService.updateManagedConfiguration google.admin.AdminService.flashlightEduNonFeaturedServicesSelected
CALENDAR_SETTINGS	google.admin.AdminService.createBuilding google.admin.AdminService.deleteBuilding google.admin.AdminService.updateBuilding google.admin.AdminService.createCalendarResource google.admin.AdminService.deleteCalendarResource google.admin.AdminService.createCalendarResourceFeature google.admin.AdminService.deleteCalendarResourceFeature google.admin.AdminService.updateCalendarResourceFeature google.admin.AdminService.renameCalendarResource google.admin.AdminService.updateCalendarResource google.admin.AdminService.changeCalendarSetting google.admin.AdminService.cancelCalendarEvents google.admin.AdminService.releaseCalendarResources
CHAT_SETTINGS	google.admin.AdminService.meetInteropCreateGateway google.admin.AdminService.meetInteropDeleteGateway google.admin.AdminService.meetInteropModifyGateway google.admin.AdminService.changeChatSetting
CHROME_OS_SETTINGS	google.admin.AdminService.changeChromeOsAndroidApplicationSetting google.admin.AdminService.changeChromeOsApplicationSetting google.admin.AdminService.sendChromeOsDeviceCommand google.admin.AdminService.changeChromeOsDeviceAnnotation google.admin.AdminService.changeChromeOsDeviceSetting google.admin.AdminService.changeChromeOsDeviceState google.admin.AdminService.changeChromeOsPublicSessionSetting google.admin.AdminService.insertChromeOsPrinter google.admin.AdminService.deleteChromeOsPrinter google.admin.AdminService.updateChromeOsPrinter google.admin.AdminService.changeChromeOsSetting google.admin.AdminService.changeChromeOsUserSetting google.admin.AdminService.removeChromeOsApplicationSettings
CONTACTS_SETTINGS	google.admin.AdminService.changeContactsSetting
DELEGATED_ADMIN_SETTINGS	google.admin.AdminService.assignRole google.admin.AdminService.createRole google.admin.AdminService.deleteRole google.admin.AdminService.addPrivilege google.admin.AdminService.removePrivilege google.admin.AdminService.renameRole google.admin.AdminService.updateRole google.admin.AdminService.unassignRole
DEVICE_SETTINGS	google.admin.AdminService.deleteDevice google.admin.AdminService.moveDeviceToOrgUnit
DOCS_SETTINGS	google.admin.AdminService.transferDocumentOwnership google.admin.AdminService.driveDataRestore google.admin.AdminService.changeDocsSetting
DOMAIN_SETTINGS	google.admin.AdminService.changeAccountAutoRenewal google.admin.AdminService.addApplication google.admin.AdminService.addApplicationToWhitelist google.admin.AdminService.changeAdvertisementOption google.admin.AdminService.createAlert google.admin.AdminService.changeAlertCriteria google.admin.AdminService.deleteAlert google.admin.AdminService.alertReceiversChanged google.admin.AdminService.renameAlert google.admin.AdminService.alertStatusChanged google.admin.AdminService.addDomainAlias google.admin.AdminService.removeDomainAlias google.admin.AdminService.skipDomainAliasMx google.admin.AdminService.verifyDomainAliasMx google.admin.AdminService.verifyDomainAlias google.admin.AdminService.toggleOauthAccessToAllApis google.admin.AdminService.toggleAllowAdminPasswordReset google.admin.AdminService.enableApiAccess google.admin.AdminService.authorizeApiClientAccess google.admin.AdminService.removeApiClientAccess google.admin.AdminService.chromeLicensesRedeemed google.admin.AdminService.toggleAutoAddNewService google.admin.AdminService.changePrimaryDomain google.admin.AdminService.changeWhitelistSetting