Spanner 監査ロギング

このドキュメントでは、Spanner の監査ロギングについて説明します。 Google Cloud サービスは、 Google Cloud リソース内の管理アクティビティとアクセス アクティビティを記録する監査ログを生成します。Cloud Audit Logs の詳細については、以下をご覧ください。

• 監査ログの種類
• 監査ログエントリの構造
• 監査ログの保存とルーティング
• Cloud Logging の料金概要
• データアクセス監査ログを有効にする

メモ

DATA_READ リクエストまたは DATA_WRITE リクエストの処理に要した時間を確認するには、処理期間のセクションをご覧ください。

サービス名

Spanner の監査ログでは、サービス名 spanner.googleapis.com が使用されます。このサービスでフィルタ:

    protoPayload.serviceName="spanner.googleapis.com"
  

メソッド（権限タイプ別）

メソッドの TransactionSelector に指定された場合は、読み取りオペレーションを実行するデータアクセス メソッド Read、StreamingRead、ExecuteSql、ExecuteStreamingSql も読み取り / 書き込みトランザクションを開始します。そのような場合、このメソッドは DATA_READ 権限タイプと DATA_WRITE 権限タイプの両方をチェックします。

各 IAM 権限には type プロパティがあります。このプロパティの値は列挙型で、ADMIN_READ、ADMIN_WRITE、DATA_READ、DATA_WRITE のいずれかになります。メソッドを呼び出すと、Spanner は監査ログを生成します。このログのカテゴリは、メソッドの実行に必要な権限の type プロパティによって異なります。type プロパティ値が DATA_READ、DATA_WRITE、または ADMIN_READ の IAM 権限を必要とするメソッドは、データアクセス監査ログを生成します。type プロパティ値が ADMIN_WRITE の IAM 権限を必要とするメソッドは、管理アクティビティ監査ログを生成します。

次のリストで（LRO）とマークされている API メソッドは、長時間実行オペレーション（LRO）です。通常、これらのメソッドは 2 つの監査ログエントリを生成します。1 つはオペレーションの開始時、もう 1 つは終了時です。詳細については、長時間実行オペレーションの監査ログをご覧ください。

