Identity-Aware Proxy の監査ロギング

重要:

2024 年 2 月 14 日に、Cloud Audit Logging（CAL）のタイプが誤って DATA_ACCESS から ADMIN_ACTIVITY に変更されました。この変更により、UpdateIapSettings メソッドと ValidateIapAttributeExpression メソッドのログ名とログバケットのロケーションが変更されます。

CAL タイプが DATA_ACCESS に戻されました。

このドキュメントでは、Identity-Aware Proxy の監査ログについて説明します。また、監査ログを生成するメソッド、各メソッドによって生成される監査ログの詳細、監査ログを生成しないメソッド（ある場合）について説明します。Google Cloud は、Google Cloud リソース内の管理アクティビティとアクセス アクティビティを記録する監査ログを生成します。詳細については、Cloud Audit Logs の概要をご覧ください。このページには、監査ログの表示方法、監査ログの保存方法とルーティング方法などに関する情報が記載されています。

メモ

フィールド セクションには、監査ログの一部のフィールドに関する重要な情報が記載されています。

サービス名

Identity-Aware Proxy 監査ログでは、サービス名 iap.googleapis.com が使用されます。 このサービスをフィルタします。

    protoPayload.serviceName="iap.googleapis.com"
  

メソッド（権限タイプ別）

各 IAM 権限には type プロパティがあります。このプロパティの値は列挙型で、ADMIN_READ、ADMIN_WRITE、DATA_READ、DATA_WRITE のいずれかになります。メソッドを呼び出すと、Identity-Aware Proxy は監査ログを生成し、そのカテゴリはそのメソッドの実行に必要な権限の type プロパティに依存します。type プロパティ値が DATA_READ、DATA_WRITE、または ADMIN_READ の IAM 権限を必要とするメソッドは、データアクセス監査ログを生成します。type プロパティ値が ADMIN_WRITE の IAM 権限を必要とするメソッドは、管理アクティビティ監査ログを生成します。

権限タイプ	メソッド
ADMIN_READ	google.cloud.iap.v1.IdentityAwareProxyAdminService.GetIamPolicy google.cloud.iap.v1.IdentityAwareProxyAdminService.GetIapSettings google.cloud.iap.v1beta1.IdentityAwareProxyAdminV1Beta1.GetIamPolicy
ADMIN_WRITE	google.cloud.iap.v1.IdentityAwareProxyAdminService.SetIamPolicy google.cloud.iap.v1beta1.IdentityAwareProxyAdminV1Beta1.SetIamPolicy
DATA_READ	google.cloud.iap.v1.IdentityAwareProxyAdminService.GetTunnelDestGroup google.cloud.iap.v1.IdentityAwareProxyAdminService.ListTunnelDestGroups
DATA_WRITE	google.cloud.iap.v1.IdentityAwareProxyAdminService.CreateTunnelDestGroup google.cloud.iap.v1.IdentityAwareProxyAdminService.DeleteTunnelDestGroup google.cloud.iap.v1.IdentityAwareProxyAdminService.UpdateIapSettings google.cloud.iap.v1.IdentityAwareProxyAdminService.UpdateTunnelDestGroup google.cloud.iap.v1.IdentityAwareProxyAdminService.ValidateIapAttributeExpression

API インターフェースの監査ログ

各メソッドで評価される権限とその方法については、Identity-Aware Proxy の Identity and Access Management のドキュメントをご覧ください。

google.cloud.iap.v1.IdentityAwareProxyAdminService

次のセクションでは、google.cloud.iap.v1.IdentityAwareProxyAdminService に属するメソッドに関連付けられた監査ログについて詳しく説明します。

CreateTunnelDestGroup

• メソッド: google.cloud.iap.v1.IdentityAwareProxyAdminService.CreateTunnelDestGroup
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • iap.tunnelDestGroups.create - DATA_WRITE
• メソッドが長時間実行またはストリーミング オペレーションである: いいえ。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1.IdentityAwareProxyAdminService.CreateTunnelDestGroup"
  

DeleteTunnelDestGroup

• メソッド: google.cloud.iap.v1.IdentityAwareProxyAdminService.DeleteTunnelDestGroup
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • iap.tunnelDestGroups.delete - DATA_WRITE
• メソッドが長時間実行またはストリーミング オペレーションである: いいえ。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1.IdentityAwareProxyAdminService.DeleteTunnelDestGroup"
  

GetIamPolicy

• メソッド: google.cloud.iap.v1.IdentityAwareProxyAdminService.GetIamPolicy
  
• 監査ログのタイプ: データアクセス
  
• 権限: 権限については、IAM のドキュメントをご覧ください。
• メソッドが長時間実行またはストリーミング オペレーションか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1.IdentityAwareProxyAdminService.GetIamPolicy"
  

GetIapSettings

• メソッド: google.cloud.iap.v1.IdentityAwareProxyAdminService.GetIapSettings
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • iap.projects.getSettings - ADMIN_READ
  • iap.web.getSettings - ADMIN_READ
  • iap.webServiceVersions.getSettings - ADMIN_READ
  • iap.webServices.getSettings - ADMIN_READ
  • iap.webTypes.getSettings - ADMIN_READ
• メソッドが長時間実行またはストリーミング オペレーションである: いいえ。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1.IdentityAwareProxyAdminService.GetIapSettings"
  

