מידע על יומני הביקורת של Agent Platform

במסמך הזה מתוארים יומני הביקורת שנוצרים על ידי Gemini Enterprise Agent Platform כחלק מיומני הביקורת של Cloud.

סקירה כללית

שירותיGoogle Cloud יוצרים יומני ביקורת שבהם מתועדים אירועי גישה למשאבי Google Cloud ופעילויות אדמין שמבוצעות בהם.

הפרויקטים שלכם ב- Google Cloud כוללים רק יומני ביקורת של משאבים שמשויכים ישירות לפרויקט ב- Google Cloud . Google Cloud משאבים אחרים Google Cloud כמו תיקיות, ארגונים וחשבונות לחיוב, מכילים את יומני הביקורת של הישות עצמה.

לפרטים נוספים, ראו סקירה כללית על יומני הביקורת של Cloud. להבנה עמוקה יותר של הפורמט של יומני הביקורת, קראו את המאמר הסבר על יומני הביקורת.

יומני הביקורת הזמינים

אלה סוגי יומני הביקורת שזמינים ל-Agent Platform:

  • יומני הביקורת Admin Activity

    כוללים רישום של פעולות במסגרת הרשאת admin write, שבהן נכתב מידע במטא-נתונים או ההגדרות.

    לא ניתן להשבית את יומני הביקורת Admin Activity.

  • יומני הביקורת Data Access

    כוללים רישום של פעולות במסגרת הרשאת admin read, שבהן נקרא מידע ממטא-נתונים או מהגדרות. היומנים כוללים גם פעולות במסגרת ההרשאות data read ו-data write, שבהן נקראים או נכתבים נתונים שהמשתמשים סיפקו.

    כדי לקבל את יומני הביקורת Data Access צריך להפעיל אותם באופן מפורש.

  • יומני הביקורת System Event

    מזהים רישום של פעולות אוטומטיות שמשנות את ההגדרות של משאבים. Google Cloud

    לא ניתן להשבית את יומני הביקורת System Event.

לתיאורים מלאים יותר של סוגי יומני הביקורת, קראו את המאמר סוגים של יומני ביקורת.

פעולות מבוקרות

הטבלה הבאה מסכמת אילו פעולות API מתאימות לכל סוג של רישום ביומן הביקורת ב-Agent Platform:

