Algumas ou todas as informações nesta página podem não se aplicar ao Cloud de Confiance da S3NS. Consulte Diferenças do Google Cloud para saber mais.

Esta página foi traduzida pela API Cloud Translation.

Registro de auditoria do Cloud Key Management Service

O Cloud Key Management Service está atualizando o formato do campo protoPayload nas entradas do registro de auditoria de acesso a dados. Durante o período de migração, o protoPayload nas entradas de registro de auditoria de acesso a dados vai continuar compatível com versões anteriores. No entanto, aplicativos de código novos ou futuros devem usar os campos de substituição recomendados da seguinte maneira:

Campo de substituição recomendado	Campo descontinuado	Descrição
`protoPayload.status.details`	`protoPayload.metadata`	Detalhes do erro para `EXTERNAL` (por exemplo, Operações de chave do Cloud EKM.
`protoPayload.metadata.entries.caller_provided_context`	`protoPayload.request.caller_provided_context`	Contexto do caller associado a esta operação do Cloud KMS.

Neste documento, descrevemos a geração de registros de auditoria do Cloud Key Management Service.Os serviços do Cloud de Confiance by S3NS geram registros de auditoria das atividades administrativas e de acesso nos recursos do Cloud de Confiance by S3NS . Para mais informações sobre os Registros de auditoria do Cloud, consulte:

Nome do serviço

Os registros de auditoria do Cloud Key Management Service usam o nome de serviço cloudkms.googleapis.com. Filtrar por este serviço:

    protoPayload.serviceName="cloudkms.googleapis.com"

Métodos por tipo de permissão

Cada permissão do IAM tem uma propriedade type, que tem o valor de um tipo enumerado que pode ser um dos quatro valores: ADMIN_READ, ADMIN_WRITE, DATA_READ ou DATA_WRITE. Quando você chama um método, o Cloud Key Management Service gera um registro de auditoria com categoria dependente da propriedade type da permissão necessária para executar o método. Métodos que exigem uma permissão do IAM com o valor da propriedade type de DATA_READ, DATA_WRITE ou ADMIN_READ geram registros de auditoria de acesso aos dados. Métodos que exigem uma permissão do IAM com o valor da propriedade type de ADMIN_WRITE geram registros de auditoria de Atividade do administrador.

Os métodos de API na lista a seguir marcados com (LRO) são operações de longa duração (LROs). Esses métodos geralmente geram duas entradas de registro de auditoria: uma quando a operação começa e outra quando ela termina. Para mais informações, consulte Registros de auditoria para operações de longa duração.

Tipo de permissão	Métodos
`ADMIN_READ`	`google.cloud.kms.v1.Autokey.GetKeyHandle` `google.cloud.kms.v1.Autokey.ListKeyHandles` `google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig` `google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig` `GetEkmConfig` `GetEkmConnection` `ListEkmConnections` `VerifyConnectivity` `GetCryptoKey` `GetCryptoKeyVersion` `GetImportJob` `GetKeyRing` `ListCryptoKeyVersions` `ListCryptoKeys` `ListImportJobs` `ListKeyRings` `GetIamPolicy` `GetOperation`
`ADMIN_WRITE`	`google.cloud.kms.v1.Autokey.CreateKeyHandle` (LRO) `google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig` `CreateEkmConnection` `UpdateEkmConfig` `UpdateEkmConnection` `CreateCryptoKey` `CreateCryptoKeyVersion` `CreateImportJob` `CreateKeyRing` `DestroyCryptoKeyVersion` `ImportCryptoKeyVersion` `RestoreCryptoKeyVersion` `UpdateCryptoKey` `UpdateCryptoKeyPrimaryVersion` `UpdateCryptoKeyVersion` `SetIamPolicy`
`DATA_READ`	`AsymmetricDecrypt` `AsymmetricSign` `Decrypt` `Encrypt` `GetPublicKey` `MacSign` `MacVerify` `RawDecrypt` `RawEncrypt`

Registros de auditoria da interface da API

Para saber como e quais permissões são avaliadas para cada método, consulte a documentação do Identity and Access Management para o Cloud Key Management Service.

`google.cloud.kms.v1.Autokey`

Os registros de auditoria a seguir estão associados a métodos que pertencem a google.cloud.kms.v1.Autokey.

