Auf dieser Seite werden die Audit-Logs beschrieben, die von Cloud Search als Teil der Cloud-Audit-Logs erstellt werden.
Überblick
Google Cloud-Dienste schreiben Audit-Logs, um Ihnen Antworten auf Fragen wie „Wer hat was, wo und wann getan?“ in Ihren Ressourcen zu liefern. Ihre Cloud-Projekte enthalten nur die Audit-Logs für Ressourcen, die sich direkt im Projekt befinden. Andere Entitäten wie Ordner, Organisationen und Cloud-Rechnungskonten enthalten die Audit-Logs für die Entität selbst.
Eine allgemeine Übersicht über Cloud-Audit-Logs finden Sie unter Cloud-Audit-Logs. Detaillierte Informationen zu Cloud-Audit-Logs finden Sie unter Audit-Logs verstehen.
Cloud-Audit-Logging erstellt für jedes Google Cloud-Projekt, jeden Ordner und jede Organisation die folgenden Audit-Logs:
- Audit-Logs zur Administratoraktivität, die Einträge enthalten, die Methoden entsprechen, die Admin-Schreibvorgänge ausführen. Die Methoden, die „Administratoraktivität:Administrator-Schreibvorgänge“ entsprechen, werden im nächsten Abschnitt Geprüfte Vorgänge behandelt.
- Audit-Logs zum Datenzugriff, die Einträge enthalten, die Methoden zur Durchführung von Administratorlese-, Datenschreib- und Datenlesevorgängen entsprechen. Die Methoden für „Datenzugriff:Lesen durch Administrator“, „Datenzugriff:Daten schreiben“, „Datenzugriff:Datenlesevorgänge“ werden im nächsten Abschnitt Geprüfte Vorgänge behandelt.
- Audit-Logs zu Systemereignissen
- Audit-Logs zu Richtlinienverstößen
Cloud Search schreibt Audit-Logs zur Administratoraktivität, in denen Vorgänge aufgezeichnet werden, die die Konfiguration oder Metadaten einer Ressource ändern. Sie können Audit-Logs für Administratoraktivitäten nicht deaktivieren.
Cloud Search schreibt nur dann Audit-Logs zum Datenzugriff, wenn dies explizit aktiviert ist. Audit-Logs zum Datenzugriff enthalten API-Aufrufe, die die Konfiguration oder Metadaten von Ressourcen lesen, sowie nutzergesteuerte API-Aufrufe, die von Nutzern bereitgestellte Ressourcendaten erstellen, ändern oder lesen.
Cloud Search schreibt keine Audit-Logs zu Systemereignissen.
Cloud Search schreibt keine Audit-Logs zu Richtlinienverstößen.
Geprüfte Vorgänge
Im Folgenden wird zusammengefasst, welche API-Vorgänge dem jeweiligen Audit-Logtyp in Cloud Search entsprechen:
Audit-Logkategorie | Cloud Search-Vorgänge |
---|---|
Administratoraktivität: Schreibzugriff durch Administrator | indexing.datasources.updateSchema indexing.datasources.deleteSchema settings.datasources.create settings.datasources.delete settings.datasources.update settings.searchapplications.create settings.searchapplications.delete settings.searchapplications.reset settings.searchapplications.update settings.updateCustomer cloudsearch.IdentitySourceService.create cloudsearch.IdentitySourceService.update.create cloudsearch.IdentitySourceService.updateSource |
Datenzugriff: Lesezugriff durch Administrator | indexing.datasources.getSchema settings.datasources.get settings.datasources.list settings.searchapplications.get settings.searchapplications.list settings.getCustomer cloudsearch.IdentitySourceService.get cloudsearch.IdentitySourceService.list |
Datenzugriff: Daten schreiben | indexing.datasources.items.delete indexing.datasources.items.deleteQueueItems indexing.datasources.items.index indexing.datasources.items.poll indexing.datasources.items.push indexing.datasources.items.unreserve indexing.datasources.items.upload media.upload |
