Pub/Sub-Audit-Logging

In diesem Dokument wird das Audit-Logging für Pub/Sub beschrieben. Google Cloud-Dienste generieren Audit-Logs, die Verwaltungs- und Zugriffsaktivitäten in Ihren Google Cloud-Ressourcen aufzeichnen. Weitere Informationen zu Cloud-Audit-Logs finden Sie hier:

Hinweise

Pub/Sub schreibt derzeit keine Audit-Logs zum Datenzugriff für Nachrichtenvorgänge wie Veröffentlichen, Abonnieren und Bestätigen.

Dienstname

Für Pub/Sub-Audit-Logs wird der Dienstname pubsub.googleapis.com verwendet. Nach diesem Dienst filtern: 

    protoPayload.serviceName="pubsub.googleapis.com"

Methoden nach Berechtigungstyp

Jede IAM-Berechtigung hat ein type-Attribut, dessen Wert ein Enum ist, der einen der folgenden vier Werte haben kann: ADMIN_READ, ADMIN_WRITE, DATA_READ oder DATA_WRITE. Wenn Sie eine Methode aufrufen, Pub/Sub generiert ein Audit-Log, dessen Kategorie vom type-Eigenschaft der Berechtigung, die zum Ausführen der Methode erforderlich ist. Methoden, die eine IAM-Berechtigung mit dem type-Attributwert DATA_READ, DATA_WRITE oder ADMIN_READ erfordern, generieren Audit-Logs zum Datenzugriff. Methoden, die eine IAM-Berechtigung mit dem type-Attributwert ADMIN_WRITE erfordern, generieren Audit-Logs zur Administratoraktivität.

Berechtigungstyp Methoden
ADMIN_READ google.iam.v1.IAMPolicy.GetIamPolicy
google.pubsub.v1.SchemaService.GetSchema
google.pubsub.v1.SchemaService.ListSchemaRevisions
google.pubsub.v1.SchemaService.ListSchemas
google.pubsub.v1.SchemaService.ValidateMessage
google.pubsub.v1.SchemaService.ValidateSchema
google.pubsub.v1.Subscriber.GetSnapshot
google.pubsub.v1.Subscriber.ListSnapshots
google.pubsub.v1.Subscriber.Seek
ADMIN_WRITE google.iam.v1.IAMPolicy.SetIamPolicy
google.pubsub.v1.Publisher.CreateTopic
google.pubsub.v1.Publisher.DeleteTopic
google.pubsub.v1.Publisher.DetachSubscription
google.pubsub.v1.Publisher.UpdateTopic
google.pubsub.v1.SchemaService.CommitSchema
google.pubsub.v1.SchemaService.CreateSchema
google.pubsub.v1.SchemaService.DeleteSchema
google.pubsub.v1.SchemaService.DeleteSchemaRevision
google.pubsub.v1.SchemaService.RollbackSchema
google.pubsub.v1.Subscriber.CreateSnapshot
google.pubsub.v1.Subscriber.CreateSubscription
google.pubsub.v1.Subscriber.DeleteSnapshot
google.pubsub.v1.Subscriber.DeleteSubscription
google.pubsub.v1.Subscriber.ModifyPushConfig
google.pubsub.v1.Subscriber.UpdateSnapshot
google.pubsub.v1.Subscriber.UpdateSubscription
DATA_READ google.pubsub.v1.Publisher.GetTopic
google.pubsub.v1.Publisher.ListTopicSnapshots
google.pubsub.v1.Publisher.ListTopicSubscriptions
google.pubsub.v1.Publisher.ListTopics
google.pubsub.v1.Subscriber.GetSubscription
google.pubsub.v1.Subscriber.ListSubscriptions

Audit-Logs der API-Schnittstelle

Weitere Informationen darüber, wie und welche Berechtigungen für die einzelnen Methoden ausgewertet werden, finden Sie in der Dokumentation zu Identity and Access Management für Pub/Sub.

google.iam.v1.IAMPolicy

Die folgenden Audit-Logs sind Methoden zugeordnet, die zu google.iam.v1.IAMPolicy gehören.

