Auf dieser Seite werden die Audit-Logs beschrieben, die von Google Workspace-Add-ons als Teil von Cloud-Audit-Logs erstellt werden.
Überblick
Google Cloud-Dienste schreiben Audit-Logs, um Ihnen Antworten auf Fragen wie „Wer hat was, wo und wann getan?” zu liefern. Ihre Cloud-Projekte enthalten nur die Audit-Logs für Ressourcen, die sich direkt im Projekt befinden. Andere Entitäten wie Ordner, Organisationen und Cloud-Rechnungskonten enthalten jeweils eigene Audit-Logs.
Eine allgemeine Übersicht über Cloud-Audit-Logs finden Sie unter Cloud-Audit-Logs. Detaillierte Informationen zu Cloud-Audit-Logs finden Sie unter Audit-Logs verstehen.
Für Google Workspace-Add-ons sind die folgenden Arten von Audit-Logs verfügbar:
-
Audit-Logs zur Administratoraktivität
Umfasst „Admin Write“-Vorgänge, die Metadaten oder Konfigurationsinformationen schreiben.
Sie können Audit-Logs zu Administratoraktivitäten nicht deaktivieren.
Geprüfte Vorgänge
Im Folgenden wird zusammengefasst, welche API-Vorgänge dem jeweiligen Audit-Log-Typ in Google Workspace-Add-ons entsprechen:
Audit-Logkategorie | Vorgänge für Google Workspace-Add-ons |
---|---|
Audit-Logs zur Administratoraktivität | Projects.GetAuthorization Deployments.CreateDeployment Deployments.ReplaceDeployment Deployments.ListDeployments Deployments.GetDeployment Deployments.DeleteDeployment Deployments.InstallDeployment Deployments.DeinstallierenDeployment Deployments.GetInstallStatus |
Audit-Logformat
Audit-Logeinträge, die in Cloud Logging mit der Loganzeige, der Cloud Logging API oder der Google Cloud CLI aufgerufen werden können, umfassen die folgenden Objekte:
Den Logeintrag selbst. Dabei handelt es sich um ein Objekt vom Typ
LogEntry
. Nützliche Felder sind unter anderem:logName
enthält die Projektkennung und den Audit-Logtypresource
enthält das Ziel zum geprüften VorgangtimeStamp
enthält die Uhrzeit des geprüften VorgangsprotoPayload
enthält die geprüften Informationen
Die Audit-Logdaten, bei denen es sich um ein
AuditLog
-Objekt handelt, das sich im FeldprotoPayload
des Logeintrags befindetOptionale dienstspezifische Auditinformationen. Das Objekt ist dienstspezifisch. Bei früheren Integrationen befindet sich dieses Objekt im Feld
serviceData
desAuditLog
-Objekts. Spätere Integrationen verwenden das Feldmetadata
.
Informationen zu anderen Feldern in diesen Objekten sowie zu deren Interpretation finden Sie unter Audit-Logs verstehen.
Logname
Ressourcennamen von Cloud-Audit-Logs geben Aufschluss über das Cloud-Projekt oder über eine andere Google Cloud-Entität, die Inhaber der Audit-Logs ist. Sie zeigen außerdem an, ob das Log Audit-Logging-Daten zur Administratoraktivität, zum Datenzugriff oder zu Systemereignissen enthält. Im folgenden Beispiel sind Lognamen für die Audit-Logs zu Administratoraktivitäten eines Projekts und für die Audit-Logs zu Datenzugriffen einer Organisation enthalten. Die Variablen bezeichnen Projekt- und Organisations-IDs.
projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access
Dienstname
Audit-Logs für Google Workspace-Add-ons verwenden den Dienstnamen gsuiteaddons.googleapis.com
.
Informationen zu allen Logging-Diensten finden Sie unter Dienste zu Ressourcen zuordnen.
Ressourcentypen
Bei allen Audit-Logs für Google Workspace-Add-ons wird der Ressourcentyp audited_resource
verwendet.
Eine Liste weiterer Ressourcentypen finden Sie unter Überwachte Ressourcentypen.
Audit-Logging aktivieren
Audit-Logs zu Administratoraktivitäten sind immer aktiviert. Sie können sie nicht deaktivieren.
Google Workspace-Add-ons schreiben keine Audit-Logs zum Datenzugriff.
Berechtigungen für Audit-Logs
Welche Audit-Logs Sie ansehen oder exportieren können, wird durch Berechtigungen und Rollen von Identity and Access Management (Cloud IAM) bestimmt. Logs befinden sich in Cloud-Projekten und in einigen anderen Entitäten wie Organisationen, Ordnern und Cloud-Rechnungskonten. Weitere Informationen finden Sie unter Informationen zu Rollen.
Zum Ansehen von Audit-Logs zu Administratoraktivitäten benötigen Sie eine der folgenden IAM-Rollen in dem Projekt, das die Audit-Logs enthält:- Projektinhaber, Projektbearbeiter oder Projektbetrachter
- Die Rolle Logbetrachter für Logging
- Eine benutzerdefinierte IAM-Rolle mit der IAM-Berechtigung
logging.logEntries.list
Google Workspace-Add-ons schreiben keine Audit-Logs zum Datenzugriff oder zu Systemereignissen.
Wenn die verwendeten Audit-Logs nicht aus einem Cloud-Projekt, sondern einer Entität wie einer Organisation stammen, ändern Sie die Projektrollen in geeignete Organisationsrollen.
