protoPayload
フィールドの形式が更新されます。移行期間中、データアクセス監査ログエントリ内の protoPayload
には下位互換性があります。ただし、新規または将来のコード アプリケーションでは、以下のような推奨の置換フィールドを使用する必要があります。
推奨される置換フィールド | サポートが終了したフィールド | 説明 |
---|---|---|
protoPayload.status.details |
protoPayload.metadata |
EXTERNAL のエラー詳細(即ち、Cloud EKM)鍵オペレーション。 |
protoPayload.metadata.entries.caller_provided_context |
protoPayload.request.caller_provided_context |
この Cloud KMS オペレーションに関連付けられた呼び出し元からのコンテキスト。 |
このドキュメントでは、Cloud Key Management Service の監査ロギングについて説明します。Google Cloud サービスでは、管理アクティビティと、Google Cloud リソース内のアクセスを記録する監査ログを書き込みます。詳しくは、Cloud Audit Logs の概要をご覧ください。
サービス名
Cloud Key Management Service 監査ログでは、サービス名 cloudkms.googleapis.com
が使用されます。
メソッド(権限タイプ別)
DATA_READ
、DATA_WRITE
、ADMIN_READ
の各権限タイプを確認するメソッドの場合は、データアクセス監査ログです。ADMIN_WRITE
権限タイプを確認するメソッドは管理アクティビティ監査ログです。
権限タイプ | メソッド |
---|---|
ADMIN_READ | GetCryptoKey GetCryptoKeyVersion GetEkmConfig GetEkmConnection GetIamPolicy GetImportJob GetKeyRing ListCryptoKeyVersions ListCryptoKeys ListEkmConnections ListImportJobs ListKeyRings VerifyConnectivity google.cloud.kms.v1.Autokey.GetKeyHandle google.cloud.kms.v1.Autokey.ListKeyHandles google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig |
ADMIN_WRITE | CreateCryptoKey CreateCryptoKeyVersion CreateEkmConnection CreateImportJob CreateKeyRing DestroyCryptoKeyVersion GetOperation ImportCryptoKeyVersion RestoreCryptoKeyVersion SetIamPolicy UpdateCryptoKey UpdateCryptoKeyPrimaryVersion UpdateCryptoKeyVersion UpdateEkmConfig UpdateEkmConnection google.cloud.kms.v1.Autokey.CreateKeyHandle google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig |
DATA_READ | AsymmetricDecrypt AsymmetricSign Decrypt Encrypt GetPublicKey MacSign MacVerify RawDecrypt RawEncrypt |
API インターフェースごとの監査ログ
評価対象の権限と各メソッドでの評価方法については、Identity and Access Management のドキュメントで Cloud Key Management Service の情報をご覧ください。
google.cloud.kms.v1.Autokey
google.cloud.kms.v1.Autokey
に属するメソッドに関連付けられた監査ログの詳細。
google.cloud.kms.v1.Autokey.CreateKeyHandle
- メソッド: google.cloud.kms.v1.Autokey.CreateKeyHandle
- 監査ログのタイプ: 管理アクティビティ
- 権限:
cloudkms.keyHandles.create - ADMIN_WRITE
- メソッドは長時間実行オペレーションかストリーミングか:
長時間実行オペレーション
- このメソッドのフィルタ:
protoPayload.methodName="google.cloud.kms.v1.Autokey.CreateKeyHandle"
google.cloud.kms.v1.Autokey.GetKeyHandle
- メソッド: google.cloud.kms.v1.Autokey.GetKeyHandle
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.keyHandles.get - ADMIN_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="google.cloud.kms.v1.Autokey.GetKeyHandle"
google.cloud.kms.v1.Autokey.ListKeyHandles
- メソッド: google.cloud.kms.v1.Autokey.ListKeyHandles
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.keyHandles.list - ADMIN_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="google.cloud.kms.v1.Autokey.ListKeyHandles"
google.cloud.kms.v1.AutokeyAdmin
google.cloud.kms.v1.AutokeyAdmin
に属するメソッドに関連付けられた監査ログの詳細。
google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig
- メソッド: google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.autokeyConfigs.get - ADMIN_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig"
google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig
- メソッド: google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.projects.showEffectiveAutokeyConfig - ADMIN_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig"
google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig
- メソッド: google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig
- 監査ログのタイプ: 管理アクティビティ
- 権限:
cloudkms.autokeyConfigs.update - ADMIN_WRITE
cloudkms.cryptoKeys.setIamPolicy - ADMIN_WRITE
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig"
google.cloud.kms.v1.EkmService
google.cloud.kms.v1.EkmService
に属するメソッドに関連付けられた監査ログの詳細。
CreateEkmConnection
- メソッド: CreateEkmConnection
- 監査ログのタイプ: 管理アクティビティ
- 権限:
cloudkms.ekmConnections.create - ADMIN_WRITE
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="CreateEkmConnection"
GetEkmConfig
- Method: GetEkmConfig
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.ekmConfigs.get - ADMIN_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="GetEkmConfig"
