本文档介绍了 Cloud Logging 的审核日志记录。Google Cloud 服务会生成审核日志，以记录 Google Cloud 资源中的管理和访问活动。 如需详细了解 Cloud Audit Logs，请参阅以下内容：
服务名称
Cloud Logging 审核日志使用服务名称 logging.googleapis.com。
针对此服务的过滤条件：
protoPayload.serviceName="logging.googleapis.com"
方法（按权限类型）
每个 IAM 权限都有一个 type 属性，该属性的值是一个枚举，可以是以下四个值之一：ADMIN_READ、ADMIN_WRITE、DATA_READ 或 DATA_WRITE。调用方法时
Cloud Logging 会生成一条审核日志，其类别取决于
执行该方法所需权限的 type 属性。
需要 IAM 权限且 type 属性值为 DATA_READ、DATA_WRITE 或 ADMIN_READ 的方法会生成数据访问审核日志。需要 IAM 权限且 type 属性值为 ADMIN_WRITE 的方法会生成管理员活动审核日志。
| 权限类型 | 方法 |
|---|---|
ADMIN_READ |
google.cloud.location.Locations.GetLocationgoogle.cloud.location.Locations.ListLocationsgoogle.iam.v1.IAMPolicy.GetIamPolicygoogle.logging.v2.ConfigServiceV2.GetBucketgoogle.logging.v2.ConfigServiceV2.GetCmekSettingsgoogle.logging.v2.ConfigServiceV2.GetExclusiongoogle.logging.v2.ConfigServiceV2.GetLinkgoogle.logging.v2.ConfigServiceV2.GetSettingsgoogle.logging.v2.ConfigServiceV2.GetSinkgoogle.logging.v2.ConfigServiceV2.GetViewgoogle.logging.v2.ConfigServiceV2.ListBucketsgoogle.logging.v2.ConfigServiceV2.ListExclusionsgoogle.logging.v2.ConfigServiceV2.ListLinksgoogle.logging.v2.ConfigServiceV2.ListSinksgoogle.logging.v2.LoggingServiceV2.ListLogsgoogle.logging.v2.MetricsServiceV2.GetLogMetricgoogle.logging.v2.MetricsServiceV2.ListLogMetrics |
ADMIN_WRITE |
google.iam.v1.IAMPolicy.SetIamPolicygoogle.logging.v2.ConfigServiceV2.CreateBucketgoogle.logging.v2.ConfigServiceV2.CreateBucketAsyncgoogle.logging.v2.ConfigServiceV2.CreateExclusiongoogle.logging.v2.ConfigServiceV2.CreateLinkgoogle.logging.v2.ConfigServiceV2.CreateSinkgoogle.logging.v2.ConfigServiceV2.CreateViewgoogle.logging.v2.ConfigServiceV2.DeleteBucketgoogle.logging.v2.ConfigServiceV2.DeleteExclusiongoogle.logging.v2.ConfigServiceV2.DeleteLinkgoogle.logging.v2.ConfigServiceV2.DeleteSinkgoogle.logging.v2.ConfigServiceV2.DeleteViewgoogle.logging.v2.ConfigServiceV2.UndeleteBucketgoogle.logging.v2.ConfigServiceV2.UpdateBucketgoogle.logging.v2.ConfigServiceV2.UpdateBucketAsyncgoogle.logging.v2.ConfigServiceV2.UpdateCmekSettingsgoogle.logging.v2.ConfigServiceV2.UpdateExclusiongoogle.logging.v2.ConfigServiceV2.UpdateSettingsgoogle.logging.v2.ConfigServiceV2.UpdateSinkgoogle.logging.v2.ConfigServiceV2.UpdateViewgoogle.logging.v2.LoggingServiceV2.DeleteLoggoogle.logging.v2.MetricsServiceV2.CreateLogMetricgoogle.logging.v2.MetricsServiceV2.DeleteLogMetricgoogle.logging.v2.MetricsServiceV2.UpdateLogMetricgoogle.longrunning.Operations.CancelOperation |
DATA_READ |
google.logging.v2.ConfigServiceV2.CopyLogEntriesgoogle.logging.v2.LoggingServiceV2.ListLogEntries |
API 接口审核日志
如需了解如何评估每种方法的权限以及评估哪些权限，请参阅 Cloud Logging 的 Identity and Access Management 文档。
google.cloud.location.Locations
以下审核日志与属于 google.cloud.location.Locations 的方法相关联。
GetLocation
- 方法：
google.cloud.location.Locations.GetLocation - 审核日志类型：数据访问
- 权限：
logging.locations.get - ADMIN_READ
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.cloud.location.Locations.GetLocation"
ListLocations
- 方法：
google.cloud.location.Locations.ListLocations - 审核日志类型：数据访问
- 权限：
logging.locations.list - ADMIN_READ