קטגוריית יומני הביקורת פעולות ב-Agent Platform
יומני הביקורת Admin Activity batchPredictionJobs.cancel
batchPredictionJobs.create
batchPredictionJobs.delete
customJobs.cancel
customJobs.create
customJobs.delete
dataLabelingJobs.cancel
dataLabelingJobs.create
dataLabelingJobs.delete
datasets.create
datasets.delete
datasets.export
datasets.import
datasets.patch
endpoints.create
endpoints.delete
endpoints.deployModel
endpoints.patch
endpoints.undeployModel
featurestores.create
featurestores.delete
featurestores.patch
featurestores.setIamPolicy
featurestores.entityTypes.create
featurestores.entityTypes.delete
featurestores.entityTypes.patch
featurestores.entityTypes.setIamPolicy
featurestores.entityTypes.features.batchCreate
featurestores.entityTypes.features.create
featurestores.entityTypes.features.delete
featurestores.entityTypes.features.patch
hyperparameterTuningJobs.cancel
hyperparameterTuningJobs.create
hyperparameterTuningJobs.delete
indexEndpoints.create
indexEndpoints.delete
indexEndpoints.deployIndex
indexEndpoints.mutateDeployedIndex
indexEndpoints.patch
indexEndpoints.undeployIndex
memories.create
memories.delete
memories.generate
memories.purge
memories.update
memoryRevisions.rollback
metadataStores.create
metadataStores.delete
metadataStores.artifacts.create
metadataStores.artifacts.delete
metadataStores.artifacts.patch
metadataStores.artifacts.purge
metadataStores.contexts.addContextArtifactsAndExecutions
metadataStores.contexts.addContextChildren
metadataStores.contexts.create
metadataStores.contexts.delete
metadataStores.contexts.patch
metadataStores.contexts.purge
metadataStores.executions.addExecutionEvents
metadataStores.executions.create
metadataStores.executions.delete
metadataStores.executions.patch
metadataStores.executions.purge
metadataStores.metadataSchemas.create
migratableResources.batchMigrate
modelDeploymentMonitoringJobs.create
modelDeploymentMonitoringJobs.delete
modelDeploymentMonitoringJobs.patch
modelDeploymentMonitoringJobs.pause
modelDeploymentMonitoringJobs.resume
modelDevelopmentClusters.create
modelDevelopmentClusters.delete
modelDevelopmentClusters.get
modelDevelopmentClusters.list
modelDevelopmentClusters.update
models.delete
models.deleteVersion
models.export
models.mergeVersionAliases
models.patch
models.upload
models.evaluations.import
models.evaluations.slices.batchImport
modelMonitors.create
modelMonitors.delete
modelMonitors.update
modelMonitoringJobs.create
modelMonitoringJobs.delete
operations.cancel
pipelineJobs.cancel
pipelineJobs.create
pipelineJobs.delete
ragCorpora.create
ragCorpora.delete
ragEngineConfigs.update
sandboxEnvironments.create
sandboxEnvironments.delete
schedules.create
schedules.delete
schedules.update
specialistPools.create
specialistPools.delete
specialistPools.patch
studies.create
studies.delete
studies.trials.addTrialMeasurement
studies.trials.complete
studies.trials.create
studies.trials.delete
studies.trials.stop
studies.trials.suggest
tensorboards.create
tensorboards.delete
tensorboards.patch
tensorboards.experiments.create
tensorboards.experiments.delete
tensorboards.experiments.patch
tensorboards.experiments.write
tensorboards.experiments.runs.batchCreate
tensorboards.experiments.runs.create
tensorboards.experiments.runs.delete
tensorboards.experiments.runs.patch
tensorboards.experiments.runs.write
tensorboards.experiments.runs.timeSeries.batchCreate
tensorboards.experiments.runs.timeSeries.create
tensorboards.experiments.runs.timeSeries.delete
tensorboards.experiments.runs.timeSeries.patch
trainingPipelines.cancel
trainingPipelines.create
trainingPipelines.delete
tuningJobs.cancel
tuningJobs.create
deploymentResourcePool.create
deploymentResourcePool.delete
semanticGovernancePolicies.create
semanticGovernancePolicies.update
