Compliance Manager 审核日志记录

高级和 Enterprise 服务层级（需要在组织级激活）

本文档介绍了 Compliance Manager 的审核日志记录。 Google Cloud 服务会生成审核日志，以记录 Google Cloud 资源中的管理和访问活动。如需详细了解 Cloud Audit Logs，请参阅以下内容：

• 审核日志类型
• 审核日志条目结构
• 存储和路由审核日志
• Cloud Logging 价格摘要
• 启用数据访问审核日志

服务名称

Compliance Manager 审核日志使用 cloudsecuritycompliance.googleapis.com 服务名称。针对此服务的过滤条件：

    protoPayload.serviceName="cloudsecuritycompliance.googleapis.com"
  

方法（按权限类型）

每个 IAM 权限都有一个 type 属性，该属性的值是一个枚举，可以是以下四个值之一：ADMIN_READ、ADMIN_WRITE、DATA_READ 或 DATA_WRITE。在您调用某个方法时，Compliance Manager 会生成一个审核日志，该日志的类别取决于执行该方法所需权限的 type 属性。需要 IAM 权限且 type 属性值为 DATA_READ、DATA_WRITE 或 ADMIN_READ 的方法会生成数据访问审核日志。需要 IAM 权限且 type 属性值为 ADMIN_WRITE 的方法会生成管理员活动审核日志。

以下列表中标记为 (LRO) 的 API 方法是长时间运行的操作 (LRO)。 这些方法通常会生成两个审核日志条目：一个在操作开始时生成，另一个在操作结束时生成。如需了解详情，请参阅长时间运行的操作的审核日志。

权限类型	方法
ADMIN_READ	google.cloud.cloudsecuritycompliance.v1.Deployment.GetCloudControlDeployment google.cloud.cloudsecuritycompliance.v1.Deployment.GetFrameworkDeployment google.cloud.cloudsecuritycompliance.v1.Deployment.ListCloudControlDeployments google.cloud.cloudsecuritycompliance.v1.Deployment.ListFrameworkDeployments google.longrunning.Operations.GetOperation google.longrunning.Operations.ListOperations
ADMIN_WRITE	google.cloud.cloudsecuritycompliance.v1.CmEnrollmentService.UpdateCmEnrollment google.cloud.cloudsecuritycompliance.v1.Config.CreateCloudControl google.cloud.cloudsecuritycompliance.v1.Config.CreateFramework google.cloud.cloudsecuritycompliance.v1.Config.DeleteCloudControl google.cloud.cloudsecuritycompliance.v1.Config.DeleteFramework google.cloud.cloudsecuritycompliance.v1.Config.UpdateCloudControl google.cloud.cloudsecuritycompliance.v1.Config.UpdateFramework google.cloud.cloudsecuritycompliance.v1.Deployment.CreateFrameworkDeployment (LRO) google.cloud.cloudsecuritycompliance.v1.Deployment.DeleteFrameworkDeployment (LRO) google.longrunning.Operations.CancelOperation google.longrunning.Operations.DeleteOperation
DATA_READ	google.cloud.cloudsecuritycompliance.v1.Audit.GetFrameworkAudit google.cloud.cloudsecuritycompliance.v1.Audit.ListFrameworkAudits google.cloud.cloudsecuritycompliance.v1.CmEnrollmentService.CalculateEffectiveCmEnrollment google.cloud.cloudsecuritycompliance.v1.Config.GetCloudControl google.cloud.cloudsecuritycompliance.v1.Config.GetFramework google.cloud.cloudsecuritycompliance.v1.Config.ListCloudControls google.cloud.cloudsecuritycompliance.v1.Config.ListFrameworks google.cloud.cloudsecuritycompliance.v1.Monitoring.AggregateFrameworkComplianceReport google.cloud.cloudsecuritycompliance.v1.Monitoring.FetchFrameworkComplianceReport google.cloud.cloudsecuritycompliance.v1.Monitoring.ListControlComplianceSummaries google.cloud.cloudsecuritycompliance.v1.Monitoring.ListFindingSummaries google.cloud.cloudsecuritycompliance.v1.Monitoring.ListFrameworkComplianceSummaries
DATA_WRITE	google.cloud.cloudsecuritycompliance.v1.Audit.CreateFrameworkAudit (LRO) google.cloud.cloudsecuritycompliance.v1.Audit.GenerateFrameworkAuditScopeReport

