Pub/Sub-Audit-Logging

In diesem Dokument wird das Audit-Logging für Pub/Sub beschrieben. Google Cloud -Dienste generieren Audit-Logs, in denen Verwaltungs- und Zugriffsaktivitäten in Ihren Google Cloud -Ressourcen aufgezeichnet werden. Weitere Informationen zu Cloud-Audit-Logs finden Sie unter den folgenden Links:

• Typen von Audit-Logs
• Struktur von Audit-Logeinträgen
• Audit-Logs speichern und weiterleiten
• Preisübersicht für Cloud Logging
• Audit-Logs zum Datenzugriff aktivieren

Hinweise

Pub/Sub schreibt derzeit keine Audit-Logs zum Datenzugriff für Nachrichtenvorgänge wie Veröffentlichen, Abonnieren und Bestätigen.

Dienstname

Für Pub/Sub-Audit-Logs wird der Dienstname pubsub.googleapis.com verwendet. Filter für diesen Dienst:

    protoPayload.serviceName="pubsub.googleapis.com"
  

Methoden nach Berechtigungstyp

Jede IAM-Berechtigung hat ein type-Attribut, dessen Wert „enum“ ist. Er kann einen der folgenden vier Werte haben: ADMIN_READ, ADMIN_WRITE, DATA_READ oder DATA_WRITE. Wenn Sie eine Methode aufrufen, generiert Pub/Sub ein Audit-Log, dessen Kategorie vom Attribut type der Berechtigung abhängt, die für die Ausführung der Methode erforderlich ist. Methoden, die eine IAM-Berechtigung mit dem type-Attributwert DATA_READ, DATA_WRITE oder ADMIN_READ erfordern, generieren Audit-Logs zum Datenzugriff. Methoden, die eine IAM-Berechtigung mit dem type-Attributwert ADMIN_WRITE erfordern, generieren Audit-Logs zur Administratoraktivität.

API-Methoden in der folgenden Liste, die mit (LRO) gekennzeichnet sind, sind Vorgänge mit langer Ausführungszeit. Diese Methoden generieren in der Regel zwei Audit-Log-Einträge: einen beim Start und einen beim Ende des Vorgangs. Weitere Informationen finden Sie unter Audit-Logs für Vorgänge mit langer Ausführungszeit.

Berechtigungstyp	Methoden
ADMIN_READ	google.iam.v1.IAMPolicy.GetIamPolicy google.pubsub.v1.SchemaService.GetSchema google.pubsub.v1.SchemaService.ListSchemaRevisions google.pubsub.v1.SchemaService.ListSchemas google.pubsub.v1.SchemaService.ValidateMessage google.pubsub.v1.SchemaService.ValidateSchema google.pubsub.v1.Subscriber.GetSnapshot google.pubsub.v1.Subscriber.ListSnapshots google.pubsub.v1.Subscriber.Seek
ADMIN_WRITE	google.iam.v1.IAMPolicy.SetIamPolicy google.pubsub.v1.Publisher.CreateTopic google.pubsub.v1.Publisher.DeleteTopic google.pubsub.v1.Publisher.DetachSubscription google.pubsub.v1.Publisher.UpdateTopic google.pubsub.v1.SchemaService.CommitSchema google.pubsub.v1.SchemaService.CreateSchema google.pubsub.v1.SchemaService.DeleteSchema google.pubsub.v1.SchemaService.DeleteSchemaRevision google.pubsub.v1.SchemaService.RollbackSchema google.pubsub.v1.Subscriber.CreateSnapshot google.pubsub.v1.Subscriber.CreateSubscription google.pubsub.v1.Subscriber.DeleteSnapshot google.pubsub.v1.Subscriber.DeleteSubscription google.pubsub.v1.Subscriber.ModifyPushConfig google.pubsub.v1.Subscriber.UpdateSnapshot google.pubsub.v1.Subscriber.UpdateSubscription
DATA_READ	google.pubsub.v1.Publisher.GetTopic google.pubsub.v1.Publisher.ListTopicSnapshots google.pubsub.v1.Publisher.ListTopicSubscriptions google.pubsub.v1.Publisher.ListTopics google.pubsub.v1.Subscriber.GetSubscription google.pubsub.v1.Subscriber.ListSubscriptions

Audit-Logs der API-Schnittstelle

Informationen dazu, wie und welche Berechtigungen für die einzelnen Methoden evaluiert werden, finden Sie in der Dokumentation zu Identity and Access Management für Pub/Sub.

google.iam.v1.IAMPolicy

Die folgenden Audit-Logs sind Methoden zugeordnet, die zu google.iam.v1.IAMPolicy gehören.