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.cloud.location.Locations.ListLocations"
google.iam.v1.IAMPolicy
以下审核日志与属于 google.iam.v1.IAMPolicy 的方法相关联。
GetIamPolicy
- 方法：
google.iam.v1.IAMPolicy.GetIamPolicy - 审核日志类型：数据访问
- 权限：
logging.views.getIamPolicy - ADMIN_READ
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.iam.v1.IAMPolicy.GetIamPolicy"
SetIamPolicy
- 方法：
google.iam.v1.IAMPolicy.SetIamPolicy - 审核日志类型：管理员活动
- 权限：
logging.views.setIamPolicy - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.iam.v1.IAMPolicy.SetIamPolicy"
google.logging.v2.ConfigServiceV2
以下审核日志与属于 google.logging.v2.ConfigServiceV2 的方法相关联。
CopyLogEntries
- 方法：
google.logging.v2.ConfigServiceV2.CopyLogEntries - 审核日志类型：数据访问
- 权限：
logging.buckets.copyLogEntries - DATA_READ
- 方法是长时间运行的操作或流式传输操作：长时间运行的操作
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.CopyLogEntries"
CreateBucket
- 方法：
google.logging.v2.ConfigServiceV2.CreateBucket - 审核日志类型：管理员活动
- 权限：
logging.buckets.create - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.CreateBucket"
CreateBucketAsync
- 方法：
google.logging.v2.ConfigServiceV2.CreateBucketAsync - 审核日志类型：管理员活动
- 权限：
logging.buckets.create - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：长时间运行的操作
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.CreateBucketAsync"
CreateExclusion
- 方法：
google.logging.v2.ConfigServiceV2.CreateExclusion - 审核日志类型：管理员活动
- 权限：
logging.exclusions.create - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.CreateExclusion"
CreateLink
- 方法：
google.logging.v2.ConfigServiceV2.CreateLink - 审核日志类型：管理员活动
- 权限：
logging.links.create - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：长时间运行的操作
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.CreateLink"
CreateSink
- 方法：
google.logging.v2.ConfigServiceV2.CreateSink - 审核日志类型：管理员活动
- 权限：
logging.sinks.create - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.CreateSink"
CreateView
- 方法：
google.logging.v2.ConfigServiceV2.CreateView - 审核日志类型：管理员活动
- 权限：
logging.views.create - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.CreateView"
DeleteBucket
- 方法：
google.logging.v2.ConfigServiceV2.DeleteBucket - 审核日志类型：管理员活动
- 权限：
logging.buckets.delete - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.DeleteBucket"
DeleteExclusion
- 方法：
google.logging.v2.ConfigServiceV2.DeleteExclusion - 审核日志类型：管理员活动
- 权限：
logging.exclusions.delete - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.DeleteExclusion"
DeleteLink
- 方法：
google.logging.v2.ConfigServiceV2.DeleteLink - 审核日志类型：管理员活动
- 权限：
logging.links.delete - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：长时间运行的操作
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.DeleteLink"
DeleteSink
- 方法：
google.logging.v2.ConfigServiceV2.DeleteSink - 审核日志类型：管理员活动
- 权限：
logging.sinks.delete - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.DeleteSink"
DeleteView
- 方法：
google.logging.v2.ConfigServiceV2.DeleteView - 审核日志类型：管理员活动
- 权限：
logging.views.delete - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.DeleteView"
GetBucket
- 方法：
google.logging.v2.ConfigServiceV2.GetBucket - 审核日志类型：数据访问
- 权限：
logging.buckets.get - ADMIN_READ