google.admin.AdminService.communicationPreferencesSettingChange google.admin.AdminService.changeConflictAccountAction google.admin.AdminService.enableFeedbackSolicitation google.admin.AdminService.toggleContactSharing google.admin.AdminService.createPlayForWorkToken google.admin.AdminService.toggleUseCustomLogo google.admin.AdminService.changeCustomLogo google.admin.AdminService.changeDataLocalizationForRussia google.admin.AdminService.changeDataLocalizationSetting google.admin.AdminService.changeDataProtectionOfficerContactInfo google.admin.AdminService.deletePlayForWorkToken google.admin.AdminService.viewDnsLoginDetails google.admin.AdminService.changeDomainDefaultLocale google.admin.AdminService.changeDomainDefaultTimezone google.admin.AdminService.changeDomainName google.admin.AdminService.toggleEnablePreReleaseFeatures google.admin.AdminService.changeDomainSupportMessage google.admin.AdminService.addTrustedDomains google.admin.AdminService.removeTrustedDomains google.admin.AdminService.changeEduType google.admin.AdminService.toggleEnableOauthConsumerKey google.admin.AdminService.toggleSsoEnabled google.admin.AdminService.toggleSsl google.admin.AdminService.changeEuRepresentativeContactInfo google.admin.AdminService.generateTransferToken google.admin.AdminService.changeLoginBackgroundColor google.admin.AdminService.changeLoginBorderColor google.admin.AdminService.changeLoginActivityTrace google.admin.AdminService.playForWorkEnroll google.admin.AdminService.playForWorkUnenroll google.admin.AdminService.mxRecordVerificationClaim google.admin.AdminService.toggleNewAppFeatures google.admin.AdminService.toggleUseNextGenControlPanel google.admin.AdminService.uploadOauthCertificate google.admin.AdminService.regenerateOauthConsumerSecret google.admin.AdminService.toggleOpenIdEnabled google.admin.AdminService.changeOrganizationName google.admin.AdminService.toggleOutboundRelay google.admin.AdminService.changePasswordMaxLength google.admin.AdminService.changePasswordMinLength google.admin.AdminService.updateDomainPrimaryAdminEmail google.admin.AdminService.enableServiceOrFeatureNotifications google.admin.AdminService.removeApplication google.admin.AdminService.removeApplicationFromWhitelist google.admin.AdminService.changeRenewDomainRegistration google.admin.AdminService.changeResellerAccess google.admin.AdminService.ruleActionsChanged google.admin.AdminService.createRule google.admin.AdminService.changeRuleCriteria google.admin.AdminService.deleteRule google.admin.AdminService.renameRule google.admin.AdminService.ruleStatusChanged google.admin.AdminService.addSecondaryDomain google.admin.AdminService.removeSecondaryDomain google.admin.AdminService.skipSecondaryDomainMx google.admin.AdminService.verifySecondaryDomainMx google.admin.AdminService.verifySecondaryDomain google.admin.AdminService.updateDomainSecondaryEmail google.admin.AdminService.changeSsoSettings google.admin.AdminService.generatePin google.admin.AdminService.updateRule
EMAIL_SETTINGS	google.admin.AdminService.dropFromQuarantine google.admin.AdminService.emailLogSearch google.admin.AdminService.emailUndelete google.admin.AdminService.changeEmailSetting google.admin.AdminService.changeGmailSetting google.admin.AdminService.createGmailSetting google.admin.AdminService.deleteGmailSetting google.admin.AdminService.rejectFromQuarantine google.admin.AdminService.releaseFromQuarantine