Datenzugriff: Daten lesen | indexing.datasources.items.get indexing.datasources.items.list operations.get operations.list debug.datasources.items.checkAccess debug.datasources.items.searchByViewUrl stats.getIndex stats.getQuery stats.getSession stats.getUser stats.index.datasources.querystats.querystats.querystats.querystats.querystats.querypolicysdebug.insen.querystats.querystats.querystats.querystats.querystats.querydatadebug.sensetforsens.mittundlisten.querystats.querystats.querystats.querystats.queryreferences.querystats.querystats.querystats.querystats.querystats.querystats.querystats.querystats.querystats.querystats.queryreferences. Wunschlisten.tjekseski.ski._fortforsten.hierzu“. |
Audit-Logformat
Audit-Logeinträge, die in Cloud Logging mit dem Log-Explorer, der Cloud Logging API oder dem gcloud-Befehlszeilentool aufgerufen werden können, enthalten die folgenden Objekte:
Den Logeintrag selbst, wobei es sich um ein Objekt vom Typ LogEntry
handelt
Interessante Felder sind unter anderem:
logName
enthält die Ressourcen-ID und den Audit-Logtyp.resource
enthält das Ziel zum geprüften VorgangtimeStamp
enthält die Uhrzeit des geprüften VorgangsprotoPayload
enthält die geprüften Informationen- Die Audit-Logging-Daten, bei denen es sich um ein AuditLog-Objekt handelt, das sich im Feld "protoPayload" des Logeintrags befindet.
Optionale dienstspezifische Auditinformationen, bei denen es sich um ein dienstspezifisches Objekt handelt.
Bei früheren Integrationen befindet sich dieses Objekt im Feld serviceData
des AuditLog
-Objekts. Spätere Integrationen verwenden das Feld metadata
.
Informationen zu anderen Feldern in diesen Objekten sowie zu deren Interpretation finden Sie unter Audit-Logs verstehen.
Logname
Ressourcennamen von Cloud-Audit-Logs geben Aufschluss über das Cloud-Projekt oder eine andere Google Cloud-Entität, zu der die Audit-Logs gehören. Sie geben außerdem an, ob das Log Audit-Logging-Daten zur Administratoraktivität, zum Datenzugriff, zu Richtlinienverstößen oder zu Systemereignissen enthält. Im folgenden Beispiel werden Lognamen für Audit-Logs zur Administratoraktivität auf Projektebene sowie für die Audit-Logs zum Datenzugriff einer Organisation angezeigt. Die Variablen kennzeichnen Projekt- und Organisationskennungen.
projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access
Dienstname
Für Audit-Logs von Cloud Search wird der Dienstname cloudsearch.googleapis.com
verwendet.
Ressourcentypen
Bei allen Audit-Logs von Cloud Search wird der Ressourcentyp audited_resource
verwendet.
Eine Liste weiterer Ressourcentypen finden Sie unter Überwachte Ressourcentypen.
Audit-Logging aktivieren
Standardmäßig ist Audit-Logging für die Cloud Search API deaktiviert. So aktivieren Sie das Audit-Logging für Google Cloud Search:
Optional: Wenn Sie noch kein Google Cloud Platform-Projekt zum Speichern von Logs erstellt haben, lesen Sie Zugriff auf die Google Cloud Search API konfigurieren.
Rufen Sie die Projekt-ID für die Google Cloud ab, in der die Logs gespeichert werden sollen. Wie Sie eine Projekt-ID erhalten, erfahren Sie unter Projekte identifizieren.
Wenn Sie Audit-Logging für eine bestimmte API aktivieren möchten, müssen Sie die zu aktivierende Logkategorie festlegen. Informationen zu APIs und den entsprechenden Kategorien finden Sie weiter oben in diesem Dokument unter Geprüfte Vorgänge.