権限タイプ	メソッド
ADMIN_READ	google.longrunning.Operations.GetOperation google.longrunning.Operations.ListOperations google.spanner.admin.database.v1.DatabaseAdmin.GetBackup google.spanner.admin.database.v1.DatabaseAdmin.GetBackupSchedule google.spanner.admin.database.v1.DatabaseAdmin.GetDatabase google.spanner.admin.database.v1.DatabaseAdmin.GetDatabaseDdl google.spanner.admin.database.v1.DatabaseAdmin.GetIamPolicy google.spanner.admin.database.v1.DatabaseAdmin.ListBackupOperations google.spanner.admin.database.v1.DatabaseAdmin.ListBackupSchedules google.spanner.admin.database.v1.DatabaseAdmin.ListBackups google.spanner.admin.database.v1.DatabaseAdmin.ListDatabaseOperations google.spanner.admin.database.v1.DatabaseAdmin.ListDatabaseRoles google.spanner.admin.database.v1.DatabaseAdmin.ListDatabases google.spanner.admin.database.v1.DatabaseAdmin.TestIamPermissions google.spanner.admin.instance.v1.InstanceAdmin.GetIamPolicy google.spanner.admin.instance.v1.InstanceAdmin.GetInstance google.spanner.admin.instance.v1.InstanceAdmin.GetInstanceConfig google.spanner.admin.instance.v1.InstanceAdmin.GetInstancePartition google.spanner.admin.instance.v1.InstanceAdmin.ListInstanceConfigs google.spanner.admin.instance.v1.InstanceAdmin.ListInstancePartitions google.spanner.admin.instance.v1.InstanceAdmin.ListInstances google.spanner.admin.instance.v1.InstanceAdmin.TestIamPermissions
ADMIN_WRITE	google.longrunning.Operations.CancelOperation google.spanner.admin.database.v1.DatabaseAdmin.AddSplitPoints google.spanner.admin.database.v1.DatabaseAdmin.ChangeQuorum（LRO） google.spanner.admin.database.v1.DatabaseAdmin.CopyBackup（LRO） google.spanner.admin.database.v1.DatabaseAdmin.CreateBackup（LRO） google.spanner.admin.database.v1.DatabaseAdmin.CreateBackupSchedule google.spanner.admin.database.v1.DatabaseAdmin.CreateDatabase（LRO） google.spanner.admin.database.v1.DatabaseAdmin.DeleteBackup google.spanner.admin.database.v1.DatabaseAdmin.DeleteBackupSchedule google.spanner.admin.database.v1.DatabaseAdmin.DropDatabase google.spanner.admin.database.v1.DatabaseAdmin.RestoreDatabase（LRO） google.spanner.admin.database.v1.DatabaseAdmin.SetIamPolicy google.spanner.admin.database.v1.DatabaseAdmin.UpdateBackup google.spanner.admin.database.v1.DatabaseAdmin.UpdateBackupSchedule google.spanner.admin.database.v1.DatabaseAdmin.UpdateDatabase（LRO） google.spanner.admin.database.v1.DatabaseAdmin.UpdateDatabaseDdl（LRO） google.spanner.admin.instance.v1.InstanceAdmin.CreateInstance（LRO） google.spanner.admin.instance.v1.InstanceAdmin.CreateInstanceConfig（LRO） google.spanner.admin.instance.v1.InstanceAdmin.CreateInstancePartition（LRO） google.spanner.admin.instance.v1.InstanceAdmin.DeleteInstance google.spanner.admin.instance.v1.InstanceAdmin.DeleteInstanceConfig google.spanner.admin.instance.v1.InstanceAdmin.DeleteInstancePartition google.spanner.admin.instance.v1.InstanceAdmin.MoveInstance（LRO） google.spanner.admin.instance.v1.InstanceAdmin.SetIamPolicy google.spanner.admin.instance.v1.InstanceAdmin.UpdateInstance（LRO） google.spanner.admin.instance.v1.InstanceAdmin.UpdateInstanceConfig（LRO） google.spanner.admin.instance.v1.InstanceAdmin.UpdateInstancePartition（LRO）
DATA_READ	google.cloud.keyvisualizer.KeyVisualizer.GetScan google.spanner.adapter.v1.Adapter.AdaptMessage google.spanner.v1.Spanner.BeginTransaction google.spanner.v1.Spanner.ExecuteSql google.spanner.v1.Spanner.ExecuteStreamingSql google.spanner.v1.Spanner.GetSession google.spanner.v1.Spanner.ListSessions google.spanner.v1.Spanner.PartitionQuery google.spanner.v1.Spanner.PartitionRead google.spanner.v1.Spanner.Read google.spanner.v1.Spanner.StreamingRead
DATA_WRITE	google.spanner.adapter.v1.Adapter.AdaptMessage google.spanner.adapter.v1.Adapter.CreateSession google.spanner.v1.Spanner.BatchCreateSessions google.spanner.v1.Spanner.BatchWrite google.spanner.v1.Spanner.BeginTransaction google.spanner.v1.Spanner.Commit google.spanner.v1.Spanner.CreateSession google.spanner.v1.Spanner.DeleteSession google.spanner.v1.Spanner.ExecuteBatchDml google.spanner.v1.Spanner.Rollback

API インターフェースの監査ログ

各メソッドで評価される権限と評価方法については、Identity and Access Management のドキュメントで Spanner の情報をご覧ください。

google.cloud.keyvisualizer.KeyVisualizer

次の監査ログは、google.cloud.keyvisualizer.KeyVisualizer に属するメソッドに関連付けられています。

GetScan

• メソッド: google.cloud.keyvisualizer.KeyVisualizer.GetScan
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.databases.read - DATA_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.cloud.keyvisualizer.KeyVisualizer.GetScan"
  

google.longrunning.Operations

次の監査ログは、google.longrunning.Operations に属するメソッドに関連付けられています。

CancelOperation

• メソッド: google.longrunning.Operations.CancelOperation
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.backupOperations.cancel - ADMIN_WRITE
  • spanner.databaseOperations.cancel - ADMIN_WRITE
  • spanner.instanceOperations.cancel - ADMIN_WRITE
  • spanner.instancePartitionOperations.cancel - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.longrunning.Operations.CancelOperation"
  

