遵循 Cloud 稽核記錄的最佳做法，可協助貴組織維護安全性、控管機密記錄資料的存取權，並將風險降到最低。雖然這份文件並未詳盡列出所有工作，但建議的工作順序可協助您瞭解稽核記錄活動的範圍，並規劃記錄設定。
瞭解 Cloud 稽核記錄
大多數 Cloud de Confiance 服務都提供稽核記錄。Cloud 稽核記錄會為每個Cloud de Confiance 專案、帳單帳戶、資料夾和組織提供下列類型的稽核記錄：
| 稽核記錄類型 | 可自行設定 | 可收費 |
|---|---|---|
| 管理員活動稽核記錄 | 否；一律以書面形式 | 否 |
| 資料存取稽核記錄 | 是 | 是 |
| 政策被拒絕的稽核記錄 | 可以，您可以排除這些記錄，不寫入記錄 bucket | 是 |
| 系統事件稽核記錄 | 否；一律寫入 | 否 |
資料存取稽核記錄 (除 BigQuery 以外) 預設為停用。如要為 Cloud de Confiance服務寫入資料存取稽核記錄，您必須明確啟用這類記錄。詳情請參閱本頁的「設定資料存取稽核記錄」一節。
如要瞭解Cloud de Confiance稽核記錄的整體情況，請參閱「Cloud 稽核記錄總覽」。
控管記錄檔存取權
稽核記錄資料相當敏感，因此請務必為貴組織的使用者設定適當的存取控管機制。
請根據您的法規遵循和使用需求，按照下列方式設定這些存取控管機制：
- 設定 IAM 權限
- 設定記錄檢視
- 設定記錄項目欄位層級存取控管機制
設定 IAM 權限
IAM 權限和角色會決定使用者能否在 Logging API、Logs Explorer 和 Google Cloud CLI 中存取稽核記錄資料。使用 IAM 授予特定Cloud de Confiance bucket 的精細存取權，防止他人擅自存取其他資源。
您授予使用者的權限型角色，取決於他們在組織中與稽核相關的職能。舉例來說，您可以授予技術長廣泛的管理權限，而開發人員團隊成員可能需要記錄檢視權限。如要瞭解應將哪些角色授予組織使用者，請參閱「設定稽核記錄的角色」。
設定 IAM 權限時，請套用最小權限安全原則，只授予使用者必要的資源存取權：
- 移除所有非必要使用者。
- 授予重要使用者正確且最低限度的權限。
如要瞭解如何設定 IAM 權限，請參閱「管理專案、資料夾和組織的存取權」。
設定記錄檔檢視表
Logging 收到的所有記錄 (包括稽核記錄) 都會寫入稱為「記錄檔 bucket」的儲存容器。記錄檔檢視表可讓您控管誰有權存取記錄檔 bucket 內的記錄檔。
記錄檔 bucket 可能包含多個 Cloud de Confiance 專案的記錄檔，因此您可能需要控管不同使用者可以查看哪些 Cloud de Confiance 專案的記錄檔。建立自訂記錄檔檢視表，更精細地控管這些 bucket 的存取權。
如需建立及管理記錄檢視畫面的操作說明，請參閱「設定記錄檔 bucket 的記錄檢視畫面」。
設定記錄欄位層級存取控管機制
您可以透過欄位層級存取控管機制，對 Cloud de Confiance 專案的使用者隱藏個別LogEntry欄位，更精細地控管使用者可存取的記錄資料。記錄檔檢視表會隱藏整個 LogEntry，而欄位層級存取控管機制則會隱藏 LogEntry 的個別欄位。舉例來說，您可能想從組織的大多數使用者中，遮蓋外部使用者 PII，例如記錄項目酬載中包含的電子郵件地址。
如需設定欄位層級存取控管機制的指示，請參閱「設定欄位層級存取權」。
設定資料存取稽核記錄
啟用新的 Cloud de Confiance 服務時，請評估是否要啟用資料存取稽核記錄。
資料存取稽核記錄可協助 Google 支援團隊排解帳戶問題。因此，建議您盡可能啟用資料存取稽核記錄。
如要為所有服務啟用所有稽核記錄，請按照操作說明更新 Identity and Access Management (IAM) 政策，並採用稽核政策中列出的設定。
定義組織層級的資料存取政策並啟用資料存取稽核記錄後，請先使用測試 Cloud de Confiance 專案驗證稽核記錄收集設定，再於組織中建立開發人員和正式 Cloud de Confiance 專案。
如需啟用資料存取稽核記錄的操作說明，請參閱「啟用資料存取稽核記錄」。
控管記錄檔的儲存方式
