Privileged Access Manager の監査ロギング

このドキュメントでは、Privileged Access Manager の監査ロギングについて説明します。 Google Cloud サービスは、 Google Cloud リソース内の管理アクティビティとアクセス アクティビティを記録する監査ログを生成します。Cloud Audit Logs の詳細については、以下をご覧ください。

サービス名

Privileged Access Manager 監査ログでは、サービス名 privilegedaccessmanager.googleapis.com が使用されます。このサービスでフィルタ:

    protoPayload.serviceName="privilegedaccessmanager.googleapis.com"

メソッド（権限タイプ別）

各 IAM 権限には type プロパティがあります。このプロパティの値は列挙型で、ADMIN_READ、ADMIN_WRITE、DATA_READ、DATA_WRITE のいずれかになります。メソッドを呼び出すと、Privileged Access Manager によって監査ログが生成されます。このログのカテゴリは、メソッドの実行に必要な権限の type プロパティによって決まります。type プロパティ値が DATA_READ、DATA_WRITE、または ADMIN_READ の IAM 権限を必要とするメソッドは、データアクセス監査ログを生成します。type プロパティ値が ADMIN_WRITE の IAM 権限を必要とするメソッドは、管理アクティビティ監査ログを生成します。

次のリストで（LRO）とマークされている API メソッドは、長時間実行オペレーション（LRO）です。通常、これらのメソッドは 2 つの監査ログエントリを生成します。1 つはオペレーションの開始時、もう 1 つは終了時です。詳細については、長時間実行オペレーションの監査ログをご覧ください。
権限タイプ メソッド
ADMIN_READ google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.CheckOnboardingStatus
google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.GetEntitlement
google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.GetGrant
google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.ListEntitlements
google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.ListGrants
google.cloud.privilegedaccessmanager.v1alpha.PrivilegedAccessManager.CheckOnboardingStatus
google.cloud.privilegedaccessmanager.v1alpha.PrivilegedAccessManager.GetEntitlement
google.cloud.privilegedaccessmanager.v1alpha.PrivilegedAccessManager.GetGrant
google.cloud.privilegedaccessmanager.v1alpha.PrivilegedAccessManager.ListEntitlements
google.cloud.privilegedaccessmanager.v1alpha.PrivilegedAccessManager.ListGrants
google.cloud.privilegedaccessmanager.v1beta.PrivilegedAccessManager.CheckOnboardingStatus
google.cloud.privilegedaccessmanager.v1beta.PrivilegedAccessManager.GetEntitlement
google.cloud.privilegedaccessmanager.v1beta.PrivilegedAccessManager.GetGrant
google.cloud.privilegedaccessmanager.v1beta.PrivilegedAccessManager.ListEntitlements
google.cloud.privilegedaccessmanager.v1beta.PrivilegedAccessManager.ListGrants
ADMIN_WRITE google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.ApproveGrant
google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.CreateEntitlement（LRO）
google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.CreateGrant
google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.DeleteEntitlement（LRO）
google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.DenyGrant
google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.RevokeGrant（LRO）
google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.UpdateEntitlement（LRO）
google.cloud.privilegedaccessmanager.v1alpha.PrivilegedAccessManager.ApproveGrant
google.cloud.privilegedaccessmanager.v1alpha.PrivilegedAccessManager.CreateEntitlement（LRO）
google.cloud.privilegedaccessmanager.v1alpha.PrivilegedAccessManager.CreateGrant
google.cloud.privilegedaccessmanager.v1alpha.PrivilegedAccessManager.DeleteEntitlement（LRO）
google.cloud.privilegedaccessmanager.v1alpha.PrivilegedAccessManager.DenyGrant
google.cloud.privilegedaccessmanager.v1alpha.PrivilegedAccessManager.RevokeGrant（LRO）
google.cloud.privilegedaccessmanager.v1alpha.PrivilegedAccessManager.UpdateEntitlement（LRO）
google.cloud.privilegedaccessmanager.v1beta.PrivilegedAccessManager.ApproveGrant
google.cloud.privilegedaccessmanager.v1beta.PrivilegedAccessManager.CreateEntitlement（LRO）
google.cloud.privilegedaccessmanager.v1beta.PrivilegedAccessManager.CreateGrant
google.cloud.privilegedaccessmanager.v1beta.PrivilegedAccessManager.DeleteEntitlement（LRO）
google.cloud.privilegedaccessmanager.v1beta.PrivilegedAccessManager.DenyGrant
google.cloud.privilegedaccessmanager.v1beta.PrivilegedAccessManager.RevokeGrant（LRO）
google.cloud.privilegedaccessmanager.v1beta.PrivilegedAccessManager.UpdateEntitlement（LRO）