Verwenden Sie die REST API-Methode
updateCustomer()
, um „auditLogSettings“ mit den zu aktivierenden Logkategorien zu aktualisieren:Fordern Sie ein OAuth 2.0-Zugriffstoken vom Google Authorization Server an. Informationen zum Abrufen des Tokens finden Sie in Schritt 2 unter Mit OAuth 2.0 auf Google APIs zugreifen. Verwenden Sie beim Abrufen des Zugriffstokens einen der folgenden OAuth-Bereiche:
https://www.googleapis.com/auth/cloud_search.settings.indexing
https://www.googleapis.com/auth/cloud_search.settings
https://www.googleapis.com/auth/cloud_search
Führen Sie folgenden curl-Befehl aus:
curl --request PATCH \ 'https://cloudsearch.googleapis.com/v1/settings/customer?updateMask=auditLoggingSettings&key=[YOUR_API_KEY]' \ --header 'Authorization: Bearer [YOUR_ACCESS_TOKEN]' \ --header 'Content-Type: application/json' \ --data '{"auditLoggingSettings": { "project": "projects/PROJECT_ID", "CATEGORY1": "true", "CATEGORY2": "true" } }'
Wobei:
YOUR_ACCESS_TOKEN
ist das in Schritt 4a erhaltene OAuth 2.0-Zugriffstoken.PROJECT_ID
ist die in Schritt 2 abgerufene Projekt-ID.CATEGORY1
,CATEGORY2
,…
sind die Kategorien, die Sie in Schritt 3 aktivieren möchten. Gültige Werte sindlogAdminReadActions
,logDataWriteActions
undlogDataReadActions
. Administrator-Schreibaktionen sind standardmäßig aktiviert und können nicht deaktiviert werden. Wenn Sie Audit-Logging für Abfragemethoden verwenden möchten, müssen Sie die Kategorie „Daten lesen“ aktivieren.
Nach der Aktualisierung von
AuditLoggingSettings
generieren weitere Anfragen an die Cloud Search API ein Audit-Log in der inAuditLoggingSettings
angegebenen Projekt-ID.Für Audit-Logging für Abfragemethoden muss die Kategorie „Daten gelesen“ aktiviert sein (wird in Schritt 4 ausgeführt). Führen Sie die folgenden Schritte aus, um Audit-Logging für Abfragemethoden (
query.sources.list
,query.suggest
undquery.search
) zu aktivieren:Rufen Sie den Namen jeder Suchanwendung ab, für die Sie Audit-Logging aktivieren möchten. Der Name muss das Format
searchapplications/<search_application_id>
haben.Verwenden Sie den Namen zum Aufrufen von
settings.searchapplications.update
, wobeienableAuditLog
auftrue
festgelegt ist.
Wenn Sie Audit-Logging für Aufrufe von
cloudsearch.google.com
aktivieren möchten, muss die Kategorie „Datenlesevorgänge“ aktiviert sein (Schritt 4). Führen Sie außerdem Schritt 5b mit einemname
vonsearchapplications/default
aus .
Nach der Aktivierung können Logs im Bereich „Log-Explorer“ der Google Cloud Console angezeigt werden. Verwenden Sie den folgenden Filter, um nur Cloud Search-Audit-Logs aufzurufen:
protoPayload.serviceName="cloudsearch.googleapis.com"
Informationen zum Aufrufen von Logs finden Sie unter Log-Explorer.
Berechtigungen für Audit-Logs
Die Berechtigungen und Rollen von Identity and Access Management bestimmen, welche Audit-Logs Sie ansehen oder exportieren können. Logs befinden sich in Cloud-Projekten und in einigen anderen Entitäten wie Organisationen, Ordnern und Cloud-Rechnungskonten. Weitere Informationen finden Sie unter Informationen zu Rollen.
Zum Ansehen von Audit-Logs zur Administratoraktivität benötigen Sie eine der folgenden IAM-Rollen in dem Projekt, das die Audit-Logs enthält:
- Projektinhaber, Projektbearbeiter oder Projektbetrachter
- Die Logging-Rolle Log-Betrachter
- Eine benutzerdefinierte IAM-Rolle mit der IAM-Berechtigung
logging.logEntries.list
Wenn Sie Audit-Logs zum Datenzugriff aufrufen möchten, benötigen Sie in dem Projekt, das Ihre Audit-Logs enthält, eine der folgenden Rollen:
- Project Owner
- Rolle Betrachter privater Logs für Logging
- Eine benutzerdefinierte IAM-Rolle mit der IAM-Berechtigung
logging.privateLogEntries.list
Wenn die verwendeten Audit-Logs nicht aus einem Cloud-Projekt, sondern einer Entität wie einer Organisation stammen, ändern Sie die Projektrollen in geeignete Organisationsrollen.