GetIamPolicy

• Methode: google.iam.v1.IAMPolicy.GetIamPolicy
  
• Audit-Logtyp: Datenzugriff
  
• Berechtigungen:
  • pubsub.subscriptions.getIamPolicy - ADMIN_READ
  • pubsub.topics.getIamPolicy - ADMIN_READ
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.iam.v1.IAMPolicy.GetIamPolicy"
  

SetIamPolicy

• Methode: google.iam.v1.IAMPolicy.SetIamPolicy
  
• Audit-Logtyp: Administratoraktivität
  
• Berechtigungen:
  • pubsub.subscriptions.setIamPolicy - ADMIN_WRITE
  • pubsub.topics.setIamPolicy - ADMIN_WRITE
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.iam.v1.IAMPolicy.SetIamPolicy"
  

google.pubsub.v1.Publisher

Die folgenden Audit-Logs sind Methoden zugeordnet, die zu google.pubsub.v1.Publisher gehören.

CreateTopic

• Methode: google.pubsub.v1.Publisher.CreateTopic
  
• Audit-Logtyp: Administratoraktivität
  
• Berechtigungen:
  • pubsub.topics.create - ADMIN_WRITE
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Publisher.CreateTopic"
  

DeleteTopic

• Methode: google.pubsub.v1.Publisher.DeleteTopic
  
• Audit-Logtyp: Administratoraktivität
  
• Berechtigungen:
  • pubsub.topics.delete - ADMIN_WRITE
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Publisher.DeleteTopic"
  

DetachSubscription

• Methode: google.pubsub.v1.Publisher.DetachSubscription
  
• Audit-Logtyp: Administratoraktivität
  
• Berechtigungen:
  • pubsub.topics.detachSubscription - ADMIN_WRITE
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Publisher.DetachSubscription"
  

GetTopic

• Methode: google.pubsub.v1.Publisher.GetTopic
  
• Audit-Logtyp: Datenzugriff
  
• Berechtigungen:
  • pubsub.topics.get - DATA_READ
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Publisher.GetTopic"
  

ListTopicSnapshots

• Methode: google.pubsub.v1.Publisher.ListTopicSnapshots
  
• Audit-Logtyp: Datenzugriff
  
• Berechtigungen:
  • pubsub.topics.get - DATA_READ
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Publisher.ListTopicSnapshots"
  

ListTopicSubscriptions

• Methode: google.pubsub.v1.Publisher.ListTopicSubscriptions
  
• Audit-Logtyp: Datenzugriff
  
• Berechtigungen:
  • pubsub.topics.get - DATA_READ
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Publisher.ListTopicSubscriptions"
  

ListTopics

• Methode: google.pubsub.v1.Publisher.ListTopics
  
• Audit-Logtyp: Datenzugriff
  
• Berechtigungen:
  • pubsub.topics.list - DATA_READ
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Publisher.ListTopics"
  

UpdateTopic

• Methode: google.pubsub.v1.Publisher.UpdateTopic
  
• Audit-Logtyp: Administratoraktivität
  
• Berechtigungen:
  • pubsub.topics.update - ADMIN_WRITE
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Publisher.UpdateTopic"
  

google.pubsub.v1.SchemaService

Die folgenden Audit-Logs sind Methoden zugeordnet, die zu google.pubsub.v1.SchemaService gehören.