semanticGovernancePolicies.delete
יומני ביקורת של Data Access‏ (ADMIN_READ) batchPredictionJobs.get
batchPredictionJobs.list
customJobs.get
customJobs.list
dataLabelingJobs.get
dataLabelingJobs.list
datasets.get
datasets.list
datasets.annotationSpecs.get
datasets.annotations.list
datasets.savedQueries.list
endpoints.get
endpoints.list
featurestores.get
featurestores.getIamPolicy
featurestores.list
featurestores.searchFeatures
featurestores.entityTypes.get
featurestores.entityTypes.getIamPolicy
featurestores.entityTypes.list
featurestores.entityTypes.features.get
featurestores.entityTypes.features.list
hyperparameterTuningJobs.get
hyperparameterTuningJobs.list
indexEndpoints.get
indexEndpoints.list
indexes.get
indexes.delete
memories.get
memories.list
memoryRevisions.get
memoryRevisions.list
metadataStores.get
metadataStores.list
metadataStores.artifacts.get
metadataStores.artifacts.list
metadataStores.artifacts.queryArtifactLineageSubgraph
metadataStores.contexts.get
metadataStores.contexts.list
metadataStores.contexts.queryContextLineageSubgraph
metadataStores.executions.get
metadataStores.executions.list
metadataStores.executions.queryExecutionInputsAndOutputs
metadataStores.metadataSchemas.get
metadataStores.metadataSchemas.list
migratableResources.search
modelDeploymentMonitoringJobs.get
modelDeploymentMonitoringJobs.list
models.get
models.list
models.listVersions
models.evaluations.get
models.evaluations.list
models.evaluations.slices.get
models.evaluations.slices.list
modelMonitors.get
modelMonitors.list
modelMonitoringJobs.get
modelMonitoringJobs.list
pipelineJobs.get
pipelineJobs.list
ragCorpora.get
ragCorpora.list
ragEngineConfigs.get
sandboxEnvironments.get
sandboxEnvironments.list
schedules.get
schedules.list
specialistPools.get
specialistPools.list
studies.get
studies.list
studies.lookup
studies.trials.checkTrialEarlyStoppingState
studies.trials.get
studies.trials.list
studies.trials.listOptimalTrials
tensorboards.get
tensorboards.list
tensorboards.experiments.get
tensorboards.experiments.list
tensorboards.experiments.runs.get
tensorboards.experiments.runs.list
tensorboards.experiments.runs.timeSeries.batchRead
tensorboards.experiments.runs.timeSeries.exportTensorboardTimeSeries
tensorboards.experiments.runs.timeSeries.get
tensorboards.experiments.runs.timeSeries.list
tensorboards.experiments.runs.timeSeries.read
tensorboards.experiments.runs.timeSeries.readBlobData
trainingPipelines.get
trainingPipelines.list
tuningJobs.get
tuningJobs.list
deploymentResourcePool.get
deploymentResourcePool.list
deploymentResourcePool.queryDeployedModels
semanticGovernancePolicies.list
semanticGovernancePolicies.get
יומני ביקורת של Data Access‏ (DATA_READ) datasets.dataItems.list
endpoints.explain
endpoints.predict
endpoints.predictLongRunning
endpoints.rawPredict
featurestores.batchReadFeatureValues
featurestores.entityTypes.exportFeatureValues
featurestores.entityTypes.readFeatureValues
featurestores.entityTypes.streamingReadFeatureValues
indexEndpoints.findNeighbors
memories.retrieve
modelDeploymentMonitoringJobs.searchModelDeploymentMonitoringStatsAnomalies
modelMonitors.searchModelMonitoringAlerts
modelMonitors.searchModelMonitoringStats
onlineEvaluators.get
onlineEvaluators.list
ragFiles.get
ragFiles.list
sessions.get
sessions.list
sessionEvents.list
יומני ביקורת של Data Access‏ (DATA_WRITE) featurestores.entityTypes.importFeatureValues
indexes.create
indexes.patch
indexes.removeDatapoints
indexes.upsertDatapoints
onlineEvaluators.create
onlineEvaluators.update
onlineEvaluators.delete
ragFiles.delete
ragFiles.import
ragFiles.upload
sandboxEnvironments.execute
sessions.create
sessions.update
sessions.delete
sessionEvents.append
יומני הביקורת System Event InstanceVerification.LogEvidence

