Esta página foi traduzida pela API Cloud Translation.

Detalhes sobre os registros da transparência no acesso e como usá-los

Esta página descreve o conteúdo das entradas de registro da transparência no acesso e como visualizá-las e usá-las.

Acessar registros de transparência em detalhes

Os registros de Transparência no acesso podem ser integrados Ferramentas de gerenciamento de eventos e informações de segurança (SIEM) para automatizar suas auditorias de funcionários do Google quando acessam seu conteúdo. Os registros de transparência de acesso estão disponíveis no console do Google Cloud junto com os registros de auditoria do Cloud.

As entradas de registro da transparência no acesso incluem os seguintes tipos de detalhes:

o recurso e a ação afetados;
a hora da ação;
Os motivos da ação , por exemplo: o número do caso associado a uma solicitação de suporte ao cliente
Dados sobre quem está agindo no conteúdo, como a localização da equipe do Google

Como ativar a transparência no acesso

Para informações sobre como ativar a transparência no acesso para sua organização do Google Cloud, consulte Como ativar a transparência no acesso.

Como visualizar registros da transparência no acesso

Depois de configurar a transparência no acesso para sua organização do Google Cloud, defina controles de quem pode acessar os registros da transparência no acesso. Para isso, atribua a um usuário ou grupo o papel de Visualizador de registros particulares. Consulte o Guia de controle de acesso do Cloud Logging para mais detalhes.

Para conferir os registros de transparência no acesso, use o seguinte filtro de geração de registros da Observabilidade do Google Cloud.

logName="projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Faccess_transparency"

Para saber como visualizar registros da transparência no acesso no Explorador de registros, consulte Como usar o Explorador de registros.

Também é possível monitorar os registros usando a API Cloud Monitoring ou as funções do Cloud Run. Para começar, consulte a documentação do Cloud Monitoring.

Opcional: crie uma métrica com base em registros e configure uma política de alertas para receber avisos rapidamentes sobre problemas encontrados por esses registros.

Exemplo de entrada de registro de transparência no acesso

Este é um exemplo de uma entrada de registro de transparência no acesso.

{
 insertId:  "abcdefg12345"
 jsonPayload: {
  @type:  "type.googleapis.com/google.cloud.audit.TransparencyLog"
  location: {
   principalOfficeCountry:  "US"
   principalEmployingEntity:  "Google LLC"
   principalPhysicalLocationCountry:  "CA"
  }
  principalJobTitle: "Engineering"
  product: [
   0:  "Cloud Storage"
  ]
  reason: [
    detail:  "Case number: bar123"
    type:  "CUSTOMER_INITIATED_SUPPORT"
  ]
  eventId: "asdfg12345asdfg12345asdfg12345"
  accesses: [
   0: {
    methodName: "GoogleInternal.Read"
    resourceName: "//googleapis.com/storage/buckets/BUCKET_NAME/objects/foo123"
    }
  ]
  accessApprovals: [
   0: "projects/123/approvalRequests/abcdef12345"
  ]
 }
 logName:  "projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Faccess_transparency"
 operation: {
  id:  "12345xyz"
 }
 receiveTimestamp:  "2017-12-18T16:06:37.400577736Z"
 resource: {
  labels: {
   project_id:  "1234567890"
  }
  type:  "project"
 }
 severity:  "NOTICE"
 timestamp:  "2017-12-18T16:06:24.660001Z"
}

