HINWEIS: Einige Aspekte dieses Produkts befinden sich in der Betaphase. Die hybriden Installationsoptionen sind allgemein verfügbar. Wenn Sie am Beta-Programm teilnehmen möchten, wenden Sie sich an Ihren Apigee-Vertreter.

Informationen zu Audit-Logging

Auf dieser Seite werden die Audit-Logs beschrieben, die von Apigee hybrid als Teil von Cloud-Audit-Logs erstellt werden.

Übersicht

Google Cloud-Dienste schreiben Audit-Logs, um Ihnen Antworten auf Fragen wie "Wer hat was wo und wann getan?" zu liefern. Ihre Apigee hybrids enthalten jeweils nur die Audit-Logs für Ressourcen, die sich direkt im Projekt befinden. Andere Entitäten wie Ordner, Organisationen und Rechnungskonten enthalten jeweils eigene Audit-Logs.

Einen allgemeinen Überblick über Cloud-Audit-Logs finden Sie unter Cloud-Audit-Logging. Detaillierte Informationen zu Cloud-Audit-Logs finden Sie unter Audit-Logs verstehen.

Cloud-Audit-Logs erstellt und verwaltet für jedes Google Cloud-Projekt, jeden Ordner und jede Organisation drei Audit-Logs:

  • Audit-Logs zur Administratoraktivität
  • Audit-Logs zum Datenzugriff
  • Audit-Logs zu Systemereignissen

Apigee hybrid schreibt Audit-Logs zur Administratoraktivität, in denen Vorgänge aufgezeichnet werden, die die Konfiguration oder die Metadaten einer Ressource ändern. Sie können Audit-Logs zur Administratoraktivität nicht deaktivieren.

Nur wenn explizit aktiviert, schreibt Apigee hybrid Audit-Logs zum Datenzugriff. Audit-Logs zum Datenzugriff enthalten API-Aufrufe, die die Konfiguration oder Metadaten von Ressourcen lesen. In Audit-Logs zum Datenzugriff werden keine Datenzugriffsvorgänge für Ressourcen aufgezeichnet, die öffentlich freigegeben (für alle Nutzer oder alle authentifizierten Nutzer verfügbar) oder ohne Anmeldung bei Google Cloud zugänglich sind.

Apigee hybrid schreibt keine Audit-Logs zu Systemereignissen.

Geprüfte Vorgänge

Im Folgenden wird zusammengefasst, welche API-Vorgänge dem jeweiligen Audit-Log-Typ in Apigee hybrid entsprechen:

Audit-Logkategorie Vorgänge
DATA_READ GET
LIST
ADMIN CREATE
UPDATE
DELETE

Audit-Logformat

Audit-Logeinträge, die in Stackdriver Logging mit der Loganzeige, der Stackdriver Logging API oder dem gcloud-Befehlszeilentool aufgerufen werden können, umfassen die folgenden Objekte:

  • Den Log-Eintrag selbst, ein Objekt vom Typ LogEntry. Interessante Felder sind unter anderem:
  • logName enthält die Projektkennung und den Audit-Logtyp
  • resource enthält das Ziel zum geprüften Vorgang
  • timeStamp enthält die Uhrzeit des geprüften Vorgangs
  • protoPayload enthält die geprüften Informationen
  • Die Audit-Logging-Daten, bei denen es sich um ein AuditLog-Objekt handelt, das sich im Feld protoPayload des Logeintrags befindet.
  • Optionale dienstspezifische Auditinformationen als dienstspezifisches Objekt im Feld serviceData des AuditLog-Objekts. Weitere Informationen finden Sie unter Dienstspezifische Auditdaten.

Informationen zu anderen Feldern in diesen Objekten sowie zu deren Interpretation finden Sie unter Audit-Logs verstehen.

Logname

Ressourcennamen von Cloud-Audit-Logs geben Aufschluss über das Projekt oder über eine andere Entität, die Inhaber der Audit-Logs ist, und zeigen außerdem an, ob das Log Audit-Logging-Daten zur Administratoraktivität, zum Datenzugriff oder zu Systemereignissen enthält. Im folgenden Beispiel werden Lognamen für die Audit-Logs zur Administratoraktivität eines Projekts und für die Audit-Logs zum Datenzugriff einer Organisation angezeigt:

projects/[PROJECT_ID]/logs/cloudaudit.googleapis.com%2Factivity
organizations/[ORGANIZATION_ID]/logs/cloudaudit.googleapis.com%2Fdata_access

Dienstname

Apigee Hybrid-Auditlogs verwenden den Dienstnamen apigee.googleapis.com.