CommitSchema

• Methode: google.pubsub.v1.SchemaService.CommitSchema
  
• Audit-Logtyp: Administratoraktivität
  
• Berechtigungen:
  • pubsub.schemas.commit - ADMIN_WRITE
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.SchemaService.CommitSchema"
  

CreateSchema

• Methode: google.pubsub.v1.SchemaService.CreateSchema
  
• Audit-Logtyp: Administratoraktivität
  
• Berechtigungen:
  • pubsub.schemas.create - ADMIN_WRITE
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.SchemaService.CreateSchema"
  

DeleteSchema

• Methode: google.pubsub.v1.SchemaService.DeleteSchema
  
• Audit-Logtyp: Administratoraktivität
  
• Berechtigungen:
  • pubsub.schemas.delete - ADMIN_WRITE
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.SchemaService.DeleteSchema"
  

DeleteSchemaRevision

• Methode: google.pubsub.v1.SchemaService.DeleteSchemaRevision
  
• Audit-Logtyp: Administratoraktivität
  
• Berechtigungen:
  • pubsub.schemas.delete - ADMIN_WRITE
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.SchemaService.DeleteSchemaRevision"
  

GetSchema

• Methode: google.pubsub.v1.SchemaService.GetSchema
  
• Audit-Logtyp: Datenzugriff
  
• Berechtigungen:
  • pubsub.schemas.get - ADMIN_READ
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.SchemaService.GetSchema"
  

ListSchemaRevisions

• Methode: google.pubsub.v1.SchemaService.ListSchemaRevisions
  
• Audit-Logtyp: Datenzugriff
  
• Berechtigungen:
  • pubsub.schemas.listRevisions - ADMIN_READ
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.SchemaService.ListSchemaRevisions"
  

ListSchemas

• Methode: google.pubsub.v1.SchemaService.ListSchemas
  
• Audit-Logtyp: Datenzugriff
  
• Berechtigungen:
  • pubsub.schemas.list - ADMIN_READ
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.SchemaService.ListSchemas"
  

RollbackSchema

• Methode: google.pubsub.v1.SchemaService.RollbackSchema
  
• Audit-Logtyp: Administratoraktivität
  
• Berechtigungen:
  • pubsub.schemas.rollback - ADMIN_WRITE
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.SchemaService.RollbackSchema"
  

ValidateMessage

• Methode: google.pubsub.v1.SchemaService.ValidateMessage
  
• Audit-Logtyp: Datenzugriff
  
• Berechtigungen:
  • pubsub.schemas.get - ADMIN_READ
  • pubsub.schemas.validate - ADMIN_READ
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.SchemaService.ValidateMessage"
  

ValidateSchema

• Methode: google.pubsub.v1.SchemaService.ValidateSchema
  
• Audit-Logtyp: Datenzugriff
  
• Berechtigungen:
  • pubsub.schemas.validate - ADMIN_READ
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.SchemaService.ValidateSchema"
  

google.pubsub.v1.Subscriber

Die folgenden Audit-Logs sind Methoden zugeordnet, die zu google.pubsub.v1.Subscriber gehören.

CreateSnapshot

• Methode: google.pubsub.v1.Subscriber.CreateSnapshot
  
• Audit-Logtyp: Administratoraktivität
  
• Berechtigungen:
  • pubsub.snapshots.create - ADMIN_WRITE
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.CreateSnapshot"
  

CreateSubscription

• Methode: google.pubsub.v1.Subscriber.CreateSubscription
  
• Audit-Logtyp: Administratoraktivität
  
• Berechtigungen:
  • pubsub.subscriptions.create - ADMIN_WRITE
  • pubsub.topics.attachSubscription - ADMIN_WRITE
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.CreateSubscription"
  

DeleteSnapshot

• Methode: google.pubsub.v1.Subscriber.DeleteSnapshot
  
• Audit-Logtyp: Administratoraktivität
  
• Berechtigungen:
  • pubsub.snapshots.delete - ADMIN_WRITE
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.DeleteSnapshot"
  

DeleteSubscription

• Methode: google.pubsub.v1.Subscriber.DeleteSubscription
  
• Audit-Logtyp: Administratoraktivität
  
• Berechtigungen:
  • pubsub.subscriptions.delete - ADMIN_WRITE
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.DeleteSubscription"
  

GetSnapshot

• Methode: google.pubsub.v1.Subscriber.GetSnapshot
  
• Audit-Logtyp: Datenzugriff
  
• Berechtigungen:
  • pubsub.snapshots.get - ADMIN_READ
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.GetSnapshot"
  

GetSubscription

• Methode: google.pubsub.v1.Subscriber.GetSubscription
  
• Audit-Logtyp: Datenzugriff
  
• Berechtigungen:
  • pubsub.subscriptions.get - DATA_READ
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.GetSubscription"
  