`CreateKeyHandle`

Método: google.cloud.kms.v1.Autokey.CreateKeyHandle
Tipo de registro de auditoria: atividade do administrador
Permissões:
- cloudkms.keyHandles.create - ADMIN_WRITE
O método é uma operação de streaming ou de longa duração: operação de longa duração
Filtrar para este método: protoPayload.methodName="google.cloud.kms.v1.Autokey.CreateKeyHandle"

`GetKeyHandle`

Método: google.cloud.kms.v1.Autokey.GetKeyHandle
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.keyHandles.get - ADMIN_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="google.cloud.kms.v1.Autokey.GetKeyHandle"

`ListKeyHandles`

Método: google.cloud.kms.v1.Autokey.ListKeyHandles
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.keyHandles.list - ADMIN_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="google.cloud.kms.v1.Autokey.ListKeyHandles"

`google.cloud.kms.v1.AutokeyAdmin`

Os registros de auditoria a seguir estão associados a métodos que pertencem a google.cloud.kms.v1.AutokeyAdmin.

`GetAutokeyConfig`

Método: google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.autokeyConfigs.get - ADMIN_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig"

`ShowEffectiveAutokeyConfig`

Método: google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.projects.showEffectiveAutokeyConfig - ADMIN_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig"

`UpdateAutokeyConfig`

Método: google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig
Tipo de registro de auditoria: atividade do administrador
Permissões:
- cloudkms.autokeyConfigs.update - ADMIN_WRITE
- cloudkms.cryptoKeys.setIamPolicy - ADMIN_WRITE
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig"

`google.cloud.kms.v1.EkmService`

Os registros de auditoria a seguir estão associados a métodos que pertencem a google.cloud.kms.v1.EkmService.

`CreateEkmConnection`

Método: CreateEkmConnection
Tipo de registro de auditoria: atividade do administrador
Permissões:
- cloudkms.ekmConnections.create - ADMIN_WRITE
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="CreateEkmConnection"

`GetEkmConfig`

Método: GetEkmConfig
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.ekmConfigs.get - ADMIN_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="GetEkmConfig"

`GetEkmConnection`

Método: GetEkmConnection
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.ekmConnections.get - ADMIN_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="GetEkmConnection"

`ListEkmConnections`

Método: ListEkmConnections
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.ekmConnections.list - ADMIN_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="ListEkmConnections"

`UpdateEkmConfig`

Método: UpdateEkmConfig
Tipo de registro de auditoria: atividade do administrador
Permissões:
- cloudkms.ekmConfigs.update - ADMIN_WRITE
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="UpdateEkmConfig"

`UpdateEkmConnection`

Método: UpdateEkmConnection
Tipo de registro de auditoria: atividade do administrador
Permissões:
- cloudkms.ekmConnections.update - ADMIN_WRITE
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="UpdateEkmConnection"

`VerifyConnectivity`

Método: VerifyConnectivity
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.ekmConnections.verifyConnectivity - ADMIN_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="VerifyConnectivity"

`google.cloud.kms.v1.KeyManagementService`

Os registros de auditoria a seguir estão associados a métodos que pertencem a google.cloud.kms.v1.KeyManagementService.

`AsymmetricDecrypt`

Método: AsymmetricDecrypt
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="AsymmetricDecrypt"

`AsymmetricSign`

Método: AsymmetricSign
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.cryptoKeyVersions.useToSign - DATA_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="AsymmetricSign"

`CreateCryptoKey`

Método: CreateCryptoKey
Tipo de registro de auditoria: atividade do administrador
Permissões:
- cloudkms.cryptoKeys.create - ADMIN_WRITE
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="CreateCryptoKey"

`CreateCryptoKeyVersion`

Método: CreateCryptoKeyVersion
Tipo de registro de auditoria: atividade do administrador
Permissões:
- cloudkms.cryptoKeyVersions.create - ADMIN_WRITE
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="CreateCryptoKeyVersion"

`CreateImportJob`

Método: CreateImportJob
Tipo de registro de auditoria: atividade do administrador
Permissões:
- cloudkms.importJobs.create - ADMIN_WRITE
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="CreateImportJob"

`CreateKeyRing`

Método: CreateKeyRing
Tipo de registro de auditoria: atividade do administrador
Permissões:
- cloudkms.keyRings.create - ADMIN_WRITE
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="CreateKeyRing"

`Decrypt`

Método: Decrypt
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="Decrypt"

`DestroyCryptoKeyVersion`

Método: DestroyCryptoKeyVersion
Tipo de registro de auditoria: atividade do administrador
Permissões:
- cloudkms.cryptoKeyVersions.destroy - ADMIN_WRITE
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="DestroyCryptoKeyVersion"

`Encrypt`

Método: Encrypt
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.cryptoKeyVersions.useToEncrypt - DATA_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="Encrypt"

`GetCryptoKey`

Método: GetCryptoKey
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.cryptoKeys.get - ADMIN_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="GetCryptoKey"

