Google Workspace 감사 로그

이 문서에서는 Google Workspace가 Cloud 감사 로그의 일부로 제공하는 감사 로그의 개념을 간략히 설명합니다.

Google Workspace 감사 로그 관리에 대한 자세한 내용은 Google Workspace 감사 로그 보기 및 관리를 참조하세요.

개요

Google Cloud 서비스는 감사 로그를 작성하여 '누가, 언제, 어디서, 무엇을 했는지'라는 질문에 답하는 데 도움을 줍니다. Google Workspace 감사 로그를 Google Cloud와 공유하여 Google Workspace 데이터를 저장, 분석, 모니터링하고 알림을 받을 수 있습니다.

Google Workspace의 감사 로그는 Cloud ID, Cloud ID Premium, 모든 Google Workspace 고객에게 제공됩니다.

Google Cloud와 Google Workspace 데이터 공유를 사용 설정한 경우 Google Workspace에 감사 로그가 항상 사용 설정됩니다.

Google Workspace 데이터 공유를 중지하면 새 Google Workspace 감사 로그 이벤트가 Google Cloud로 전송되지 않습니다. 장기간 로그를 유지하기 위해 커스텀 보관을 구성하지 않는 한 기존 로그는 기본 보관 기간 동안 유지됩니다.

Google Cloud와 Google Workspace 데이터 공유를 사용 설정하지 않으면 Google Cloud에서 Google Workspace의 감사 로그를 볼 수 없습니다.

감사 로그 유형

관리자 활동 감사 로그에는 API 호출이나 리소스의 구성 또는 메타데이터를 수정하는 기타 작업과 관련된 로그 항목이 포함됩니다. 예를 들어 사용자가 VM 인스턴스를 만들거나 Identity and Access Management(IAM) 권한을 변경하면 로그가 기록됩니다.

데이터 액세스 감사 로그에는 리소스의 구성 또는 메타데이터를 읽는 API 호출뿐만 아니라 사용자가 제공한 리소스 데이터를 생성, 수정 또는 읽는 사용자 주도 API 호출도 포함됩니다. 공개적으로 공유(모든 사용자 또는 모든 인증 사용자에게 제공됨)되거나 Google Cloud, Google Workspace, Cloud Identity, Drive Enterprise 계정에 로그인하지 않고도 액세스할 수 있는 리소스의 데이터 액세스 작업은 액세스 감사 로그에 기록되지 않습니다.

Google Workspace 서비스에서 Google Cloud로 감사 로그 전달

Google Workspace는 다음과 같이 Google Cloud 조직 수준에서 감사 로그를 제공합니다.

  • Google Workspace 관리자 감사: 관리자 감사 로그는 Google 관리 콘솔에서 수행된 작업 기록을 제공합니다. 예를 들어 관리자가 사용자를 추가하거나 Google Workspace 서비스를 사용 설정한 시기를 볼 수 있습니다. 관리자 감사는 관리자 활동 감사 로그만 작성합니다.

  • Google Workspace Enterprise 그룹스 감사: 엔터프라이즈 그룹스 감사 로그는 그룹 및 그룹 멤버십에 대해 수행된 작업 기록을 제공합니다. 예를 들어 관리자가 사용자를 추가하거나 그룹 소유자가 그룹을 삭제한 기록을 확인할 수 있습니다.

    Enterprise 그룹스 감사는 관리자 활동 감사 로그만 작성합니다.

  • Google Workspace 로그인 감사: 로그인 감사 로그는 도메인에 대한 사용자 로그인을 추적합니다. 이 로그는 로그인 이벤트만 기록합니다. 로그인 작업을 수행하는 데 사용된 시스템은 기록되지 않습니다.

    로그인 감사는 데이터 액세스 감사 로그만 작성합니다.

  • Google Workspace OAuth 토큰 감사: OAuth 토큰 감사 로그는 도메인에서 어떤 사용자가 어떤 타사 모바일 또는 웹 애플리케이션을 사용하고 있는지 추적합니다. 예를 들어 사용자가 Google Workspace Marketplace 앱을 열면 로그에 앱 이름과 사용자 이름이 기록됩니다. 또한 Google 주소록, 캘린더, 드라이브 파일 등 Google 계정 데이터에 액세스할 수 있는 권한을 타사 애플리케이션에 부여하는 경우에도 매번 로그에 기록됩니다(Google Workspace만 해당).

    OAuth 토큰 감사는 관리자 활동 및 데이터 액세스 감사 로그를 모두 작성합니다.

  • Google Workspace SAML 감사: SAML 감사 로그는 사용자의 SAML 애플리케이션 성공 및 실패 로그인을 추적합니다. 대개 로그 항목은 사용자가 작업한 후 1시간 이내에 표시됩니다.

    SAML 감사는 데이터 액세스 감사 로그만 작성합니다.

서비스별 정보

각 Google Workspace 서비스의 감사 로그에 대한 세부정보는 다음과 같습니다.

감사 로그 권한

IAM 권한 및 역할에 따라 Logging API, 로그 탐색기, Google Cloud CLI의 감사 로그 데이터에 액세스할 수 있는지 여부가 결정됩니다.

필요할 수 있는 조직 수준 IAM 권한 및 역할에 대한 자세한 내용은 IAM으로 액세스 제어를 참조하세요.