הפורמט של יומן הביקורת

הרשומות ביומן הביקורת כוללות את האובייקטים הבאים:

  • הרשומה עצמה, שהיא אובייקט מסוג LogEntry. אלה כמה מהשדות השימושיים ברשומה:

    • השדה logName מכיל את מזהה המשאב ואת סוג יומן הביקורת. המשאב הוא פרויקט, תיקייה, ארגון או חשבון לחיוב.
    • השדה resource מכיל את היעד של הפעולה המבוקרת.
    • השדה timeStamp מכיל את השעה של הפעולה המבוקרת.
    • השדה protoPayload מכיל את המידע המבוקר.

  • אובייקט מסוג AuditLog ששמור בשדה protoPayload של הרשומה ביומן, ומכיל את הנתונים של יומני הביקורת.

    • השדה @type מוגדר ל-"type.googleapis.com/google.cloud.audit.AuditLog".
    • השדה serviceName מזהה את השירות שכתב את יומן הביקורת. הפורמט של השדה הזה הוא ספציפי לשירות.

  • אובייקט ספציפי לשירות שמכיל מידע אופציונלי על ביקורת ספציפית לשירות. בשילובים קודמים, האובייקט הזה נשמר בשדה serviceData של האובייקט AuditLog. בשילובים מאוחרים יותר נעשה שימוש בשדה metadata.

למידע על שדות אחרים באובייקטים האלה, ואיך לפרש אותם, קראו את המאמר הסבר על יומני הביקורת.

שם יומן הביקורת

השמות של יומני הביקורת ב-Cloud כוללים את מזהי המשאבים, שמהם אפשר להבין לאיזהGoogle Cloud פרויקט או ישות אחרת Google Cloud ב-Google Cloud יומני הביקורת שייכים. בנוסף, הם מציינים אם היומן מכיל נתוני ביקורת מסוג Admin Activity, ‏ Data Access‏, Policy Denied או System Event.

אלה השמות של יומני הביקורת, כולל המשתנים שמציינים את מזהי המשאבים:

   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Factivity
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Factivity
   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fpolicy

שם השירות

יומני הביקורת של Agent Platform משתמשים בשם השירות aiplatform.googleapis.com.

במאמר מיפוי של השירותים למשאבים תוכלו למצוא רשימה של כל שמות השירותים של Cloud Logging API וסוגי המשאבים התואמים במעקב.

סוגי המשאבים

יומני הביקורת של Agent Platform משתמשים בסוג המשאב audited_resource בכל יומני הביקורת.

במאמר סוגי המשאבים במעקב תוכלו למצוא רשימה של כל סוגי המשאבים במעקב ב-Cloud Logging ותיאור שלהם.

זהויות של מתקשרים

כתובת ה-IP של מבצע השיחה מופיעה בשדה RequestMetadata.caller_ip של האובייקט AuditLog. יכול להיות שרישום ביומן יצנזר זהויות מסוימות של מבצעי שיחות וכתובות IP.

מידע על הצנזורה של מידע ביומני ביקורת מופיע במאמר בנושא זהויות של מבצעי קריאות ביומני ביקורת.

הפעלת הרישום ביומן הביקורת

יומני הביקורת System Event תמיד מופעלים, ולא ניתן להשבית אותם.

יומני הביקורת Admin Activity תמיד מופעלים, ולא ניתן להשבית אותם.

יומני הביקורת Data Access מושבתים כברירת מחדל, ולא מתעדכנים אלא אם כן מפעילים אותם בצורה מפורשת (למעט יומני Data Access של BigQuery, שלא ניתן להשבית אותם).

הסבר על הפעלת יומני הביקורת Data Access מופיע במאמר הפעלת יומני הביקורת Data Access.

הרשאות ותפקידים

ההרשאות והתפקידים ב-IAM קובעים את אפשרויות הגישה שלכם לנתוני יומני הביקורת במשאבי Google Cloud .

כשמחליטים אילו הרשאות ותפקידים ספציפיים לרישום ביומן יחולו על התרחיש לדוגמה שלכם, מומלץ להביא בחשבון את הנקודות הבאות:

  • התפקיד 'צפייה ביומנים' (roles/logging.viewer) נותן הרשאת קריאה בלבד ביומני הביקורת Admin Activity,‏ Policy Denied ו-System Event. משתמשים שהוקצה להם רק התפקיד הזה לא יכולים לצפות ביומני הביקורת Data Access שנמצאים בקטגוריה _Default.

  • התפקיד 'צפייה ביומנים פרטיים' ((roles/logging.privateLogViewer) כולל את ההרשאות שכלולות בתפקיד roles/logging.viewer, וגם את האפשרות לקרוא את יומני הביקורת Data Access בקטגוריה _Default.

