Informationen zum Audit-Logging in AutoML

Auf dieser Seite werden die Audit-Logs beschrieben, die von Cloud AutoML als Teil von Cloud-Audit-Logging erstellt werden.

Übersicht

Google Cloud-Dienste schreiben Audit-Logs, um Ihnen Antworten auf Fragen wie "Wer hat was wo und wann getan?" zu liefern. Ihre Cloud-Projekte enthalten nur die Audit-Logs für Ressourcen, die sich direkt im Projekt befinden. Andere Entitäten wie Ordner, Organisationen und Cloud-Rechnungskonten enthalten jeweils eigene Audit-Logs.

Eine allgemeine Übersicht über Cloud-Audit-Logs finden Sie unter Cloud-Audit-Logs. Detaillierte Informationen zu Cloud-Audit-Logs finden Sie unter Audit-Logs verstehen.

Cloud-Audit-Logging legt für jedes Cloud-Projekt, jeden Ordner und jede Organisation jeweils drei Audit-Logs an:

  • Audit-Logs zur Administratoraktivität
  • Audit-Logs zum Datenzugriff
  • Audit-Logs zu Systemereignissen

AutoML schreibt Audit-Logs zur Administratoraktivität, in denen Vorgänge aufgezeichnet werden, bei denen die Konfiguration oder die Metadaten einer Ressource geändert werden. Sie können Audit-Logs für Administratoraktivitäten nicht deaktivieren.

AutoML schreibt nur dann Audit-Logs zum Datenzugriff, wenn dies explizit aktiviert ist. Audit-Logs zum Datenzugriff enthalten API-Aufrufe, die die Konfiguration oder Metadaten von Ressourcen lesen, sowie nutzergesteuerte API-Aufrufe, die von Nutzern bereitgestellte Ressourcendaten erstellen, ändern oder lesen. In Audit-Logs zum Datenzugriff werden keine Datenzugriffsvorgänge für Ressourcen aufgezeichnet, die öffentlich freigegeben (für alle Nutzer oder alle authentifizierten Nutzer verfügbar) oder ohne Anmeldung in Google Cloud zugänglich sind.

AutoML schreibt keine Audit-Logs zu Systemereignissen.

Geprüfte Vorgänge

In der folgenden Tabelle ist zusammengefasst, welche API-Vorgänge den einzelnen Audit-Logtypen in AutoML entsprechen:

Audit-Log-Kategorie Vorgänge in AutoML
Administratoraktivität automl.v1beta1.AutoMl.datasets.create
automl.v1beta1.AutoMl.datasets.delete
automl.v1beta1.AutoMl.models.create
automl.v1beta1.AutoMl.models.delete
automl.v1beta1.AutoMloml.v1beta1.models.deploy
automl.v1beta1.AutoMl.models.undeploy
automl.v1beta1.AutoMl.operations.cancel
automl.v1beta1.AutoMl.operations.delete
automl.v1beta1.AutoMl.datasets.setIamPolicy
automl.v1beta1.AutoMl.models.setIamPolicy
cloud.location.locations.setIamPolicy
Datenzugriff (ADMIN_READ) automl.v1beta1.AutoMl.datasets.get
automl.v1beta1.AutoMl.datasets.list
automl.v1beta1.AutoMl.datasets.getIamPolicy
automl.v1beta1.AutoMl.models.get
automl.v1beta1.AutoMl.models.getIamPolicy
automl.v1beta1.AutoMl.models.list
automl.v1beta1.AutoMl.datasets.annotationspecs.get
automl.v1beta1.AutoMl.models.modelEvaluations.get
automl.v1beta1.AutoMl.models.modelEvaluations.list
automl.v1beta1.PredictionService.models.predict
automl.v1beta1.PredictionService.models.batchPredict
longrunning.operations.get
longrunning.operations.list
cloud.location.locations.get
cloud.location.locations.list
cloud.location.locations.getIamPolicy
Datenzugriff (DATA_READ) automl.v1beta1.AutoMl.datasets.exportData
automl.v1beta1.AutoMl.models.export
Datenzugriff (DATA_WRITE) automl.v1beta1.AutoMl.datasets.importData

Audit-Logformat

Audit-Logeinträge können in Cloud Logging mit der Loganzeige, der Cloud Logging API oder dem gcloud-Befehlszeilentool aufgerufen werden und umfassen die folgenden Objekte:

  • Den Logeintrag selbst. Dabei handelt es sich um ein Objekt vom Typ LogEntry. Nützliche Felder sind unter anderem:

    • logName enthält die Projekt-ID und den Audit-Logtyp
    • resource enthält das Ziel des geprüften Vorgangs
    • timeStamp enthält die Uhrzeit des geprüften Vorgangs
    • protoPayload enthält die geprüften Informationen
  • Die Audit-Logdaten, bei denen es sich um ein AuditLog-Objekt handelt, das sich im Feld protoPayload des Logeintrags befindet.