Logs ansehen
Wenn Sie Audit-Logs suchen und ansehen möchten, müssen Sie die ID des Cloud-Projekts, des Ordners oder der Organisation kennen, für die Sie Audit-Logging-Informationen abrufen möchten. Sie können weitere indexierte LogEntry
-Felder angeben, z. B. resource.type
. Weitere Informationen finden Sie unter Abfragen im Log-Explorer erstellen.
Im Folgenden finden Sie die Namen der Audit-Logs. Sie enthalten Variablen für die IDs des Cloud-Projekts, des Ordners oder der Organisation.
projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fpolicy folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Factivity folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fdata_access folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fsystem_event folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fpolicy organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fsystem_event organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fpolicy
Sie haben mehrere Möglichkeiten, um Ihre Audit-Logeinträge aufzurufen.
Console
Sie können mit dem Log-Explorer in der Cloud Console die Audit-Logeinträge für Ihr Cloud-Projekt abrufen:
Rufen Sie in der Cloud Console die Seite Logging > Log-Explorer auf.
Wählen Sie auf der Seite Log-Explorer ein vorhandenes Cloud-Projekt aus.
Führen Sie im Bereich Query Builder folgende Schritte aus:
Wählen Sie unter Ressource den Google Cloud-Ressourcentyp aus, dessen Audit-Logs angezeigt werden sollen.
Wählen Sie unter Logname den Audit-Logtyp aus, den Sie sehen möchten:
- Wählen Sie für Audit-Logs zu Administratoraktivitäten die Option activity aus.
- Wählen Sie für Audit-Logs zum Datenzugriff die Option data_access aus.
- Wählen Sie für Audit-Logs zu Systemereignissen die Option system_event aus.
- Wählen Sie für Audit-Logs zu Richtlinienverstößen die Option policy aus.
Wenn diese Optionen nicht angezeigt werden, sind im Cloud-Projekt keine Audit-Logs dieses Typs verfügbar.
Weitere Informationen zu Abfragen mit dem neuen Log-Explorer finden Sie unter Abfragen im Log-Explorer erstellen.
gcloud
Die Google Cloud CLI bietet eine Befehlszeile für die Cloud Logging API. Geben Sie dabei in jedem Lognamen eine gültige PROJECT_ID
, FOLDER_ID
oder ORGANIZATION_ID
an.
Führen Sie den folgenden Befehl aus, um Ihre Audit-Logeinträge auf Google Cloud-Projektebene zu lesen:
gcloud logging read "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" \ --project=PROJECT_ID
Führen Sie den folgenden Befehl aus, um Ihre Audit-Logeinträge auf Ordnerebene zu lesen:
gcloud logging read "logName : folders/FOLDER_ID/logs/cloudaudit.googleapis.com" \ --folder=FOLDER_ID
Führen Sie den folgenden Befehl aus, um Ihre Audit-Logeinträge auf Organisationsebene zu lesen:
gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com" \ --organization=ORGANIZATION_ID
Weitere Informationen zur Verwendung der gcloud
CLI erhalten Sie unter gcloud logging read
.
API
Ersetzen Sie beim Erstellen Ihrer Abfragen die Variablen durch gültige Werte, ersetzen Sie den entsprechenden Audit-Lognamen oder die entsprechenden Kennungen auf Projektebene, Ordnerebene oder Organisationsebene, wie in den Audit-Lognamen aufgeführt. Wenn die Abfrage beispielsweise eine PROJECT_ID enthält, muss sich die von Ihnen angegebene Projekt-ID auf das aktuell ausgewählte Cloud-Projekt beziehen.
So rufen Sie Ihre Audit-Logeinträge mit der Logging API auf:
Rufen Sie den Abschnitt Diese API testen in der Dokumentation für die Methode
entries.list
auf.Geben Sie im Teil Anfragetext des Formulars Diese API testen Folgendes ein. Wenn Sie auf dieses vorausgefüllte Formular klicken, wird der Anfragetext automatisch übernommen. Sie müssen jedoch in jedem der Lognamen eine gültige
PROJECT_ID
angeben.{ "resourceNames": [ "projects/PROJECT_ID" ], "pageSize": 5, "filter": "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" }
Klicken Sie auf Ausführen.
Weitere Informationen zu Abfragen finden Sie unter Logging-Abfragesprache.
Ein Beispiel für einen Audit-Logeintrag und wie Sie die wichtigsten Informationen darin finden, ist in Audit-Logs verstehen enthalten.
Audit-Logs exportieren
Sie können Audit-Logs genauso wie andere Arten von Logs exportieren. Einzelheiten zum Exportieren Ihrer Logs finden Sie unter Logs exportieren. Im Folgenden erfahren Sie mehr über Möglichkeiten zum Exportieren von Audit-Logs:
Sie können Kopien von Audit-Logs in Cloud Storage, BigQuery oder Cloud Pub/Sub exportieren, um Audit-Logs über einen längeren Zeitraum hinweg zu behalten oder leistungsfähigere Suchfunktionen zu verwenden. Mit Pub/Sub haben Sie die Möglichkeit, die Logs in andere Anwendungen, andere Repositories und Systeme von Drittanbietern zu exportieren.
Zum organisationsübergreifenden Verwalten Ihrer Audit-Logs erstellen Sie zusammengefasste Senken, mit denen sich Logs aus beliebigen oder allen Projekten in der Organisation exportieren lassen.
Preise
In Cloud Logging werden Ihnen Audit-Logs, die nicht deaktiviert werden können, darunter sämtliche Audit-Logs zu Administratoraktivitäten, nicht in Rechnung gestellt.Weitere Informationen zu den Preisen für Audit-Logs finden Sie unter Preise für die Operations-Suite von Google Cloud.