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.GetBucket"
GetCmekSettings
- 方法：
google.logging.v2.ConfigServiceV2.GetCmekSettings - 审核日志类型：数据访问
- 权限：
logging.settings.get - ADMIN_READ
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.GetCmekSettings"
GetExclusion
- 方法：
google.logging.v2.ConfigServiceV2.GetExclusion - 审核日志类型：数据访问
- 权限：
logging.exclusions.get - ADMIN_READ
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.GetExclusion"
GetLink
- 方法：
google.logging.v2.ConfigServiceV2.GetLink - 审核日志类型：数据访问
- 权限：
logging.links.get - ADMIN_READ
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.GetLink"
GetSettings
- 方法：
google.logging.v2.ConfigServiceV2.GetSettings - 审核日志类型：数据访问
- 权限：
logging.settings.get - ADMIN_READ
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.GetSettings"
GetSink
- 方法：
google.logging.v2.ConfigServiceV2.GetSink - 审核日志类型：数据访问
- 权限：
logging.sinks.get - ADMIN_READ
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.GetSink"
GetView
- 方法：
google.logging.v2.ConfigServiceV2.GetView - 审核日志类型：数据访问
- 权限：
logging.views.get - ADMIN_READ
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.GetView"
ListBuckets
- 方法：
google.logging.v2.ConfigServiceV2.ListBuckets - 审核日志类型：数据访问
- 权限：
logging.buckets.list - ADMIN_READ
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.ListBuckets"
ListExclusions
- 方法：
google.logging.v2.ConfigServiceV2.ListExclusions - 审核日志类型：数据访问
- 权限：
logging.exclusions.list - ADMIN_READ
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.ListExclusions"
ListLinks
- 方法：
google.logging.v2.ConfigServiceV2.ListLinks - 审核日志类型：数据访问
- 权限：
logging.links.list - ADMIN_READ
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.ListLinks"
ListSinks
- 方法：
google.logging.v2.ConfigServiceV2.ListSinks - 审核日志类型：数据访问
- 权限：
logging.sinks.list - ADMIN_READ
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.ListSinks"
UndeleteBucket
- 方法：
google.logging.v2.ConfigServiceV2.UndeleteBucket - 审核日志类型：管理员活动
- 权限：
logging.buckets.undelete - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.UndeleteBucket"
UpdateBucket
- 方法：
google.logging.v2.ConfigServiceV2.UpdateBucket - 审核日志类型：管理员活动
- 权限：
logging.buckets.update - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.UpdateBucket"
UpdateBucketAsync
- 方法：
google.logging.v2.ConfigServiceV2.UpdateBucketAsync - 审核日志类型：管理员活动
- 权限：
logging.buckets.update - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：长时间运行的操作
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.UpdateBucketAsync"
UpdateCmekSettings
- 方法：
google.logging.v2.ConfigServiceV2.UpdateCmekSettings - 审核日志类型：管理员活动
- 权限：
logging.settings.update - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.UpdateCmekSettings"
UpdateExclusion
- 方法：
google.logging.v2.ConfigServiceV2.UpdateExclusion - 审核日志类型：管理员活动
- 权限：
logging.exclusions.update - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.UpdateExclusion"
UpdateSettings
- 方法：
google.logging.v2.ConfigServiceV2.UpdateSettings - 审核日志类型：管理员活动
- 权限：
logging.settings.update - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.UpdateSettings"
UpdateSink
- 方法：
google.logging.v2.ConfigServiceV2.UpdateSink - 审核日志类型：管理员活动