GetOperation

• メソッド: google.longrunning.Operations.GetOperation
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.backupOperations.get - ADMIN_READ
  • spanner.databaseOperations.get - ADMIN_READ
  • spanner.instanceOperations.get - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.longrunning.Operations.GetOperation"
  

ListOperations

• メソッド: google.longrunning.Operations.ListOperations
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.backupOperations.list - ADMIN_READ
  • spanner.databaseOperations.list - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.longrunning.Operations.ListOperations"
  

google.spanner.adapter.v1.Adapter

次の監査ログは、google.spanner.adapter.v1.Adapter に属するメソッドに関連付けられています。

AdaptMessage

• メソッド: google.spanner.adapter.v1.Adapter.AdaptMessage
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.databases.adapt - DATA_WRITE
  • spanner.databases.select - DATA_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.adapter.v1.Adapter.AdaptMessage"
  

CreateSession

• メソッド: google.spanner.adapter.v1.Adapter.CreateSession
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.sessions.create - DATA_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.adapter.v1.Adapter.CreateSession"
  

google.spanner.admin.database.v1.DatabaseAdmin

次の監査ログは、google.spanner.admin.database.v1.DatabaseAdmin に属するメソッドに関連付けられています。

AddSplitPoints

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.AddSplitPoints
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.databases.addSplitPoints - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.AddSplitPoints"
  

ChangeQuorum

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.ChangeQuorum
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.databases.changequorum - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: 長時間実行オペレーション
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.ChangeQuorum"
  

CopyBackup

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.CopyBackup
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.backups.copy - ADMIN_WRITE
  • spanner.backups.create - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: 長時間実行オペレーション
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.CopyBackup"
  

CreateBackup

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.CreateBackup
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.backups.create - ADMIN_WRITE
  • spanner.databases.createBackup - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: 長時間実行オペレーション
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.CreateBackup"
  

注: オペレーション終了時にログに記録されるエントリに認証情報や認可情報は含まれません。認証と承認の情報は、オペレーションの開始時にログに記録された一致するエントリ内にあります。一致するログエントリをログ エクスプローラで見つけるには、ログエントリの operation.id フィールドをクリックし、メニューの [一致エントリを表示] を選択します。

CreateBackupSchedule

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.CreateBackupSchedule
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.backupSchedules.create - ADMIN_WRITE
  • spanner.databases.createBackup - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.CreateBackupSchedule"
  

CreateDatabase

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.CreateDatabase
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.databases.create - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: 長時間実行オペレーション
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.CreateDatabase"
  

DeleteBackup

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.DeleteBackup
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.backups.delete - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.DeleteBackup"
  

DeleteBackupSchedule

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.DeleteBackupSchedule
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.backupSchedules.delete - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.DeleteBackupSchedule"
  

DropDatabase

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.DropDatabase
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.databases.drop - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.DropDatabase"
  

GetBackup

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.GetBackup
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.backups.get - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.GetBackup"
  

GetBackupSchedule

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.GetBackupSchedule
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.backupSchedules.get - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.GetBackupSchedule"
  

GetDatabase

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.GetDatabase
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.databases.get - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.GetDatabase"
  

GetDatabaseDdl

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.GetDatabaseDdl
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.databases.getDdl - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.GetDatabaseDdl"
  

GetIamPolicy

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.GetIamPolicy
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.backups.getIamPolicy - ADMIN_READ
  • spanner.databases.getIamPolicy - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.GetIamPolicy"
  

ListBackupOperations

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.ListBackupOperations
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.backupOperations.list - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.ListBackupOperations"
  

ListBackupSchedules

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.ListBackupSchedules
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.backupSchedules.list - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.ListBackupSchedules"
  