GetIamPolicy

  • Methode: google.iam.v1.IAMPolicy.GetIamPolicy
  • Audit-Logtyp: Datenzugriff
  • Berechtigungen:
    • pubsub.subscriptions.getIamPolicy - ADMIN_READ
    • pubsub.topics.getIamPolicy - ADMIN_READ
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.iam.v1.IAMPolicy.GetIamPolicy"

SetIamPolicy

  • Methode: google.iam.v1.IAMPolicy.SetIamPolicy
  • Audit-Logtyp: Administratoraktivität
  • Berechtigungen:
    • pubsub.subscriptions.setIamPolicy - ADMIN_WRITE
    • pubsub.topics.setIamPolicy - ADMIN_WRITE
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.iam.v1.IAMPolicy.SetIamPolicy"

google.pubsub.v1.Publisher

Die folgenden Audit-Logs sind Methoden zugeordnet, die zu google.pubsub.v1.Publisher gehören.

CreateTopic

  • Methode: google.pubsub.v1.Publisher.CreateTopic
  • Audit-Logtyp: Administratoraktivität
  • Berechtigungen:
    • pubsub.topics.create - ADMIN_WRITE
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Publisher.CreateTopic"

DeleteTopic

  • Methode: google.pubsub.v1.Publisher.DeleteTopic
  • Audit-Logtyp: Administratoraktivität
  • Berechtigungen:
    • pubsub.topics.delete - ADMIN_WRITE
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Publisher.DeleteTopic"

DetachSubscription

  • Methode: google.pubsub.v1.Publisher.DetachSubscription
  • Audit-Logtyp: Administratoraktivität
  • Berechtigungen:
    • pubsub.topics.detachSubscription - ADMIN_WRITE
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Publisher.DetachSubscription"

GetTopic

  • Methode: google.pubsub.v1.Publisher.GetTopic
  • Audit-Logtyp: Datenzugriff
  • Berechtigungen:
    • pubsub.topics.get - DATA_READ
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Publisher.GetTopic"

ListTopicSnapshots

  • Methode: google.pubsub.v1.Publisher.ListTopicSnapshots
  • Audit-Logtyp: Datenzugriff
  • Berechtigungen:
    • pubsub.topics.get - DATA_READ
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Publisher.ListTopicSnapshots"

ListTopicSubscriptions

  • Methode: google.pubsub.v1.Publisher.ListTopicSubscriptions
  • Audit-Logtyp: Datenzugriff
  • Berechtigungen:
    • pubsub.topics.get - DATA_READ
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Publisher.ListTopicSubscriptions"

ListTopics

  • Methode: google.pubsub.v1.Publisher.ListTopics
  • Audit-Logtyp: Datenzugriff
  • Berechtigungen:
    • pubsub.topics.list - DATA_READ
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Publisher.ListTopics"

UpdateTopic

  • Methode: google.pubsub.v1.Publisher.UpdateTopic
  • Audit-Logtyp: Administratoraktivität
  • Berechtigungen:
    • pubsub.topics.update - ADMIN_WRITE
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Publisher.UpdateTopic"

google.pubsub.v1.SchemaService

Die folgenden Audit-Logs sind Methoden zugeordnet, die zu google.pubsub.v1.SchemaService gehören.

CommitSchema

  • Methode: google.pubsub.v1.SchemaService.CommitSchema
  • Audit-Logtyp: Administratoraktivität
  • Berechtigungen:
    • pubsub.schemas.commit - ADMIN_WRITE
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.SchemaService.CommitSchema"

CreateSchema

  • Methode: google.pubsub.v1.SchemaService.CreateSchema
  • Audit-Logtyp: Administratoraktivität
  • Berechtigungen:
    • pubsub.schemas.create - ADMIN_WRITE
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.SchemaService.CreateSchema"

DeleteSchema

  • Methode: google.pubsub.v1.SchemaService.DeleteSchema
  • Audit-Logtyp: Administratoraktivität
  • Berechtigungen:
    • pubsub.schemas.delete - ADMIN_WRITE
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.SchemaService.DeleteSchema"