  • Optionale dienstspezifische Auditinformationen. Dabei handelt es sich um ein dienstspezifisches Objekt im Feld serviceData des AuditLog-Objekts. Weitere Informationen finden Sie unter Dienstspezifische Auditdaten.

Informationen zu anderen Feldern in diesen Objekten sowie zu deren Interpretation finden Sie unter Audit-Logs verstehen.

Logname

Ressourcennamen von Cloud-Audit-Logs geben Aufschluss über das Cloud-Projekt oder über eine andere Google Cloud-Entität, die Inhaber der Audit-Logs ist. Außerdem zeigen sie an, ob das Log Audit-Logging-Daten zur Administratoraktivität, zum Datenzugriff oder zu Systemereignissen enthält. Im folgenden Beispiel sind Lognamen für die Audit-Logs zur Administratoraktivität eines Projekts und für die Audit-Logs zum Datenzugriff einer Organisation enthalten. Die Variablen bezeichnen Projekt- und Organisations-IDs.

projects/project-id/logs/cloudaudit.googleapis.com%2Factivity
organizations/organization-id/logs/cloudaudit.googleapis.com%2Fdata_access

Dienstname

Für AutoML-Audit-Logs wird der Dienstname automl.googleapis.com verwendet.

Weitere Informationen zu Logging-Diensten finden Sie unter Dienste zu Ressourcen zuordnen.

Ressourcentypen

AutoML-Audit-Logs verwenden für alle Audit-Logs den Ressourcentyp audited_resource.

Eine vollständige Liste finden Sie unter Überwachte Ressourcentypen.

Audit-Logging aktivieren

Audit-Logs für Administratoraktivitäten sind immer aktiviert. Sie können sie nicht deaktivieren.

Audit-Logs zum Datenzugriff sind standardmäßig deaktiviert und werden nur dann geschrieben, wenn sie explizit aktiviert wurden. Eine Ausnahme bilden die Audit-Logs zum Datenzugriff für BigQuery, die nicht deaktiviert werden können.

Wie Sie einige oder alle Audit-Logs zum Datenzugriff aktivieren, erfahren Sie unter Datenzugriffslogs konfigurieren.

Wenn Sie Audit-Logs zum Datenzugriff konfigurieren, kann sich das auf Ihre Logpreise in Cloud Logging auswirken. Lesen Sie dazu den Abschnitt "Preise" auf dieser Seite.

Berechtigungen für Audit-Logs

Welche Audit-Logs Sie ansehen oder exportieren können, wird durch Berechtigungen und Rollen von Cloud Identity and Access Management (Cloud IAM) bestimmt. Logs befinden sich in Cloud-Projekten und in einigen anderen Entitäten wie Organisationen, Ordnern und Cloud-Rechnungskonten. Weitere Informationen finden Sie unter Informationen zu Rollen.

Zum Ansehen von Audit-Logs zur Administratoraktivität benötigen Sie eine der folgenden Cloud IAM-Rollen in dem Projekt, das die Audit-Logs enthält:

Wenn Sie Audit-Logs zum Datenzugriff aufrufen möchten, benötigen Sie in dem Projekt, das Ihre Audit-Logs enthält, eine der folgenden Rollen:

Wenn die verwendeten Audit-Logs nicht aus einem Cloud-Projekt, sondern einer Entität wie einer Organisation stammen, ändern Sie die Projektrollen in geeignete Organisationsrollen.

Logs ansehen

Wenn Sie Audit-Logs suchen und ansehen möchten, brauchen Sie die ID des Cloud-Projekts, des Ordners oder der Organisation, für die Sie Audit-Logging-Informationen abrufen möchten. Dabei können Sie auch weitere indexierte LogEntry-Felder angeben, z. B. resource.type. Weitere Informationen erhalten Sie unter Logeinträge schnell finden.

Im Folgenden finden Sie die Namen der Audit-Logs. Sie enthalten Variablen für die IDs des Cloud-Projekts, des Ordners oder der Organisation. Beim Erstellen von Abfragen müssen Sie die Variablen durch gültige Werte ersetzen. Wenn die Abfrage beispielsweise eine project-id enthält, muss sich die von Ihnen angegebene Projekt-ID auf das aktuell ausgewählte Cloud-Projekt beziehen.

   projects/project-id/logs/cloudaudit.googleapis.com%2Factivity
   projects/project-id/logs/cloudaudit.googleapis.com%2Fdata_access
   projects/project-id/logs/cloudaudit.googleapis.com%2Fsystem_event

   folders/folder-id/logs/cloudaudit.googleapis.com%2Factivity
   folders/folder-id/logs/cloudaudit.googleapis.com%2Fdata_access
   folders/folder-id/logs/cloudaudit.googleapis.com%2Fsystem_event

   organizations/organization-id/logs/cloudaudit.googleapis.com%2Factivity
   organizations/organization-id/logs/cloudaudit.googleapis.com%2Fdata_access
   organizations/organization-id/logs/cloudaudit.googleapis.com%2Fsystem_event

In den folgenden Beispielen werden Abfragen auf Projektebene verwendet. Wenn Sie Audit-Logs auf Organisations- oder Ordnerebene aufrufen möchten, ersetzen Sie die Audit-Lognamen oder die IDs durch solche auf Ordner- oder Organisationsebene, wie in den Audit-Lognamen aufgeführt.

