Cloud Key Management Service 审核日志记录

Cloud Key Management Service 正在更新其数据访问审核日志条目中 protoPayload 字段的格式。在迁移期间，数据访问审核日志条目中的 protoPayload 将保持向后兼容。不过，新的或未来的代码应用应使用建议的替换字段，如下所示：

建议的替换字段	已弃用的字段	说明
protoPayload.status.details	protoPayload.metadata	EXTERNAL 的错误详情（即Cloud EKM) 密钥操作。
protoPayload.metadata.entries.caller_provided_context	protoPayload.request.caller_provided_context	与此 Cloud KMS 操作关联的调用方的上下文。

本文档介绍 Cloud Key Management Service 的审核日志记录。Google Cloud 服务会写入审核日志，这些日志用于记录 Google Cloud 资源中的管理活动和访问情况。如需了解详情，请参阅 Cloud Audit Logs 概览。

服务名称

Cloud Key Management Service 审核日志使用服务名称 cloudkms.googleapis.com。

方法（按权限类型）

检查 DATA_READ、DATA_WRITE 和 ADMIN_READ 权限类型的方法是数据访问审核日志。检查 ADMIN_WRITE 权限类型的方法为管理员活动审核日志。

权限类型	方法
ADMIN_READ	GetCryptoKey GetCryptoKeyVersion GetEkmConfig GetEkmConnection GetIamPolicy GetImportJob GetKeyRing ListCryptoKeyVersions ListCryptoKey1 ListEkmConnections ListImportJobs ListKeyRings VerifyConnectivity google.cloud.kms.v1.Autokey.GetKeyHandle google.cloud.kms.v1.Autokey.ListKeyHandles.google.cloud.kmAutokeyAutokeyConfig.google.cloud.kmAutokeyConfig.google.cloud.kmAuto
ADMIN_WRITE	CreateCryptoKey CreateCryptoKeyVersion CreateEkmConnection CreateImportJob CreateKeyRing DestroyCryptoKeyVersion GetOperation ImportCryptoKeyVersion RestoreCryptoKeyVersion SetIamPolicy UpdateCryptoKey UpdateCryptoKeyPrimaryVersion UpdateCryptoKeyVersion UpdateEkmConfig UpdateEkmConnection google.cloud.kms.v1.Autokey.CreateKeyHandle google.cloud.kms.v1.AutokeyAdmin.Update
DATA_READ	AsynchronousDecrypt AsymmetricSign Decrypt Encrypt GetPublicKey MacSign MacVerify RawDecrypt RawEncrypt

每个 API 接口的审核日志

如需了解系统会评估哪些权限以及如何评估每种方法，请参阅 Cloud Key Management Service 的 Identity and Access Management 文档。

google.cloud.kms.v1.Autokey

与属于 google.cloud.kms.v1.Autokey 的方法关联的审核日志的详细信息。

google.cloud.kms.v1.Autokey.CreateKeyHandle

• 方法 ：google.cloud.kms.v1.Autokey.CreateKeyHandle
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudkms.keyHandles.create - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输： 长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.kms.v1.Autokey.CreateKeyHandle"
  

google.cloud.kms.v1.Autokey.GetKeyHandle

• 方法 ：google.cloud.kms.v1.Autokey.GetKeyHandle
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.keyHandles.get - ADMIN_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.kms.v1.Autokey.GetKeyHandle"
  

google.cloud.kms.v1.Autokey.ListKeyHandles

• 方法 ：google.cloud.kms.v1.Autokey.ListKeyHandles
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.keyHandles.list - ADMIN_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.kms.v1.Autokey.ListKeyHandles"
  

google.cloud.kms.v1.AutokeyAdmin

与属于 google.cloud.kms.v1.AutokeyAdmin 的方法关联的审核日志的详细信息。

google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig

• 方法 ：google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.autokeyConfigs.get - ADMIN_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig"
  

google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig

• 方法 ：google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.projects.showEffectiveAutokeyConfig - ADMIN_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig"
  

google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig

• 方法 ：google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudkms.autokeyConfigs.update - ADMIN_WRITE
  • cloudkms.cryptoKeys.setIamPolicy - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig"
  

google.cloud.kms.v1.EkmService

与属于 google.cloud.kms.v1.EkmService 的方法关联的审核日志的详细信息。

CreateEkmConnection

• 方法 ：CreateEkmConnection
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudkms.ekmConnections.create - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="CreateEkmConnection"
  

