Informationen zum Audit-Logging von Monitoring

Auf dieser Seite werden die Audit-Logs beschrieben, die von Cloud Monitoring als Teil von Cloud-Audit-Logs erstellt werden.

Übersicht

Google Cloud-Dienste schreiben Audit-Logs, um Ihnen Antworten auf Fragen wie WhoWer hat was, wo und wann getan?“ zu liefern. innerhalb Ihrer Google Cloud-Ressourcen.

Ihre Google Cloud-Projekte enthalten nur die Audit-Logs für Ressourcen, die sich direkt im Cloudprojekt befinden. Andere Google Cloud-Ressourcen wie Ordner, Organisationen und Rechnungskonten enthalten die Audit-Logs für die Entität selbst.

Eine allgemeine Übersicht über Cloud-Audit-Logs finden Sie unter Cloud-Audit-Logs. Ausführliche Informationen zum Format von Audit-Logs finden Sie unter Audit-Logs verstehen.

Verfügbare Audit-Logs

Für Monitoring stehen die folgenden Arten von Audit-Logs zur Verfügung:

  • Audit-Logs zur Administratoraktivität

    Umfasst „Admin Write“-Vorgänge, die Metadaten oder Konfigurationsinformationen schreiben.

    Sie können Audit-Logs zu Administratoraktivitäten nicht deaktivieren.

  • Audit-Logs zum Datenzugriff

    Umfasst „Admin Read“-Vorgänge“, die Metadaten oder Konfigurationsinformationen lesen. Umfasst auch „Data Read“- und „Data Write“-Vorgänge, die von Nutzern bereitgestellte Daten lesen oder schreiben.

    Sie müssen Audit-Logs für den Datenzugriff ausdrücklich aktivieren.

Eine ausführlichere Beschreibung der Audit-Logtypen finden Sie unter Arten von Audit-Logs.

Geprüfte Vorgänge

Im Folgenden ist zusammengefasst, welche API-Vorgänge den einzelnen Audit-Logtypen in Monitoring entsprechen:

Audit-Logkategorie Vorgänge in Monitoring
Administratoraktivität projects.groups.create
projects.groups.delete
projects.groups.update
projects.metricsDescriptors.create
projects.metricDescriptors.delete
monitoring.metricsScopes.link
monitoring.uptimeCheckConfigs.create
monitoring.uptimeCheckConfigs.delete
monitoring.uptimeCheckConfigs.update
services.create
services.delete
services.update
slos.create
slos.delete
Datenzugriff (ADMIN_READ) projects.metricDescriptors.get
projects.metricDescriptors.list
projects.groups.get
projects.groups.list
projects.groups.members.list
monitoring.uptimeCheckConfigs.list
monitoring.uptimeCheckConfigs.get
services.get
slos.get
slos.list
Datenzugriff (DATA_READ) projects.timeSeries.list
projects.timeSeries.query
Datenzugriff (DATA_WRITE) projects.timeSeries.create
projects.collectdTimeSeries.create

Audit-Logformat

Audit-Logeinträge umfassen folgende Objekte:

  • Den Logeintrag selbst. Dabei handelt es sich um ein Objekt vom Typ LogEntry. Interessante Felder sind unter anderem:

    • logName enthält die Ressourcen-ID und den Audit-Logtyp.
    • resource enthält das Ziel zum geprüften Vorgang
    • timeStamp enthält die Uhrzeit des geprüften Vorgangs
    • protoPayload enthält die geprüften Informationen
  • Die Audit-Logdaten, bei denen es sich um ein AuditLog-Objekt handelt, das sich im Feld protoPayload des Logeintrags befindet

  • Optionale dienstspezifische Auditinformationen. Das Objekt ist dienstspezifisch. Bei älteren Integrationen befindet sich dieses Objekt im Feld serviceData des AuditLog-Objekts. Neuere Integrationen verwenden das Feld metadata.

Informationen zu anderen Feldern in diesen Objekten sowie zu deren Interpretation finden Sie unter Audit-Logs verstehen.

Logname

Ressourcennamen von Cloud-Audit-Logs geben Aufschluss über das Cloud-Projekt oder über eine andere Google Cloud-Entität, die Inhaber der Audit-Logs ist. Sie zeigen außerdem an, ob das Log Audit-Logging-Daten zur Administratoraktivität, zum Datenzugriff, zum Ablehnen von Richtlinien oder zu Systemereignissen enthält. Das folgende Beispiel enthält Lognamen für Audit-Logs zu Administratoraktivitäten auf Projektebene und für die Audit-Logs zu Datenzugriffen einer Organisation. Die Variablen bezeichnen Cloud-Projekt- und Organisations-IDs.

projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity
organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access

Dienstname

Für Monitoring-Audit-Logs wird der Dienstname monitoring.googleapis.com verwendet.