API 接口审核日志

如需了解如何评估每种方法的权限以及评估哪些权限，请参阅 Compliance Manager 的 Identity and Access Management 文档。

google.cloud.cloudsecuritycompliance.v1.Audit

以下审核日志与属于 google.cloud.cloudsecuritycompliance.v1.Audit 的方法相关联。

CreateFrameworkAudit

• 方法：google.cloud.cloudsecuritycompliance.v1.Audit.CreateFrameworkAudit
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudsecuritycompliance.frameworkAudits.create - DATA_WRITE
• 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Audit.CreateFrameworkAudit"
  

GenerateFrameworkAuditScopeReport

• 方法：google.cloud.cloudsecuritycompliance.v1.Audit.GenerateFrameworkAuditScopeReport
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudsecuritycompliance.auditScopeReports.generate - DATA_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Audit.GenerateFrameworkAuditScopeReport"
  

GetFrameworkAudit

• 方法：google.cloud.cloudsecuritycompliance.v1.Audit.GetFrameworkAudit
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudsecuritycompliance.frameworkAudits.get - DATA_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Audit.GetFrameworkAudit"
  

ListFrameworkAudits

• 方法：google.cloud.cloudsecuritycompliance.v1.Audit.ListFrameworkAudits
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudsecuritycompliance.frameworkAudits.list - DATA_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Audit.ListFrameworkAudits"
  

google.cloud.cloudsecuritycompliance.v1.CmEnrollmentService

以下审核日志与属于 google.cloud.cloudsecuritycompliance.v1.CmEnrollmentService 的方法相关联。

CalculateEffectiveCmEnrollment

• 方法：google.cloud.cloudsecuritycompliance.v1.CmEnrollmentService.CalculateEffectiveCmEnrollment
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudsecuritycompliance.cmEnrollments.get - DATA_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.CmEnrollmentService.CalculateEffectiveCmEnrollment"
  

UpdateCmEnrollment

• 方法：google.cloud.cloudsecuritycompliance.v1.CmEnrollmentService.UpdateCmEnrollment
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudsecuritycompliance.cmEnrollments.update - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.CmEnrollmentService.UpdateCmEnrollment"
  

google.cloud.cloudsecuritycompliance.v1.Config

以下审核日志与属于 google.cloud.cloudsecuritycompliance.v1.Config 的方法相关联。

CreateCloudControl

• 方法：google.cloud.cloudsecuritycompliance.v1.Config.CreateCloudControl
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudsecuritycompliance.cloudControls.create - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Config.CreateCloudControl"
  

CreateFramework

• 方法：google.cloud.cloudsecuritycompliance.v1.Config.CreateFramework
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudsecuritycompliance.frameworks.create - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Config.CreateFramework"
  

DeleteCloudControl

• 方法：google.cloud.cloudsecuritycompliance.v1.Config.DeleteCloudControl
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudsecuritycompliance.cloudControls.delete - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Config.DeleteCloudControl"
  

DeleteFramework

• 方法：google.cloud.cloudsecuritycompliance.v1.Config.DeleteFramework
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudsecuritycompliance.frameworks.delete - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Config.DeleteFramework"
  

GetCloudControl

• 方法：google.cloud.cloudsecuritycompliance.v1.Config.GetCloudControl
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudsecuritycompliance.cloudControls.get - DATA_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Config.GetCloudControl"
  

GetFramework

• 方法：google.cloud.cloudsecuritycompliance.v1.Config.GetFramework
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudsecuritycompliance.frameworks.get - DATA_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Config.GetFramework"
  

ListCloudControls

• 方法：google.cloud.cloudsecuritycompliance.v1.Config.ListCloudControls
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudsecuritycompliance.cloudControls.list - DATA_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Config.ListCloudControls"
  

ListFrameworks

• 方法：google.cloud.cloudsecuritycompliance.v1.Config.ListFrameworks
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudsecuritycompliance.frameworks.list - DATA_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Config.ListFrameworks"
  

UpdateCloudControl

• 方法：google.cloud.cloudsecuritycompliance.v1.Config.UpdateCloudControl
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudsecuritycompliance.cloudControls.update - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Config.UpdateCloudControl"
  

UpdateFramework

• 方法：google.cloud.cloudsecuritycompliance.v1.Config.UpdateFramework
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudsecuritycompliance.frameworks.update - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Config.UpdateFramework"
  

google.cloud.cloudsecuritycompliance.v1.Deployment

以下审核日志与属于 google.cloud.cloudsecuritycompliance.v1.Deployment 的方法相关联。

CreateFrameworkDeployment

• 方法：google.cloud.cloudsecuritycompliance.v1.Deployment.CreateFrameworkDeployment
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudsecuritycompliance.frameworkDeployments.create - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Deployment.CreateFrameworkDeployment"
  