ListBackups

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.ListBackups
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.backups.list - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.ListBackups"
  

ListDatabaseOperations

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.ListDatabaseOperations
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.databaseOperations.list - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.ListDatabaseOperations"
  

ListDatabaseRoles

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.ListDatabaseRoles
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.databaseRoles.list - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.ListDatabaseRoles"
  

ListDatabases

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.ListDatabases
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.databases.list - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.ListDatabases"
  

RestoreDatabase

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.RestoreDatabase
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.backups.restoreDatabase - ADMIN_READ
  • spanner.databases.create - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: 長時間実行オペレーション
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.RestoreDatabase"
  

注: データベースの復元には 2 つのリソース（バックアップ データベースと復元されたデータベース。異なるインスタンスに存在する可能性があります）に対する承認が必要ですが、RestoreDatabase イベントは復元されたデータベースのインスタンスの単一のエントリとして一度だけ記録されます。このエントリ内には、2 つの authorizationInfo エントリがあります。1 つは spanner.databases.create 権限をチェックするデータベース用のエントリ、もう 1 つは spanner.backups.restoreDatabase 権限をチェックするバックアップ用のエントリです。
オペレーション終了時にログに記録されるエントリに認証情報や認可情報は含まれません。認証と承認の情報は、オペレーションの開始時にログに記録された一致するエントリ内にあります。一致するログエントリをログ エクスプローラで見つけるには、ログエントリの operation.id フィールドをクリックし、メニューの [一致エントリを表示] を選択します。

SetIamPolicy

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.SetIamPolicy
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.backups.setIamPolicy - ADMIN_WRITE
  • spanner.databases.setIamPolicy - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.SetIamPolicy"
  

TestIamPermissions

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.TestIamPermissions
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.databases.list - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.TestIamPermissions"
  

UpdateBackup

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.UpdateBackup
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.backups.update - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.UpdateBackup"
  

UpdateBackupSchedule

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.UpdateBackupSchedule
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.backupSchedules.update - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.UpdateBackupSchedule"
  

UpdateDatabase

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.UpdateDatabase
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.databases.update - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: 長時間実行オペレーション
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.UpdateDatabase"
  

UpdateDatabaseDdl

• メソッド: google.spanner.admin.database.v1.DatabaseAdmin.UpdateDatabaseDdl
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.databases.updateDdl - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: 長時間実行オペレーション
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.database.v1.DatabaseAdmin.UpdateDatabaseDdl"
  

google.spanner.admin.instance.v1.InstanceAdmin

次の監査ログは、google.spanner.admin.instance.v1.InstanceAdmin に属するメソッドに関連付けられています。

CreateInstance

• メソッド: google.spanner.admin.instance.v1.InstanceAdmin.CreateInstance
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.instances.create - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: 長時間実行オペレーション
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.instance.v1.InstanceAdmin.CreateInstance"
  

CreateInstanceConfig

• メソッド: google.spanner.admin.instance.v1.InstanceAdmin.CreateInstanceConfig
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.instanceConfigs.create - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: 長時間実行オペレーション
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.instance.v1.InstanceAdmin.CreateInstanceConfig"
  

CreateInstancePartition

• メソッド: google.spanner.admin.instance.v1.InstanceAdmin.CreateInstancePartition
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.instancePartitions.create - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: 長時間実行オペレーション
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.instance.v1.InstanceAdmin.CreateInstancePartition"
  

DeleteInstance

• メソッド: google.spanner.admin.instance.v1.InstanceAdmin.DeleteInstance
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.instances.delete - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.instance.v1.InstanceAdmin.DeleteInstance"
  

DeleteInstanceConfig

• メソッド: google.spanner.admin.instance.v1.InstanceAdmin.DeleteInstanceConfig
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.instanceConfigs.delete - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.instance.v1.InstanceAdmin.DeleteInstanceConfig"
  

