Visualizza e gestisci i log di controllo per Google Workspace

Questo documento descrive come configurare, visualizzare e instradare gli audit log per Google Workspace a Google Cloud. Il routing degli audit log a Google Cloud ti consente di diagnosticare e risolvere problemi comuni relativi alla sicurezza e alla conformità dei dati.

Per una discussione concettuale sugli audit log di Google Workspace, consulta Log di controllo per Google Workspace.

Panoramica

Puoi condividere i log di controllo con la tua organizzazione Google Cloud utilizzando il tuo account Google Workspace, Cloud Identity o Google Drive Enterprise. Puoi accedere agli audit log condivisi tramite Cloud Logging in Google Cloud.

In Google Cloud puoi accedere ai log di controllo di Google Workspace, Cloud Identity e Google Drive Enterprise dei seguenti servizi:

  • Audit log amministrativi
  • Audit log di Enterprise Groups
  • Audit log dell'accesso
  • Audit log dei token OAuth
  • Audit log SAML

Per ulteriori informazioni sugli audit log di questi servizi, consulta Informazioni specifiche per i servizi.

Prima di iniziare

Per visualizzare gli audit log per Google Workspace in Google Cloud, assicurati di disporre delle autorizzazioni corrette per visualizzare gli audit log per Google Workspace.

Le autorizzazioni e i ruoli IAM determinano la tua possibilità di accedere ai dati degli audit log nell'API Logging, in Esplora log e in Google Cloud CLI.

Per informazioni dettagliate sulle autorizzazioni e sui ruoli IAM a livello di organizzazione che potrebbero essere necessari, consulta Controllo dell'accesso con IAM di Cloud Logging.

Visualizzare i log di controllo nella Console di amministrazione Google

Puoi visualizzare i log di controllo per Google Workspace direttamente nella Console di amministrazione Google. Per scoprire come visualizzare questi audit log, consulta i seguenti argomenti:

Condividi audit log con Google Cloud

Per attivare la condivisione dei dati di Google Workspace con Google Cloud dal tuo account Google Workspace, Cloud Identity o Google Drive Enterprise, segui le istruzioni in Condividere i dati con i servizi Google Cloud.

Dopo che avrai abilitato la condivisione dei dati di Google Workspace con Google Cloud, Google Cloud riceve tutti i log di controllo per Google Workspace. Per escludere determinati audit log da Google Cloud, configura i sink con i filtri di esclusione. Non puoi utilizzare la pagina IAM nella console Google Cloud per disabilitare selettivamente la condivisione dei dati.

Visualizza gli audit log per Google Workspace in Google Cloud

Per visualizzare gli audit log per Google Workspace in Logging, utilizza il linguaggio delle query di Logging per selezionare i dati. Come minimo, devi conoscere l'identificatore della tua organizzazione Google Cloud. Puoi specificare ulteriormente altri campi LogEntry indicizzati, come resource.type, e filtrare per tipi di evento.

Ecco i nomi dei log di controllo che si applicano a Google Workspace:

Nei nomi dei log precedenti, ORGANIZATION_ID si riferisce all'organizzazione Google Cloud per la quale vuoi visualizzare gli audit log.

Sono disponibili diverse opzioni per visualizzare le voci del log di controllo:

Console

Per recuperare le voci di audit log per la tua organizzazione Google Cloud utilizzando Esplora log nella console Google Cloud, segui questi passaggi:

  1. Nella console Google Cloud, vai alla pagina Esplora log:

    Vai a Esplora log

    Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato il cui sottotitolo è Logging.

  2. Dal menu Selettore progetto, seleziona un'organizzazione.

  3. Dal menu a discesa Risorsa, seleziona il tipo di risorsa di cui vuoi visualizzare gli audit log.

  4. Nel menu a discesa Nome log, seleziona data_access per gli audit log di accesso ai dati o activity per gli audit log di attività di amministrazione.

    Se non vedi queste opzioni, significa che gli audit log non sono attualmente disponibili nell'organizzazione.

  5. (Facoltativo) Puoi creare un filtro nel riquadro Query Builder per specificare ulteriormente i log che vuoi visualizzare. Per scoprire di più sull'esecuzione di query sui log, consulta Creare query.

API

Per leggere le voci dell'audit log utilizzando l'API Logging, segui questi passaggi:

  1. Vai alla sezione Prova questa API nella documentazione per il metodo entries.list.

  2. Inserisci quanto segue nella parte Corpo della richiesta del modulo Prova questa API. Se fai clic su questo modulo precompilato, il corpo della richiesta viene compilato automaticamente, ma devi fornire un ORGANIZATION_ID valido in ciascuno dei nomi dei log.

          {
        "resourceNames": [
          "organizations/ORGANIZATION_ID"
        ],
        "pageSize": 5,
        "filter": "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com"
      }

  3. Fai clic su Execute (Esegui).

Per maggiori dettagli sull'utilizzo dell'API Logging per leggere i log, consulta il linguaggio delle query di Logging.

gcloud

Google Cloud CLI fornisce un'interfaccia a riga di comando per l'API Cloud Logging. Per leggere le voci dell'audit log, esegui questo comando:

    gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com"

Sostituisci ORGANIZATION_ID in ogni nome di log con l'ID dell'organizzazione Google Cloud per cui vuoi leggere gli audit log.

Per ulteriori informazioni su questo comando, consulta la documentazione di riferimento gcloud logging read.

Ogni servizio Google Workspace che fornisce audit log acquisisce eventi specifici del servizio. Se vuoi leggere i log per un particolare evento controllato, ad esempio un accesso riuscito o un accesso revocato, aggiungi quanto segue al filtro e fornisci un valore EVENT_NAME valido:

protoPayload.metadata.event.eventName="EVENT_NAME"
resource.type="audited_resource"

Per un elenco dei nomi di eventi validi e dei relativi parametri, consulta la documentazione dell'API Reports e scegli tra i servizi elencati.

Ad esempio, se vuoi leggere i log ogni volta che il servizio di accesso segnala che è stata modificata una password dell'account, il filtro avrà il seguente aspetto:

protoPayload.metadata.event.eventName="password_edit"
resource.type="audited_resource"

Esegui audit log di routing da Google Cloud

Una volta che gli audit log per Google Workspace sono in Google Cloud, puoi instradare i log alle destinazioni supportate. Ad esempio, puoi creare un sink per instradare i log a Splunk o BigQuery. Per una panoramica concettuale della modalità di routing dei log da Cloud Logging, consulta Panoramica del routing e dell'archiviazione.

Poiché gli audit log per Google Workspace sono a livello di organizzazione, puoi instradarli utilizzando sink aggregati a livello di organizzazione verso queste destinazioni:

Per istruzioni sulla configurazione dei sink per il routing dei log, consulta Collate e instrada i log a livello di organizzazione verso destinazioni supportate.

Personalizza il periodo di conservazione dei dati

I periodi di conservazione di Cloud Logging si applicano agli audit log archiviati nei bucket di log.

Per conservare gli audit log più a lungo rispetto ai periodi di conservazione predefiniti, puoi configurare la conservazione personalizzata.

Passaggi successivi