Logs ansehen
Wenn Sie Audit-Logs suchen und ansehen möchten, müssen Sie die ID des Cloud-Projekts, des Ordners oder der Organisation kennen, für die Sie Audit-Logging-Informationen aufrufen möchten. Sie können weitere indexierte LogEntry
-Felder angeben, z. B. „resource.type“. Weitere Informationen finden Sie unter Abfragen im Log-Explorer erstellen.
Im Folgenden finden Sie die Namen der Audit-Logs. Sie enthalten Variablen für die IDs des Cloud-Projekts, des Ordners oder der Organisation:
projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fpolicy folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Factivity folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fdata_access folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fsystem_event folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fpolicy organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fsystem_event organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fpolicy
Sie haben mehrere Möglichkeiten, Ihre Audit-Logeinträge aufzurufen.
Console
Sie können den Log-Explorer in der Cloud Console verwenden, um die Audit-Logeinträge für Ihr Cloud-Projekt abzurufen:
Rufen Sie in der Cloud Console die Seite Logging > Log-Explorer auf.
Wählen Sie auf der Seite Log-Explorer ein vorhandenes Cloud-Projekt aus.
Führen Sie im Bereich Query Builder folgende Schritte aus:
Wählen Sie unter Ressource den Google Cloud-Ressourcentyp aus, dessen Audit-Logs angezeigt werden sollen.
Wählen Sie unter Logname den Audit-Logtyp aus, den Sie sehen möchten:
- Wählen Sie für Audit-Logs zu Administratoraktivitäten die Option activity aus.
- Wählen Sie für Audit-Logs zum Datenzugriff die Option data_access aus.
- Wählen Sie für Audit-Logs zu Systemereignissen die Option system_event aus.
- Wählen Sie für Audit-Logs zu Richtlinienverstößen die Option policy aus.
Wenn diese Optionen nicht angezeigt werden, sind im Cloud-Projekt keine Audit-Logs dieses Typs verfügbar.
Weitere Informationen zu Abfragen mit dem neuen Log-Explorer finden Sie unter Abfragen im Log-Explorer erstellen.
gcloud
gcloud bietet eine Befehlszeile für die Logging API. Geben Sie dabei in jedem Lognamen eine gültige PROJECT_ID
, FOLDER_ID
oder ORGANIZATION_ID
an.
Führen Sie den folgenden Befehl aus, um Ihre Audit-Logeinträge auf Google Cloud-Projektebene zu lesen:
gcloud logging read "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" \ --project=PROJECT_ID
Führen Sie den folgenden Befehl aus, um Ihre Audit-Logeinträge auf Ordnerebene zu lesen:
gcloud logging read "logName : folders/FOLDER_ID/logs/cloudaudit.googleapis.com" \ --folder=FOLDER_ID
Führen Sie den folgenden Befehl aus, um Ihre Audit-Logeinträge auf Organisationsebene zu lesen:
gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com" \ --organization=ORGANIZATION_ID
Weitere Informationen zur Verwendung des gcloud-Tools finden Sie unter gcloud logging read
.
API
Ersetzen Sie beim Erstellen Ihrer Abfragen die Variablen durch gültige Werte, ersetzen Sie den entsprechenden Audit-Lognamen oder die entsprechenden Kennungen auf Projektebene, Ordnerebene oder Organisationsebene, wie in den Audit-Lognamen aufgeführt. Wenn die Abfrage beispielsweise PROJECT_ID enthält, muss sich die von Ihnen angegebene Projekt-ID auf das aktuell ausgewählte Cloud-Projekt beziehen.