DeleteInstancePartition

• メソッド: google.spanner.admin.instance.v1.InstanceAdmin.DeleteInstancePartition
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.instancePartitions.delete - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.instance.v1.InstanceAdmin.DeleteInstancePartition"
  

GetIamPolicy

• メソッド: google.spanner.admin.instance.v1.InstanceAdmin.GetIamPolicy
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.instances.getIamPolicy - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.instance.v1.InstanceAdmin.GetIamPolicy"
  

GetInstance

• メソッド: google.spanner.admin.instance.v1.InstanceAdmin.GetInstance
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.instances.get - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.instance.v1.InstanceAdmin.GetInstance"
  

GetInstanceConfig

• メソッド: google.spanner.admin.instance.v1.InstanceAdmin.GetInstanceConfig
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.instanceConfigs.get - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.instance.v1.InstanceAdmin.GetInstanceConfig"
  

GetInstancePartition

• メソッド: google.spanner.admin.instance.v1.InstanceAdmin.GetInstancePartition
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.instancePartitions.get - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.instance.v1.InstanceAdmin.GetInstancePartition"
  

ListInstanceConfigs

• メソッド: google.spanner.admin.instance.v1.InstanceAdmin.ListInstanceConfigs
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.instanceConfigs.list - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.instance.v1.InstanceAdmin.ListInstanceConfigs"
  

ListInstancePartitions

• メソッド: google.spanner.admin.instance.v1.InstanceAdmin.ListInstancePartitions
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.instancePartitions.list - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.instance.v1.InstanceAdmin.ListInstancePartitions"
  

ListInstances

• メソッド: google.spanner.admin.instance.v1.InstanceAdmin.ListInstances
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.instances.list - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.instance.v1.InstanceAdmin.ListInstances"
  

MoveInstance

• メソッド: google.spanner.admin.instance.v1.InstanceAdmin.MoveInstance
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.instances.update - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: 長時間実行オペレーション
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.instance.v1.InstanceAdmin.MoveInstance"
  

SetIamPolicy

• メソッド: google.spanner.admin.instance.v1.InstanceAdmin.SetIamPolicy
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.instances.setIamPolicy - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.instance.v1.InstanceAdmin.SetIamPolicy"
  

TestIamPermissions

• メソッド: google.spanner.admin.instance.v1.InstanceAdmin.TestIamPermissions
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.instances.list - ADMIN_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.instance.v1.InstanceAdmin.TestIamPermissions"
  

UpdateInstance

• メソッド: google.spanner.admin.instance.v1.InstanceAdmin.UpdateInstance
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.instances.update - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: 長時間実行オペレーション
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.instance.v1.InstanceAdmin.UpdateInstance"
  

UpdateInstanceConfig

• メソッド: google.spanner.admin.instance.v1.InstanceAdmin.UpdateInstanceConfig
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.instanceConfigs.update - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: 長時間実行オペレーション
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.instance.v1.InstanceAdmin.UpdateInstanceConfig"
  

UpdateInstancePartition

• メソッド: google.spanner.admin.instance.v1.InstanceAdmin.UpdateInstancePartition
  
• 監査ログのタイプ: 管理アクティビティ
  
• 権限:
  • spanner.instancePartitions.update - ADMIN_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: 長時間実行オペレーション
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.admin.instance.v1.InstanceAdmin.UpdateInstancePartition"
  

google.spanner.v1.Spanner

次の監査ログは、google.spanner.v1.Spanner に属するメソッドに関連付けられています。

BatchCreateSessions

• メソッド: google.spanner.v1.Spanner.BatchCreateSessions
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.sessions.create - DATA_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.v1.Spanner.BatchCreateSessions"
  

BatchWrite

• メソッド: google.spanner.v1.Spanner.BatchWrite
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.databases.write - DATA_WRITE
• メソッドが長時間実行またはストリーミング オペレーションである: ストリーミング RPC
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.v1.Spanner.BatchWrite"
  

BeginTransaction

• メソッド: google.spanner.v1.Spanner.BeginTransaction
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.databases.beginOrRollbackReadWriteTransaction - DATA_WRITE
  • spanner.databases.beginReadOnlyTransaction - DATA_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.v1.Spanner.BeginTransaction"
  