    חשוב לזכור שאם היומנים הפרטיים האלה מאוחסנים בקטגוריות שהוגדרו על ידי משתמשים, כל משתמש שיש לו הרשאה לקרוא את היומנים בקטגוריות האלה יוכל לקרוא את היומנים הפרטיים. מידע נוסף על קטגוריות ביומן מופיע במאמר סקירה כללית על ניתוב ואחסון.

במאמר בקרת גישה באמצעות IAM תוכלו לקרוא מידע נוסף על ההרשאות והתפקידים ב-IAM שחלים על הנתונים של יומני הביקורת.

צפייה ביומנים

תוכלו לשלוח שאילתה על כל יומני הביקורת, או לשלוח שאילתה על יומנים מסוימים לפי שם יומן הביקורת שלהם. השם של יומן הביקורת כולל את מזהה המשאב של Google Cloud הפרויקט, התיקייה, החשבון לחיוב או הארגון שבמידע של יומני הביקורת שלהם רוצים לצפות. תוכלו להוסיף לשאילתות שדות LogEntry שנוספו לאינדקס. למידע נוסף על שליחת שאילתות על היומנים, ראו את המאמר בנושא יצירת שאילתות ב-Logs Explorer.

בעזרת הכלי Logs Explorer אפשר להציג רשומות יומן בודדות. אם רוצים להשתמש ב-SQL כדי לנתח קבוצות של רשומות ביומן, צריך להשתמש בדף Log Analytics. למידע נוסף:

אפשר לצפות ברוב יומני הביקורת ב-Cloud Logging באמצעותGoogle Cloud המסוף, Google Cloud CLI או Logging API. עם זאת, כדי לצפות ביומני ביקורת שקשורים לחיוב, אפשר להשתמש רק ב-Google Cloud CLI או ב-Logging API.

המסוף

ב Google Cloud מסוף, תוכלו להשתמש ב-Logs Explorer כדי לאחזר את הרשומות ביומן הביקורת של Google Cloud הפרויקט, התיקייה או הארגון:

  1. במסוף Google Cloud , נכנסים לדף Logs Explorer:

    כניסה אל Logs Explorer

    אם משתמשים בסרגל החיפוש כדי למצוא את הדף הזה, בוחרים בתוצאה שכותרת המשנה שלה היא Logging.

  2. בוחרים פרויקט, תיקייה או ארגון קיימים ב- Google Cloud .

  3. כדי להציג את כל יומני הביקורת, מזינים אחת מהשאילתות הבאות בשדה עורך השאילתות ולוחצים על Run query:

    logName:"cloudaudit.googleapis.com"

    protoPayload."@type"="type.googleapis.com/google.cloud.audit.AuditLog"

  4. כדי להציג את יומני הביקורת למשאב וסוג יומן ביקורת ספציפיים, בחלונית Query builder, מבצעים את הפעולות הבאות:

    • בקטע Resource Type, בוחרים את המשאב שרוצים לראות את יומני הביקורת שלו. Google Cloud

    • בקטע Log name, בוחרים את סוג יומן הביקורת שרוצים לראות:

      • ליומני הביקורת Admin Activity בוחרים באפשרות activity.
      • ליומני הביקורת Data Access בוחרים באפשרות data_access.
      • ליומני הביקורת System Event בוחרים באפשרות system_event.
      • ליומני הביקורת Policy Denied בוחרים באפשרות policy.

    • לוחצים על Run query.

    אם האפשרויות האלה לא מוצגות, המשמעות היא שאין יומני ביקורת מאותו סוג ב Google Cloud פרויקט, בתיקייה או בארגון.

    לא הצלחתם לצפות ביומנים ב-Logs Explorer? פתרון בעיות

    מידע נוסף על שליחת שאילתות באמצעות Logs Explorer מופיע במאמר יצירת שאילתות ב-Logs Explorer.

gcloud

הכלי Google Cloud CLI מספק גישה ל-Logging API באמצעות ממשק שורת הפקודה (CLI). חשוב לציין מזהה משאב תקין בכל אחד משמות היומנים. לדוגמה, אם שאילתה כוללת את השדה PROJECT_ID, מזהה הפרויקט שאתם מציינים חייב להתייחס לפרויקט ב-Google Cloud שבחרתם.