GetEkmConfig

• 方法 ：GetEkmConfig
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.ekmConfigs.get - ADMIN_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="GetEkmConfig"
  

GetEkmConnection

• 方法 ：GetEkmConnection
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.ekmConnections.get - ADMIN_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="GetEkmConnection"
  

ListEkmConnections

• 方法 ：ListEkmConnections
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.ekmConnections.list - ADMIN_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="ListEkmConnections"
  

UpdateEkmConfig

• 方法 ：UpdateEkmConfig
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudkms.ekmConfigs.update - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="UpdateEkmConfig"
  

UpdateEkmConnection

• 方法 ：UpdateEkmConnection
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudkms.ekmConnections.update - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="UpdateEkmConnection"
  

VerifyConnectivity

• 方法 ：VerifyConnectivity
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.ekmConnections.verifyConnectivity - ADMIN_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="VerifyConnectivity"
  

google.cloud.kms.v1.KeyManagementService

与属于 google.cloud.kms.v1.KeyManagementService 的方法关联的审核日志的详细信息。

AsymmetricDecrypt

• 方法 ：AsymmetricDecrypt
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="AsymmetricDecrypt"
  

AsymmetricSign

• 方法 ：AsymmetricSign
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.cryptoKeyVersions.useToSign - DATA_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="AsymmetricSign"
  

CreateCryptoKey

• 方法 ：CreateCryptoKey
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudkms.cryptoKeyVersions.manageRawDsaKeys - ADMIN_WRITE
  • cloudkms.cryptoKeyVersions.manageRawPKCS1Keys - ADMIN_WRITE
  • cloudkms.cryptoKeys.create - ADMIN_WRITE
  • cloudkms.ekmConnections.use - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="CreateCryptoKey"
  

CreateCryptoKeyVersion

• 方法 ：CreateCryptoKeyVersion
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudkms.cryptoKeyVersions.create - ADMIN_WRITE
  • cloudkms.cryptoKeyVersions.manageRawPKCS1Keys - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="CreateCryptoKeyVersion"
  

CreateImportJob

• 方法 ：CreateImportJob
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudkms.importJobs.create - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="CreateImportJob"
  

CreateKeyRing

• 方法 ：CreateKeyRing
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudkms.keyRings.create - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="CreateKeyRing"
  

解密

• 方法 ：解密
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
  • cloudkms.cryptoKeyVersions.useToDecryptViaDelegation - DATA_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="Decrypt"
  

DestroyCryptoKeyVersion

• 方法 ：DestroyCryptoKeyVersion
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudkms.cryptoKeyVersions.destroy - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="DestroyCryptoKeyVersion"
  

加密

• 方法 ：加密
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.cryptoKeyVersions.useToEncrypt - DATA_READ
  • cloudkms.cryptoKeyVersions.useToEncryptViaDelegation - DATA_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="Encrypt"
  

GetCryptoKey

• 方法 ：GetCryptoKey
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.cryptoKeys.get - ADMIN_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="GetCryptoKey"
  

GetCryptoKeyVersion

• 方法 ：GetCryptoKeyVersion
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.cryptoKeyVersions.get - ADMIN_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="GetCryptoKeyVersion"
  

GetImportJob

• 方法 ：GetImportJob
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.importJobs.get - ADMIN_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="GetImportJob"
  

GetKeyRing

• 方法 ：GetKeyRing
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.keyRings.get - ADMIN_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="GetKeyRing"
  

GetPublicKey

• 方法 ：GetPublicKey
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.cryptoKeyVersions.viewPublicKey - DATA_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="GetPublicKey"
  