감사 로그 형식

Google Workspace 감사 로그 항목에는 다음과 같은 객체가 포함됩니다.

  • LogEntry 유형의 객체인 로그 항목 자체입니다. 감사 로깅 데이터를 조사할 때 유용할 수 있는 정보는 다음과 같습니다.

    • logName에는 조직 ID와 감사 로그 유형이 있습니다.
    • resource에는 감사 작업 대상이 있습니다.
    • timeStamp에는 감사 작업 시간이 있습니다.
    • protoPayload의 metadata 필드는 Google Workspace 감사 로그를 포함합니다.

protoPayload.metadata 필드에는 감사된 Google Workspace 정보가 포함됩니다. 다음은 로그인 감사 로그의 예시입니다.

{
  "protoPayload": {
    "@type": "type.googleapis.com/google.cloud.audit.AuditLog",
    "authenticationInfo": {
      "principalEmail": "test-user@example.net"
    },
    "requestMetadata": {
      "callerIp": "2001:db8:ffff:ffff:ffff:ffff:ffff:ffff",
      "requestAttributes": {},
      "destinationAttributes": {}
    },
    "serviceName": "login.googleapis.com",
    "methodName": "google.login.LoginService.loginFailure",
    "resourceName": "organizations/123",
    "metadata": {
      "event": [
        {
          "eventName": "login_failure",
          "eventType": "login",
          "parameter": [
            {
              "value": "google_password",
              "type": "TYPE_STRING",
              "name": "login_type",
            },
            {
              "name": "login_challenge_method",
              "type": "TYPE_STRING",
              "label": "LABEL_REPEATED",
              "multiStrValue": [
                "password",
                "idv_preregistered_phone",
                "idv_preregistered_phone"
              ]
            },
          ]
        }
      ],
      "activityId": {
        "uniqQualifier": "358068855354",
        "timeUsec": "1632500217183212"
      },
      "@type": "type.googleapis.com/ccc_hosted_reporting.ActivityProto"
    }
  },
  "insertId": "-nahbepd4l1x",
  "resource": {
    "type": "audited_resource",
    "labels": {
      "method": "google.login.LoginService.loginFailure",
      "service": "login.googleapis.com"
    }
  },
  "timestamp": "2021-09-24T16:16:57.183212Z",
  "severity": "NOTICE",
  "logName": "organizations/123/logs/cloudaudit.googleapis.com%2Fdata_access",
  "receiveTimestamp": "2021-09-24T17:51:25.034361197Z"
}

서비스별 감사 로깅 필드 및 해석 방법에 대한 자세한 내용은 사용 가능한 감사 로그에 나열된 서비스에서 선택합니다.

로그 보기

Google Workspace 감사 로그를 보는 방법은 Google Workspace 감사 로그 보기 및 관리를 참조하세요.

감사 로그 라우팅

Cloud Logging에서 Google Workspace 감사 로그를 다른 Logging 버킷을 포함하여 지원되는 대상으로 라우팅할 수 있습니다.

다음은 감사 로그를 라우팅하는 몇 가지 응용 방법입니다.

  • 보다 강력한 검색 기능을 사용하려면 감사 로그의 복사본을 Cloud Storage, BigQuery 또는 Pub/Sub으로 라우팅하면 됩니다. Pub/Sub을 사용하면 다른 애플리케이션, 다른 저장소, 제3자에게 라우팅할 수 있습니다.

  • 조직 전체의 감사 로그를 관리하려면 조직에 포함되는 모든 Google Cloud 프로젝트, 결제 계정, 폴더의 로그를 결합하고 라우팅하는 집계 싱크를 만들면 됩니다. 예를 들어 조직 폴더의 감사 로그 항목을 집계하여 Cloud Storage 버킷으로 라우팅할 수 있습니다.

로그 라우팅에 대한 안내는 지원되는 대상으로 로그 라우팅을 참조하세요.

리전화

Google Workspace 로그가 저장되는 리전을 선택할 수 없습니다. Google Workspace 로그에는 Google Workspace 데이터 리전 정책이 적용되지 않습니다.

보관 기간

감사 로그 데이터의 보관 기간에는 다음이 적용됩니다.

각 조직에서 Cloud Logging은 _Default 버킷과 _Required 버킷이라는 두 가지 버킷에 로그를 자동으로 저장합니다. _Required 버킷에는 관리자 활동 감사 로그, 시스템 이벤트 감사 로그, 액세스 투명성 로그가 있습니다. _Default 버킷에는 _Required 버킷에 저장되지 않은 다른 모든 로그 항목이 포함됩니다. Logging 버킷에 대한 자세한 내용은 라우팅 및 스토리지 개요를 참조하세요.

_Default 로그 버킷의 로그를 1~3,650일 동안 보관하도록 Cloud Logging을 구성할 수 있습니다.

_Default 로그 버킷의 보관 기간을 업데이트하려면 커스텀 보관을 참조하세요.

_Required 버킷의 보관 기간을 변경할 수 없습니다.

할당량 및 한도

Google Workspace 및 Cloud 감사 로그의 감사 로그에도 동일한 할당량이 적용됩니다.

감사 로그의 최대 크기를 비롯하여 이러한 사용량 한도에 대한 자세한 내용은 할당량 및 한도를 참조하세요.

가격 책정

Google Workspace의 조직 수준 로그는 무료입니다.

다음 단계