כדי לקרוא את הרשומות ביומן הביקורת ברמת הפרויקט Google Cloud , מריצים את הפקודה הבאה:

gcloud logging read "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" \
    --project=PROJECT_ID

כדי לקרוא את הרשומות ביומן הביקורת ברמת התיקייה, מריצים את הפקודה הבאה:

gcloud logging read "logName : folders/FOLDER_ID/logs/cloudaudit.googleapis.com" \
    --folder=FOLDER_ID

כדי לקרוא את הרשומות ביומן הביקורת ברמת הארגון, מריצים את הפקודה הבאה:

gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com" \
    --organization=ORGANIZATION_ID

כדי לקרוא את הרשומות ביומן הביקורת ברמת החשבון לחיוב ב-Cloud, מריצים את הפקודה הבאה:

gcloud logging read "logName : billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com" \
    --billing-account=BILLING_ACCOUNT_ID

כדי לקרוא את הרשומות ביומן שנרשמו לפני יותר מיום אחד, מוסיפים לפקודה את הדגל --freshness.

למידע נוסף על השימוש ב-CLI של gcloud:‏ gcloud logging read.

REST

כשיוצרים את השאילתות, חשוב לציין מזהה משאב תקין בכל אחד משמות היומנים. לדוגמה, אם שאילתה כוללת את השדה PROJECT_ID, מזהה הפרויקט שאתם מציינים חייב להתייחס לפרויקטGoogle Cloud שבחרתם.

לדוגמה, אם רוצים להשתמש ב-Logging API כדי לצפות ברשומות יומן הביקורת ברמת הפרויקט:

  1. עוברים לקטע Try this API במאמרי העזרה של ה-method entries.list.

  2. מזינים את הפרטים הבאים בקטע Request body בטופס Try this API. אם לוחצים על הטופס למילוי פרטים אוטומטי, גוף הבקשה יאוכלס בפרטים באופן אוטומטי אבל תצטרכו לציין PROJECT_ID תקין בכל אחד משמות יומני הביקורת.

    {
  "resourceNames": [
    "projects/PROJECT_ID"
  ],
  "pageSize": 5,
  "filter": "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com"
}

  3. לוחצים על Execute.

ניתוב של יומני ביקורת

אתם יכולים לנתב יומני ביקורת ליעדים נתמכים באותו אופן שבו אתם יכולים לנתב סוגים אחרים של יומנים. כמה סיבות לניתוב יומני הביקורת:

  • אתם יכולים לנתב עותקים של יומני הביקורת ל-Cloud Storage, ל-BigQuery או ל-Pub/Sub, כדי לשמור את יומני הביקורת לפרק זמן ארוך יותר ולהשתמש ביכולות חיפוש מתקדמות יותר. באמצעות Pub/Sub אתם יכולים לנתב יומני ביקורת לאפליקציות אחרות, למאגרים אחרים ולצדדים שלישיים.

  • כדי לנהל את יומני הביקורת בארגון כולו, אתם יכולים ליצור aggregated sinks שיכולים לנתב יומנים מכל הפרויקטים ב- Google Cloud , או מחלקם.

  • אם הכתיבה המופעלת ליומני הביקורת Data Access גורמת לחריגה ממכסת הרישומים שלכם ביומן בפרויקטים ב-Google Cloud , אתם יכולים ליצור אובייקטים מסוג sink שיחריגו את הכתיבה ליומני Data Access מ-Cloud Logging.

הוראות לגבי ניתוב יומנים מופיעות במאמר ניתוב יומנים ליעדים נתמכים.

תמחור

מידע נוסף על התמחור מופיע בקטעים על Cloud Logging בדף תמחור של Google Cloud Observability.