`GetCryptoKeyVersion`

Método: GetCryptoKeyVersion
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.cryptoKeyVersions.get - ADMIN_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="GetCryptoKeyVersion"

`GetImportJob`

Método: GetImportJob
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.importJobs.get - ADMIN_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="GetImportJob"

`GetKeyRing`

Método: GetKeyRing
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.keyRings.get - ADMIN_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="GetKeyRing"

`GetPublicKey`

Método: GetPublicKey
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.cryptoKeyVersions.viewPublicKey - DATA_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="GetPublicKey"

`ImportCryptoKeyVersion`

Método: ImportCryptoKeyVersion
Tipo de registro de auditoria: atividade do administrador
Permissões:
- cloudkms.cryptoKeyVersions.create - ADMIN_WRITE
- cloudkms.cryptoKeyVersions.update - ADMIN_WRITE
- cloudkms.importJobs.useToImport - ADMIN_WRITE
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="ImportCryptoKeyVersion"

`ListCryptoKeyVersions`

Método: ListCryptoKeyVersions
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.cryptoKeyVersions.list - ADMIN_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="ListCryptoKeyVersions"

`ListCryptoKeys`

Método: ListCryptoKeys
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.cryptoKeys.list - ADMIN_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="ListCryptoKeys"

`ListImportJobs`

Método: ListImportJobs
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.importJobs.list - ADMIN_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="ListImportJobs"

`ListKeyRings`

Método: ListKeyRings
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.keyRings.list - ADMIN_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="ListKeyRings"

`MacSign`

Método: MacSign
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.cryptoKeyVersions.useToSign - DATA_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="MacSign"

`MacVerify`

Método: MacVerify
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.cryptoKeyVersions.useToVerify - DATA_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="MacVerify"

`RawDecrypt`

Método: RawDecrypt
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="RawDecrypt"

`RawEncrypt`

Método: RawEncrypt
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.cryptoKeyVersions.useToEncrypt - DATA_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="RawEncrypt"

`RestoreCryptoKeyVersion`

Método: RestoreCryptoKeyVersion
Tipo de registro de auditoria: atividade do administrador
Permissões:
- cloudkms.cryptoKeyVersions.restore - ADMIN_WRITE
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="RestoreCryptoKeyVersion"

`UpdateCryptoKey`

Método: UpdateCryptoKey
Tipo de registro de auditoria: atividade do administrador
Permissões:
- cloudkms.cryptoKeys.update - ADMIN_WRITE
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="UpdateCryptoKey"

`UpdateCryptoKeyPrimaryVersion`

Método: UpdateCryptoKeyPrimaryVersion
Tipo de registro de auditoria: atividade do administrador
Permissões:
- cloudkms.cryptoKeys.update - ADMIN_WRITE
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="UpdateCryptoKeyPrimaryVersion"

`UpdateCryptoKeyVersion`

Método: UpdateCryptoKeyVersion
Tipo de registro de auditoria: atividade do administrador
Permissões:
- cloudkms.cryptoKeyVersions.update - ADMIN_WRITE
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="UpdateCryptoKeyVersion"

`google.iam.v1.IAMPolicy`

Os registros de auditoria a seguir estão associados a métodos que pertencem a google.iam.v1.IAMPolicy.

`GetIamPolicy`

Método: GetIamPolicy
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.cryptoKeys.getIamPolicy - ADMIN_READ
- cloudkms.keyRings.getIamPolicy - ADMIN_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="GetIamPolicy"

`SetIamPolicy`

Método: SetIamPolicy
Tipo de registro de auditoria: atividade do administrador
Permissões:
- cloudkms.cryptoKeys.setIamPolicy - ADMIN_WRITE
- cloudkms.keyRings.setIamPolicy - ADMIN_WRITE
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="SetIamPolicy"

`google.longrunning.Operations`

Os registros de auditoria a seguir estão associados a métodos que pertencem a google.longrunning.Operations.

`GetOperation`

Método: GetOperation
Tipo de registro de auditoria: acesso a dados
Permissões:
- cloudkms.operations.get - ADMIN_READ
O método é uma operação de streaming ou de longa duração: No
Filtrar para este método: protoPayload.methodName="GetOperation"

Métodos que não geram registros de auditoria

Um método pode não gerar registros de auditoria por um ou mais dos seguintes motivos:

É um método de alto volume que envolve geração de registros significativos e custos de armazenamento.
Tem pouco valor para a auditoria.
Outro registro de auditoria ou plataforma já oferece cobertura do método.

Os métodos abaixo não geram registros de auditoria:

google.cloud.kms.v1.KeyManagementService.GenerateRandomBytes
google.cloud.location.Locations.GetLocation
google.cloud.location.Locations.ListLocations