DeleteFrameworkDeployment

• 方法：google.cloud.cloudsecuritycompliance.v1.Deployment.DeleteFrameworkDeployment
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudsecuritycompliance.frameworkDeployments.delete - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：长时间运行的操作
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Deployment.DeleteFrameworkDeployment"
  

GetCloudControlDeployment

• 方法：google.cloud.cloudsecuritycompliance.v1.Deployment.GetCloudControlDeployment
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudsecuritycompliance.cloudControlDeployments.get - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Deployment.GetCloudControlDeployment"
  

GetFrameworkDeployment

• 方法：google.cloud.cloudsecuritycompliance.v1.Deployment.GetFrameworkDeployment
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudsecuritycompliance.frameworkDeployments.get - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Deployment.GetFrameworkDeployment"
  

ListCloudControlDeployments

• 方法：google.cloud.cloudsecuritycompliance.v1.Deployment.ListCloudControlDeployments
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudsecuritycompliance.cloudControlDeployments.list - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Deployment.ListCloudControlDeployments"
  

ListFrameworkDeployments

• 方法：google.cloud.cloudsecuritycompliance.v1.Deployment.ListFrameworkDeployments
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudsecuritycompliance.frameworkDeployments.list - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Deployment.ListFrameworkDeployments"
  

google.cloud.cloudsecuritycompliance.v1.Monitoring

以下审核日志与属于 google.cloud.cloudsecuritycompliance.v1.Monitoring 的方法相关联。

AggregateFrameworkComplianceReport

• 方法：google.cloud.cloudsecuritycompliance.v1.Monitoring.AggregateFrameworkComplianceReport
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudsecuritycompliance.frameworkComplianceReports.aggregate - DATA_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Monitoring.AggregateFrameworkComplianceReport"
  

FetchFrameworkComplianceReport

• 方法：google.cloud.cloudsecuritycompliance.v1.Monitoring.FetchFrameworkComplianceReport
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudsecuritycompliance.frameworkComplianceReports.get - DATA_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Monitoring.FetchFrameworkComplianceReport"
  

ListControlComplianceSummaries

• 方法：google.cloud.cloudsecuritycompliance.v1.Monitoring.ListControlComplianceSummaries
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudsecuritycompliance.controlComplianceSummaries.list - DATA_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Monitoring.ListControlComplianceSummaries"
  

ListFindingSummaries

• 方法：google.cloud.cloudsecuritycompliance.v1.Monitoring.ListFindingSummaries
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudsecuritycompliance.findingSummaries.list - DATA_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Monitoring.ListFindingSummaries"
  

ListFrameworkComplianceSummaries

• 方法：google.cloud.cloudsecuritycompliance.v1.Monitoring.ListFrameworkComplianceSummaries
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudsecuritycompliance.frameworkComplianceSummaries.list - DATA_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.cloud.cloudsecuritycompliance.v1.Monitoring.ListFrameworkComplianceSummaries"
  

google.longrunning.Operations

以下审核日志与属于 google.longrunning.Operations 的方法相关联。

CancelOperation

• 方法：google.longrunning.Operations.CancelOperation
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudsecuritycompliance.operations.cancel - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.longrunning.Operations.CancelOperation"
  

DeleteOperation

• 方法：google.longrunning.Operations.DeleteOperation
  
• 审核日志类型：管理员活动
  
• 权限：
  • cloudsecuritycompliance.operations.delete - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.longrunning.Operations.DeleteOperation"
  

GetOperation

• 方法：google.longrunning.Operations.GetOperation
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudsecuritycompliance.operations.get - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.longrunning.Operations.GetOperation"
  

ListOperations

• 方法：google.longrunning.Operations.ListOperations
  
• 审核日志类型：数据访问
  
• 权限：
  • cloudsecuritycompliance.operations.list - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.longrunning.Operations.ListOperations"
  

不会生成审核日志的方法

由于以下一个或多个原因，方法可能不会生成审核日志：

• 这是一种会产生大量日志的方法，日志生成和存储的费用高昂。
• 它的审核价值较低。
• 其他审核或平台日志已提供方法覆盖功能。

以下方法不会生成审核日志：

• google.cloud.cloudsecuritycompliance.v1.Audit.GetOperation
• google.cloud.location.Locations.GetLocation
• google.cloud.location.Locations.ListLocations