GROUP_SETTINGS	google.admin.AdminService.createGroup google.admin.AdminService.deleteGroup google.admin.AdminService.changeGroupDescription google.admin.AdminService.groupListDownload google.admin.AdminService.addGroupMember google.admin.AdminService.removeGroupMember google.admin.AdminService.updateGroupMember google.admin.AdminService.updateGroupMemberDeliverySettings google.admin.AdminService.updateGroupMemberDeliverySettingsCanEmailOverride google.admin.AdminService.groupMemberBulkUpload google.admin.AdminService.groupMembersDownload google.admin.AdminService.changeGroupEmail google.admin.AdminService.changeGroupName google.admin.AdminService.changeGroupSetting google.admin.AdminService.whitelistedGroupsUpdated
ラベル	google.admin.AdminService.labelDeleted google.admin.AdminService.labelDisabled google.admin.AdminService.labelReenabled google.admin.AdminService.labelPermissionUpdated google.admin.AdminService.labelPermissionDeleted google.admin.AdminService.labelPublished google.admin.AdminService.labelCreated google.admin.AdminService.labelUpdated
LICENSES_SETTINGS	google.admin.AdminService.orgUsersLicenseAssignment google.admin.AdminService.orgAllUsersLicenseAssignment google.admin.AdminService.userLicenseAssignment google.admin.AdminService.changeLicenseAutoAssign google.admin.AdminService.userLicenseReassignment google.admin.AdminService.orgLicenseRevoke google.admin.AdminService.userLicenseRevoke google.admin.AdminService.updateDynamicLicense google.admin.AdminService.licenseUsageUpdate
MOBILE_SETTINGS	google.admin.AdminService.actionCancelled google.admin.AdminService.actionRequested google.admin.AdminService.addMobileCertificate google.admin.AdminService.companyDevicesBulkCreation google.admin.AdminService.companyOwnedDeviceBlocked google.admin.AdminService.companyDeviceDeletion google.admin.AdminService.companyOwnedDeviceUnblocked google.admin.AdminService.companyOwnedDeviceWiped google.admin.AdminService.changeMobileApplicationPermissionGrant google.admin.AdminService.changeMobileApplicationPriorityOrder google.admin.AdminService.removeMobileApplicationFromWhitelist google.admin.AdminService.changeMobileApplicationSettings google.admin.AdminService.addMobileApplicationToWhitelist google.admin.AdminService.mobileDeviceApprove google.admin.AdminService.mobileDeviceBlock google.admin.AdminService.mobileDeviceDelete google.admin.AdminService.mobileDeviceWipe google.admin.AdminService.changeMobileSetting google.admin.AdminService.changeAdminRestrictionsPin google.admin.AdminService.changeMobileWirelessNetwork google.admin.AdminService.addMobileWirelessNetwork google.admin.AdminService.removeMobileWirelessNetwork google.admin.AdminService.changeMobileWirelessNetworkPassword google.admin.AdminService.removeMobileCertificate google.admin.AdminService.enrollForGoogleDeviceManagement google.admin.AdminService.useGoogleMobileManagement google.admin.AdminService.useGoogleMobileManagementForNonIos google.admin.AdminService.useGoogleMobileManagementForIos google.admin.AdminService.mobileAccountWipe google.admin.AdminService.mobileDeviceCancelWipeThenApprove google.admin.AdminService.mobileDeviceCancelWipeThenBlock
