protoPayload
的格式
字段。在迁移期间,
数据访问审核日志条目中的 protoPayload
将保留
向后兼容性不过,新的或未来的代码应用应使用
建议替换字段,如下所示:
建议的替换字段 | 已弃用的字段 | 说明 |
---|---|---|
protoPayload.status.details |
protoPayload.metadata |
EXTERNAL 的错误详情(即Cloud EKM) 密钥操作。 |
protoPayload.metadata.entries.caller_provided_context |
protoPayload.request.caller_provided_context |
与此 Cloud KMS 操作关联的调用方的上下文。 |
本文档介绍 Cloud Key Management Service 的审核日志记录。Google Cloud 服务会写入审核日志,这些日志用于记录 Google Cloud 资源中的管理活动和访问情况。如需了解详情,请参阅 Cloud Audit Logs 概览。
服务名称
Cloud Key Management Service 审核日志使用服务名称 cloudkms.googleapis.com
。
方法(按权限类型)
检查 DATA_READ
、DATA_WRITE
和 ADMIN_READ
权限类型的方法是数据访问审核日志。检查 ADMIN_WRITE
权限类型的方法为管理员活动审核日志。
权限类型 | 方法 |
---|---|
ADMIN_READ | GetCryptoKey GetCryptoKeyVersion GetEkmConfig GetEkmConnection GetIamPolicy GetImportJob GetKeyRing ListCryptoKeyVersions ListCryptoKey1 ListEkmConnections ListImportJobs ListKeyRings VerifyConnectivity google.cloud.kms.v1.Autokey.GetKeyHandle google.cloud.kms.v1.Autokey.ListKeyHandles.google.cloud.kmAutokeyConfig.kmAutokey.kmAutokeyConfig.google.cloud.kmAutokeyConfig.google.cloud.km |
ADMIN_WRITE | CreateCryptoKey CreateCryptoKeyVersion CreateEkmConnection CreateImportJob CreateKeyRing DestroyCryptoKeyVersion GetOperation ImportCryptoKeyVersion RestoreCryptoKeyVersion SetIamPolicy UpdateCryptoKey UpdateCryptoKeyPrimaryVersion UpdateCryptoKeyVersion UpdateEkmConfig UpdateEkmConnection google.cloud.kms.v1.Autokey.CreateKeyHandle google.cloud.kms.v1.AutokeyAdmin.Update |
DATA_READ | AsymmetricDecrypt AsymmetricSign Decrypt Encrypt GetPublicKey MacSign MacVerify RawDecrypt RawEncrypt |
每个 API 接口的审核日志
如需了解系统会评估哪些权限以及如何评估每种方法,请参阅 Cloud Key Management Service 的 Identity and Access Management 文档。
google.cloud.kms.v1.Autokey
与属于 google.cloud.kms.v1.Autokey
的方法关联的审核日志的详细信息。
google.cloud.kms.v1.Autokey.CreateKeyHandle
- 方法 :google.cloud.kms.v1.Autokey.CreateKeyHandle
- 审核日志类型:管理员活动
- 权限:
cloudkms.keyHandles.create - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输:
长时间运行的操作
- 此方法的过滤条件:
protoPayload.methodName="google.cloud.kms.v1.Autokey.CreateKeyHandle"
google.cloud.kms.v1.Autokey.GetKeyHandle
- 方法 :google.cloud.kms.v1.Autokey.GetKeyHandle
- 审核日志类型:数据访问
- 权限:
cloudkms.keyHandles.get - ADMIN_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="google.cloud.kms.v1.Autokey.GetKeyHandle"
google.cloud.kms.v1.Autokey.ListKeyHandles
- 方法 :google.cloud.kms.v1.Autokey.ListKeyHandles
- 审核日志类型:数据访问
- 权限:
cloudkms.keyHandles.list - ADMIN_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="google.cloud.kms.v1.Autokey.ListKeyHandles"
google.cloud.kms.v1.AutokeyAdmin
与属于 google.cloud.kms.v1.AutokeyAdmin
的方法关联的审核日志的详细信息。
google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig
- 方法 :google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig
- 审核日志类型:数据访问
- 权限:
cloudkms.autokeyConfigs.get - ADMIN_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig"
google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig
- 方法 :google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig
- 审核日志类型:数据访问
- 权限:
cloudkms.projects.showEffectiveAutokeyConfig - ADMIN_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig"
google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig
- 方法 :google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig
- 审核日志类型:管理员活动
- 权限:
cloudkms.autokeyConfigs.update - ADMIN_WRITE
cloudkms.cryptoKeys.setIamPolicy - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig"
google.cloud.kms.v1.EkmService
与属于 google.cloud.kms.v1.EkmService
的方法关联的审核日志的详细信息。
CreateEkmConnection
- 方法 :CreateEkmConnection
- 审核日志类型:管理员活动
- 权限:
cloudkms.ekmConnections.create - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="CreateEkmConnection"
GetEkmConfig
- 方法 :GetEkmConfig