API インターフェースの監査ログ

各メソッドで評価される権限と評価方法については、Identity and Access Management のドキュメントで Privileged Access Manager の情報をご覧ください。

google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager

次の監査ログは、google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager に属するメソッドに関連付けられています。

ApproveGrant

  • メソッド: google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.ApproveGrant
  • 監査ログのタイプ: 管理アクティビティ
  • 権限:
    • privilegedaccessmanager.grants.approve - ADMIN_WRITE
  • メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  • このメソッドのフィルタ: protoPayload.methodName="google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.ApproveGrant"

CheckOnboardingStatus

  • メソッド: google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.CheckOnboardingStatus
  • 監査ログのタイプ: データアクセス
  • 権限:
    • privilegedaccessmanager.locations.checkOnboardingStatus - ADMIN_READ
  • メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  • このメソッドのフィルタ: protoPayload.methodName="google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.CheckOnboardingStatus"

CreateEntitlement

  • メソッド: google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.CreateEntitlement
  • 監査ログのタイプ: 管理アクティビティ
  • 権限:
    • privilegedaccessmanager.entitlements.create - ADMIN_WRITE
  • メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: 長時間実行オペレーション
  • このメソッドのフィルタ: protoPayload.methodName="google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.CreateEntitlement"

CreateGrant

  • メソッド: google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.CreateGrant
  • 監査ログのタイプ: 管理アクティビティ
  • 権限:
    • privilegedaccessmanager.grants.create - ADMIN_WRITE
  • メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  • このメソッドのフィルタ: protoPayload.methodName="google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.CreateGrant"

DeleteEntitlement

  • メソッド: google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.DeleteEntitlement
  • 監査ログのタイプ: 管理アクティビティ
  • 権限:
    • privilegedaccessmanager.entitlements.delete - ADMIN_WRITE
  • メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: 長時間実行オペレーション
  • このメソッドのフィルタ: protoPayload.methodName="google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.DeleteEntitlement"

DenyGrant

  • メソッド: google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.DenyGrant
  • 監査ログのタイプ: 管理アクティビティ
  • 権限:
    • privilegedaccessmanager.grants.deny - ADMIN_WRITE
  • メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  • このメソッドのフィルタ: protoPayload.methodName="google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.DenyGrant"

GetEntitlement

  • メソッド: google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.GetEntitlement
  • 監査ログのタイプ: データアクセス
  • 権限:
    • privilegedaccessmanager.entitlements.get - ADMIN_READ
  • メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  • このメソッドのフィルタ: protoPayload.methodName="google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.GetEntitlement"

GetGrant

  • メソッド: google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.GetGrant
  • 監査ログのタイプ: データアクセス
  • 権限:
    • privilegedaccessmanager.grants.get - ADMIN_READ
  • メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  • このメソッドのフィルタ: protoPayload.methodName="google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.GetGrant"

ListEntitlements

  • メソッド: google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.ListEntitlements
  • 監査ログのタイプ: データアクセス
  • 権限:
    • privilegedaccessmanager.entitlements.list - ADMIN_READ
  • メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  • このメソッドのフィルタ: protoPayload.methodName="google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.ListEntitlements"

ListGrants

  • メソッド: google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.ListGrants
  • 監査ログのタイプ: データアクセス
  • 権限:
    • privilegedaccessmanager.grants.list - ADMIN_READ
  • メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  • このメソッドのフィルタ: protoPayload.methodName="google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.ListGrants"

RevokeGrant

  • メソッド: google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.RevokeGrant
  • 監査ログのタイプ: 管理アクティビティ
  • 権限:
    • privilegedaccessmanager.grants.revoke - ADMIN_WRITE
  • メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: 長時間実行オペレーション
  • このメソッドのフィルタ: protoPayload.methodName="google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.RevokeGrant"

