Visualizza e gestisci i log di controllo per Google Workspace

Questo documento descrive come configurare, visualizzare e indirizzare gli audit log per Google Workspace su Google Cloud. L'indirizzamento degli audit log a Google Cloud ti consente di diagnosticare e risolvere i problemi comuni relativi alla sicurezza e alla conformità dei dati.

Per una discussione concettuale sui log di controllo di Google Workspace, consulta Log di controllo per Google Workspace.

Panoramica

Puoi condividere i log di controllo con la tua organizzazione Google Cloud utilizzando il tuo account Google Workspace, Cloud Identity o Google Drive Enterprise. Puoi accedere agli audit log condivisi tramite Cloud Logging in Google Cloud.

Puoi accedere ai log di controllo di Google Workspace, Cloud Identity e Google Drive Enterprise dei seguenti servizi in Google Cloud:

  • Audit log amministrativi
  • Log di controllo di Enterprise Groups
  • Audit log degli accessi
  • Log di controllo del token OAuth
  • Audit log SAML

Per ulteriori informazioni sugli audit log di questi servizi, consulta Informazioni specifiche per i servizi.

Prima di iniziare

Per visualizzare gli audit log per Google Workspace in Google Cloud, assicurati di disporre delle autorizzazioni corrette per visualizzare gli audit log per Google Workspace.

Le autorizzazioni e i ruoli IAM determinano la tua capacità di accedere ai dati degli audit log nell'API Logging, in Esplora log e in Google Cloud CLI.

Per informazioni dettagliate sulle autorizzazioni IAM a livello di organizzazione e sui ruoli di cui potresti avere bisogno, consulta Controllo dell'accesso con IAM di Cloud Logging.

Visualizza i log di controllo nella Console di amministrazione Google

Puoi visualizzare i log di controllo per Google Workspace direttamente nella Console di amministrazione Google. Per scoprire come visualizzare questi audit log, consulta i seguenti argomenti:

Condividi gli audit log con Google Cloud

Per attivare la condivisione dei dati di Google Workspace con Google Cloud dal tuo account Google Workspace, Cloud Identity o Google Drive Enterprise, segui le istruzioni riportate in Condividere dati con i servizi Google Cloud.

Dopo aver attivato la condivisione dei dati di Google Workspace con Google Cloud, Google Cloud riceve tutti gli audit log per Google Workspace. Per escludere determinati audit log da Google Cloud, configura i sink con filtri di esclusione. Non puoi usare la pagina IAM nella console Google Cloud per disabilitare selettivamente la condivisione dei dati.

Visualizza gli audit log per Google Workspace in Google Cloud

Per visualizzare gli audit log per Google Workspace in Logging, utilizza il linguaggio delle query di Logging per selezionare i dati. Come minimo, devi conoscere l'identificatore della tua organizzazione Google Cloud. Puoi specificare ulteriormente altri campi LogEntry indicizzati, come resource.type, e filtrare per tipo di evento.

Ecco i nomi degli audit log che si applicano a Google Workspace:

Nei nomi dei log precedenti, ORGANIZATION_ID si riferisce all'organizzazione Google Cloud per cui vuoi visualizzare gli audit log.

Sono disponibili diverse opzioni per visualizzare le voci del log di controllo:

Console

Per ottenere le voci di audit log per la tua organizzazione Google Cloud utilizzando Esplora log nella console Google Cloud, segui questi passaggi:

  1. Nella console Google Cloud, vai alla pagina Esplora log:

    Vai a Esplora log

    Se usi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Logging.

  2. Dal menu Selettore progetti, seleziona un'organizzazione.

  3. Dal menu a discesa Risorsa, seleziona il tipo di risorsa di cui vuoi visualizzare gli audit log.

  4. Nel menu a discesa Nome log, seleziona data_access per gli audit log di accesso ai dati o activity per gli audit log per le attività di amministrazione.

    Se non vedi queste opzioni, significa che questi audit log non sono attualmente disponibili nell'organizzazione.

  5. (Facoltativo) Puoi creare un filtro nel riquadro Query Builder per specificare ulteriormente i log da visualizzare. Per scoprire di più sull'esecuzione di query sui log, consulta Creare query.

API

Per leggere le voci di audit log utilizzando l'API Logging, segui questi passaggi:

  1. Vai alla sezione Prova questa API nella documentazione per il metodo entries.list.

  2. Inserisci quanto segue nella parte del corpo della richiesta del modulo Prova questa API. Se fai clic su questo modulo precompilato, il corpo della richiesta viene compilato automaticamente, ma devi fornire un ORGANIZATION_ID valido in ogni nome di log.

          {
        "resourceNames": [
          "organizations/ORGANIZATION_ID"
        ],
        "pageSize": 5,
        "filter": "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com"
      }

  3. Fai clic su Execute (Esegui).

Per maggiori dettagli sull'utilizzo dell'API Logging per leggere i log, consulta Linguaggio di query di Logging.

gcloud

Google Cloud CLI fornisce un'interfaccia a riga di comando per l'API Cloud Logging. Per leggere le voci di audit log, esegui questo comando:

    gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com"

Sostituisci ORGANIZATION_ID in ogni nome di log con l'ID dell'organizzazione Google Cloud per cui vuoi leggere gli audit log.

Per maggiori informazioni su questo comando, consulta la documentazione di riferimento di gcloud logging read.

Ogni servizio di Google Workspace che fornisce audit log acquisisce eventi specifici del servizio. Se vuoi leggere i log per un determinato evento controllato, ad esempio un accesso riuscito o un accesso revocato, aggiungi quanto segue al filtro e fornisci un valore EVENT_NAME valido:

protoPayload.metadata.event.eventName="EVENT_NAME"
resource.type="audited_resource"

Per un elenco dei nomi di eventi validi e dei relativi parametri, consulta la documentazione dell'API Reports e scegli tra i servizi elencati.

Ad esempio, se vuoi leggere i log ogni volta che il servizio di accesso segnala la modifica della password dell'account, il filtro avrà il seguente aspetto:

protoPayload.metadata.event.eventName="password_edit"
resource.type="audited_resource"

Esegui il routing degli audit log da Google Cloud

Quando gli audit log per Google Workspace saranno disponibili in Google Cloud, puoi instradarli alle destinazioni supportate. Ad esempio, puoi creare un sink per instradare i log a Splunk o BigQuery. Per una panoramica concettuale di come vengono instradati i log da Cloud Logging, consulta Panoramica su routing e archiviazione.

Poiché gli audit log per Google Workspace sono a livello di organizzazione, puoi eseguirne il routing utilizzando sink aggregati a livello di organizzazione verso le seguenti destinazioni:

Per istruzioni sulla configurazione dei sink per il routing dei log, consulta Facolta e routing dei log a livello di organizzazione verso le destinazioni supportate.

Personalizza il periodo di conservazione dei dati

I periodi di conservazione di Cloud Logging si applicano agli audit log archiviati nei bucket di log.

Per conservare gli audit log più lunghi dei periodi di conservazione predefiniti, puoi configurare una conservazione personalizzata.

Passaggi successivi