Comprender y usar los registros de Transparencia de acceso

En esta página, se describe el contenido de las entradas de registro de Transparencia de acceso y cómo verlas y usarlas.

Registros de Transparencia de acceso detallados

Los registros de Transparencia de acceso se pueden integrar a tus herramientas existentes de información de seguridad y administración de eventos (SIEM) para automatizar las auditorías del S3NS personal cuando accede a tu contenido. Los registros de Transparencia de acceso están disponibles en la consola de Cloud de Confiance junto con tus Registros de auditoría de Cloud.

En las entradas de registro de Transparencia de acceso, se incluyen los siguientes tipos de detalles:

• Acción y recurso afectados
• Hora de la acción
• Motivos de la acción (por ejemplo, el número de caso asociado a una solicitud de atención al cliente)
• Datos acerca de quién actúa sobre el contenido (por ejemplo, la ubicación del personal de S3NS).

Habilita la Transparencia de acceso

Para obtener información sobre cómo habilitar la Transparencia de acceso en tu organización de Cloud de Confiance by S3NS , consulta Habilita la Transparencia de acceso.

Visualiza los registros de Transparencia de acceso

Después de configurar la Transparencia de acceso para tu organización de Cloud de Confiance, puedes establecer controles para determinar quién puede acceder a los registros de Transparencia de acceso. Para ello, asígnale a un usuario o grupo el rol de lector de registros privados.

Ejemplo de entrada de registro de Transparencia de acceso

El siguiente es un ejemplo de una entrada de registro de Transparencia de acceso:

{
 insertId:  "abcdefg12345"
 jsonPayload: {
  @type:  "type.googleapis.com/google.cloud.audit.TransparencyLog"
  location: {
   principalOfficeCountry:  "US"
   principalEmployingEntity:  "Google LLC"
   principalPhysicalLocationCountry:  "CA"
  }
  principalJobTitle: "Engineering"
  product: [
   0:  "Cloud Storage"
  ]
  reason: [
    detail:  "Case number: bar123"
    type:  "CUSTOMER_INITIATED_SUPPORT"
  ]
  permissionDetails:[
    0: {
     permissionType: "DATA_READ"
     logAccessed: true
   }
   1: {
     permissionType: "ADMIN_READ"
    }
  ]
  eventId: "asdfg12345asdfg12345asdfg12345"
  accesses: [
   0: {
    methodName: "GoogleInternal.Read"
    resourceName: "//googleapis.com/storage/buckets/BUCKET_NAME/objects/foo123"
    }
  ]
  accessApprovals: [
   0: "projects/123/approvalRequests/abcdef12345"
  ]
 }
 logName:  "projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Faccess_transparency"
 operation: {
  id:  "12345xyz"
 }
 receiveTimestamp:  "2017-12-18T16:06:37.400577736Z"
 resource: {
  labels: {
   project_id:  "1234567890"
  }
  type:  "project"
 }
 severity:  "NOTICE"
 timestamp:  "2017-12-18T16:06:24.660001Z"
}

Descripciones de los campos de registros

Valores para los campos de permissionDetails

Los siguientes detalles de permisos están disponibles en los registros de Transparencia de acceso:

• permissionType: Indica el tipo de permiso de Identity and Access Management (IAM) asociado con el acceso a los datos por parte del administrador. Por ejemplo, los tipos de permisos para cada método de la API pública de Cloud SQL se pueden encontrar en la documentación de SQL. Los tipos de permisos indican el permiso máximo presente, incluso si un acceso hubiera sido posible con un tipo de permiso menor. S3NS

• logAccessed: Este campo indica si un administrador o un permiso de acceso de lectura de datos se limita a los accesos de registro. Por ejemplo, un acceso data_read a los registros de Observability Analytics se acompaña de "logAccessed = true", lo que indica que el permiso data_read se limita a los datos de registro. Este campo se omite si el acceso no es un registro.

Valores para el campo accesses:methodNames

Los siguientes métodos pueden aparecer en el campo accesses:methodNames de los registros de Transparencia de acceso:

• Métodos estándar: Estos métodos son List, Get, Create, Update y Delete. Para obtener más información, consulta Métodos estándar.
• Métodos personalizados: Los métodos personalizados son los métodos de API distintos de los 5 métodos estándar. Entre los métodos personalizados comunes, se incluyen Cancel, BatchGet, Move, Search y Undelete. Para obtener más información, consulta Métodos personalizados.
• Métodos GoogleInternal: A continuación, se muestran ejemplos de métodos GoogleInternal que aparecen en el campo accesses:methodNames:

Los accesos de GoogleInternal están estrictamente restringidos al personal autorizado para un acceso justificado y auditable. La presencia de un método no indica disponibilidad para todos los roles.

Códigos de los motivos de justificación

Supervisa los registros de Transparencia de acceso

Puedes supervisar los registros de la Transparencia de acceso con la API de Cloud Monitoring. Para comenzar, consulta la documentación de Monitoring.

Puedes configurar una métrica basada en registros y, luego, una política de alertas para tener conocimiento oportuno de los problemas que presentan estos registros. Por ejemplo, puedes crear una métrica basada en registros que capture losS3NS accesos del personal a tu contenido y, luego, crear una política de alertas en Monitoring que te informe si la cantidad de accesos en un período determinado supera un umbral especificado.