GetEkmConnection
- メソッド: GetEkmConnection
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.ekmConnections.get - ADMIN_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="GetEkmConnection"
ListEkmConnections
- メソッド: ListEkmConnections
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.ekmConnections.list - ADMIN_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="ListEkmConnections"
UpdateEkmConfig
- メソッド: UpdateEkmConfig
- 監査ログのタイプ: 管理アクティビティ
- 権限:
cloudkms.ekmConfigs.update - ADMIN_WRITE
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="UpdateEkmConfig"
UpdateEkmConnection
- メソッド: UpdateEkmConnection
- 監査ログのタイプ: 管理アクティビティ
- 権限:
cloudkms.ekmConnections.update - ADMIN_WRITE
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="UpdateEkmConnection"
VerifyConnectivity
- メソッド: VerifyConnectivity
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.ekmConnections.verifyConnectivity - ADMIN_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="VerifyConnectivity"
google.cloud.kms.v1.KeyManagementService
google.cloud.kms.v1.KeyManagementService
に属するメソッドに関連付けられた監査ログの詳細。
AsymmetricDecrypt
- メソッド: AsymmetricDecrypt
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="AsymmetricDecrypt"
AsymmetricSign
- メソッド: AsymmetricSign
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.cryptoKeyVersions.useToSign - DATA_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="AsymmetricSign"
CreateCryptoKey
- メソッド: CreateCryptoKey
- 監査ログのタイプ: 管理アクティビティ
- 権限:
cloudkms.cryptoKeyVersions.manageRawDsaKeys - ADMIN_WRITE
cloudkms.cryptoKeyVersions.manageRawPKCS1Keys - ADMIN_WRITE
cloudkms.cryptoKeys.create - ADMIN_WRITE
cloudkms.ekmConnections.use - ADMIN_WRITE
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="CreateCryptoKey"
CreateCryptoKeyVersion
- メソッド: CreateCryptoKeyVersion
- 監査ログのタイプ: 管理アクティビティ
- 権限:
cloudkms.cryptoKeyVersions.create - ADMIN_WRITE
cloudkms.cryptoKeyVersions.manageRawPKCS1Keys - ADMIN_WRITE
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="CreateCryptoKeyVersion"
CreateImportJob
- メソッド: CreateImportJob
- 監査ログのタイプ: 管理アクティビティ
- 権限:
cloudkms.importJobs.create - ADMIN_WRITE
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="CreateImportJob"
CreateKeyRing
- メソッド: CreateKeyRing
- 監査ログのタイプ: 管理アクティビティ
- 権限:
cloudkms.keyRings.create - ADMIN_WRITE
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="CreateKeyRing"
復号
- メソッド: Decrypt
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
cloudkms.cryptoKeyVersions.useToDecryptViaDelegation - DATA_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="Decrypt"
DestroyCryptoKeyVersion
- メソッド: DestroyCryptoKeyVersion
- 監査ログのタイプ: 管理アクティビティ
- 権限:
cloudkms.cryptoKeyVersions.destroy - ADMIN_WRITE
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="DestroyCryptoKeyVersion"
暗号化
- メソッド: Encrypt
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.cryptoKeyVersions.useToEncrypt - DATA_READ
cloudkms.cryptoKeyVersions.useToEncryptViaDelegation - DATA_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="Encrypt"
GetCryptoKey
- メソッド: GetCryptoKey
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.cryptoKeys.get - ADMIN_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="GetCryptoKey"
GetCryptoKeyVersion
- メソッド: GetCryptoKeyVersion
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.cryptoKeyVersions.get - ADMIN_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="GetCryptoKeyVersion"
GetImportJob
- メソッド: GetImportJob
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.importJobs.get - ADMIN_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="GetImportJob"
GetKeyRing
- メソッド: GetKeyRing
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.keyRings.get - ADMIN_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="GetKeyRing"
GetPublicKey
- メソッド: GetPublicKey
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.cryptoKeyVersions.viewPublicKey - DATA_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="GetPublicKey"
ImportCryptoKeyVersion
- メソッド: ImportCryptoKeyVersion