DeleteSchemaRevision

  • Methode: google.pubsub.v1.SchemaService.DeleteSchemaRevision
  • Audit-Logtyp: Administratoraktivität
  • Berechtigungen:
    • pubsub.schemas.delete - ADMIN_WRITE
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.SchemaService.DeleteSchemaRevision"

GetSchema

  • Methode: google.pubsub.v1.SchemaService.GetSchema
  • Audit-Logtyp: Datenzugriff
  • Berechtigungen:
    • pubsub.schemas.get - ADMIN_READ
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.SchemaService.GetSchema"

ListSchemaRevisions

  • Methode: google.pubsub.v1.SchemaService.ListSchemaRevisions
  • Audit-Logtyp: Datenzugriff
  • Berechtigungen:
    • pubsub.schemas.listRevisions - ADMIN_READ
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.SchemaService.ListSchemaRevisions"

ListSchemas

  • Methode: google.pubsub.v1.SchemaService.ListSchemas
  • Audit-Logtyp: Datenzugriff
  • Berechtigungen:
    • pubsub.schemas.list - ADMIN_READ
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.SchemaService.ListSchemas"

RollbackSchema

  • Methode: google.pubsub.v1.SchemaService.RollbackSchema
  • Audit-Logtyp: Administratoraktivität
  • Berechtigungen:
    • pubsub.schemas.rollback - ADMIN_WRITE
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.SchemaService.RollbackSchema"

ValidateMessage

  • Methode: google.pubsub.v1.SchemaService.ValidateMessage
  • Audit-Logtyp: Datenzugriff
  • Berechtigungen:
    • pubsub.schemas.get - ADMIN_READ
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.SchemaService.ValidateMessage"

ValidateSchema

  • Methode: google.pubsub.v1.SchemaService.ValidateSchema
  • Audit-Logtyp: Datenzugriff
  • Berechtigungen:
    • pubsub.schemas.validate - ADMIN_READ
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.SchemaService.ValidateSchema"

google.pubsub.v1.Subscriber

Die folgenden Audit-Logs sind Methoden zugeordnet, die zu google.pubsub.v1.Subscriber gehören.

CreateSnapshot

  • Methode: google.pubsub.v1.Subscriber.CreateSnapshot
  • Audit-Logtyp: Administratoraktivität
  • Berechtigungen:
    • pubsub.snapshots.create - ADMIN_WRITE
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.CreateSnapshot"

CreateSubscription

  • Methode: google.pubsub.v1.Subscriber.CreateSubscription
  • Audit-Logtyp: Administratoraktivität
  • Berechtigungen:
    • pubsub.subscriptions.create - ADMIN_WRITE
    • pubsub.topics.attachSubscription - ADMIN_WRITE
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.CreateSubscription"

DeleteSnapshot

  • Methode: google.pubsub.v1.Subscriber.DeleteSnapshot
  • Audit-Logtyp: Administratoraktivität
  • Berechtigungen:
    • pubsub.snapshots.delete - ADMIN_WRITE
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.DeleteSnapshot"

DeleteSubscription

  • Methode: google.pubsub.v1.Subscriber.DeleteSubscription
  • Audit-Logtyp: Administratoraktivität
  • Berechtigungen:
    • pubsub.subscriptions.delete - ADMIN_WRITE
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.DeleteSubscription"

GetSnapshot

  • Methode: google.pubsub.v1.Subscriber.GetSnapshot
  • Audit-Logtyp: Datenzugriff
  • Berechtigungen:
    • pubsub.snapshots.get - ADMIN_READ
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.GetSnapshot"

GetSubscription

  • Methode: google.pubsub.v1.Subscriber.GetSubscription
  • Audit-Logtyp: Datenzugriff
  • Berechtigungen:
    • pubsub.subscriptions.get - DATA_READ
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.GetSubscription"

ListSnapshots

  • Methode: google.pubsub.v1.Subscriber.ListSnapshots
  • Audit-Logtyp: Datenzugriff
  • Berechtigungen:
    • pubsub.snapshots.list - ADMIN_READ
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.ListSnapshots"