ORG_SETTINGS	google.admin.AdminService.chromeLicensesEnabled google.admin.AdminService.chromeApplicationLicenseReservationCreated google.admin.AdminService.chromeApplicationLicenseReservationDeleted google.admin.AdminService.chromeApplicationLicenseReservationUpdated google.admin.AdminService.assignCustomLogo google.admin.AdminService.unassignCustomLogo google.admin.AdminService.createEnrollmentToken google.admin.AdminService.revokeEnrollmentToken google.admin.AdminService.chromeLicensesAllowed google.admin.AdminService.createOrgUnit google.admin.AdminService.removeOrgUnit google.admin.AdminService.editOrgUnitDescription google.admin.AdminService.moveOrgUnit google.admin.AdminService.editOrgUnitName google.admin.AdminService.toggleServiceEnabled
SECURITY_INVESTIGATION	google.admin.AdminService.securityInvestigationAction google.admin.AdminService.securityInvestigationActionCancellation google.admin.AdminService.securityInvestigationActionCompletion google.admin.AdminService.securityInvestigationActionRetry google.admin.AdminService.securityInvestigationActionVerificationConfirmation google.admin.AdminService.securityInvestigationActionVerificationRequest google.admin.AdminService.securityInvestigationActionVerificationRequestExpiration google.admin.AdminService.securityInvestigationChartCreate google.admin.AdminService.securityInvestigationContentAccess google.admin.AdminService.securityInvestigationDownloadAttachment google.admin.AdminService.securityInvestigationExportActionResults google.admin.AdminService.securityInvestigationExportQuery google.admin.AdminService.securityInvestigationObjectCreateDraftInvestigation google.admin.AdminService.securityInvestigationObjectDeleteInvestigation google.admin.AdminService.securityInvestigationObjectDuplicateInvestigation google.admin.AdminService.securityInvestigationObjectOwnershipTransfer google.admin.AdminService.securityInvestigationObjectSaveInvestigation google.admin.AdminService.securityInvestigationObjectUpdateDirectSharing google.admin.AdminService.securityInvestigationObjectUpdateLinkSharing google.admin.AdminService.securityInvestigationQuery google.admin.AdminService.securityInvestigationSettingUpdate
SECURITY_SETTINGS	google.admin.AdminService.addToTrustedOauth2Apps google.admin.AdminService.allowAspWithout2Sv google.admin.AdminService.allowServiceForOauth2Access google.admin.AdminService.allowStrongAuthentication google.admin.AdminService.blockOnDeviceAccess google.admin.AdminService.changeAllowedTwoStepVerificationMethods google.admin.AdminService.changeAppAccessSettingsCollectionId google.admin.AdminService.changeCaaAppAssignments google.admin.AdminService.changeCaaDefaultAssignments google.admin.AdminService.changeCaaErrorMessage google.admin.AdminService.changeSessionLength google.admin.AdminService.changeTwoStepVerificationEnrollmentPeriodDuration google.admin.AdminService.changeTwoStepVerificationFrequency google.admin.AdminService.changeTwoStepVerificationGracePeriodDuration google.admin.AdminService.changeTwoStepVerificationStartDate google.admin.AdminService.disallowServiceForOauth2Access google.admin.AdminService.enableNonAdminUserPasswordRecovery google.admin.AdminService.enforceStrongAuthentication google.admin.AdminService.removeFromTrustedOauth2Apps google.admin.AdminService.sessionControlSettingsChange google.admin.AdminService.toggleCaaEnablement google.admin.AdminService.trustDomainOwnedOauth2Apps google.admin.AdminService.unblockOnDeviceAccess google.admin.AdminService.untrustDomainOwnedOauth2Apps google.admin.AdminService.updateErrorMsgForRestrictedOauth2Apps google.admin.AdminService.weakProgrammaticLoginSettingsChanged
SITES_SETTINGS	google.admin.AdminService.addWebAddress google.admin.AdminService.deleteWebAddress google.admin.AdminService.changeSitesSetting google.admin.AdminService.changeSitesWebAddressMappingUpdates google.admin.AdminService.viewSiteDetails