Eine vollständige Liste aller Namen der Cloud Logging API-Dienste und des entsprechenden überwachten Ressourcentyps finden Sie unter Dienste zu Ressourcen zuordnen.

Ressourcentypen

Monitoring-Audit-Logs verwenden den Ressourcentyp audited_resource für alle Audit-Logs, da viele verschiedene Arten von Ressourcen überwacht werden können.

Eine Liste aller überwachten Ressourcentypen und beschreibenden Informationen in Cloud Logging finden Sie unter Überwachte Ressourcentypen.

Audit-Logging aktivieren

Audit-Logs zu Administratoraktivitäten sind immer aktiviert. Sie können sie nicht deaktivieren.

Audit-Logs zum Datenzugriff sind standardmäßig deaktiviert und werden nur geschrieben, wenn sie explizit aktiviert werden. Eine Ausnahme bilden die Audit-Logs zum Datenzugriff für BigQuery, die nicht deaktiviert werden können.

Eine Anleitung zum Aktivieren einiger oder aller Audit-Logs zu Datenzugriffen finden Sie unter Datenzugriffslogs konfigurieren.

Berechtigungen und Rollen

Mit IAM-Berechtigungen und -Rollen können Sie auf Audit-Logdaten in Google Cloud-Ressourcen zugreifen.

Berücksichtigen Sie bei der Entscheidung, welche Logging-spezifischen Berechtigungen und Rollen für Ihren Anwendungsfall gelten, die folgenden Punkte:

  • Die Rolle "Log-Betrachter" (roles/logging.viewer) gewährt Lesezugriff auf Administratoraktivitäten, Audit-Logs zu Richtlinienverstößen und Systemereignis-Audit-Logs. Wenn Sie nur diese Rolle haben, können Sie keine Audit-Logs für den Datenzugriff anzeigen, die sich in den Buckets _Required und _Default befinden.

  • Die Rolle "Betrachter privater Logs"(roles/logging.privateLogViewer) umfasst die Berechtigungen von roles/logging.viewer sowie die Berechtigung zum Lesen und Prüfen von Audit-Logs zum Datenzugriff in den Buckets _Required und _Default.

    Wenn diese privaten Logs in benutzerdefinierten Buckets gespeichert sind, kann jeder Nutzer, der zum Lesen von Logs in diesen Buckets berechtigt ist, die privaten Logs lesen. Weitere Informationen zu Log-Buckets finden Sie unter Routing und Speicher.

Weitere Informationen zu den IAM-Berechtigungen und -Rollen, die für Audit-Logdaten gelten, finden Sie unter Zugriffssteuerung.

Logs ansehen

Wenn Sie Audit-Logs suchen und ansehen möchten, müssen Sie die ID des Cloud-Projekts, des Ordners oder der Organisation kennen, für die Sie Audit-Logging-Informationen abrufen möchten. Sie können weitere indexierte LogEntry-Felder angeben, z. B. resource.type. Weitere Informationen finden Sie unter Logeinträge schnell finden.

Im Folgenden finden Sie die Namen der Audit-Logs. Sie enthalten Variablen für die IDs des Cloud-Projekts, des Ordners oder der Organisation.

   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Factivity
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fpolicy

Sie können Audit-Logs in Cloud Logging mit der Cloud Console, dem gcloud-Befehlszeilentool oder der Logging API aufrufen.

Console

Sie können mit dem Log-Explorer in der Cloud Console die Audit-Logeinträge für Ihr Cloud-Projekt, Ihren Ordner oder Ihre Organisation abrufen:

  1. Rufen Sie in der Cloud Console die Seite Logging > Log-Explorer auf.

    Zur Seite „Log-Explorer“

  2. Wählen Sie auf der Seite Log-Explorer ein vorhandenes Cloud-Projekt, einen Ordner oder eine Organisation aus.

  3. Führen Sie im Bereich Query Builder folgende Schritte aus:

    • Wählen Sie unter Ressourcentyp die Google Cloud-Ressource aus, deren Audit-Logs angezeigt werden sollen.

    • Wählen Sie unter Logname den Audit-Logtyp aus, den Sie sehen möchten:

      • Wählen Sie für Audit-Logs zu Administratoraktivitäten die Option activity aus.
      • Wählen Sie für Audit-Logs zum Datenzugriff die Option data_access aus.
      • Wählen Sie für Audit-Logs zu Systemereignissen die Option system_event aus.
      • Wählen Sie für Audit-Logs zu Richtlinienverstößen die Option policy aus.

