Geração de registros de auditoria do Pub/Sub

Neste documento, descrevemos a geração de registros de auditoria do Pub/Sub.Os serviços do Google Cloud geram registros de auditoria das atividades administrativas e de acesso nos recursos do Google Cloud . Para mais informações sobre os Registros de auditoria do Cloud, consulte:

Observações

Atualmente, o Pub/Sub não grava registros de auditoria de acesso a dados para operações de mensagens, como "Publicar", "Assinar" e "Confirmar".

Nome do serviço

Os registros de auditoria do Pub/Sub usam o nome de serviço pubsub.googleapis.com. Filtrar por este serviço: 

    protoPayload.serviceName="pubsub.googleapis.com"

Métodos por tipo de permissão

Cada permissão do IAM tem uma propriedade type, que tem o valor de um tipo enumerado que pode ser um dos quatro valores: ADMIN_READ, ADMIN_WRITE, DATA_READ ou DATA_WRITE. Quando você chama um método, o Pub/Sub gera um registro de auditoria com categoria dependente da propriedade type da permissão necessária para executar o método. Métodos que exigem uma permissão do IAM com o valor da propriedade type de DATA_READ, DATA_WRITE ou ADMIN_READ geram registros de auditoria de acesso aos dados. Métodos que exigem uma permissão do IAM com o valor da propriedade type de ADMIN_WRITE geram registros de auditoria de Atividade do administrador.

Os métodos de API na lista a seguir marcados com (LRO) são operações de longa duração (LROs). Esses métodos geralmente geram duas entradas de registro de auditoria: uma quando a operação começa e outra quando ela termina. Para mais informações, consulte Registros de auditoria para operações de longa duração.
Tipo de permissão Métodos
ADMIN_READ google.iam.v1.IAMPolicy.GetIamPolicy
google.pubsub.v1.SchemaService.GetSchema
google.pubsub.v1.SchemaService.ListSchemaRevisions
google.pubsub.v1.SchemaService.ListSchemas
google.pubsub.v1.SchemaService.ValidateMessage
google.pubsub.v1.SchemaService.ValidateSchema
google.pubsub.v1.Subscriber.GetSnapshot
google.pubsub.v1.Subscriber.ListSnapshots
google.pubsub.v1.Subscriber.Seek
ADMIN_WRITE google.iam.v1.IAMPolicy.SetIamPolicy
google.pubsub.v1.Publisher.CreateTopic
google.pubsub.v1.Publisher.DeleteTopic
google.pubsub.v1.Publisher.DetachSubscription
google.pubsub.v1.Publisher.UpdateTopic
google.pubsub.v1.SchemaService.CommitSchema
google.pubsub.v1.SchemaService.CreateSchema
google.pubsub.v1.SchemaService.DeleteSchema
google.pubsub.v1.SchemaService.DeleteSchemaRevision
google.pubsub.v1.SchemaService.RollbackSchema
google.pubsub.v1.Subscriber.CreateSnapshot
google.pubsub.v1.Subscriber.CreateSubscription
google.pubsub.v1.Subscriber.DeleteSnapshot
google.pubsub.v1.Subscriber.DeleteSubscription
google.pubsub.v1.Subscriber.ModifyPushConfig
google.pubsub.v1.Subscriber.UpdateSnapshot
google.pubsub.v1.Subscriber.UpdateSubscription
DATA_READ google.pubsub.v1.Publisher.GetTopic
google.pubsub.v1.Publisher.ListTopicSnapshots
google.pubsub.v1.Publisher.ListTopicSubscriptions
google.pubsub.v1.Publisher.ListTopics
google.pubsub.v1.Subscriber.GetSubscription
google.pubsub.v1.Subscriber.ListSubscriptions

Registros de auditoria da interface da API

Para informações sobre como e quais permissões são avaliadas para cada método, consulte a documentação do Identity and Access Management para o Pub/Sub.

google.iam.v1.IAMPolicy

Os registros de auditoria a seguir estão associados a métodos que pertencem a google.iam.v1.IAMPolicy.