ListSubscriptions

  • Methode: google.pubsub.v1.Subscriber.ListSubscriptions
  • Audit-Logtyp: Datenzugriff
  • Berechtigungen:
    • pubsub.subscriptions.list - DATA_READ
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.ListSubscriptions"

ModifyPushConfig

  • Methode: google.pubsub.v1.Subscriber.ModifyPushConfig
  • Audit-Logtyp: Administratoraktivität
  • Berechtigungen:
    • pubsub.subscriptions.update - ADMIN_WRITE
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.ModifyPushConfig"

Seek

  • Methode: google.pubsub.v1.Subscriber.Seek
  • Audit-Logtyp: Datenzugriff
  • Berechtigungen:
    • pubsub.snapshots.seek - ADMIN_READ
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.Seek"

UpdateSnapshot

  • Methode: google.pubsub.v1.Subscriber.UpdateSnapshot
  • Audit-Logtyp: Administratoraktivität
  • Berechtigungen:
    • pubsub.snapshots.update - ADMIN_WRITE
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.UpdateSnapshot"

UpdateSubscription

  • Methode: google.pubsub.v1.Subscriber.UpdateSubscription
  • Audit-Logtyp: Administratoraktivität
  • Berechtigungen:
    • pubsub.subscriptions.update - ADMIN_WRITE
  • Methode ist ein Vorgang mit langer Ausführungszeit oder Streamingvorgang: Nr.
  • Filter für diese Methode: protoPayload.methodName="google.pubsub.v1.Subscriber.UpdateSubscription"

Systemereignisse

Audit-Logs zu Systemereignissen werden von GCP-Systemen generiert und nicht von direkten Nutzeraktionen. Weitere Informationen finden Sie unter Audit-Logs zu Systemereignissen

Name der Methode Nach diesem Ereignis filtern Hinweise
Internal.DeletedProjectRemoveSubscription protoPayload.methodName="Internal.DeletedProjectRemoveSubscription"
Internal.DeletedProjectRemoveTopic protoPayload.methodName="Internal.DeletedProjectRemoveTopic"
Subscriber.InternalExpireInactiveSnapshot protoPayload.methodName="Subscriber.InternalExpireInactiveSnapshot"
Subscriber.InternalExpireInactiveSubscription protoPayload.methodName="Subscriber.InternalExpireInactiveSubscription"

Methoden, die keine Audit-Logs generieren

Eine Methode kann aus folgenden Gründen keine Audit-Logs erstellen:

  • Dies ist eine Methode mit hohem Volumen, die erhebliche Loggenerierungs- und Speicherkosten mit sich bringt.
  • Sie hat einen geringen Prüfwert.
  • Ein anderes Audit- oder Plattformlog bietet bereits eine Methodenabdeckung.

Die folgenden Methoden generieren keine Audit-Logs:

  • google.pubsub.v1.Publisher.Publish
  • google.pubsub.v1.Subscriber.Acknowledge
  • google.pubsub.v1.Subscriber.ModifyAckDeadline
  • google.pubsub.v1.Subscriber.Pull
  • google.pubsub.v1.Subscriber.StreamingPull
  • tech.pubsub.PublisherService.CreateTopic
  • tech.pubsub.PublisherService.DeleteTopic
  • tech.pubsub.PublisherService.GetTopic
  • tech.pubsub.PublisherService.ListTopics
  • tech.pubsub.PublisherService.Publish
  • tech.pubsub.PublisherService.PublishBatch
  • tech.pubsub.SubscriberService.Acknowledge
  • tech.pubsub.SubscriberService.CreateSubscription
  • tech.pubsub.SubscriberService.DeleteSubscription
  • tech.pubsub.SubscriberService.GetSubscription
  • tech.pubsub.SubscriberService.ListSubscriptions
  • tech.pubsub.SubscriberService.ModifyAckDeadline
  • tech.pubsub.SubscriberService.ModifyPushConfig
  • tech.pubsub.SubscriberService.Pull
  • tech.pubsub.SubscriberService.PullBatch