Auf dieser Seite wird beschrieben, wie das Audit-Logging beim Schutz der Cloud Console und der Google Cloud APIs mit BeyondCorp Enterprise funktioniert.
BeyondCorp Enterprise protokolliert standardmäßig alle Zugriffsanfragen an die Cloud Console und die Google Cloud APIs, die aufgrund von Verstößen gegen die Sicherheitsrichtlinien in Cloud Logging abgelehnt werden. Die Audit-Log-Einträge werden sicher in der Google-Infrastruktur gespeichert und stehen für zukünftige Analysen zur Verfügung. Die Inhalte des Audit-Logs sind in der Google Cloud Console auf Organisationsebene verfügbar. Das BeyondCorp Enterprise-Audit-Log wird in den Logging-Stream "Geprüfte Ressource" geschrieben und ist in Cloud Logging verfügbar.
Inhalt von Audit-Log-Einträgen
Jeder Audit-Log-Eintrag enthält Informationen, die in zwei Hauptkategorien unterteilt werden können: Informationen zum ursprünglichen Aufruf und Informationen zu Verstößen gegen die Sicherheitsrichtlinien. Er wird so ausgefüllt:
Audit-Log-Feld | Bedeutung |
logName
|
ID der Organisation und Audit-Logtyp. |
serviceName
|
Der Name des Dienstes, von dem der Aufruf contextawareaccess.googleapis.com verarbeitet wurde, der zur Erstellung dieses Audit-Eintrags geführt hat.
|
authenticationInfo.principal_email
|
E-Mail-Adresse des Nutzers, der den ursprünglichen Aufruf ausgeführt hat. |
timestamp
|
Die Zeit des Zielvorgangs. |
resource
|
Das Ziel des geprüften Vorgangs. |
resourceName
|
Die Organisation, die diesen Audit-Eintrag erhalten soll. |
requestMetadata.callerIp
|
Die IP-Adresse, von der der Aufruf stammt. |
requestMetadata.requestAttributes.auth.accessLevels
|
Die aktiven Zugriffsebenen, die von der Anfrage erfüllt werden. |
status
|
Der allgemeine Status der Bearbeitung eines in diesem Eintrag beschriebenen Vorgangs. |
metadata
|
Eine Instanz des protobuf-Typs google.cloud.audit.ContextAwareAccessAuditMetadata , serialisiert als JSON-Struct. Das Feld "unsatisfiedAccessLevels" enthält eine Liste der Zugriffsebenen, die die Anfrage nicht erfüllt hat.
|
Audit-Log aufrufen
Die Inhalte des Audit-Logs sind in der Google Cloud Console auf Organisationsebene verfügbar. Das BeyondCorp Enterprise-Audit-Log wird in den Logging-Stream "Geprüfte Ressource" geschrieben und ist in Cloud Logging verfügbar.
Weitere Informationen
- Cloud-Audit-Logs
- Weitere Informationen zu Cloud-Audit-Logs aktivieren für Identity-Aware Proxy
- Weitere Informationen zu Audit-Logging für VPC Service Controls