GetIamPolicy

  • Método: google.iam.v1.IAMPolicy.GetIamPolicy
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • pubsub.subscriptions.getIamPolicy - ADMIN_READ
    • pubsub.topics.getIamPolicy - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.iam.v1.IAMPolicy.GetIamPolicy"

SetIamPolicy

  • Método: google.iam.v1.IAMPolicy.SetIamPolicy
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • pubsub.subscriptions.setIamPolicy - ADMIN_WRITE
    • pubsub.topics.setIamPolicy - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.iam.v1.IAMPolicy.SetIamPolicy"

google.pubsub.v1.Publisher

Os registros de auditoria a seguir estão associados a métodos que pertencem a google.pubsub.v1.Publisher.

CreateTopic

  • Método: google.pubsub.v1.Publisher.CreateTopic
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • pubsub.topics.create - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.Publisher.CreateTopic"

DeleteTopic

  • Método: google.pubsub.v1.Publisher.DeleteTopic
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • pubsub.topics.delete - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.Publisher.DeleteTopic"

DetachSubscription

  • Método: google.pubsub.v1.Publisher.DetachSubscription
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • pubsub.topics.detachSubscription - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.Publisher.DetachSubscription"

GetTopic

  • Método: google.pubsub.v1.Publisher.GetTopic
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • pubsub.topics.get - DATA_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.Publisher.GetTopic"

ListTopicSnapshots

  • Método: google.pubsub.v1.Publisher.ListTopicSnapshots
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • pubsub.topics.get - DATA_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.Publisher.ListTopicSnapshots"

ListTopicSubscriptions

  • Método: google.pubsub.v1.Publisher.ListTopicSubscriptions
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • pubsub.topics.get - DATA_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.Publisher.ListTopicSubscriptions"

ListTopics

  • Método: google.pubsub.v1.Publisher.ListTopics
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • pubsub.topics.list - DATA_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.Publisher.ListTopics"

UpdateTopic

  • Método: google.pubsub.v1.Publisher.UpdateTopic
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • pubsub.topics.update - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.Publisher.UpdateTopic"

google.pubsub.v1.SchemaService

Os registros de auditoria a seguir estão associados a métodos que pertencem a google.pubsub.v1.SchemaService.

CommitSchema

  • Método: google.pubsub.v1.SchemaService.CommitSchema
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • pubsub.schemas.commit - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.SchemaService.CommitSchema"

CreateSchema

  • Método: google.pubsub.v1.SchemaService.CreateSchema
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • pubsub.schemas.create - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.SchemaService.CreateSchema"

DeleteSchema

  • Método: google.pubsub.v1.SchemaService.DeleteSchema
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • pubsub.schemas.delete - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.SchemaService.DeleteSchema"

DeleteSchemaRevision

  • Método: google.pubsub.v1.SchemaService.DeleteSchemaRevision
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • pubsub.schemas.delete - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.SchemaService.DeleteSchemaRevision"

GetSchema

  • Método: google.pubsub.v1.SchemaService.GetSchema
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • pubsub.schemas.get - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.SchemaService.GetSchema"

ListSchemaRevisions

  • Método: google.pubsub.v1.SchemaService.ListSchemaRevisions
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • pubsub.schemas.listRevisions - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.SchemaService.ListSchemaRevisions"

ListSchemas

  • Método: google.pubsub.v1.SchemaService.ListSchemas
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • pubsub.schemas.list - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.SchemaService.ListSchemas"

RollbackSchema

  • Método: google.pubsub.v1.SchemaService.RollbackSchema
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • pubsub.schemas.rollback - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.SchemaService.RollbackSchema"

ValidateMessage

  • Método: google.pubsub.v1.SchemaService.ValidateMessage
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • pubsub.schemas.get - ADMIN_READ
    • pubsub.schemas.validate - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.SchemaService.ValidateMessage"

ValidateSchema

  • Método: google.pubsub.v1.SchemaService.ValidateSchema
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • pubsub.schemas.validate - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.SchemaService.ValidateSchema"

google.pubsub.v1.Subscriber

Os registros de auditoria a seguir estão associados a métodos que pertencem a google.pubsub.v1.Subscriber.

