アクセスの透明性ログの把握と使用

このページでは、アクセスの透明性ログエントリの内容とそれらを表示して使用する方法について説明します。

アクセスの透明性ログの詳細

アクセスの透明性ログを既存のセキュリティ情報およびイベント管理（SIEM）ツールに統合すると、 S3NS 担当者がお客様のコンテンツにアクセスした際の監査を自動化できます。アクセスの透明性ログは、 Cloud de Confiance コンソールで Cloud Audit Logs とともに確認できます。

アクセスの透明性ログエントリに含まれる詳細は次のとおりです。

• 対象となるリソースとアクション。
• 操作の時刻。
• アクションの理由（カスタマー サポート リクエストに関連付けられたケース番号など）
• コンテンツを操作している人についてのデータ（たとえば、担当者の所在地など）。 S3NS

アクセスの透明性を有効にする

Cloud de Confiance by S3NS 組織でアクセスの透明性を有効にする方法については、アクセスの透明性を有効にするをご覧ください。

アクセスの透明性ログの表示

Cloud de Confiance組織のアクセスの透明性を構成したら、ユーザーまたはグループにプライベート ログ閲覧者のロールを割り当てることで、アクセスの透明性ログにアクセス可能なユーザーについての制御を設定できます。

アクセスの透明性ログエントリのサンプル

アクセスの透明性ログエントリの例を次に示します。

{
 insertId:  "abcdefg12345"
 jsonPayload: {
  @type:  "type.googleapis.com/google.cloud.audit.TransparencyLog"
  location: {
   principalOfficeCountry:  "US"
   principalEmployingEntity:  "Google LLC"
   principalPhysicalLocationCountry:  "CA"
  }
  principalJobTitle: "Engineering"
  product: [
   0:  "Cloud Storage"
  ]
  reason: [
    detail:  "Case number: bar123"
    type:  "CUSTOMER_INITIATED_SUPPORT"
  ]
  permissionDetails:[
    0: {
     permissionType: "DATA_READ"
     logAccessed: true
   }
   1: {
     permissionType: "ADMIN_READ"
    }
  ]
  eventId: "asdfg12345asdfg12345asdfg12345"
  accesses: [
   0: {
    methodName: "GoogleInternal.Read"
    resourceName: "//googleapis.com/storage/buckets/BUCKET_NAME/objects/foo123"
    }
  ]
  accessApprovals: [
   0: "projects/123/approvalRequests/abcdef12345"
  ]
 }
 logName:  "projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Faccess_transparency"
 operation: {
  id:  "12345xyz"
 }
 receiveTimestamp:  "2017-12-18T16:06:37.400577736Z"
 resource: {
  labels: {
   project_id:  "1234567890"
  }
  type:  "project"
 }
 severity:  "NOTICE"
 timestamp:  "2017-12-18T16:06:24.660001Z"
}

ログフィールドの説明

permissionDetails フィールドの値

アクセスの透明性ログでは、次の権限の詳細を確認できます。

• permissionType: S3NS 管理者がデータアクセスする際に使用した Identity and Access Management（IAM）権限タイプを示します。たとえば、Cloud SQL の各公開 API メソッドの権限タイプは、SQL のドキュメントで確認できます。権限タイプは、より低い権限タイプでもアクセスできた場合でも、存在する最大権限を示します。

• logAccessed: このフィールドは、管理者またはデータ読み取りアクセス権限がログアクセスに制限されているかどうかを示します。たとえば、Observability Analytics ログへの data_read アクセスには「logAccessed = true」が伴い、data_read 権限がログデータに制限されていることを示します。アクセスがログでない場合、このフィールドは省略されます。

accesses:methodNames フィールドの値

アクセスの透明性ログの accesses:methodNames フィールドには、次のメソッドが表示されます。

• 標準メソッド: これらのメソッドは List、Get、Create、Update、Delete です。詳細については、標準メソッドをご覧ください。
• カスタム メソッド: カスタム メソッドは、5 つの標準メソッド以外の API メソッドを指します。一般的なカスタム メソッドには、Cancel、BatchGet、Move、Search、Undelete などがあります。詳細については、カスタム メソッドをご覧ください。
• Google 内部メソッド: accesses:methodNames フィールドに表示される GoogleInternal メソッドの例を次に示します。

GoogleInternal アクセスは、正当な監査可能なアクセスについて、承認された担当者に厳しく制限されます。メソッドが存在しても、すべてのロールで利用できるとは限りません。

正当化理由コード

アクセスの透明性ログのモニタリング

Cloud Monitoring API を使用して、アクセスの透明性ログをモニタリングできます。ご利用にあたっては、モニタリングのドキュメントをご覧ください。

ログベースの指標を設定し、監査ログによって明らかになる問題を適切なタイミングで認識できるよう、アラート ポリシーを設定します。たとえば、S3NS 担当者がユーザーのコンテンツ アクセスをキャプチャするログベースの指標を作成し、特定の期間内のアクセス数が指定されたしきい値を超過したことを知らせるアラート ポリシーを Monitoring に作成できます。