USER_SETTINGS	google.admin.AdminService.delete2SvScratchCodes google.admin.AdminService.generate2SvScratchCodes google.admin.AdminService.revoke3LoDeviceTokens google.admin.AdminService.revoke3LoToken google.admin.AdminService.addRecoveryEmail google.admin.AdminService.addRecoveryPhone google.admin.AdminService.grantAdminPrivilege google.admin.AdminService.revokeAdminPrivilege google.admin.AdminService.revokeAsp google.admin.AdminService.toggleAutomaticContactSharing google.admin.AdminService.bulkUpload google.admin.AdminService.bulkUploadNotificationSent google.admin.AdminService.cancelUserInvite google.admin.AdminService.changeUserCustomField google.admin.AdminService.changeUserExternalId google.admin.AdminService.changeUserGender google.admin.AdminService.changeUserIm google.admin.AdminService.enableUserIpWhitelist google.admin.AdminService.changeUserKeyword google.admin.AdminService.changeUserLanguage google.admin.AdminService.changeUserLocation google.admin.AdminService.changeUserOrganization google.admin.AdminService.changeUserPhoneNumber google.admin.AdminService.changeRecoveryEmail google.admin.AdminService.changeRecoveryPhone google.admin.AdminService.changeUserRelation google.admin.AdminService.changeUserAddress google.admin.AdminService.createEmailMonitor google.admin.AdminService.createDataTransferRequest google.admin.AdminService.grantDelegatedAdminPrivileges google.admin.AdminService.deleteAccountInfoDump google.admin.AdminService.deleteEmailMonitor google.admin.AdminService.deleteMailboxDump google.admin.AdminService.changeFirstName google.admin.AdminService.gmailResetUser google.admin.AdminService.changeLastName google.admin.AdminService.mailRoutingDestinationAdded google.admin.AdminService.mailRoutingDestinationRemoved google.admin.AdminService.addNickname google.admin.AdminService.removeNickname google.admin.AdminService.changePassword google.admin.AdminService.changePasswordOnNextLogin google.admin.AdminService.downloadPendingInvitesList google.admin.AdminService.removeRecoveryEmail google.admin.AdminService.removeRecoveryPhone google.admin.AdminService.requestAccountInfo google.admin.AdminService.requestMailboxDump google.admin.AdminService.resendUserInvite google.admin.AdminService.resetSigninCookies google.admin.AdminService.securityKeyRegisteredForUser google.admin.AdminService.revokeSecurityKey google.admin.AdminService.userInvite google.admin.AdminService.viewTempPassword google.admin.AdminService.turnOff2StepVerification google.admin.AdminService.unblockUserSession google.admin.AdminService.unenrollUserFromTitanium google.admin.AdminService.archiveUser google.admin.AdminService.updateBirthdate google.admin.AdminService.createUser google.admin.AdminService.deleteUser google.admin.AdminService.downgradeUserFromGplus google.admin.AdminService.userEnrolledInTwoStepVerification google.admin.AdminService.downloadUserlistCsv google.admin.AdminService.moveUserToOrgUnit google.admin.AdminService.userPutInTwoStepVerificationGracePeriod google.admin.AdminService.renameUser google.admin.AdminService.unenrollUserFromStrongAuth google.admin.AdminService.suspendUser google.admin.AdminService.unarchiveUser google.admin.AdminService.undeleteUser google.admin.AdminService.unsuspendUser google.admin.AdminService.upgradeUserToGplus google.admin.AdminService.usersBulkUpload google.admin.AdminService.usersBulkUploadNotificationSent