CreateSnapshot

  • Método: google.pubsub.v1.Subscriber.CreateSnapshot
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • pubsub.snapshots.create - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.Subscriber.CreateSnapshot"

CreateSubscription

  • Método: google.pubsub.v1.Subscriber.CreateSubscription
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • pubsub.subscriptions.create - ADMIN_WRITE
    • pubsub.topics.attachSubscription - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.Subscriber.CreateSubscription"

DeleteSnapshot

  • Método: google.pubsub.v1.Subscriber.DeleteSnapshot
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • pubsub.snapshots.delete - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.Subscriber.DeleteSnapshot"

DeleteSubscription

  • Método: google.pubsub.v1.Subscriber.DeleteSubscription
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • pubsub.subscriptions.delete - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.Subscriber.DeleteSubscription"

GetSnapshot

  • Método: google.pubsub.v1.Subscriber.GetSnapshot
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • pubsub.snapshots.get - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.Subscriber.GetSnapshot"

GetSubscription

  • Método: google.pubsub.v1.Subscriber.GetSubscription
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • pubsub.subscriptions.get - DATA_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.Subscriber.GetSubscription"

ListSnapshots

  • Método: google.pubsub.v1.Subscriber.ListSnapshots
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • pubsub.snapshots.list - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.Subscriber.ListSnapshots"

ListSubscriptions

  • Método: google.pubsub.v1.Subscriber.ListSubscriptions
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • pubsub.subscriptions.list - DATA_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.Subscriber.ListSubscriptions"

ModifyPushConfig

  • Método: google.pubsub.v1.Subscriber.ModifyPushConfig
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • pubsub.subscriptions.update - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.Subscriber.ModifyPushConfig"

Seek

  • Método: google.pubsub.v1.Subscriber.Seek
  • Tipo de registro de auditoria: acesso a dados
  • Permissões:
    • pubsub.snapshots.seek - ADMIN_READ
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.Subscriber.Seek"

UpdateSnapshot

  • Método: google.pubsub.v1.Subscriber.UpdateSnapshot
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • pubsub.snapshots.update - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.Subscriber.UpdateSnapshot"

UpdateSubscription

  • Método: google.pubsub.v1.Subscriber.UpdateSubscription
  • Tipo de registro de auditoria: atividade do administrador
  • Permissões:
    • pubsub.subscriptions.update - ADMIN_WRITE
  • O método é uma operação de streaming ou de longa duração: No
  • Filtrar para este método: protoPayload.methodName="google.pubsub.v1.Subscriber.UpdateSubscription"

Eventos do sistema

Os registros de auditoria de eventos do sistema são gerados pelos sistemas do GCP, e não por ações diretas do usuário. Para mais informações, consulte Registros de auditoria de eventos do sistema.

Nome do método Filtrar para este evento Observações
Internal.DeletedProjectRemoveSubscription protoPayload.methodName="Internal.DeletedProjectRemoveSubscription"
Internal.DeletedProjectRemoveTopic protoPayload.methodName="Internal.DeletedProjectRemoveTopic"
Subscriber.InternalExpireInactiveSnapshot protoPayload.methodName="Subscriber.InternalExpireInactiveSnapshot"
Subscriber.InternalExpireInactiveSubscription protoPayload.methodName="Subscriber.InternalExpireInactiveSubscription"

Métodos que não geram registros de auditoria

Um método pode não gerar registros de auditoria por um ou mais dos seguintes motivos:

  • É um método de alto volume que envolve geração de registros significativos e custos de armazenamento.
  • Tem pouco valor para a auditoria.
  • Outro registro de auditoria ou plataforma já oferece cobertura do método.

Os métodos abaixo não geram registros de auditoria:

  • google.pubsub.v1.Publisher.Publish
  • google.pubsub.v1.Subscriber.Acknowledge
  • google.pubsub.v1.Subscriber.ModifyAckDeadline
  • google.pubsub.v1.Subscriber.Pull
  • google.pubsub.v1.Subscriber.StreamingPull
  • tech.pubsub.PublisherService.CreateTopic
  • tech.pubsub.PublisherService.DeleteTopic
  • tech.pubsub.PublisherService.GetTopic
  • tech.pubsub.PublisherService.ListTopics
  • tech.pubsub.PublisherService.Publish
  • tech.pubsub.PublisherService.PublishBatch
  • tech.pubsub.SubscriberService.Acknowledge
  • tech.pubsub.SubscriberService.CreateSubscription
  • tech.pubsub.SubscriberService.DeleteSubscription
  • tech.pubsub.SubscriberService.GetSubscription
  • tech.pubsub.SubscriberService.ListSubscriptions
  • tech.pubsub.SubscriberService.ModifyAckDeadline
  • tech.pubsub.SubscriberService.ModifyPushConfig
  • tech.pubsub.SubscriberService.Pull
  • tech.pubsub.SubscriberService.PullBatch