ID 및 액세스 관리(IAM)

STS 토큰의 키 교환

로그 스키마: Istio

감사 정보가 포함된 로그 항목의 필드
감사 메타데이터 감사 필드 이름 값
사용자 또는 서비스 ID identity 

\"user\":{\"identity\":\"system:serviceaccount:iam-test:service-account\"}

대상

(API를 호출하는 필드 및 값)

 resource 

\"resource\":\"service-accounts.zone1.google.gdch.test\"

작업

(실행된 작업을 포함하는 필드)

 해당 없음
이벤트 타임스탬프 time 

"time": "2022-11-23T18:25:54Z"
작업 소스 해당 없음
결과 해당 없음
기타 필드 해당 없음

서비스 계정 생성 및 액세스 제어 관리를 비롯한 Kubernetes 리소스에 대한 감사 로그 CRUD 작업

로그 스키마: KRM API

감사 정보가 포함된 로그 항목의 필드
감사 메타데이터 감사 필드 이름 값
사용자 또는 서비스 ID user/username 

"user": {
    "groups": [
      "system:authenticated"
    ],
    "username": "fop-platform-admin@example.com"
  }

대상

(API를 호출하는 필드 및 값)

 objectRef 

"objectRef": {
    "resource": "projectserviceaccounts",
    "apiGroup": "resourcemanager.gdc.goog",
    "name": "service-accountt",
    "apiVersion": "v1alpha1",
    "namespace": "iam-test"
}

작업

(실행된 작업을 포함하는 필드)

 verb 

"verb": "create"
이벤트 타임스탬프 requestReceivedTimestamp 

"requestReceivedTimestamp": "2022-11-23T18:24:26.514173Z"
작업 소스 sourceIPs 

"sourceIPs": [
    "10.200.0.2"
  ]
결과 responseStatus 

"responseStatus": {
    "code": 201,
    "metadata": {}
  }
기타 필드 annotations/authorization.k8s.io/reason 

"annotations": {
    "authorization.k8s.io/reason": "RBAC: allowed by RoleBinding \"platform-admin-project-iam-admin/iam-test\" of Role \"project-iam-admin\" to User \"fop-platform-admin@example.com\"",
    "authorization.k8s.io/decision": "allow"
  }

사용자가 로그아웃할 때 감사 로그

로그 스키마: 맞춤 AIS 형식입니다.

감사 정보가 포함된 로그 항목의 필드
감사 메타데이터 감사 필드 이름 값
사용자 또는 서비스 ID payload.user 

"payload": {
      "expirationTime": "2023-08-29T12:42:36.848454939+00:00",
      "groups": [],
      "id": "7a5bea7a-0821-45d8-b4a0-69f24d30ab3f",
      "issuer": "Google OIDC",
      "user": "test-user"
    }

대상

(API를 호출하는 필드 및 값)

 해당 없음

작업

(실행된 작업을 포함하는 필드)

 operation 

"operation": "revoke"
이벤트 타임스탬프 metadata.timestamp 

"timestamp": "2023-08-29T00:42:40.000544813+00:00"
작업 소스 해당 없음
결과 해당 없음
기타 필드 expirationTime 

"expirationTime": "2023-08-29T12:42:36.848454939+00:00"

사용자가 로그인할 때 감사 로그

로그 스키마: 맞춤 AIS 형식입니다.

감사 정보가 포함된 로그 항목의 필드
감사 메타데이터 감사 필드 이름 값
사용자 또는 서비스 ID payload.user 

"payload": {
      "expirationTime": "2023-08-29T05:22:13.350779831+00:00",
      "groups": [],
      "id": "dcb7c5d9-c171-4f5b-84b6-5c92bfffb0e0",
      "issuer": "Azure AD SAML",
      "user": "test-ais-e2e-saml@byoidcloudaccountgoogle.onmicrosoft.com"
    }

대상

(API를 호출하는 필드 및 값)

 해당 없음

작업

(실행된 작업을 포함하는 필드)

 operation 

"operation": "create"
이벤트 타임스탬프 metadata.timestamp 

"timestamp": "2023-08-28T17:22:13.351713088+00:00"
작업 소스 해당 없음
결과 해당 없음
기타 필드 expirationTime 

"expirationTime": "2023-08-29T05:22:13.350779831+00:00"

PA가 사용자의 세션을 취소할 때 감사 로그

로그 스키마: 맞춤 AIS 형식입니다.

감사 정보가 포함된 로그 항목의 필드
감사 메타데이터 감사 필드 이름 값
사용자 또는 서비스 ID payload.admin / payload.user 

"payload": {
      "admin": "test-user-1@gdch.com",
      "numSessionsAffected": 1,
      "peerWorkloadIdentity": "system:serviceaccount:anthos-identity-service:default",
      "peerWorkloadIdentityIssuer": "https://kubernetes.default.svc.cluster.local",
      "user": "test-user-2@gdch.com"
    }

대상

(API를 호출하는 필드 및 값)

 resource 

"resource": "session"

작업

(실행된 작업을 포함하는 필드)

 operation 

"operation": "revoke"
이벤트 타임스탬프 metadata.timestamp 

"timestamp": "2023-08-28T17:22:24.043644569+00:00"
작업 소스 해당 없음
결과 해당 없음
기타 필드 numSessionsAffected 

"numSessionsAffected": 1

IAM 로그 예시

{
  "pri": "46",
  "_gdch_flbProcessedTimestamp": 1669227957.340494,
  "_gdch_fluentbit_pod": "anthos-audit-logs-forwarder-vk6vx",
  "time": "2022-11-23T18:25:54Z",
  "message": "{\"time\":\"2022-11-23T18:25:54.257503516Z\",\"auditID\":\"d1c33645-bed0-47dc-8180-06b752673109\",\"user\":{\"identity\":\"system:serviceaccount:iam-test:service-accountt\"},\"resource\":\"service-accounts.zone1.google.gdch.test\",\"description\":\"{\\\"keyID\\\":\\\"f9540561-84d5-4113-983f-fd8868501596\\\",\\\"expirationTime\\\":\\\"2022-11-24T06:25:53Z\\\"}\"}",
  "ident": "/service-identity-server",
  "pid": "1",
  "msgid": "audit-log",
  "extradata": "-",
  "_gdch_cluster": "root-admin",
  "host": "serviceidentity-sa-server-55544bd9f5-nwg8m",
  "_gdch_service_name": "service-identity-audit-logs"
}