注: このメソッドは、ReadOnly トランザクションの場合は DATA_READ、ReadWrite トランザクションの場合は DATA_WRITE になります。

Commit

• メソッド: google.spanner.v1.Spanner.Commit
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.databases.write - DATA_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.v1.Spanner.Commit"
  

CreateSession

• メソッド: google.spanner.v1.Spanner.CreateSession
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.sessions.create - DATA_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.v1.Spanner.CreateSession"
  

DeleteSession

• メソッド: google.spanner.v1.Spanner.DeleteSession
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.sessions.delete - DATA_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.v1.Spanner.DeleteSession"
  

ExecuteBatchDml

• メソッド: google.spanner.v1.Spanner.ExecuteBatchDml
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.databases.write - DATA_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.v1.Spanner.ExecuteBatchDml"
  

ExecuteSql

• メソッド: google.spanner.v1.Spanner.ExecuteSql
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.databases.select - DATA_READ
  • spanner.databases.write - DATA_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.v1.Spanner.ExecuteSql"
  

注: このメソッドは、メソッドの TransactionSelector で指定された場合は、読み取り / 書き込みトランザクションを開始することもあります。そのような場合、このメソッドは DATA_READ と DATA_WRITE の両方の権限タイプに一致します。

ExecuteStreamingSql

• メソッド: google.spanner.v1.Spanner.ExecuteStreamingSql
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.databases.beginOrRollbackReadWriteTransaction - DATA_WRITE
  • spanner.databases.select - DATA_READ
• メソッドが長時間実行またはストリーミング オペレーションである: ストリーミング RPC
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.v1.Spanner.ExecuteStreamingSql"
  

注: このメソッドは、メソッドの TransactionSelector で指定された場合は、読み取り / 書き込みトランザクションを開始することもあります。そのような場合、このメソッドは DATA_READ と DATA_WRITE の両方の権限タイプに一致します。

GetSession

• メソッド: google.spanner.v1.Spanner.GetSession
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.sessions.get - DATA_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.v1.Spanner.GetSession"
  

ListSessions

• メソッド: google.spanner.v1.Spanner.ListSessions
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.sessions.list - DATA_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.v1.Spanner.ListSessions"
  

PartitionQuery

• メソッド: google.spanner.v1.Spanner.PartitionQuery
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.databaseRoles.use - DATA_WRITE
  • spanner.databases.beginReadOnlyTransaction - DATA_READ
  • spanner.databases.partitionQuery - DATA_READ
  • spanner.databases.useRoleBasedAccess - DATA_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.v1.Spanner.PartitionQuery"
  

PartitionRead

• メソッド: google.spanner.v1.Spanner.PartitionRead
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.databases.partitionRead - DATA_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.v1.Spanner.PartitionRead"
  

Read

• メソッド: google.spanner.v1.Spanner.Read
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.databases.read - DATA_READ
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.v1.Spanner.Read"
  

注: このメソッドは、メソッドの TransactionSelector で指定された場合は、読み取り / 書き込みトランザクションを開始することもあります。そのような場合、このメソッドは DATA_READ と DATA_WRITE の両方の権限タイプに一致します。
重要: リクエストされたキーはログに記録されません。

Rollback

• メソッド: google.spanner.v1.Spanner.Rollback
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.databases.beginOrRollbackReadWriteTransaction - DATA_WRITE
• メソッドが長時間実行オペレーションまたはストリーミング オペレーションのどちらであるか: どちらでもない。
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.v1.Spanner.Rollback"
  

StreamingRead

• メソッド: google.spanner.v1.Spanner.StreamingRead
  
• 監査ログのタイプ: データアクセス
  
• 権限:
  • spanner.databases.beginOrRollbackReadWriteTransaction - DATA_WRITE
  • spanner.databases.read - DATA_READ
• メソッドが長時間実行またはストリーミング オペレーションである: ストリーミング RPC
  
