protoPayload 欄位格式。在遷移期間，資料存取稽核記錄項目中的 protoPayload 將維持向後相容性。不過，新的或未來的程式碼應用程式應使用建議的替代欄位，如下所示：
| 建議的取代欄位 | 已淘汰的欄位 | 說明 |
|---|---|---|
protoPayload.status.details |
protoPayload.metadata |
EXTERNAL 的錯誤詳細資料 (即Cloud EKM) 金鑰作業。 |
protoPayload.metadata.entries.caller_provided_context |
protoPayload.request.caller_provided_context |
與這項 Cloud KMS 作業相關聯的呼叫端內容。 |
本文說明 Cloud Key Management Service 的稽核記錄。 Google Cloud 服務會產生稽核記錄，記錄資源中的管理和存取活動。 Google Cloud 如要進一步瞭解 Cloud 稽核記錄，請參閱下列文章：
服務名稱
Cloud Key Management Service 稽核記錄會使用服務名稱 cloudkms.googleapis.com。篩選這項服務：
protoPayload.serviceName="cloudkms.googleapis.com"
依權限類型劃分的方法
每個 IAM 權限都有 type 屬性，其值為列舉，可以是下列四個值之一：ADMIN_READ、ADMIN_WRITE、DATA_READ 或 DATA_WRITE。呼叫方法時，Cloud Key Management Service 會產生稽核記錄，記錄的類別取決於執行方法所需權限的 type 屬性。
如果方法需要 IAM 權限，且 type 屬性值為 DATA_READ、DATA_WRITE 或 ADMIN_READ，就會產生「資料存取」稽核記錄。需要 IAM 權限且 type 屬性值為 ADMIN_WRITE 的方法，會產生管理員活動稽核記錄。
| 權限類型 | 方法 |
|---|---|
ADMIN_READ |
google.cloud.kms.v1.Autokey.GetKeyHandlegoogle.cloud.kms.v1.Autokey.ListKeyHandlesgoogle.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfiggoogle.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfigGetEkmConfigGetEkmConnectionListEkmConnectionsVerifyConnectivityGetCryptoKeyGetCryptoKeyVersionGetImportJobGetKeyRingListCryptoKeyVersionsListCryptoKeysListImportJobsListKeyRingsGetIamPolicyGetOperation |
ADMIN_WRITE |
google.cloud.kms.v1.Autokey.CreateKeyHandle (LRO)google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfigCreateEkmConnectionUpdateEkmConfigUpdateEkmConnectionCreateCryptoKeyCreateCryptoKeyVersionCreateImportJobCreateKeyRingDestroyCryptoKeyVersionImportCryptoKeyVersionRestoreCryptoKeyVersionUpdateCryptoKeyUpdateCryptoKeyPrimaryVersionUpdateCryptoKeyVersionSetIamPolicy |
DATA_READ |
AsymmetricDecryptAsymmetricSignDecryptEncryptGetPublicKeyMacSignMacVerifyRawDecryptRawEncrypt |
API 介面稽核記錄
如要瞭解系統如何評估每種方法的權限，請參閱 Cloud Key Management Service 的 Identity and Access Management 說明文件。
google.cloud.kms.v1.Autokey
下列稽核記錄與屬於 google.cloud.kms.v1.Autokey 的方法相關聯。
CreateKeyHandle
- 方法：
google.cloud.kms.v1.Autokey.CreateKeyHandle - 稽核記錄類型：管理員活動
- 權限：
cloudkms.keyHandles.create - ADMIN_WRITE
- 方法是長時間執行的作業或串流作業：
長時間執行的作業
- 篩選這個方法：
protoPayload.methodName="google.cloud.kms.v1.Autokey.CreateKeyHandle"
GetKeyHandle
- 方法：
google.cloud.kms.v1.Autokey.GetKeyHandle - 稽核記錄類型：資料存取
- 權限：
cloudkms.keyHandles.get - ADMIN_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="google.cloud.kms.v1.Autokey.GetKeyHandle"
ListKeyHandles
- 方法：
google.cloud.kms.v1.Autokey.ListKeyHandles - 稽核記錄類型：資料存取
- 權限：
cloudkms.keyHandles.list - ADMIN_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="google.cloud.kms.v1.Autokey.ListKeyHandles"
google.cloud.kms.v1.AutokeyAdmin
下列稽核記錄與屬於 google.cloud.kms.v1.AutokeyAdmin 的方法相關聯。
GetAutokeyConfig
- 方法：
google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig - 稽核記錄類型：資料存取
- 權限：
cloudkms.autokeyConfigs.get - ADMIN_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig"
ShowEffectiveAutokeyConfig
- 方法：
google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig - 稽核記錄類型：資料存取
- 權限：
cloudkms.projects.showEffectiveAutokeyConfig - ADMIN_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig"
UpdateAutokeyConfig
- 方法：
google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig - 稽核記錄類型：管理員活動
- 權限：
cloudkms.autokeyConfigs.update - ADMIN_WRITEcloudkms.cryptoKeys.setIamPolicy - ADMIN_WRITE
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig"
google.cloud.kms.v1.EkmService