Descrições do campo de registro

Campo	Descrição
`insertId`	Identificador exclusivo para o registro.
`@type`	Identificador do registro de transparência no acesso.
`principalOfficeCountry`	Código do país ISO 3166-1 Alfa-2, em que o acessador tem um espaço de trabalho permanente, `??` se o local não estiver disponível, ou um identificador de continente de três caracteres onde a equipe do Google está em um país com um número baixo de habitantes.
`principalEmployingEntity`	A entidade que emprega a equipe do Google responsável pelo acesso (por exemplo, `Google LLC`).
`principalPhysicalLocationCountry`	Código do país ISO 3166-1 Alfa-2 onde o acesso foi feito, `??` se o local não estiver disponível, ou um identificador de continente de três caracteres onde a equipe do Google está em um país com um número baixo de habitantes.
`principalJobTitle`	A família de cargos da equipe do Google que está fazendo o acesso.
`product`	Produto do Google Cloud do cliente que foi acessado.
`reason:detail`	Detalhes do motivo, por exemplo, um ID do tíquete de suporte.
`reason:type`	Acesse tipo de motivo, por exemplo, `CUSTOMER_INITIATED_SUPPORT)`.
`accesses:methodName`	Que tipo de acesso foi feito. Por exemplo, `GoogleInternal.Read` Para mais informações sobre os métodos que podem aparecer no campo `methodName`, consulte Valores para o campo `accesses: methodName`.
`accesses:resourceName`	Nome do recurso que foi acessado.
`accessApprovals`	Inclui os nomes dos recursos da Aprovação de acesso. solicitações que aprovaram o acesso. Essas solicitações estão sujeitas a exclusões e serviços com suporte. Esse campo só será preenchido se a aprovação de acesso estiver ativada para os recursos acessados. Registros de Transparência no acesso publicados antes da data 24 de março de 2021 não vai ter esse campo preenchido.
`logName`	Nome do local do registro.
`operation:id`	Código do cluster de registro.
`receiveTimestamp`	Hora em que o acesso foi recebido pelo canal da geração de registros.
`project_id`	Projeto associado ao recurso que foi acessado.
`type`	Tipo de recurso que foi acessado, por exemplo, `project`.
`eventId`	ID de evento exclusivo associado a uma única justificativa de evento de acesso (por exemplo, um único caso de suporte). Todos os acessos são registrados ao mesmo justificação têm o mesmo valor `event_id`.
`severity`	Gravidade do registro.
`timestamp`	Hora em que o registro foi gravado

Valores do campo `accesses:methodNames`

Os métodos a seguir podem aparecer no campo accesses:methodNames nos registros da Transparência no acesso:

Métodos padrão: são List, Get, Create, Update e Delete. Para mais informações, consulte Métodos padrão.
Métodos personalizados: se referem a métodos de API além dos cinco métodos padrão. Os métodos personalizados comuns incluem Cancel, BatchGet, Move, Search e Undelete. Para mais informações, consulte Métodos personalizados.
Métodos GoogleInternal: os seguintes métodos GoogleInternal podem aparecer no campo accesses:methodNames:

Nome do método	Descrição	Exemplos
`GoogleInternal.Read`	Significa uma ação de leitura realizada no conteúdo do cliente com uma justificativa comercial válida. A ação de leitura ocorre usando uma API interna projetada especificamente para administrar os serviços do Google Cloud. Esse método não modifica o conteúdo do cliente.	Leitura de permissões do IAM.
`GoogleInternal.Write`	Significa uma ação de gravação realizada no conteúdo do cliente com uma justificativa comercial válida. A ação de gravação ocorre com o uso de uma API interna projetada especificamente para administrar os serviços do Google Cloud. Esse método pode atualizar o conteúdo e/ou as configurações do cliente.	Definição de permissões do IAM para um recurso. Suspensão de uma instância do Compute Engine.
`GoogleInternal.Create`	Indica uma ação de criação realizada no conteúdo do cliente com uma justificativa comercial válida. A ação de criação ocorre com o uso de uma API interna projetada especificamente para administrar os serviços do Google Cloud. Esse método cria conteúdo novo do cliente.	criação de um bucket do Cloud Storage Criar um tópico do Pub/Sub.
`GoogleInternal.Delete`	Indica uma ação de exclusão realizada no conteúdo do cliente usando uma API interna projetada especificamente para administrar os serviços do Google Cloud. Esse método modifica o conteúdo e/ou as configurações do cliente.	Excluir um objeto do Cloud Storage. Exclusão de uma tabela do BigQuery.
`GoogleInternal.List`	Indica uma ação de lista realizada no conteúdo do cliente com uma justificativa comercial válida. A ação de listar ocorre usando uma API interna projetada especificamente para administrar os serviços do Google Cloud. Esse método não modifica as configurações ou o conteúdo do cliente.	Listar as instâncias do Compute Engine de um cliente. Listar os jobs do Dataflow de um cliente.
`GoogleInternal.SSH`	Significa uma ação SSH realizada na máquina virtual de um cliente com uma justificativa comercial válida. O acesso SSH ocorre usando uma API interna projetada especificamente para administrar serviços do Google Cloud. Esse método pode mudar o conteúdo e as configurações do cliente.	Acesso emergencial para recuperação após uma interrupção do serviço no Compute Engine ou no Google Distributed Cloud.
`GoogleInternal.Update`	Significa uma modificação realizada no conteúdo do cliente com uma justificativa comercial válida. A ação de atualização ocorre usando uma API interna projetada especificamente para administrar os serviços do Google Cloud. Esse método modifica o conteúdo e/ou as configurações do cliente.	Atualizar chaves HMAC no Cloud Storage.
`GoogleInternal.Get`	Indica uma ação realizada no conteúdo do cliente com uma justificativa comercial válida. A ação de recebimento ocorre usando uma API interna projetada especificamente para administrar os serviços do Google Cloud. Esse método não modifica as configurações ou o conteúdo do cliente.	Recuperar política do IAM para um recurso. Recuperar o job do Dataflow de um cliente
`GoogleInternal.Query`	Significa uma ação de consulta realizada no conteúdo do cliente com uma justificativa comercial válida. A ação de consulta ocorre usando uma API interna projetada especificamente para administrar os serviços do Google Cloud. Esse método não modifica as configurações ou o conteúdo do cliente.	Como executar uma consulta do BigQuery. Consulta do console de depuração do AI Platform no conteúdo do cliente.