ImportCryptoKeyVersion

• 方法 ：ImportCryptoKeyVersion
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudkms.cryptoKeyVersions.create - ADMIN_WRITE
  • cloudkms.cryptoKeyVersions.manageRawDsaKeys - ADMIN_WRITE
  • cloudkms.cryptoKeyVersions.manageRawPKCS1Keys - ADMIN_WRITE
  • cloudkms.cryptoKeyVersions.update - ADMIN_WRITE
  • cloudkms.importJobs.useToImport - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="ImportCryptoKeyVersion"
  

ListCryptoKeyVersions

• 方法 ：ListCryptoKeyVersions
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.cryptoKeyVersions.list - ADMIN_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="ListCryptoKeyVersions"
  

ListCryptoKeys

• 方法 ：ListCryptoKeys
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.cryptoKeys.list - ADMIN_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="ListCryptoKeys"
  

ListImportJobs

• 方法 ：ListImportJobs
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.importJobs.list - ADMIN_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="ListImportJobs"
  

ListKeyRings

• 方法 ：ListKeyRings
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.keyRings.list - ADMIN_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="ListKeyRings"
  

MacSign

• 方法 ：MacSign
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.cryptoKeyVersions.useToSign - DATA_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="MacSign"
  

MacVerify

• 方法 ：MacVerify
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.cryptoKeyVersions.useToVerify - DATA_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="MacVerify"
  

RawDecrypt

• 方法 ：RawDecrypt
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="RawDecrypt"
  

RawEncrypt

• 方法 ：RawEncrypt
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.cryptoKeyVersions.useToEncrypt - DATA_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="RawEncrypt"
  

RestoreCryptoKeyVersion

• 方法 ：RestoreCryptoKeyVersion
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudkms.cryptoKeyVersions.restore - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="RestoreCryptoKeyVersion"
  

UpdateCryptoKey

• 方法 ：UpdateCryptoKey
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudkms.cryptoKeyVersions.manageRawPKCS1Keys - ADMIN_WRITE
  • cloudkms.cryptoKeys.update - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="UpdateCryptoKey"
  

UpdateCryptoKeyPrimaryVersion

• 方法 ：UpdateCryptoKeyPrimaryVersion
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudkms.cryptoKeys.update - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="UpdateCryptoKeyPrimaryVersion"
  

UpdateCryptoKeyVersion

• 方法 ：UpdateCryptoKeyVersion
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudkms.cryptoKeyVersions.update - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="UpdateCryptoKeyVersion"
  

google.iam.v1.IAMPolicy

与属于 google.iam.v1.IAMPolicy 的方法关联的审核日志的详细信息。

GetIamPolicy

• 方法 ：GetIamPolicy
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.cryptoKeys.getIamPolicy - ADMIN_READ
  • cloudkms.ekmConfigs.getIamPolicy - ADMIN_READ
  • cloudkms.ekmConnections.getIamPolicy - ADMIN_READ
  • cloudkms.importJobs.getIamPolicy - ADMIN_READ
  • cloudkms.keyRings.getIamPolicy - ADMIN_READ
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="GetIamPolicy"
  

SetIamPolicy

• 方法 ：SetIamPolicy
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudkms.cryptoKeys.setIamPolicy - ADMIN_WRITE
  • cloudkms.ekmConfigs.setIamPolicy - ADMIN_WRITE
  • cloudkms.ekmConnections.setIamPolicy - ADMIN_WRITE
  • cloudkms.importJobs.setIamPolicy - ADMIN_WRITE
  • cloudkms.keyRings.setIamPolicy - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="SetIamPolicy"
  

google.longrunning.Operations

与属于 google.longrunning.Operations 的方法关联的审核日志的详细信息。

GetOperation

• 方法 ：GetOperation
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudkms.keyHandles.create - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输：否。
  
• 此方法的过滤条件： protoPayload.methodName="GetOperation"
  

不会生成审核日志的方法

通常，方法不会生成审核日志，因为日志数量很大，生成日志的成本非常高；或者方法的审核价值很低；或者其他审核日志或平台日志已覆盖方法生成的日志。

以下方法不会生成审核日志：

• google.cloud.kms.v1.KeyManagementService.GenerateRandomBytes
• google.cloud.location.Locations.GetLocation
• google.cloud.location.Locations.ListLocations