下列稽核記錄與屬於 google.cloud.kms.v1.EkmService 的方法相關聯。
CreateEkmConnection
- 方法：
CreateEkmConnection - 稽核記錄類型：管理員活動
- 權限：
cloudkms.ekmConnections.create - ADMIN_WRITE
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="CreateEkmConnection"
GetEkmConfig
- 方法：
GetEkmConfig - 稽核記錄類型：資料存取
- 權限：
cloudkms.ekmConfigs.get - ADMIN_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="GetEkmConfig"
GetEkmConnection
- 方法：
GetEkmConnection - 稽核記錄類型：資料存取
- 權限：
cloudkms.ekmConnections.get - ADMIN_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="GetEkmConnection"
ListEkmConnections
- 方法：
ListEkmConnections - 稽核記錄類型：資料存取
- 權限：
cloudkms.ekmConnections.list - ADMIN_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="ListEkmConnections"
UpdateEkmConfig
- 方法：
UpdateEkmConfig - 稽核記錄類型：管理員活動
- 權限：
cloudkms.ekmConfigs.update - ADMIN_WRITE
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="UpdateEkmConfig"
UpdateEkmConnection
- 方法：
UpdateEkmConnection - 稽核記錄類型：管理員活動
- 權限：
cloudkms.ekmConnections.update - ADMIN_WRITE
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="UpdateEkmConnection"
VerifyConnectivity
- 方法：
VerifyConnectivity - 稽核記錄類型：資料存取
- 權限：
cloudkms.ekmConnections.verifyConnectivity - ADMIN_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="VerifyConnectivity"
google.cloud.kms.v1.KeyManagementService
下列稽核記錄與屬於 google.cloud.kms.v1.KeyManagementService 的方法相關聯。
AsymmetricDecrypt
- 方法：
AsymmetricDecrypt - 稽核記錄類型：資料存取
- 權限：
cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="AsymmetricDecrypt"
AsymmetricSign
- 方法：
AsymmetricSign - 稽核記錄類型：資料存取
- 權限：
cloudkms.cryptoKeyVersions.useToSign - DATA_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="AsymmetricSign"
CreateCryptoKey
- 方法：
CreateCryptoKey - 稽核記錄類型：管理員活動
- 權限：
cloudkms.cryptoKeys.create - ADMIN_WRITE
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="CreateCryptoKey"
CreateCryptoKeyVersion
- 方法：
CreateCryptoKeyVersion - 稽核記錄類型：管理員活動
- 權限：
cloudkms.cryptoKeyVersions.create - ADMIN_WRITE
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="CreateCryptoKeyVersion"
CreateImportJob
- 方法：
CreateImportJob - 稽核記錄類型：管理員活動
- 權限：
cloudkms.importJobs.create - ADMIN_WRITE
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="CreateImportJob"
CreateKeyRing
- 方法：
CreateKeyRing - 稽核記錄類型：管理員活動
- 權限：
cloudkms.keyRings.create - ADMIN_WRITE
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="CreateKeyRing"
Decrypt
- 方法：
Decrypt - 稽核記錄類型：資料存取
- 權限：
cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="Decrypt"
DestroyCryptoKeyVersion
- 方法：
DestroyCryptoKeyVersion - 稽核記錄類型：管理員活動
- 權限：
cloudkms.cryptoKeyVersions.destroy - ADMIN_WRITE
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="DestroyCryptoKeyVersion"
Encrypt
- 方法：
Encrypt - 稽核記錄類型：資料存取
- 權限：
cloudkms.cryptoKeyVersions.useToEncrypt - DATA_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="Encrypt"
GetCryptoKey
- 方法：
GetCryptoKey - 稽核記錄類型：資料存取
- 權限：
cloudkms.cryptoKeys.get - ADMIN_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="GetCryptoKey"
GetCryptoKeyVersion
- 方法：
GetCryptoKeyVersion - 稽核記錄類型：資料存取
- 權限：
cloudkms.cryptoKeyVersions.get - ADMIN_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="GetCryptoKeyVersion"
GetImportJob
- 方法：
GetImportJob - 稽核記錄類型：資料存取
- 權限：
cloudkms.importJobs.get - ADMIN_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="GetImportJob"
GetKeyRing
- 方法：
GetKeyRing - 稽核記錄類型：資料存取
- 權限：
cloudkms.keyRings.get - ADMIN_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="GetKeyRing"