Weitere Informationen zu Logging-Diensten finden Sie unter Dienste Ressourcen zuordnen.

Ressourcentypen

Die Audit-Logs von Apigee Hybrid verwenden bei allen Audit-Logs den Ressourcentyp audited_resource.

Eine vollständige Liste finden Sie unter Überwachte Ressourcentypen.

Audit-Logging aktivieren

Audit-Logs zu Administratoraktivitäten sind immer aktiviert. Sie können sie nicht deaktivieren.

Audit-Logs zum Datenzugriff sind standardmäßig deaktiviert und werden nur geschrieben, wenn sie explizit aktiviert werden. Eine Ausnahme bilden die Audit-Logs zum Datenzugriff für BigQuery, die nicht deaktiviert werden können.

Eine Anleitung zum Aktivieren einiger oder aller Audit-Logs für Datenzugriffe finden Sie unter Datenzugriffslogs konfigurieren.

Wenn Sie Audit-Logs zum Datenzugriff konfigurieren, kann sich das auf Ihre Logpreise in Stackdriver auswirken. Lesen Sie dazu den Abschnitt "Preise" auf dieser Seite.

Berechtigungen für Audit-Logs

Welche Audit-Logs Sie ansehen oder exportieren können, wird durch Berechtigungen und Rollen von Cloud Identity and Access Management (Cloud IAM) bestimmt. Logs sind in Projekten und in einigen anderen Entitäten wie Organisationen, Ordnern und Rechnungskonten enthalten. Mehr dazu finden Sie unter Weitere Informationen zu Rollen.

Zum Ansehen von Audit-Logs zu Administratoraktivitäten benötigen Sie eine der folgenden IAM-Rollen in dem Projekt, das die Audit-Logs enthält:

  1. Projektinhaber, Projektbearbeiter oder Projektbetrachter.
  2. Die Rolle Logbetrachter für Logging.
  3. Eine benutzerdefinierte IAM-Rolle mit der IAM-Berechtigung logging.logEntries.list.

Wenn Sie Audit-Logs zum Datenzugriff aufrufen möchten, benötigen Sie in dem Projekt, das Ihre Audit-Logs enthält, eine der folgenden Rollen:

Wenn die verwendeten Audit-Logs nicht aus einem Projekt, sondern einer Entität wie einer Organisation stammen, ändern Sie die Projektrollen in geeignete Organisationsrollen.

Logs ansehen

Sie haben mehrere Möglichkeiten, Ihre Audit-Logeinträge aufzurufen:

Einfache Oberfläche

Sie können Ihre Audit-Logeinträge über die einfache Oberfläche der Loganzeige in der GCP Console abrufen. Gehen Sie so vor:

  1. Rufen Sie in der GCP Console die Seite Stackdriver Logging > Logs (Loganzeige) auf:

    Rufen Sie die Seite Loganzeige auf.

  2. Wählen Sie oben auf der Seite ein vorhandenes Google Cloud-Projekt aus oder erstellen Sie ein neues Projekt.
  3. Wählen Sie im ersten Drop-down-Menü den Ressourcentyp aus, dessen Audit-Logs angezeigt werden sollen. Sie können eine bestimmte Ressource oder mit Global alle Ressourcen auswählen.
  4. Wählen Sie im zweiten Drop-down-Menü den Logtyp aus, den Sie ansehen möchten: activity für Audit-Logs zur Administratoraktivität, data_access für Audit-Logs zum Datenzugriff und system_events für Audit-Logs zu Systemereignissen.

    Wenn eine dieser Optionen nicht angezeigt wird, sind im Projekt keine Audit-Logs dieses Typs verfügbar.

Erweiterte Oberfläche

Sie können Ihre Audit-Logeinträge über die erweiterte Oberfläche der Loganzeige in der GCP Console abrufen. Gehen Sie so vor:

  1. Rufen Sie in der GCP Console die Seite Stackdriver Logging > Logs (Loganzeige) auf:

    Rufen Sie die Seite Loganzeige auf.