• このメソッドのフィルタ: protoPayload.methodName="google.spanner.v1.Spanner.StreamingRead"
  

注: このメソッドは、メソッドの TransactionSelector で指定された場合は、読み取り / 書き込みトランザクションを開始することもあります。そのような場合、このメソッドは DATA_READ と DATA_WRITE の両方の権限タイプに一致します。
重要: リクエストされたキーはログに記録されません。

システム イベント

システム イベント監査ログは、直接的なユーザー アクションではなく、GCP システムによって生成されます。詳細については、システム イベント監査ログをご覧ください。

メソッド名	このイベントのフィルタ	メモ
AutoscaleInstance	protoPayload.methodName="AutoscaleInstance"
CreateScheduledBackup	protoPayload.methodName="CreateScheduledBackup"
OptimizeRestoredDatabase	protoPayload.methodName="OptimizeRestoredDatabase"

監査ログを生成しないメソッド

メソッドが監査ログを生成しない理由としては、次のいずれかが考えられます。

• ログを大量に生成し、かなりのストレージ費用が発生するメソッドである。
• 監査価値が低い。
• 別の監査ログまたはプラットフォーム ログでメソッド カバレッジがすでに提供されている。

次のメソッドは監査ログを生成しません。

• google.cloud.keyvisualizer.KeyVisualizer.ListScans
• google.longrunning.Operations.WaitOperation

処理期間

DATA_READ リクエストまたは DATA_WRITE リクエストの処理に要した時間を確認するには、AuditLog の metadata オブジェクト内に存在する processingDurationSeconds フィールドをご覧ください。processingDurationSeconds は、リクエストのレイテンシをモニタリングするために役立ちます。

processingDurationSeconds は、Spanner API リクエストのレイテンシを表します。これは、Spanner API フロントエンドがリクエストの最初のバイトを受信してから、レスポンスの最後のバイトを送信するまでに時間（秒単位）です。Spanner バックエンドと API レイヤの両方で API リクエストの処理に必要な時間がレイテンシです。ただし、このレイテンシには、Spanner クライアントとサーバーの間のネットワークや Google Front End のオーバーヘッドは含まれません。Spanner API リクエストに関連する高レベル コンポーネントを可視化するには、Spanner エンドツーエンドのレイテンシ ガイドをご覧ください。

たとえば、以下は、processingDurationSeconds の情報を含む監査ログです。

{
  "protoPayload": {
    "@type": "type.googleapis.com/google.cloud.audit.AuditLog",
    "authenticationInfo": {...},
    "requestMetadata": {...},
    "serviceName": "spanner.googleapis.com",
    "methodName": "google.spanner.v1.Spanner.Commit",
    "authorizationInfo": [{...}],
    "resourceName": "projects/example-project/instances/example-instance/databases/example-database/sessions/example-session",
    "request": {
      "transactionId": "example-transactionId",
      "@type": "type.googleapis.com/google.spanner.v1.CommitRequest",
      "session": "projects/example-project/instances/example-instance/databases/example-database/sessions/example-session"
    },
    "response": {
      "@type": "type.googleapis.com/google.spanner.v1.CommitResponse",
      "commitTimestamp": "2023-02-13T17:11:10.106602Z"
    },
    "metadata": {
      "@type": "type.googleapis.com/spanner.cloud.instance_v1.QueryPerformanceMetadata",
      "processingDurationSeconds": 0.1932541
    }
  },
  "insertId": "p9ju4gdi7j0",
  "resource": {...},
  "timestamp": "2023-02-13T17:11:10.000093953Z",
  "severity": "INFO",
  "logName": "projects/example-project/logs/cloudaudit.googleapis.com%2Fdata_access",
  "receiveTimestamp": "2023-02-13T17:11:11.170517524Z"
}

ExecuteStreamingSql、StreamingRead、PartitionRead、PartitionQuery のリクエストの場合、processingDurationSeconds フィールドは設定されません。ストリーミングとパーティション リクエストのレイテンシを計算するには、ストリーミングとパーティションのリクエストのレイテンシを計算するをご覧ください。