So rufen Sie Ihre Audit-Logeinträge mit der Logging API auf:
Rufen Sie den Abschnitt Diese API testen in der Dokumentation für die Methode
entries.list
auf.Geben Sie im Teil Anfragetext des Formulars Diese API testen Folgendes ein. Wenn Sie auf dieses vorausgefüllte Formular klicken, wird der Anfragetext automatisch übernommen. Sie müssen jedoch in jedem der Lognamen eine gültige
PROJECT_ID
angeben.{ "resourceNames": [ "projects/PROJECT_ID" ], "pageSize": 5, "filter": "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" }
Klicken Sie auf Ausführen.
Weitere Informationen zu Abfragen finden Sie unter Logging-Abfragesprache.
Ein Beispiel für einen Audit-Logeintrag und wie Sie die wichtigsten Informationen darin finden, ist in Audit-Logs verstehen enthalten.
Audit-Logs exportieren
Sie können Audit-Logs genauso wie andere Arten von Logs exportieren. Weitere Informationen zum Exportieren von Logs finden Sie unter Logs exportieren. Im Folgenden erfahren Sie mehr über Möglichkeiten zum Exportieren von Audit-Logs:
Sie können Kopien Ihrer Audit-Logs nach Cloud Storage, BigQuery oder Pub/Sub exportieren, um Audit-Logs über einen längeren Zeitraum hinweg aufzubewahren oder leistungsfähigere Suchfunktionen zu nutzen. Mit Pub/Sub können Sie Daten in andere Anwendungen, andere Repositories und zu Drittanbietern exportieren.
Zum organisationsübergreifenden Verwalten Ihrer Audit-Logs können Sie zusammengefasste Senken erstellen, mit denen sich Logs aus beliebigen oder allen Cloud-Projekten in der Organisation exportieren lassen.
Wenn die aktivierten Audit-Logs zum Datenzugriff dazu führen, dass Ihre Cloud-Projekte ihr Logkontingent überschreiten, können Sie die Audit-Logs zum Datenzugriff aus Logging exportieren und ausschließen. Weitere Informationen finden Sie unter Logs ausschließen.
Preise und Nutzerbindung
In Cloud Logging werden Ihnen Audit-Logs, die nicht deaktiviert werden können, einschließlich aller Audit-Logs zur Administratoraktivität, nicht in Rechnung gestellt. Audit-Logs zum Datenzugriff, die Sie explizit anfordern, werden Ihnen jedoch in Rechnung gestellt.
Weitere Informationen zu den Preisen für Audit-Logs finden Sie unter Preise für die Operations-Suite von Google Cloud.
Die Speicherdauer für Cloud Search-Audit-Logs beträgt:
- Administratoraktivitätslogs (oder Administratorschreibvorgänge) – Diese Logs werden 400 Tage lang aufbewahrt.
- Datenzugriffslogs (Lesen durch Administrator, Datenschreibvorgänge und Datenlesevorgänge): Diese Logs werden 30 Tage lang aufbewahrt.
Weitere Informationen zur Speicherdauer finden Sie unter Aufbewahrungsdauer von Logs.
Aktuelle Beschränkungen
Für das Audit-Logging von Cloud Search gelten derzeit folgende Einschränkungen:
Die Größe des Logeintrags muss kleiner als 512 KB sein. Wenn die Größe 512 KB überschreitet, wird die Antwort aus dem Logeintrag gelöscht. Wenn sich die Größe dadurch nicht auf 512 KB oder weniger verringert, wird die Anfrage verworfen. Überschreitet die Größe schließlich 512 KB, wird der Logeintrag verworfen.
Antworttexte werden für die Methoden
list()
,get()
undsuggest()
nicht protokolliert. Es sind jedoch Antwortstatus verfügbar.Nur Query API-Aufrufe von
cloudsearch.google.com
(falls aktiviert) und Suchanwendungen von Kunden werden protokolliert.Bei
search()
-Aufrufen werden nurQuery
,RequestOptions
undDataSourceRestriction
in der Anfrage protokolliert. In der Antwort werden nur die URL und die Metadaten (Quelle undobjectType
) für jedeSearchResult
geprüft.Aufrufe, die an das Cloud Search-Back-End gesendet werden und dem Datenexport entsprechen, werden nicht geprüft.