Sie haben mehrere Möglichkeiten, Ihre Audit-Logeinträge aufzurufen.

Console

Sie können mit der Loganzeige in der Cloud Console die Audit-Logeinträge für Ihr Cloud-Projekt abrufen:

  1. Rufen Sie in der Cloud Console die Seite Cloud Logging > Loganzeige auf:

    Zur Loganzeige

  2. Wählen Sie unter Klassisch die Option Vorschau der neuen Loganzeige ansehen aus.

  3. Wählen Sie ein vorhandenes Cloud-Projekt aus.

  4. Führen Sie im Bereich Query Builder die folgenden Schritte aus:

    • Wählen Sie unter Ressource den Google Cloud-Ressourcentyp aus, dessen Audit-Logs angezeigt werden sollen.

    • Wählen Sie unter Logname den anzuzeigenden Audit-Logtyp aus:

    • Wählen Sie für Audit-Logs zur Administratoraktivität activity aus.

    • Wählen Sie für Audit-Logs zum Datenzugriff data_access aus.

    • Wählen Sie für Audit-Logs zu Systemereignissen system_events aus.

    Wenn diese Optionen nicht angezeigt werden, sind im Cloud-Projekt keine Audit-Logs dieses Typs verfügbar.

    Weitere Informationen zu Abfragen mit der neuen Loganzeige finden Sie unter Logabfragen erstellen (Vorschau).

API

So prüfen Sie Ihre Audit-Logeinträge mithilfe der Logging API:

  1. Rufen Sie in der Dokumentation für die Methode entries.list den Abschnitt API testen auf.

  2. Geben Sie im Teil Anfragetext des Formulars API testen Folgendes ein. Wenn Sie auf dieses vorausgefüllte Formular klicken, wird der Anfragetext automatisch übernommen. Sie müssen nur noch in jedem der Lognamen eine gültige project-id angeben.

    {
      "resourceNames": [
        "projects/project-id"
      ],
      "pageSize": 5,
      "filter": "logName : projects/project-id/logs/cloudaudit.googleapis.com"
    }
    
  3. Klicken Sie auf Ausführen.

Weitere Informationen zu Abfragen finden Sie unter Logging-Abfragesprache.

gcloud

Das Cloud SDK bietet die Befehlsgruppe gcloud logging, mit der über die Befehlszeile auf die Cloud Logging API zugegriffen werden kann. Führen Sie den folgenden Befehl aus, um Ihre Logeinträge zu lesen. Geben Sie dabei in jedem Lognamen eine gültige project-id an.

gcloud logging read "logName : projects/project-id/logs/cloudaudit.googleapis.com"

Weitere Informationen zur Verwendung des gcloud-Befehlszeilentools finden Sie unter gcloud logging read.

Ein Beispiel für einen Audit-Logeintrag und wie Sie die wichtigsten Informationen darin finden, ist in Audit-Logs verstehen enthalten.

Audit-Logs exportieren

Sie können Audit-Logs genauso wie andere Arten von Logs exportieren. Einzelheiten zum Exportieren Ihrer Logs finden Sie unter Logexporte. Hier sind einige Anwendungsbeispiele für den Export von Audit-Logs:

  • Sie können Kopien von Audit-Logs in Cloud Storage, BigQuery oder Cloud Pub/Sub exportieren, um Audit-Logs über einen längeren Zeitraum hinweg zu speichern oder leistungsfähigere Suchfunktionen zu verwenden. Mit Pub/Sub haben Sie die Möglichkeit, die Logs in andere Anwendungen, andere Repositories und Systeme von Drittanbietern zu exportieren.

  • Für die Verwaltung der Audit-Logs einer gesamten Organisationen können Sie aggregierte Senken erstellen, mit denen sich Logs aus bestimmten oder allen Projekten in der Organisation exportieren lassen.

  • Falls aktivierte Audit-Logs zum Datenzugriff dazu führen, dass Ihre Projekte ihr Logkontingent überschreiten, können Sie die Audit-Logs zum Datenzugriff aus Logging exportieren und ausschließen. Weitere Informationen finden Sie unter Logausschlüsse.

Preise

In Cloud Logging werden Ihnen Audit-Logs, die nicht deaktiviert werden können, darunter sämtliche Audit-Logs zur Administratoraktivität, nicht in Rechnung gestellt. Audit-Logs zum Datenzugriff, die Sie explizit anfordern, werden Ihnen jedoch von Cloud Logging in Rechnung gestellt.

Weitere Informationen zu den Preisen für Audit-Logs finden Sie im Abschnitt zu den Preisen für die Operations-Suite von Google Cloud.