- 監査ログのタイプ: 管理アクティビティ
- 権限:
cloudkms.cryptoKeyVersions.create - ADMIN_WRITE
cloudkms.cryptoKeyVersions.manageRawDsaKeys - ADMIN_WRITE
cloudkms.cryptoKeyVersions.manageRawPKCS1Keys - ADMIN_WRITE
cloudkms.cryptoKeyVersions.update - ADMIN_WRITE
cloudkms.importJobs.useToImport - ADMIN_WRITE
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="ImportCryptoKeyVersion"
ListCryptoKeyVersions
- メソッド: ListCryptoKeyVersions
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.cryptoKeyVersions.list - ADMIN_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="ListCryptoKeyVersions"
ListCryptoKeys
- メソッド: ListCryptoKeys
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.cryptoKeys.list - ADMIN_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="ListCryptoKeys"
ListImportJobs
- メソッド: ListImportJobs
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.importJobs.list - ADMIN_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="ListImportJobs"
ListKeyRings
- メソッド: ListKeyRings
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.keyRings.list - ADMIN_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="ListKeyRings"
MacSign
- メソッド: MacSign
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.cryptoKeyVersions.useToSign - DATA_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="MacSign"
MacVerify
- メソッド: MacVerify
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.cryptoKeyVersions.useToVerify - DATA_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="MacVerify"
RawDecrypt
- メソッド: RawDecrypt
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="RawDecrypt"
RawEncrypt
- メソッド: RawEncrypt
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.cryptoKeyVersions.useToEncrypt - DATA_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="RawEncrypt"
RestoreCryptoKeyVersion
- メソッド: RestoreCryptoKeyVersion
- 監査ログのタイプ: 管理アクティビティ
- 権限:
cloudkms.cryptoKeyVersions.restore - ADMIN_WRITE
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="RestoreCryptoKeyVersion"
UpdateCryptoKey
- メソッド: UpdateCryptoKey
- 監査ログのタイプ: 管理アクティビティ
- 権限:
cloudkms.cryptoKeyVersions.manageRawPKCS1Keys - ADMIN_WRITE
cloudkms.cryptoKeys.update - ADMIN_WRITE
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="UpdateCryptoKey"
UpdateCryptoKeyPrimaryVersion
- メソッド: UpdateCryptoKeyPrimaryVersion
- 監査ログのタイプ: 管理アクティビティ
- 権限:
cloudkms.cryptoKeys.update - ADMIN_WRITE
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="UpdateCryptoKeyPrimaryVersion"
UpdateCryptoKeyVersion
- メソッド: UpdateCryptoKeyVersion
- 監査ログのタイプ: 管理アクティビティ
- 権限:
cloudkms.cryptoKeyVersions.update - ADMIN_WRITE
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="UpdateCryptoKeyVersion"
google.iam.v1.IAMPolicy
google.iam.v1.IAMPolicy
に属するメソッドに関連付けられた監査ログの詳細。
GetIamPolicy
- メソッド: GetIamPolicy
- 監査ログの種類: データアクセス
- 権限:
cloudkms.cryptoKeys.getIamPolicy - ADMIN_READ
cloudkms.ekmConfigs.getIamPolicy - ADMIN_READ
cloudkms.ekmConnections.getIamPolicy - ADMIN_READ
cloudkms.importJobs.getIamPolicy - ADMIN_READ
cloudkms.keyRings.getIamPolicy - ADMIN_READ
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="GetIamPolicy"
SetIamPolicy
- メソッド : SetIamPolicy
- 監査ログのタイプ: 管理アクティビティ
- 権限:
cloudkms.cryptoKeys.setIamPolicy - ADMIN_WRITE
cloudkms.ekmConfigs.setIamPolicy - ADMIN_WRITE
cloudkms.ekmConnections.setIamPolicy - ADMIN_WRITE
cloudkms.importJobs.setIamPolicy - ADMIN_WRITE
cloudkms.keyRings.setIamPolicy - ADMIN_WRITE
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="SetIamPolicy"
google.longrunning.Operations
google.longrunning.Operations
に属するメソッドに関連付けられた監査ログの詳細。
GetOperation
- メソッド: GetOperation
- 監査ログのタイプ: データアクセス
- 権限:
cloudkms.keyHandles.create - ADMIN_WRITE
- メソッドは長時間実行オペレーションまたはストリーミングのどちらであるか: どちらでもない
- このメソッドのフィルタ:
protoPayload.methodName="GetOperation"
監査ログを生成しないメソッド
一般に、メソッドが監査ログを生成しない理由は次のいずれかです。メソッドの量が多く、生成コストが高くなること。メソッドの監査価値が低いこと。そのメソッドの動作がすでに別の監査ログまたはプラットフォーム ログの対象となっていること。
次のメソッドは監査ログを生成しません。
google.cloud.kms.v1.KeyManagementService.GenerateRandomBytes
google.cloud.location.Locations.GetLocation
google.cloud.location.Locations.ListLocations