- 审核日志类型:数据访问
- 权限:
cloudkms.ekmConfigs.get - ADMIN_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="GetEkmConfig"
GetEkmConnection
- 方法 :GetEkmConnection
- 审核日志类型:数据访问
- 权限:
cloudkms.ekmConnections.get - ADMIN_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="GetEkmConnection"
ListEkmConnections
- 方法 :ListEkmConnections
- 审核日志类型:数据访问
- 权限:
cloudkms.ekmConnections.list - ADMIN_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="ListEkmConnections"
UpdateEkmConfig
- 方法 :UpdateEkmConfig
- 审核日志类型:管理员活动
- 权限:
cloudkms.ekmConfigs.update - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="UpdateEkmConfig"
UpdateEkmConnection
- 方法 :UpdateEkmConnection
- 审核日志类型:管理员活动
- 权限:
cloudkms.ekmConnections.update - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="UpdateEkmConnection"
VerifyConnectivity
- 方法 :VerifyConnectivity
- 审核日志类型:数据访问
- 权限:
cloudkms.ekmConnections.verifyConnectivity - ADMIN_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="VerifyConnectivity"
google.cloud.kms.v1.KeyManagementService
与属于 google.cloud.kms.v1.KeyManagementService
的方法关联的审核日志的详细信息。
AsymmetricDecrypt
- 方法 :AsymmetricDecrypt
- 审核日志类型:数据访问
- 权限:
cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="AsymmetricDecrypt"
AsymmetricSign
- 方法 :AsymmetricSign
- 审核日志类型:数据访问
- 权限:
cloudkms.cryptoKeyVersions.useToSign - DATA_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="AsymmetricSign"
CreateCryptoKey
- 方法 :CreateCryptoKey
- 审核日志类型:管理员活动
- 权限:
cloudkms.cryptoKeyVersions.manageRawDsaKeys - ADMIN_WRITE
cloudkms.cryptoKeyVersions.manageRawPKCS1Keys - ADMIN_WRITE
cloudkms.cryptoKeys.create - ADMIN_WRITE
cloudkms.ekmConnections.use - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="CreateCryptoKey"
CreateCryptoKeyVersion
- 方法 :CreateCryptoKeyVersion
- 审核日志类型:管理员活动
- 权限:
cloudkms.cryptoKeyVersions.create - ADMIN_WRITE
cloudkms.cryptoKeyVersions.manageRawPKCS1Keys - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="CreateCryptoKeyVersion"
CreateImportJob
- 方法 :CreateImportJob
- 审核日志类型:管理员活动
- 权限:
cloudkms.importJobs.create - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="CreateImportJob"
CreateKeyRing
- 方法 :CreateKeyRing
- 审核日志类型:管理员活动
- 权限:
cloudkms.keyRings.create - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="CreateKeyRing"
解密
- 方法 :解密
- 审核日志类型:数据访问
- 权限:
cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
cloudkms.cryptoKeyVersions.useToDecryptViaDelegation - DATA_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="Decrypt"
DestroyCryptoKeyVersion
- 方法 :DestroyCryptoKeyVersion
- 审核日志类型:管理员活动
- 权限:
cloudkms.cryptoKeyVersions.destroy - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="DestroyCryptoKeyVersion"
加密
- 方法 :加密
- 审核日志类型:数据访问
- 权限:
cloudkms.cryptoKeyVersions.useToEncrypt - DATA_READ
cloudkms.cryptoKeyVersions.useToEncryptViaDelegation - DATA_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="Encrypt"
GetCryptoKey
- 方法 :GetCryptoKey
- 审核日志类型:数据访问
- 权限:
cloudkms.cryptoKeys.get - ADMIN_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="GetCryptoKey"
GetCryptoKeyVersion
- 方法 :GetCryptoKeyVersion
- 审核日志类型:数据访问
- 权限:
cloudkms.cryptoKeyVersions.get - ADMIN_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="GetCryptoKeyVersion"
GetImportJob
- 方法 :GetImportJob
- 审核日志类型:数据访问
- 权限:
cloudkms.importJobs.get - ADMIN_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="GetImportJob"
GetKeyRing
- 方法 :GetKeyRing
- 审核日志类型:数据访问
- 权限:
cloudkms.keyRings.get - ADMIN_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="GetKeyRing"
GetPublicKey
- 方法 :GetPublicKey
- 审核日志类型:数据访问
- 权限:
cloudkms.cryptoKeyVersions.viewPublicKey - DATA_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="GetPublicKey"
ImportCryptoKeyVersion