Google Workspace Enterprise グループの監査

Google Workspace Enterprise グループの監査ログでは、すべての監査ログに対してリソースタイプ audited_resource が使用されます。

Google Workspace Enterprise グループの監査ログでは、サービス名 cloudidentity.googleapis.com が使用されます。

Google Workspace Enterprise グループの監査ログは、管理アクティビティ監査ログのみを書き込みます。監査対象のオペレーションは次のとおりです。

監査ログのカテゴリ	AuditLog.method_name
管理アクティビティ監査ログ	google.apps.cloudidentity.groups.v1.GroupsService.UpdateGroup google.apps.cloudidentity.groups.v1.MembershipsService.UpdateMembership

Google Workspace Login の監査

すべての Google Workspace ログイン監査の監査ログでは、リソースタイプ audited_resource が使用されます。

Google Workspace ログイン監査ログでは、サービス名 login.googleapis.com が使用されます。

Google Workspace ログイン監査では、データアクセス監査ログのみを書き込みます。監査対象のオペレーションは次のとおりです。各オペレーションについて ログサンプルが用意されています。

監査ログのカテゴリ

AuditLog.method_name

データアクセスの監査ログ

google.login.LoginService.2svDisable google.login.LoginService.2svEnroll google.login.LoginService.accountDisabledPasswordLeak google.login.LoginService.accountDisabledGeneric google.login.LoginService.accountDisabledSpammingThroughRelay google.login.LoginService.accountDisabledSpamming google.login.LoginService.accountDisabledHijacked google.login.LoginService.emailForwardingOutOfDomain google.login.LoginService.govAttackWarning google.login.LoginService.loginChallenge google.login.LoginService.loginFailure google.login.LoginService.loginVerification google.login.LoginService.logout google.login.LoginService.loginSuccess google.login.LoginService.passwordEdit google.login.LoginService.recoveryEmailEdit google.login.LoginService.recoveryPhoneEdit google.login.LoginService.recoverySecretQaEdit google.login.LoginService.riskySensitiveActionAllowed google.login.LoginService.riskySensitiveActionBlocked google.login.LoginService.suspiciousLogin google.login.LoginService.suspiciousLoginLessSecureApp google.login.LoginService.suspiciousProgrammaticLogin google.login.LoginService.titaniumEnroll google.login.LoginService.titaniumUnenroll

Google Workspace の OAuth トークンの監査

Google Workspace の OAuth トークンの監査ログでは、すべての監査ログにリソースタイプ audited_resource が使用されます。

Google Workspace OAuth トークンの監査ログでは、サービス名 oauth2.googleapis.com が使用されます。

Google Workspace OAuth トークン監査では、管理アクティビティ監査ログとデータアクセス監査ログの両方が書き込まれます。監査対象のオペレーションは次のとおりです。

監査ログのカテゴリ	AuditLog.method_name
管理アクティビティ監査ログ	google.identity.oauth2.Deny google.identity.oauth2.GetToken google.identity.oauth2.Request google.identity.oauth2.RevokeToken
データアクセスの監査ログ	google.identity.oauth2.GetTokenInfo

Google Workspace の SAML の監査

Google Workspace SAML 監査ログでは、すべての監査ログに対してリソースタイプ audited_resource が使用されます。

Google Workspace SMAL 監査ログでは、サービス名 login.googleapis.com が使用されます。

Google Workspace SMAL 監査では、データアクセス監査ログのみを書き込みます。監査対象のオペレーションは次のとおりです。

監査ログのカテゴリ	AuditLog.method_name
データアクセスの監査ログ	google.apps.login.v1.SamlLoginFailed
	google.apps.login.v1.SamlLoginSucceeded

監査ログに関する権限

IAM の権限とロールによって、Logging API、ログ エクスプローラ、Google Cloud CLI内の監査ログデータにアクセス可能かどうか判断されます。

必要となる組織レベルの IAM 権限とロールの詳細については、IAM を使用したアクセス制御をご覧ください。

監査ログ形式

Google Workspace 監査ログエントリには、次のオブジェクトが含まれています。

• ログエントリ自体。LogEntry 型のオブジェクトです。監査ロギングデータを調べる際は、次の情報が役立ちます。

  • logName には、組織 ID と監査ログの種類が含まれます。
  • resource: 監査対象オペレーションのターゲットが格納されます。
  • timeStamp: 監査対象オペレーションの時間が格納されます。
  • protoPayload の metadata フィールドには、Google Workspace 監査ログが含まれています。

protoPayload.metadata フィールドには、監査対象の Google Workspace の情報が保持されます。ログイン監査ログの例を次に示します。