Os acessos GoogleInternal são estritamente restritos ao pessoal autorizado para acesso justificado e auditável. A presença de um método não indica a disponibilidade para todas as funções. As organizações que buscam controles aprimorados sobre o acesso administrativo em um projeto ou organização podem ativar a Aprovação de acesso para permitir a aprovação ou negação de acessos com base nos detalhes de acesso. Por exemplo, os usuários do Access Approval podem optar por permitir apenas solicitações com a justificativa CUSTOMER_INITIATED_SUPPORT para solicitações feitas por um funcionário do Google com o papel Customer Support. Para mais informações, consulte Visão geral do Access Approval.

Se um evento atender a critérios rigorosos de acesso de emergência, o Access Approval poderá registrar esse acesso de emergência com o status auto approved. A Transparência no acesso e o Access Approval foram projetados especificamente para incluir o registro ininterrupto em situações de acesso de emergência.

Se você quiser ter mais controle segurança de dados das suas cargas de trabalho, recomendamos usar o Assured Workloads. Os projetos do Assured Workloads oferecem funcionalidades aprimoradas, como residência de dados, controles soberanos e acesso a recursos como computação confidencial no Compute Engine. Ele usa Justificativas de acesso à chave para chaves de criptografia gerenciadas externamente.

Códigos de motivo da justificativa

Motivo	Descrição
`CUSTOMER_INITIATED_SUPPORT`	Suporte iniciado pelo cliente, por exemplo, "Número do caso: ####".
`GOOGLE_INITIATED_SERVICE`	Refere-se ao acesso iniciado pelo Google para gerenciamento e solução de problemas do sistema. A equipe do Google pode fazer esse tipo de acesso para a os seguintes motivos: Para realizar a depuração técnica necessária para uma solicitação ou investigação de suporte complexa. Para corrigir problemas técnicos, como falha de armazenamento ou corrupção de dados.
`THIRD_PARTY_DATA_REQUEST`	Acesso iniciado pelo Google em resposta a uma solicitação legal ou processo legal, inclusive ao responder a um processo legal do cliente que exija que o Google acesse os próprios dados do cliente.
`GOOGLE_INITIATED_REVIEW`	Acesso iniciado pelo Google para fins de segurança, fraude, abuso ou conformidade, incluindo o seguinte: Garantir a segurança das contas e dos dados do cliente. Confirmar se os dados são afetados por um evento que pode afetar a segurança da conta (por exemplo, infecções por malware) Confirmação de que o cliente está usando os Serviços do Google em compliance com os Termos de Serviço do Google. Investigar reclamações de outros usuários e clientes ou outros sinais de atividade abusiva. Verificar se os Serviços do Google estão sendo usados de forma consistente com regimes de compliance relevantes (por exemplo, prevenção de lavagem de dinheiro) regulamentações vigentes).
`GOOGLE_RESPONSE_TO_PRODUCTION_ALERT`	Refere-se ao acesso iniciado pelo Google para manter a confiabilidade do sistema. Google pessoal pode fazer esse tipo de acesso pelos seguintes motivos: Para investigar e confirmar se uma suspeita de interrupção do serviço não ocorreu que afetam o cliente. Garantir backup e recuperação de interrupções e falhas do sistema.

Monitorar os registros de transparência no acesso

É possível monitorar os registros de transparência no acesso usando a API Cloud Monitoring. Para começar, consulte a documentação do Cloud Monitoring.

É possível configurar uma métrica com base em registros e uma política de alertas para receber avisos rapidamente sobre problemas encontrados por esses registros. Por exemplo, é possível criar uma métrica com base em registros que captura acessos da equipe do Google ao seu conteúdo e, em seguida, criar uma política de alertas Monitoramento que informa se o número de acessos em um um determinado período excede um limite especificado.

A seguir

Saiba como ver e entender os registros da Transparência no acesso para os serviços do Google Workspace.