- 方法 :ImportCryptoKeyVersion
- 审核日志类型:管理员活动
- 权限:
cloudkms.cryptoKeyVersions.create - ADMIN_WRITE
cloudkms.cryptoKeyVersions.manageRawDsaKeys - ADMIN_WRITE
cloudkms.cryptoKeyVersions.manageRawPKCS1Keys - ADMIN_WRITE
cloudkms.cryptoKeyVersions.update - ADMIN_WRITE
cloudkms.importJobs.useToImport - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="ImportCryptoKeyVersion"
ListCryptoKeyVersions
- 方法 :ListCryptoKeyVersions
- 审核日志类型:数据访问
- 权限:
cloudkms.cryptoKeyVersions.list - ADMIN_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="ListCryptoKeyVersions"
ListCryptoKeys
- 方法 :ListCryptoKeys
- 审核日志类型:数据访问
- 权限:
cloudkms.cryptoKeys.list - ADMIN_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="ListCryptoKeys"
ListImportJobs
- 方法 :ListImportJobs
- 审核日志类型:数据访问
- 权限:
cloudkms.importJobs.list - ADMIN_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="ListImportJobs"
ListKeyRings
- 方法 :ListKeyRings
- 审核日志类型:数据访问
- 权限:
cloudkms.keyRings.list - ADMIN_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="ListKeyRings"
MacSign
- 方法 :MacSign
- 审核日志类型:数据访问
- 权限:
cloudkms.cryptoKeyVersions.useToSign - DATA_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="MacSign"
MacVerify
- 方法 :MacVerify
- 审核日志类型:数据访问
- 权限:
cloudkms.cryptoKeyVersions.useToVerify - DATA_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="MacVerify"
RawDecrypt
- 方法 :RawDecrypt
- 审核日志类型:数据访问
- 权限:
cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="RawDecrypt"
RawEncrypt
- 方法 :RawEncrypt
- 审核日志类型:数据访问
- 权限:
cloudkms.cryptoKeyVersions.useToEncrypt - DATA_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="RawEncrypt"
RestoreCryptoKeyVersion
- 方法 :RestoreCryptoKeyVersion
- 审核日志类型:管理员活动
- 权限:
cloudkms.cryptoKeyVersions.restore - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="RestoreCryptoKeyVersion"
UpdateCryptoKey
- 方法 :UpdateCryptoKey
- 审核日志类型:管理员活动
- 权限:
cloudkms.cryptoKeyVersions.manageRawPKCS1Keys - ADMIN_WRITE
cloudkms.cryptoKeys.update - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="UpdateCryptoKey"
UpdateCryptoKeyPrimaryVersion
- 方法 :UpdateCryptoKeyPrimaryVersion
- 审核日志类型:管理员活动
- 权限:
cloudkms.cryptoKeys.update - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="UpdateCryptoKeyPrimaryVersion"
UpdateCryptoKeyVersion
- 方法 :UpdateCryptoKeyVersion
- 审核日志类型:管理员活动
- 权限:
cloudkms.cryptoKeyVersions.update - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="UpdateCryptoKeyVersion"
google.iam.v1.IAMPolicy
与属于 google.iam.v1.IAMPolicy
的方法关联的审核日志的详细信息。
GetIamPolicy
- 方法 :GetIamPolicy
- 审核日志类型:数据访问
- 权限:
cloudkms.cryptoKeys.getIamPolicy - ADMIN_READ
cloudkms.ekmConfigs.getIamPolicy - ADMIN_READ
cloudkms.ekmConnections.getIamPolicy - ADMIN_READ
cloudkms.importJobs.getIamPolicy - ADMIN_READ
cloudkms.keyRings.getIamPolicy - ADMIN_READ
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="GetIamPolicy"
SetIamPolicy
- 方法 :SetIamPolicy
- 审核日志类型:管理员活动
- 权限:
cloudkms.cryptoKeys.setIamPolicy - ADMIN_WRITE
cloudkms.ekmConfigs.setIamPolicy - ADMIN_WRITE
cloudkms.ekmConnections.setIamPolicy - ADMIN_WRITE
cloudkms.importJobs.setIamPolicy - ADMIN_WRITE
cloudkms.keyRings.setIamPolicy - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="SetIamPolicy"
google.longrunning.Operations
与属于 google.longrunning.Operations
的方法关联的审核日志的详细信息。
GetOperation
- 方法 :GetOperation
- 审核日志类型:数据访问
- 权限:
cloudkms.keyHandles.create - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输:否。
- 此方法的过滤条件:
protoPayload.methodName="GetOperation"
不会生成审核日志的方法
通常,方法不会生成审核日志,因为日志数量很大,生成日志的成本非常高;或者方法的审核价值很低;或者其他审核日志或平台日志已覆盖方法生成的日志。
以下方法不会生成审核日志:
google.cloud.kms.v1.KeyManagementService.GenerateRandomBytes
google.cloud.location.Locations.GetLocation
google.cloud.location.Locations.ListLocations