רישום ביומן ביקורת

בדף הזה מוסבר איך פועל רישום ביומן הביקורת כשמאבטחים את מסוףGoogle Cloud ואת ממשקי ה-API של Google Cloud באמצעות Access Context Manager.

כברירת מחדל, Access Context Manager מתעד ב-Cloud Logging את כל בקשות הגישה לGoogle Cloud מסוף ולממשקי ה-API של Google Cloud שנדחו בגלל הפרות של מדיניות האבטחה. הרשומות ביומן הביקורת מאוחסנות באופן מאובטח בתשתית של Google וזמינות לניתוח בעתיד. התוכן של יומן הביקורת זמין לכל ארגון בנפרד במסוףGoogle Cloud . יומן הביקורת של Access Context Manager נכתב בזרם הרישום ביומן Audited Resource, וה��א זמין ב-Cloud Logging.

תוכן הרשומה ביומן הביקורת

כל רשומה ביומן הביקורת מכילה מידע שאפשר לחלק לשתי קטגוריות עיקריות: מידע על הקריאה המקורית ומידע על הפרות של מדיניות האבטחה. הוא ממולא באופן הבא:

שדה ביומן הביקורת משמעות
logName מזהה הארגון וסוג יומן הביקורת.
serviceName שם השירות שמטפל בקריאה, contextawareaccess.googleapis.com, שגרמה ליצירת רשומת הביקורת הזו.
authenticationInfo.principal_email כתובת האימייל של המשתמש שביצע את השיחה המקורית.
timestamp השעה של הפעולה המטורגטת.
resource היעד של הפעולה המבוקרת.
resourceName הארגון שאמור לקבל את רשומת הביקורת הזו.
requestMetadata.callerIp כתובת ה-IP שממנה הגיעה הקריאה.
requestMetadata.requestAttributes.auth.accessLevels רמות הגישה בארגון שהבקשה עמדה בהן, בלי קשר לשאלה אם רמות הגישה האלה חלות בקישור הגישה.
status הסטטוס הכללי של הטיפול בפעולה שמתוארת ברשומה הזו.
metadata

מופע של סוג ה-protobuf של google.cloud.audit.ContextAwareAccessAuditMetadata, שעבר סריאליזציה ל-JSON Struct. הוא כולל את השדות הבאים:

  • ‫appliedAccessLevels: רמות הגישה שנדרשות על ידי מדיניות הגישה הפעילה בקישור.
  • ‫appliedDryRunAccessLevels: רמות הגישה שנדרשות על ידי מדיניות הגישה של ההרצה היבשה בקישור.
  • ‫unsatisfiedAccessLevels: רמות הגישה בארגון שהבקשה לא עמדה בהן. הרשימה הזו יכולה לכלול רמות גישה שלא הוחלו בקישור הגישה. כדי לזהות אילו רמות גישה גרמו לדחיית הגישה, צריך להשוות את השדה הזה עם appliedAccessLevels או עם appliedDryRunAccessLevels.
  • ‫evaluationResult: תוצאת ההערכה של מדיניות הגישה הפעילה (GRANTED או DENIED). אם לא הוחלו רמות גישה פעילות בקישור, השדה הזה מוגדר לערך GRANTED.
  • ‫dryRunEvaluationResult: תוצאת ההערכה של מדיניות הגישה להרצה (GRANTED או DENIED). אם לא הוחלו רמות גישה להרצה בקישור, השדה הזה מוגדר כ-GRANTED, גם כש-evaluationResult הוא DENIED.
  • ‫deniedApplications: האפליקציות שהגישה אליהן נדחתה.

גישה ליומן הביקורת

התוכן של יומן הביקורת זמין לכל ארגון בנפרד במסוףGoogle Cloud . יומן הביקורת של Access Context Manager נכתב בזרם הרישום ביומן "משאב מבוקר", והוא זמין ב-Cloud Logging.

המאמרים הבאים