GetPublicKey
- 方法：
GetPublicKey - 稽核記錄類型：資料存取
- 權限：
cloudkms.cryptoKeyVersions.viewPublicKey - DATA_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="GetPublicKey"
ImportCryptoKeyVersion
- 方法：
ImportCryptoKeyVersion - 稽核記錄類型：管理員活動
- 權限：
cloudkms.cryptoKeyVersions.create - ADMIN_WRITEcloudkms.cryptoKeyVersions.update - ADMIN_WRITEcloudkms.importJobs.useToImport - ADMIN_WRITE
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="ImportCryptoKeyVersion"
ListCryptoKeyVersions
- 方法：
ListCryptoKeyVersions - 稽核記錄類型：資料存取
- 權限：
cloudkms.cryptoKeyVersions.list - ADMIN_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="ListCryptoKeyVersions"
ListCryptoKeys
- 方法：
ListCryptoKeys - 稽核記錄類型：資料存取
- 權限：
cloudkms.cryptoKeys.list - ADMIN_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="ListCryptoKeys"
ListImportJobs
- 方法：
ListImportJobs - 稽核記錄類型：資料存取
- 權限：
cloudkms.importJobs.list - ADMIN_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="ListImportJobs"
ListKeyRings
- 方法：
ListKeyRings - 稽核記錄類型：資料存取
- 權限：
cloudkms.keyRings.list - ADMIN_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="ListKeyRings"
MacSign
- 方法：
MacSign - 稽核記錄類型：資料存取
- 權限：
cloudkms.cryptoKeyVersions.useToSign - DATA_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="MacSign"
MacVerify
- 方法：
MacVerify - 稽核記錄類型：資料存取
- 權限：
cloudkms.cryptoKeyVersions.useToVerify - DATA_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="MacVerify"
RawDecrypt
- 方法：
RawDecrypt - 稽核記錄類型：資料存取
- 權限：
cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="RawDecrypt"
RawEncrypt
- 方法：
RawEncrypt - 稽核記錄類型：資料存取
- 權限：
cloudkms.cryptoKeyVersions.useToEncrypt - DATA_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="RawEncrypt"
RestoreCryptoKeyVersion
- 方法：
RestoreCryptoKeyVersion - 稽核記錄類型：管理員活動
- 權限：
cloudkms.cryptoKeyVersions.restore - ADMIN_WRITE
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="RestoreCryptoKeyVersion"
UpdateCryptoKey
- 方法：
UpdateCryptoKey - 稽核記錄類型：管理員活動
- 權限：
cloudkms.cryptoKeys.update - ADMIN_WRITE
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="UpdateCryptoKey"
UpdateCryptoKeyPrimaryVersion
- 方法：
UpdateCryptoKeyPrimaryVersion - 稽核記錄類型：管理員活動
- 權限：
cloudkms.cryptoKeys.update - ADMIN_WRITE
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="UpdateCryptoKeyPrimaryVersion"
UpdateCryptoKeyVersion
- 方法：
UpdateCryptoKeyVersion - 稽核記錄類型：管理員活動
- 權限：
cloudkms.cryptoKeyVersions.update - ADMIN_WRITE
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="UpdateCryptoKeyVersion"
google.iam.v1.IAMPolicy
下列稽核記錄與屬於 google.iam.v1.IAMPolicy 的方法相關聯。
GetIamPolicy
- 方法：
GetIamPolicy - 稽核記錄類型：資料存取
- 權限：
cloudkms.cryptoKeys.getIamPolicy - ADMIN_READcloudkms.keyRings.getIamPolicy - ADMIN_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="GetIamPolicy"
SetIamPolicy
- 方法：
SetIamPolicy - 稽核記錄類型：管理員活動
- 權限：
cloudkms.cryptoKeys.setIamPolicy - ADMIN_WRITEcloudkms.keyRings.setIamPolicy - ADMIN_WRITE
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="SetIamPolicy"
google.longrunning.Operations
下列稽核記錄與屬於 google.longrunning.Operations 的方法相關聯。
GetOperation
- 方法：
GetOperation - 稽核記錄類型：資料存取
- 權限：
cloudkms.operations.get - ADMIN_READ
- 方法是長時間執行的作業或串流作業：
否。
- 篩選這個方法：
protoPayload.methodName="GetOperation"
不會產生稽核記錄的方法
方法可能不會產生稽核記錄，原因如下：
- 這項方法會產生大量記錄，因此記錄產生和儲存成本相當高。
- 稽核價值偏低。
- 其他稽核或平台記錄已提供方法涵蓋範圍。
下列方法不會產生稽核記錄：
google.cloud.kms.v1.KeyManagementService.GenerateRandomBytesgoogle.cloud.location.Locations.GetLocationgoogle.cloud.location.Locations.ListLocations