UpdateEntitlement

  • メソッド: google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.UpdateEntitlement
  • 監査ログのタイプ: 管理アクティビティ
  • 権限:
    • privilegedaccessmanager.entitlements.update - ADMIN_WRITE
  • メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: 長時間実行オペレーション
  • このメソッドのフィルタ: protoPayload.methodName="google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.UpdateEntitlement"

google.cloud.privilegedaccessmanager.v1alpha.PrivilegedAccessManager

次の監査ログは、google.cloud.privilegedaccessmanager.v1alpha.PrivilegedAccessManager に属するメソッドに関連付けられています。

ApproveGrant

CheckOnboardingStatus

CreateEntitlement

CreateGrant

DeleteEntitlement

DenyGrant

GetEntitlement

GetGrant

  • メソッド: google.cloud.privilegedaccessmanager.v1alpha.PrivilegedAccessManager.GetGrant
  • 監査ログのタイプ: データアクセス
  • 権限:
    • privilegedaccessmanager.grants.get - ADMIN_READ
  • メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  • このメソッドのフィルタ: protoPayload.methodName="google.cloud.privilegedaccessmanager.v1alpha.PrivilegedAccessManager.GetGrant"

ListEntitlements

ListGrants

RevokeGrant

UpdateEntitlement

google.cloud.privilegedaccessmanager.v1beta.PrivilegedAccessManager

次の監査ログは、google.cloud.privilegedaccessmanager.v1beta.PrivilegedAccessManager に属するメソッドに関連付けられています。

ApproveGrant

CheckOnboardingStatus

CreateEntitlement

CreateGrant

DeleteEntitlement

DenyGrant

GetEntitlement

GetGrant

  • メソッド: google.cloud.privilegedaccessmanager.v1beta.PrivilegedAccessManager.GetGrant
  • 監査ログのタイプ: データアクセス
  • 権限:
    • privilegedaccessmanager.grants.get - ADMIN_READ
  • メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  • このメソッドのフィルタ: protoPayload.methodName="google.cloud.privilegedaccessmanager.v1beta.PrivilegedAccessManager.GetGrant"

ListEntitlements

ListGrants

RevokeGrant

UpdateEntitlement

システム イベント

システム イベント監査ログは、直接的なユーザー アクションではなく、GCP システムによって生成されます。詳細については、システム イベント監査ログをご覧ください。

メソッド名 このイベントのフィルタ 注
PAMActivateGrant protoPayload.methodName="PAMActivateGrant"
PAMDeleteGrant protoPayload.methodName="PAMDeleteGrant"
PAMEndGrant protoPayload.methodName="PAMEndGrant"
PAMExpireGrant protoPayload.methodName="PAMExpireGrant"
PAMReportExternalGrantModification protoPayload.methodName="PAMReportExternalGrantModification"

監査ログを生成しないメソッド

メソッドが監査ログを生成しない理由としては、次のいずれかが考えられます。

  • ログを大量に生成し、かなりのストレージ費用が発生するメソッドである。
  • 監査価値が低い。
  • 別の監査ログまたはプラットフォーム ログでメソッド カバレッジがすでに提供されている。

次のメソッドは監査ログを生成しません。

  • google.cloud.location.Locations.GetLocation
  • google.cloud.location.Locations.ListLocations
  • google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.SearchEntitlements
  • google.cloud.privilegedaccessmanager.v1.PrivilegedAccessManager.SearchGrants
  • google.cloud.privilegedaccessmanager.v1alpha.PrivilegedAccessManager.SearchEntitlements
  • google.cloud.privilegedaccessmanager.v1alpha.PrivilegedAccessManager.SearchGrants
  • google.cloud.privilegedaccessmanager.v1beta.PrivilegedAccessManager.SearchEntitlements
  • google.cloud.privilegedaccessmanager.v1beta.PrivilegedAccessManager.SearchGrants
  • google.longrunning.Operations.CancelOperation
  • google.longrunning.Operations.DeleteOperation
  • google.longrunning.Operations.GetOperation
  • google.longrunning.Operations.ListOperations
  • google.longrunning.Operations.WaitOperation