- 权限：
logging.sinks.update - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.UpdateSink"
UpdateView
- 方法：
google.logging.v2.ConfigServiceV2.UpdateView - 审核日志类型：管理员活动
- 权限：
logging.views.update - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.ConfigServiceV2.UpdateView"
google.logging.v2.LoggingServiceV2
以下审核日志与属于 google.logging.v2.LoggingServiceV2 的方法相关联。
DeleteLog
- 方法：
google.logging.v2.LoggingServiceV2.DeleteLog - 审核日志类型：管理员活动
- 权限：
logging.logs.delete - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.LoggingServiceV2.DeleteLog"
ListLogEntries
- 方法：
google.logging.v2.LoggingServiceV2.ListLogEntries - 审核日志类型：数据访问
- 权限：
logging.logEntries.list - DATA_READlogging.privateLogEntries.list - DATA_READlogging.views.access - DATA_READ
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.LoggingServiceV2.ListLogEntries"
ListLogs
- 方法：
google.logging.v2.LoggingServiceV2.ListLogs - 审核日志类型：数据访问
- 权限：
logging.logs.list - ADMIN_READlogging.views.listLogs - ADMIN_READ
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.LoggingServiceV2.ListLogs"
google.logging.v2.MetricsServiceV2
以下审核日志与属于 google.logging.v2.MetricsServiceV2 的方法相关联。
CreateLogMetric
- 方法：
google.logging.v2.MetricsServiceV2.CreateLogMetric - 审核日志类型：管理员活动
- 权限：
logging.logMetrics.create - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.MetricsServiceV2.CreateLogMetric"
DeleteLogMetric
- 方法：
google.logging.v2.MetricsServiceV2.DeleteLogMetric - 审核日志类型：管理员活动
- 权限：
logging.logMetrics.delete - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.MetricsServiceV2.DeleteLogMetric"
GetLogMetric
- 方法：
google.logging.v2.MetricsServiceV2.GetLogMetric - 审核日志类型：数据访问
- 权限：
logging.logMetrics.get - ADMIN_READ
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.MetricsServiceV2.GetLogMetric"
ListLogMetrics
- 方法：
google.logging.v2.MetricsServiceV2.ListLogMetrics - 审核日志类型：数据访问
- 权限：
logging.logMetrics.list - ADMIN_READ
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.MetricsServiceV2.ListLogMetrics"
UpdateLogMetric
- 方法：
google.logging.v2.MetricsServiceV2.UpdateLogMetric - 审核日志类型：管理员活动
- 权限：
logging.logMetrics.update - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.logging.v2.MetricsServiceV2.UpdateLogMetric"
google.longrunning.Operations
以下审核日志与属于 google.longrunning.Operations 的方法相关联。
CancelOperation
- 方法：
google.longrunning.Operations.CancelOperation - 审核日志类型：管理员活动
- 权限：
logging.operations.cancel - ADMIN_WRITE
- 方法是长时间运行的操作或流式传输操作：否。
- 此方法的过滤条件：
protoPayload.methodName="google.longrunning.Operations.CancelOperation"
不会生成审核日志的方法
由于以下一个或多个原因，方法可能不会生成审核日志：
- 这是一种高容量方法，涉及较高的日志生成和存储费用。
- 它的审核价值较低。
- 其他审核或平台日志已提供方法。
以下方法不会生成审核日志：
google.logging.v1.LoggingService.WriteLogEntriesgoogle.logging.v2.ConfigServiceV2.CreateSavedQuerygoogle.logging.v2.ConfigServiceV2.DeleteSavedQuerygoogle.logging.v2.ConfigServiceV2.GetSavedQuerygoogle.logging.v2.ConfigServiceV2.ListRecentQueriesgoogle.logging.v2.ConfigServiceV2.ListSavedQueriesgoogle.logging.v2.ConfigServiceV2.UpdateSavedQuerygoogle.logging.v2.LoggingServiceV2.ListMonitoredResourceDescriptorsgoogle.logging.v2.LoggingServiceV2.WriteLogEntries