Monitora gli audit log di OS Login

Puoi monitorare i tentativi di connessione alle istanze di macchine virtuali (VM) che hanno OS Login e OS Login per l'autenticazione a due fattori (2FA) attivati visualizzando il sistema operativo Audit log degli accessi. Questi audit log sono sempre abilitati e non possono essere disabilitati configurazioni di accesso ai dati.

Puoi anche monitorare eventi e attività relativi a OS Login quali l'aggiunta, l'eliminazione o l'aggiornamento di una chiave SSH oppure l'eliminazione delle informazioni POSIX con SDK Admin di Google Workspace.

Prima di iniziare

  • Se non l'hai già fatto, configura l'autenticazione. Autenticazione è la procedura di verifica dell'identità per l'accesso ai servizi e alle API di Google Cloud. Per eseguire codice o esempi da un ambiente di sviluppo locale, puoi eseguire l'autenticazione Compute Engine come segue.

    Select the tab for how you plan to use the samples on this page:

    Console

    When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

    gcloud

    1. Install the Google Cloud CLI, then initialize it by running the following command: 

      gcloud init
    2. Set a default region and zone.

Visualizza gli audit log di OS Login

Per visualizzare un elenco di tentativi di connessione di OS Login, esegui una query su Cloud Audit Logs.

Console

  1. Nella console Google Cloud, vai alla pagina Esplora log.

    Vai a Esplora log

  2. Nel campo Query, inserisci la seguente query:

    protoPayload.serviceName="oslogin.googleapis.com"

  3. Se l'evento che stai cercando si è verificato più di un'ora fa, imposta una intervallo di tempo personalizzato facendo clic sul simbolo dell'orologio e inserendo una intervallo.

    Imposta l'intervallo di tempo della query.

  4. Fai clic su Esegui query. I risultati vengono visualizzati nella sezione Query dei risultati.

  5. Fai clic sull' freccia di espansione accanto a ogni risultato per mostrare informazioni dettagliate.

  6. Per scoprire di più sui tipi di audit log di OS Login e sul loro significato, continua alla sezione Rivedi i log di controllo di OS Login di questo documento.

gcloud

  1. Visualizza Cloud Audit Logs utilizzando Comando gcloud logging read:

    gcloud logging read --freshness=TIME 'protoPayload.serviceName="oslogin.googleapis.com"'

    Sostituisci TIME con la quantità di tempo per la quale vuoi eseguire le query. Ad esempio, le query 1h registrano le voci nell'ultima ora. Per informazioni su i formati di data e ora, consulta gcloud topic datetimes.

    Vengono visualizzati i risultati.

  2. Per scoprire di più sui tipi di audit log di OS Login e sul loro significato, continua alla sezione Rivedi i log di controllo di OS Login di questo documento.

Esamina gli audit log di OS Login

Esamina i campi methodName e principalEmail degli audit log per saperne di più sui tipi di tentativi di connessione alle VM che hanno OS Login abilitato gli utenti che hanno avviato i tentativi di connessione.

  • Espandi la sezione protoPayload per visualizzare il campo methodName per tentativo di connessione. Per conoscere il significato di ogni campo methodName, consulta le tabella seguente:

    Metodo Tipo di connessione Descrizione
    google.cloud.oslogin.v1.OsLoginService.CheckPolicy Tutte le connessioni OS Login Indica un tentativo di connessione a una VM. Per le connessioni senza l'autenticazione a due fattori (2FA), la risposta corretta indica che l'utente si è connesso alla VM. Per le connessioni 2FA, la riuscita di una connessione è indicata sia da un chiamata CheckPolicy riuscita e una chiamata Chiamata ContinueSession.
    google.cloud.oslogin.OsLoginService.v1.StartSession Connessioni 2FA di OS Login Indica una nuova sessione di autenticazione 2FA. In un chiamata StartSession, un client dichiara le proprie capacità sul server e ottiene informazioni sulle sfide disponibili.
    google.cloud.oslogin.OsLoginService.v1.ContinueSession Connessioni 2FA di OS Login

    Indica la continuazione di una sessione di autenticazione. La completa la verifica proposta dal server sulla richiesta StartSession chiamata o richiede e completa un'altra tipo di sfida. Il metodo ContinueSession accetta quindi la risposta alla challenge o al metodo e autentica o rifiuta il tentativo di autenticazione.