  2. Wählen Sie oben auf der Seite ein vorhandenes Google Cloud-Projekt aus oder erstellen Sie ein neues Projekt.
  3. Wählen Sie im ersten Drop-down-Menü den Ressourcentyp aus, dessen Audit-Logs angezeigt werden sollen. Sie können eine bestimmte Ressource oder mit Global alle Ressourcen auswählen.
  4. Klicken Sie ganz rechts im Suchanfragefeld auf den Drop-down-Pfeil und wählen Sie In erweiterten Filter umwandeln aus.
  5. Erstellen Sie eine Abfrage, in der die gewünschten Logeinträge genauer definiert werden. Mit der folgenden Abfrage können Sie alle Audit-Logs in Ihrem Projekt abrufen. Geben Sie in jedem Lognamen eine gültige [PROJECT_ID] an.
    logName = ("projects/[PROJECT_ID]/logs/cloudaudit.googleapis.com%2Factivity"
    OR
    "projects/[PROJECT_ID]/logs/cloudaudit.googleapis.com%2Fsystem_events"
    OR
    "projects/[PROJECT_ID]logs/cloudaudit.googleapis.com%2Fdata_access")

Weitere Informationen zu Abfragen finden Sie unter Erweiterte Logabfragen.

API

So sehen Sie sich Ihre Audit-Log-Einträge mithilfe der Stackdriver Logging API an:

  1. Rufen Sie den Abschnitt Diese API testen in der Dokumentation für die Methode entries.list auf.
  2. Geben Sie im Teil Anfragetext des Formulars Diese API testen Folgendes ein. Wenn Sie auf dieses vorausgefüllte Formular klicken, wird der Anfragetext automatisch übernommen. Sie müssen jedoch in allen Lognamen eine gültige [PROJECT_ID] angeben.
    {
      "resourceNames": [
        "projects/[PROJECT_ID]"
      ],
      "pageSize": 5,
      "filter": "logName=(projects/[PROJECT_ID]/logs/cloudaudit.googleapis.com%2Factivity OR projects/[PROJECT_ID]/logs/cloudaudit.googleapis.com%2Fsystem_events OR projects/[PROJECT_ID]/logs/cloudaudit.googleapis.com%2Fdata_access)"
    }
  3. Klicken Sie auf Ausführen.
Weitere Informationen zu Abfragen finden Sie unter Erweiterte Logabfragen.

gcloud

Wenn Sie Logeinträge mit dem gcloud-Befehlszeilentool lesen möchten, führen Sie den im Folgenden aufgeführten Befehl aus. Geben Sie in jedem Lognamen eine gültige [PROJECT_ID] an.

gcloud logging read "logName=(projects/[PROJECT_ID]/logs/cloudaudit.googleapis.com%2Factivity OR projects/[PROJECT_ID]/logs/cloudaudit.googleapis.com%2Fsystem_events OR projects/[PROJECT_ID]/logs/cloudaudit.googleapis.com%2Fdata_access)"

Weitere Informationen zur Verwendung des gcloud-Befehlszeilentools finden Sie unter Logeinträge lesen.

Ein Beispiel für einen Audit-Log-Eintrag und wie Sie die wichtigsten Informationen darin finden, ist unter Audit-Logs verstehen enthalten.

Audit-Logs exportieren

Sie können Audit-Logs genauso wie andere Arten von Logs exportieren. Weitere Informationen zum Exportieren von Logs finden Sie unter Logs exportieren. Im Folgenden erfahren Sie mehr über Möglichkeiten zum Exportieren von Audit-Logs:

  • Sie können Kopien von Audit-Logs in Cloud Storage, BigQuery oder Pub/Sub exportieren, um Audit-Logs über einen längeren Zeitraum hinweg zu speichern oder leistungsfähigere Suchfunktionen zu verwenden. Mit Pub/Sub haben Sie die Möglichkeit, die Logs in andere Anwendungen, andere Repositories und Systeme von Drittanbietern zu exportieren.
  • Verwalten Sie Ihre Audit-Logs organisationsweit, indem Sie zusammengefasste Exportsenken erstellen, mit denen sich Logs aus beliebigen oder allen Projekten in der Organisation exportieren lassen.
  • Wenn die aktivierten Audit-Logs zum Datenzugriff dazu führen, dass Ihre Projekte ihr Logkontingent überschreiten, können Sie die Audit-Logs zum Datenzugriff aus Logging exportieren und ausschließen. Weitere Informationen finden Sie unter Logausschlüsse.

Preis

In Stackdriver Logging werden Ihnen keine Audit-Logs in Rechnung gestellt, die nicht deaktiviert werden können, einschließlich aller Audit-Logs zu Administratoraktivitäten.

Audit-Logs zum Datenzugriff, die Sie explizit anfordern, werden von Stackdriver Logging jedoch in Rechnung gestellt.