ListSnapshots

• Methode: google.pubsub.v1.Subscriber.ListSnapshots
  
• Audit-Logtyp: Datenzugriff
  
• Berechtigungen:
  • pubsub.snapshots.list - ADMIN_READ
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.ListSnapshots"
  

ListSubscriptions

• Methode: google.pubsub.v1.Subscriber.ListSubscriptions
  
• Audit-Logtyp: Datenzugriff
  
• Berechtigungen:
  • pubsub.subscriptions.list - DATA_READ
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.ListSubscriptions"
  

ModifyPushConfig

• Methode: google.pubsub.v1.Subscriber.ModifyPushConfig
  
• Audit-Logtyp: Administratoraktivität
  
• Berechtigungen:
  • pubsub.subscriptions.update - ADMIN_WRITE
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.ModifyPushConfig"
  

Seek

• Methode: google.pubsub.v1.Subscriber.Seek
  
• Audit-Logtyp: Datenzugriff
  
• Berechtigungen:
  • pubsub.snapshots.seek - ADMIN_READ
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.Seek"
  

UpdateSnapshot

• Methode: google.pubsub.v1.Subscriber.UpdateSnapshot
  
• Audit-Logtyp: Administratoraktivität
  
• Berechtigungen:
  • pubsub.snapshots.update - ADMIN_WRITE
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.UpdateSnapshot"
  

UpdateSubscription

• Methode: google.pubsub.v1.Subscriber.UpdateSubscription
  
• Audit-Logtyp: Administratoraktivität
  
• Berechtigungen:
  • pubsub.subscriptions.update - ADMIN_WRITE
• Methode ist ein Vorgang mit langer Ausführungszeit oder ein Streamingvorgang: Nein.
  
• Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.UpdateSubscription"
  

Systemereignisse

Audit-Logs zu Systemereignissen werden von GCP-Systemen generiert, nicht von direkten Nutzeraktionen. Weitere Informationen finden Sie unter Audit-Logs zu Systemereignissen

Name der Methode	Nach diesem Ereignis filtern	Hinweise
Internal.DeletedProjectRemoveSubscription	protoPayload.methodName="Internal.DeletedProjectRemoveSubscription"
Internal.DeletedProjectRemoveTopic	protoPayload.methodName="Internal.DeletedProjectRemoveTopic"
Subscriber.InternalExpireInactiveSnapshot	protoPayload.methodName="Subscriber.InternalExpireInactiveSnapshot"
Subscriber.InternalExpireInactiveSubscription	protoPayload.methodName="Subscriber.InternalExpireInactiveSubscription"

Methoden, die keine Audit-Logs generieren

Folgende Gründe können dazu führen, dass eine Methode möglicherweise keine Audit-Logs generiert:

• Es ist eine Methode mit hohem Volumen, die erhebliche Kosten für die Generierung und Speicherung von Logs erzeugt.
• Die Methode hat einen geringen Audit-Wert.
• Die Methode wird bereits von einem anderen Audit- oder Plattformlog abgedeckt.

Die folgenden Methoden generieren keine Audit-Logs:

• google.pubsub.v1.Publisher.Publish
• google.pubsub.v1.Subscriber.Acknowledge
• google.pubsub.v1.Subscriber.ModifyAckDeadline
• google.pubsub.v1.Subscriber.Pull
• google.pubsub.v1.Subscriber.StreamingPull
• tech.pubsub.PublisherService.CreateTopic
• tech.pubsub.PublisherService.DeleteTopic
• tech.pubsub.PublisherService.GetTopic
• tech.pubsub.PublisherService.ListTopics
• tech.pubsub.PublisherService.Publish
• tech.pubsub.PublisherService.PublishBatch
• tech.pubsub.SubscriberService.Acknowledge
• tech.pubsub.SubscriberService.CreateSubscription
• tech.pubsub.SubscriberService.DeleteSubscription
• tech.pubsub.SubscriberService.GetSubscription
• tech.pubsub.SubscriberService.ListSubscriptions
• tech.pubsub.SubscriberService.ModifyAckDeadline
• tech.pubsub.SubscriberService.ModifyPushConfig
• tech.pubsub.SubscriberService.Pull
• tech.pubsub.SubscriberService.PullBatch