  • Espandi la sezione authenticationInfo per visualizzare il campo principalEmail. Il campo principalEmail mostra l'indirizzo email dell'utente che ha provato a connettersi alla VM.

Proprietà degli audit log di OS Login

Le seguenti sezioni descrivono le proprietà degli audit log. Alcune proprietà sono comuni a tutti gli audit log, mentre le altre proprietà sono specifiche Metodi CheckPolicy, StartSession e ContinueSession.

Proprietà comuni degli audit log di OS Login

Le proprietà elencate nella seguente tabella sono comuni a tutti i OS Login. e gli audit log.

Proprietà Valore
serviceName oslogin.googleapis.com
resourceName Una stringa contenente il numero del progetto che indica quale accesso a cui appartiene l'audit log. Ad esempio: projects/myproject12345.
severity Il livello di gravità del messaggio di log. Ad esempio, INFO o WARNING. Per scoprire di più sui livelli di gravità, consulta Gravità log.
authenticationInfo.principalEmail L'indirizzo email dell'utente che viene autenticato dal metodo.
request.numericProjectId Il numero del progetto Google Cloud.

CheckPolicy proprietà degli audit log

Le proprietà elencate nella seguente tabella si applicano al controllo CheckPolicy logaritmi.

Proprietà Valore
methodName google.cloud.oslogin.v1.OsLoginService.CheckPolicy
request.@type type.googleapis.com/google.cloud.oslogin.v1.CheckPolicyRequest
request.policy L'autorizzazione da verificare. LOGIN, che esegue la verifica se l'utente è autorizzato ad accedere alla VM oppure ADMIN_LOGIN, che controlla se l'utente è autorizzato a dispongono dell'accesso amministrativo alla VM.
response.success Il risultato dell'evento LOGIN o ADMIN_LOGIN Controllo request.policy. true o false, a seconda che l'utente sia autorizzato o meno per il del criterio specificato.

StartSession proprietà degli audit log

Le proprietà elencate nella seguente tabella si applicano al controllo StartSession per le VM con l'autenticazione a due fattori (2FA) abilitata per OS Login.

Proprietà Valore
methodName google.cloud.oslogin.OsLoginService.v1.StartSession
request.@type type.googleapis.com/google.cloud.oslogin.OsLoginService.v1.StartSessionRequest
request.supportedChallengeTypes L'elenco di tipi di sfida o metodi 2FA tra cui puoi scegliere.
response.authenticationStatus Stato della sessione. Uno tra Authenticated, Challenge required o Challenge pending.
response.sessionId Una stringa ID che identifica in modo univoco la sessione. Questo ID sessione è passato alla chiamata ContinueSession nella sequenza.
response.challenges L'insieme di sfide che puoi tentare di superare durante questo round autenticazione. Al massimo, una di queste sfide è iniziata e ha uno stato di READY. Le altre sono fornite come opzioni che l'utente può specificare in alternativa alla sfida principale proposta.

ContinueSession proprietà degli audit log

Le proprietà elencate nella seguente tabella si applicano al controllo ContinueSession per le VM con l'autenticazione a due fattori (2FA) abilitata per OS Login.

Proprietà Valore
methodName google.cloud.oslogin.OsLoginService.v1.ContinueSession
request.sessionId Una stringa ID che identifica in modo univoco la sessione precedente. Questo ID sessione è passato dalla chiamata StartSession.
request.@type type.googleapis.com/google.cloud.oslogin.OsLoginService.v1.ContinueSessionRequest
request.challengeId Una stringa ID che identifica la verifica da avviare o eseguire. Questo ID deve appartenere a un tipo di sfida restituito Chiamata response.challenges nel StartSession risposta.
request.action L'azione da intraprendere per completare sfida.
response.authenticationStatus Stato della sessione. Ad esempio, Authenticated, Challenge required o Challenge pending.
response.challenges.status SUCCESS indica che un utente si è connesso correttamente alla VM.
response.challenges L'insieme di sfide che puoi provare a superare in questo round autenticazione. Al massimo, una di queste sfide è iniziata e ha uno stato di READY. Le altre sono fornite come opzioni che l'utente può specificare in alternativa alla sfida principale proposta.

Passaggi successivi