{
  "protoPayload": {
    "@type": "type.googleapis.com/google.cloud.audit.AuditLog",
    "authenticationInfo": {
      "principalEmail": "[e-mail]"
    },
    "requestMetadata": {
      "callerIp": "2001:db8:ffff:ffff:ffff:ffff:ffff:ffff",
      "requestAttributes": {},
      "destinationAttributes": {}
    },
    "serviceName": "login.googleapis.com",
    "methodName": "google.login.LoginService.loginFailure",
    "resourceName": "organizations/123",
    "metadata": {
      "event": [
        {
          "eventName": "login_failure",
          "eventType": "login",
          "parameter": [
            {
              "value": "google_password",
              "type": "TYPE_STRING",
              "name": "login_type",
            },
            {
              "name": "login_challenge_method",
              "type": "TYPE_STRING",
              "label": "LABEL_REPEATED",
              "multiStrValue": [
                "password",
                "idv_preregistered_phone",
                "idv_preregistered_phone"
              ]
            },
          ]
        }
      ],
      "activityId": {
        "uniqQualifier": "358068855354",
        "timeUsec": "1632500217183212"
      },
      "@type": "type.googleapis.com/ccc_hosted_reporting.ActivityProto"
    }
  },
  "insertId": "-nahbepd4l1x",
  "resource": {
    "type": "audited_resource",
    "labels": {
      "method": "google.login.LoginService.loginFailure",
      "service": "login.googleapis.com"
    }
  },
  "timestamp": "2021-09-24T16:16:57.183212Z",
  "severity": "NOTICE",
  "logName": "organizations/123/logs/cloudaudit.googleapis.com%2Fdata_access",
  "receiveTimestamp": "2021-09-24T17:51:25.034361197Z"
}

サービス固有の監査ロギング フィールドとそれらを解釈する方法については、使用可能な監査ログに記載されているサービスを選択してください。

ログを表示

Google Workspace 監査ログの表示については、Google Workspace の監査ログを表示して管理するをご覧ください。

監査ログの転送

Google Workspace の監査ログは、Cloud Logging からサポートされている他のバケット（他の Logging バケットなど）にルーティングできます。

監査ログの転送に関する応用例の一部を以下に示します。

• より強力な検索機能を使用するには、監査ログのコピーを Cloud Storage、BigQuery、Pub/Sub にルーティングします。Pub/Sub を使用すると、他のアプリケーション、他のリポジトリ、サードパーティ製品に転送できます。

• 組織全体の監査ログを管理するには、集約シンクを作成します。これにより、組織に含まれているすべての Google Cloud プロジェクト、請求先アカウント、フォルダのログを組み合わせてルーティングできます。たとえば、監査ログエントリを組織のフォルダから Cloud Storage バケットに集約し、ルーティングできます。

ログの転送手順については、サポートされている宛先にログをルーティングするをご覧ください。

リージョン指定

Google Workspace のログを保存するリージョンを選択することはできません。Google Workspace のログは Google Workspace のデータ リージョン ポリシーの対象外です。

保持期間

監査ログデータには次の保持期間が適用されます。

• Google Workspace のデータ保持ポリシー。

• Google Cloud Cloud Logging のデータ保持ポリシー。

Cloud Logging は、組織ごとに _Default バケットと _Required バケットの 2 つのバケットにログを自動的に保存します。_Required バケットには、管理アクティビティの監査ログ、システム イベントの監査ログ、アクセスの透明性ログが保存されます。_Default バケットには、_Required バケットに保存されていない他のすべてのログエントリが保持されます。Logging バケットの詳細については、転送とストレージの概要をご覧ください。

_Default ログバケットに 1 日～3,650 日の範囲でログを保持するように Cloud Logging を構成できます。

_Default ログバケットの保持期間を更新するには、カスタム保持をご覧ください。

_Required バケットでの保持期間は変更できません。

割り当てと上限

Google Workspace と Cloud Audit Logs の監査ログにも同じ割り当てが適用されます。

監査ログの最大サイズを含む、これらの使用量上限について詳しくは、割り当てと上限をご覧ください。

料金

料金情報については、Google Cloud Observability の料金をご覧ください。

次のステップ

• Google Workspace 監査ログを構成して管理する方法を学習する。
• Cloud Audit Logs のベスト プラクティスを確認する。
• Google Workspace のアクセスの透明性ログを表示して理解する方法を確認する。