您可以設定組織 bucket 的各個層面，也可以建立使用者定義的 bucket，集中或細分記錄檔儲存空間。視法規遵循和使用需求而定，您可能需要自訂記錄儲存空間，如下所示：
- 選擇記錄的儲存位置。
- 定義資料保留期限。
- 使用客戶自行管理的加密金鑰 (CMEK) 保護記錄。
選擇記錄的儲存位置
在 Logging 中，bucket 是區域性資源：儲存、索引及搜尋記錄的基礎架構位於特定地理位置。
貴組織可能需要將記錄檔資料儲存在特定區域。選擇記錄檔儲存區域時，主要考量因素包括滿足組織的延遲時間、可用性或法規遵循要求。
如要自動將特定儲存空間區域套用至組織中建立的新 _Default 和 _Required bucket，可以設定預設資源位置。
如需設定預設資源位置的操作說明，請參閱「調整組織的預設設定」。
定義資料保留期限
Cloud Logging 會根據記錄檔 bucket 類型的保留規則，保留記錄檔。
為滿足法規遵循需求，請設定 Cloud Logging，將記錄保留 1 天到400 days。自訂保留規則適用於 bucket 中的所有記錄，無論記錄類型為何，或是否從其他位置複製。
如需設定記錄檔 bucket 保留規則的操作說明，請參閱「設定自訂保留期限」。
使用客戶自行管理的加密金鑰保護稽核記錄
Cloud Logging 預設會加密靜態儲存的客戶內容。貴組織可能有進階加密需求，而預設的靜態資料加密無法滿足這些需求。為滿足貴組織的需求，您可以設定客戶自行管理的加密金鑰 (CMEK)，自行控管及管理加密作業，而非由 Google 管理保護資料的金鑰加密金鑰。
如需設定 CMEK 的操作說明，請參閱「設定記錄儲存空間的 CMEK」。
查詢及查看稽核記錄
如需排解問題，就必須能快速查看記錄。在 Cloud de Confiance 控制台中，使用 Logs Explorer 擷取組織的稽核記錄項目：
-
前往 Cloud de Confiance 控制台的 「Logs Explorer」頁面：
如果您是使用搜尋列尋找這個頁面，請選取子標題為「Logging」的結果。
選取您的機構。
在「Query」(查詢) 窗格中，執行下列操作：
在「Resource type」(資源類型) 中，選取要查看稽核記錄的 Cloud de Confiance 資源。
在「Log name」(記錄檔名稱) 中，選取要查看的稽核記錄類型：
- 如要查看管理員活動稽核記錄，請選取「activity」(活動)。
- 如要查看資料存取稽核記錄，請選取「data_access」。
- 如要查看系統事件稽核記錄，請選取「system_event」。
- 如要查看政策遭拒稽核記錄，請選取「policy」(政策)。
如果沒有看到這些選項，表示組織中沒有這類型的稽核記錄。
在查詢編輯器中，進一步指定要查看的稽核記錄項目。如需常見查詢範例，請參閱「使用記錄檔探索工具的查詢範例」。
點選「執行查詢」。
如要進一步瞭解如何使用 Logs Explorer 查詢，請參閱「透過 Logs Explorer 建構查詢」。
將記錄檔轉送至支援的目的地
貴組織可能需要建立及保留稽核記錄。您可以使用接收器，將部分或所有記錄檔轉送至下列支援的目的地：
- 其他 Cloud Logging bucket
判斷是否需要資料夾層級或組織層級接收器，並使用匯總接收器，從組織或資料夾內的所有 Cloud de Confiance 專案轉送記錄。舉例來說，您可以考慮下列轉送用途：
組織層級接收器：如果貴組織使用 SIEM 管理多個稽核記錄，建議您轉送組織的所有稽核記錄。因此，組織層級接收器是合理的選擇。
資料夾層級接收器：有時您可能只想轉送部門稽核記錄。舉例來說，如果您有「財務」和「IT」資料夾，可能只會轉送屬於「財務」資料夾的稽核記錄，反之亦然。
如要進一步瞭解資料夾和組織，請參閱「資源階層」。
將用於轉送記錄的 Cloud de Confiance 目的地，套用與記錄檔探索工具相同的存取政策。
如需建立及管理匯總接收器的操作說明，請參閱「整理組織層級記錄檔並轉送至支援的目的地」。
瞭解接收器目的地的資料格式
將稽核記錄轉送至 Cloud Logging 以外的目的地時，請瞭解傳送資料的格式。
如要瞭解及尋找從 Cloud Logging 轉送至支援目的地的記錄項目，請參閱「查看接收器目的地中的記錄檔」。