Access Transparency-Logs verstehen und verwenden

Auf dieser Seite wird der Inhalt der Access Transparency-Logeinträge beschrieben und es wird erläutert, wie Sie sie aufrufen und verwenden können.

Access Transparency-Logs im Detail

Access Transparency-Logs können in Ihre vorhandenen SIEM-Tools eingebunden werden, um Ihre Audits von S3NS Mitarbeitern beim Zugriff auf Ihre Inhalte zu automatisieren. Access Transparency-Logs sind in der Cloud de Confiance Konsole neben Ihren Cloud-Audit-Logs verfügbar.

Access Transparency-Logeinträge umfassen folgende Informationen:

• Die betroffene Ressource und Aktion
• Die Zeit der Aktion
• Die Gründe für die Aktion (z. B. die Fallnummer, die mit einer Kundensupportanfrage verknüpft ist)
• Daten darüber, wer im Content handelt, z. B. der Standort des S3NS-Personals.

Zugriffstransparenz aktivieren

Informationen zum Aktivieren von Access Transparency für Ihre Cloud de Confiance by S3NS -Organisation finden Sie unter Access Transparency aktivieren.

Access Transparency-Logs ansehen

Nachdem Sie die Access Transparency für Ihre Cloud de Confiance-Organisation konfiguriert haben, können Sie festlegen, wer auf die Access Transparency-Logs zugreifen kann. Weisen Sie dazu einem Nutzer oder einer Gruppe die Rolle Betrachter privater Logs zu.

Beispiel für einen Eintrag im Access Transparency-Log

Es folgt ein Beispiel für einen Eintrag im Access Transparency-Log:

{
 insertId:  "abcdefg12345"
 jsonPayload: {
  @type:  "type.googleapis.com/google.cloud.audit.TransparencyLog"
  location: {
   principalOfficeCountry:  "US"
   principalEmployingEntity:  "Google LLC"
   principalPhysicalLocationCountry:  "CA"
  }
  principalJobTitle: "Engineering"
  product: [
   0:  "Cloud Storage"
  ]
  reason: [
    detail:  "Case number: bar123"
    type:  "CUSTOMER_INITIATED_SUPPORT"
  ]
  permissionDetails:[
    0: {
     permissionType: "DATA_READ"
     logAccessed: true
   }
   1: {
     permissionType: "ADMIN_READ"
    }
  ]
  eventId: "asdfg12345asdfg12345asdfg12345"
  accesses: [
   0: {
    methodName: "GoogleInternal.Read"
    resourceName: "//googleapis.com/storage/buckets/BUCKET_NAME/objects/foo123"
    }
  ]
  accessApprovals: [
   0: "projects/123/approvalRequests/abcdef12345"
  ]
 }
 logName:  "projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Faccess_transparency"
 operation: {
  id:  "12345xyz"
 }
 receiveTimestamp:  "2017-12-18T16:06:37.400577736Z"
 resource: {
  labels: {
   project_id:  "1234567890"
  }
  type:  "project"
 }
 severity:  "NOTICE"
 timestamp:  "2017-12-18T16:06:24.660001Z"
}

Logfeldbeschreibungen

Werte für permissionDetails-Felder

Die folgenden Berechtigungsdetails sind in Access Transparency-Logs verfügbar:

• permissionType: Gibt den IAM-Berechtigungstyp (Identity and Access Management) an, der mit dem Datenzugriff durch den S3NS Administrator verknüpft ist. Berechtigungstypen für die einzelnen öffentlichen API-Methoden für Cloud SQL finden Sie beispielsweise in der SQL-Dokumentation. Berechtigungstypen geben die maximale Berechtigung an, auch wenn ein Zugriff mit einem niedrigeren Berechtigungstyp möglich gewesen wäre.

• logAccessed: In diesem Feld wird angegeben, ob die Berechtigung für den Administrator- oder Datenlesezugriff auf den Logzugriff beschränkt ist. Ein data_read-Zugriff auf Observability Analytics-Logs wird beispielsweise von „logAccessed = true“ begleitet, was darauf hinweist, dass die data_read-Berechtigung auf Logdaten beschränkt ist. Dieses Feld wird weggelassen, wenn der Zugriff kein Log ist.

Werte für das Feld accesses:methodNames

Die folgenden Methoden können im Feld accesses:methodNames in Access Transparency-Logs angezeigt werden:

• Standardmethoden: Diese Methoden sind List, Get, Create, Update und Delete. Weitere Informationen finden Sie unter Standardmethoden.
• Benutzerdefinierte Methoden: Benutzerdefinierte Methoden beziehen sich auf die neben den fünf Standardmethoden verfügbaren API-Methoden. Gängige benutzerdefinierte Methoden sind Cancel, BatchGet, Move, Search und Undelete. Weitere Informationen finden Sie unter Benutzerdefinierte Methoden.
• GoogleInternal-Methoden: Im Feld accesses:methodNames werden beispielsweise die folgenden GoogleInternal-Methoden angezeigt:

Der Zugriff auf GoogleInternal ist streng auf autorisiertes Personal beschränkt, um einen gerechtfertigten und prüfbaren Zugriff zu ermöglichen. Das Vorhandensein einer Methode bedeutet nicht, dass sie für alle Rollen verfügbar ist.

Begründungscodes

Access Transparency-Logs im Blick behalten

Sie können Access Transparency-Logs mit der Cloud Monitoring API überwachen. Informationen zum Einstieg finden Sie in der Dokumentation zu Monitoring.

Sie können einen logbasierten Messwert und dann eine Benachrichtigungsrichtlinie einrichten, um rechtzeitig auf Probleme aufmerksam zu machen, die von diesen Logs aufgedeckt werden. Sie können beispielsweise einen logbasierten Messwert erstellen, derS3NS Zugriffe von Mitarbeitern auf Ihre Inhalte erfasst, und dann in Monitoring eine Benachrichtigungsrichtlinie erstellen, die Sie informiert, wenn die Anzahl der Zugriffe in einem bestimmten Zeitraum einen bestimmten Schwellenwert überschreitet.