    Wenn diese Optionen nicht angezeigt werden, sind im Cloud-Projekt, im Ordner oder in der Organisation keine Audit-Logs dieses Typs verfügbar.

    Weitere Informationen zu Abfragen mit dem Log-Explorer finden Sie unter Logabfragen erstellen.

gcloud

Das gcloud-Befehlszeilentool bietet eine Befehlszeile für die Cloud Logging API. Geben Sie dabei in jedem Lognamen eine gültige PROJECT_ID, FOLDER_ID oder ORGANIZATION_ID an.

Führen Sie den folgenden Befehl aus, um Ihre Audit-Logeinträge auf Google Cloud-Projektebene zu lesen:

gcloud logging read "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" --project=PROJECT_ID

Führen Sie den folgenden Befehl aus, um Ihre Audit-Logeinträge auf Ordnerebene zu lesen:

gcloud logging read "logName : folders/FOLDER_ID/logs/cloudaudit.googleapis.com" --folder=FOLDER_ID

Führen Sie den folgenden Befehl aus, um Ihre Audit-Logeinträge auf Organisationsebene zu lesen:

gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com" --organization=ORGANIZATION_ID

Weitere Informationen zur Verwendung des gcloud-Tools finden Sie unter Logeinträge lesen.

API

Ersetzen Sie beim Erstellen Ihrer Abfragen die Variablen durch gültige Werte, ersetzen Sie den entsprechenden Audit-Lognamen oder die entsprechenden Kennungen auf Projektebene, Ordnerebene oder Organisationsebene, wie in den Audit-Lognamen aufgeführt. Wenn die Abfrage beispielsweise eine PROJECT_ID enthält, muss sich die von Ihnen angegebene Projekt-ID auf das aktuell ausgewählte Cloud-Projekt beziehen.

So rufen Sie Ihre Audit-Logeinträge mit der Logging API auf:

  1. Rufen Sie den Abschnitt Diese API testen in der Dokumentation für die Methode entries.list auf.

  2. Geben Sie im Teil Anfragetext des Formulars Diese API testen Folgendes ein. Wenn Sie auf dieses vorausgefüllte Formular klicken, wird der Anfragetext automatisch übernommen. Sie müssen jedoch in jedem der Lognamen eine gültige PROJECT_ID angeben.

    {
      "resourceNames": [
        "projects/PROJECT_ID"
      ],
      "pageSize": 5,
      "filter": "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com"
    }
    
  3. Klicken Sie auf Ausführen.

Weitere Informationen zu Abfragen finden Sie unter Logging-Abfragesprache.

Ein Beispiel für einen Audit-Logeintrag und wie Sie die wichtigsten Informationen darin finden, sehen Sie unter Beispiel für einen Audit-Logeintrag.

Audit-Logs weiterleiten

Sie können Audit-Logs genauso an unterstützte Ziele weiterleiten wie andere Arten von Logs. Hier einige Gründe, warum Sie Ihre Audit-Logs weiterleiten sollten:

  • Sie können Kopien von Audit-Logs an Cloud Storage, BigQuery oder Pub/Sub weiterleiten, um Audit-Logs über einen längeren Zeitraum hinweg zu behalten oder leistungsfähigere Suchfunktionen zu verwenden. Mit Pub/Sub können Sie an andere Anwendungen, andere Repositories und an Dritte weiterleiten.

  • Zum organisationsübergreifenden Verwalten Ihrer Audit-Logs erstellen Sie zusammengefasste Senken, mit denen sich Logs aus beliebigen oder allen Cloud-Projekten in der Organisation weiterleiten lassen.

  • Wenn die aktivierten Audit-Logs zu Datenzugriffen dazu führen, dass Ihre Cloud-Projekte Ihr Logkontingent überschreiten, können Sie Senken erstellen, in denen Audit-Logs zum Datenzugriff von Logging ausgeschlossen werden.

Eine Anleitung zum Routing von Logs finden Sie unter Senken konfigurieren.

Preise

Audit-Logs zur Administratoraktivität und Audit-Logs zu Systemereignissen sind kostenlos.

Audit-Logs zum Datenzugriff und die Audit-Logs zu Richtlinienverstößen sind kostenpflichtig.

Weitere Informationen zu den Preisen für Cloud Logging finden Sie unter Preise für die Operations-Suite von Google Cloud: Cloud Logging.