GetTunnelDestGroup

• メソッド: google.cloud.iap.v1.IdentityAwareProxyAdminService.GetTunnelDestGroup
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • iap.tunnelDestGroups.get - DATA_READ
• メソッドが長時間実行またはストリーミング オペレーションである: いいえ。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1.IdentityAwareProxyAdminService.GetTunnelDestGroup"
  

ListTunnelDestGroups

• メソッド: google.cloud.iap.v1.IdentityAwareProxyAdminService.ListTunnelDestGroups
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • iap.tunnelDestGroups.list - DATA_READ
• メソッドが長時間実行またはストリーミング オペレーションである: いいえ。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1.IdentityAwareProxyAdminService.ListTunnelDestGroups"
  

SetIamPolicy

• メソッド: google.cloud.iap.v1.IdentityAwareProxyAdminService.SetIamPolicy
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限: 権限については、IAM のドキュメントをご覧ください。
• メソッドが長時間実行またはストリーミング オペレーションか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1.IdentityAwareProxyAdminService.SetIamPolicy"
  

UpdateIapSettings

• メソッド: google.cloud.iap.v1.IdentityAwareProxyAdminService.UpdateIapSettings
  
• 監査ログのタイプ: データアクセス
  
• 権限: 権限については、IAM のドキュメントをご覧ください。
• メソッドが長時間実行またはストリーミング オペレーションか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1.IdentityAwareProxyAdminService.UpdateIapSettings"
  

UpdateTunnelDestGroup

• メソッド: google.cloud.iap.v1.IdentityAwareProxyAdminService.UpdateTunnelDestGroup
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • iap.tunnelDestGroups.update - DATA_WRITE
• メソッドが長時間実行またはストリーミング オペレーションである: いいえ。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1.IdentityAwareProxyAdminService.UpdateTunnelDestGroup"
  

ValidateIapAttributeExpression

• メソッド: google.cloud.iap.v1.IdentityAwareProxyAdminService.ValidateIapAttributeExpression
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • iap.web.updateSettings - ADMIN_WRITE
  • iap.web.updateSettings - DATA_WRITE
• メソッドが長時間実行またはストリーミング オペレーションである: いいえ。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1.IdentityAwareProxyAdminService.ValidateIapAttributeExpression"
  

google.cloud.iap.v1beta1.IdentityAwareProxyAdminV1Beta1

次のセクションでは、google.cloud.iap.v1beta1.IdentityAwareProxyAdminV1Beta1 に属するメソッドに関連付けられた監査ログについて詳しく説明します。

GetIamPolicy

• メソッド: google.cloud.iap.v1beta1.IdentityAwareProxyAdminV1Beta1.GetIamPolicy
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • iap.web.getIamPolicy - ADMIN_READ
  • iap.webServiceVersions.getIamPolicy - ADMIN_READ
  • iap.webServices.getIamPolicy - ADMIN_READ
  • iap.webTypes.getIamPolicy - ADMIN_READ
• メソッドが長時間実行またはストリーミング オペレーションである: いいえ。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1beta1.IdentityAwareProxyAdminV1Beta1.GetIamPolicy"
  

SetIamPolicy

• メソッド: google.cloud.iap.v1beta1.IdentityAwareProxyAdminV1Beta1.SetIamPolicy
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限: 権限については、IAM のドキュメントをご覧ください。
• メソッドが長時間実行またはストリーミング オペレーションか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.iap.v1beta1.IdentityAwareProxyAdminV1Beta1.SetIamPolicy"
  

監査ログを生成しないメソッド

メソッドが監査ログを生成しない理由は、次のいずれかの可能性があります。

• これは、大量のログの生成とストレージのコストを要する大容量法です。
• 監査値が低い。
• 別の監査ログまたはプラットフォーム ログでメソッド カバレッジがすでに提供されている。

次のメソッドは監査ログを生成しません。

• google.cloud.iap.v1.IdentityAwareProxyOAuthService.CreateBrand
• google.cloud.iap.v1.IdentityAwareProxyOAuthService.CreateIdentityAwareProxyClient
• google.cloud.iap.v1.IdentityAwareProxyOAuthService.DeleteIdentityAwareProxyClient
• google.cloud.iap.v1.IdentityAwareProxyOAuthService.GetBrand
• google.cloud.iap.v1.IdentityAwareProxyOAuthService.GetIdentityAwareProxyClient
• google.cloud.iap.v1.IdentityAwareProxyOAuthService.ListBrands
• google.cloud.iap.v1.IdentityAwareProxyOAuthService.ListIdentityAwareProxyClients
• google.cloud.iap.v1.IdentityAwareProxyOAuthService.ResetIdentityAwareProxyClientSecret
• google.cloud.iap.v1beta1.IdentityAwareProxyAdminV1Beta1.TestIamPermissions

フィールド

ログには、ユーザーが満たしたアクセスレベルに関する情報のみが記録されます。未承認のリクエストをブロックしたアクセスレベルは、ログエントリには表示されません。特定のリソースに対するリクエストを成功させるための条件を確認するには、リソースのアクセスレベルを確認します。

ログ内の一部のフィールドに関する重要な情報を次に示します。

フィールド	値
authenticationInfo	principalEmail としてリソースにアクセスしようとしたユーザーのメールアドレス。この情報は、未認証リクエストのログには存在しません。
requestMetadata.callerIp	リクエストの送信元 IP アドレス。
requestMetadata.requestAttributes	リクエスト メソッドと URL。
authorizationInfo.resource	アクセスされているリソース。
authorizationInfo.granted	リクエストされたアクセスを IAP が許可したかどうかを表すブール値。