יכול להיות שחלק מהמידע בדף הזה או כולו לא רלוונטי ל-Cloud de Confiance by S3NS. פרטים נוספים מופיעים במאמר מה ההבדל מ-Google Cloud.

‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

הפעלת יומני ביקורת של גישה לנתונים

יומני ביקורת של Data Access מאפשרים לתעד קריאות ל-API שקוראות הגדרות או מטא-נתונים של משאבים, וגם קריאות ל-API שמופעלות על ידי משתמשים ויוצרות, משנות או קוראות נתוני משאבים שסופקו על ידי משתמשים. כברירת מחדל, היומנים האלה מושבתים ברוב השירותים, אבל אתם יכולים להפעיל, להגדיר או להשבית אותם באופן מפורש בפרויקטים, בחשבונות לחיוב, בתיקיות ובארגונים ב- Cloud de Confiance באמצעות מסוף Cloud de Confiance או ה-API.

לפני שמתחילים

לפני שמגדירים את יומני הביקורת של גישה לנתונים, חשוב להבין את הדברים הבאים:

יומני הביקורת של Data Access מושבתים כברירת מחדל בכל השירותים, חוץ מכמה שירותים של BigQuery. אם אתם רוצים שיומני הביקורת של בקרת הרשאות גישה לנתונים ייכתבו בשירותים שבהם היומנים האלה מושבתים כברירת מחדל, אתם צריכים להפעיל אותם באופן מפורש ב Cloud de Confiance מסוף או באמצעות ה-API.
יומני הביקורת של בקרת הרשאות גישה לנתונים מאוחסנים בקטגוריה _Default, אלא אם ניתבתם אותם למקום אחר. מידע נוסף מופיע במאמר אחסון וניתוב של יומני ביקורת.
יומני הביקורת של בקרת הרשאות גישה לנתונים עוזרים לתמיכה של Google לפתור בעיות בחשבון. לכן, מומלץ להפעיל את יומני הביקורת של גישה לנתונים כשאפשר.
כדי לקבל את ההרשאות שנדרשות לגישה לכל היומנים בקטגוריות _Required ו-_Default, כולל יומני Data Access, צריך לבקש מהאדמין להקצות לכם את התפקיד צפייה ביומנים פרטיים (roles/logging.privateLogViewer) ב-IAM בפרויקט.

התפקיד "צפייה ביומנים פרטיים" ((roles/logging.privateLogViewer)) כולל את ההרשאות שכלולות בתפקיד "מציג היומנים" (roles/logging.viewer), ואת ההרשאות שנדרשות כדי לקרוא את יומני הביקורת של בקרת הרשאות גישה לנתונים בקטגוריה _Default.

התפקיד "עריכה" (roles/editor) לא כולל את ההרשאות שנדרשות כדי לצפות ביומני הגישה לנתונים.

במאמר בקרת גישה באמצעות IAM תוכלו לקרוא מידע נוסף על ההרשאות והתפקידים ב-IAM שחלים על הנתונים של יומני הביקורת.

סקירה כללית של ההגדרה

אתם יכולים להגדיר איך יומני הביקורת של הגישה לנתונים יופעלו בשביל המשאבים והשירותים שלCloud de Confiance :

ארגונים: אתם יכולים להפעיל ולהגדיר יומני ביקורת של גישה לנתונים בארגון, וההגדרה תחול על כל הפרויקטים והתיקיות הקיימים והחדשים ב-Cloud de Confiance בארגון.
תיקיות: אפשר להפעיל ולהגדיר יומני ביקורת של בקרת הרשאות גישה לנתונים בתיקייה, וההגדרה תחול על כל הפרויקטים הקיימים והחדשים של Cloud de Confiance בתיקייה. אי אפשר להשבית יומן ביקורת של בקרת הרשאות גישה לנתונים שהופעל בארגון ברמה שמעל לפרויקט.
פרויקטים: אתם יכולים להגדיר יומני בקרת הרשאות גישה לנתונים בפרויקטCloud de Confiance ספציפי. אי אפשר להשבית יומן ביקורת של גישה לנתונים שהופעל בארגון או בתיקייה ברמה גבוהה יותר בהיררכיה.
חשבונות לחיוב: כדי להגדיר יומני ביקורת של גישה לנתונים בחשבונות לחיוב, צריך להשתמש ב-Google Cloud CLI. למידע נוסף על השימוש ב-CLI של gcloud עם יומני ביקורת של גישה לנתונים וחשבונות לחיוב, קראו את gcloud beta billing accounts set-iam-policy.
הגדרות ברירת מחדל: אתם יכולים לציין הגדרת ברירת מחדל ליומני ביקורת של בקרת הרשאות גישה לנתונים בארגון, בתיקייה או בפרויקט ב- Cloud de Confiance , שתחול על שירותים עתידיים ב- Cloud de Confiance שיתחילו להפיק יומני ביקורת של בקרת הרשאות גישה לנתונים. הוראות מופיעות במאמר הגדרת ברירת המחדל.
סוגי הרשאות: אתם יכולים לציין ש Cloud de Confiance ממשקי API שבודקים רק סוג מסוים של הרשאה יפיקו יומן ביקורת. מידע נוסף מופיע בקטע סוגי הרשאות בדף הזה.
חשבונות משתמשים פטורים: אתם יכולים להחריג חשבונות משתמשים ספציפיים, כך שהגישה שלהם לנתונים לא תתועד. לדוגמה, אתם יכולים להחריג את חשבונות הבדיקה הפנימיים שלכם מתיעוד הפעולות שלהם ב-Cloud Monitoring. רשימה של חשבונות משתמשים תקינים, כולל משתמשים וקבוצות, מופיעה בחומרי העזר של הסוג Binding.

אפשר להגדיר את יומני הביקורת של בקרת הרשאות גישה לנתונים דרך הדף Audit Logs של IAM במסוף Cloud de Confiance , או באמצעות ה-API. השיטות האלה מוסברות בקטעים הבאים.

סוגי הרשאות

ה-methods של ה-API בודקות את הרשאות ה-IAM. לכל הרשאת IAM יש סוג הרשאה, שמוגדר על ידי המאפיין type. סוגי ההרשאות מחולקים לשתי קטגוריות: הרשאות גישה לנתונים והרשאות פעילות אדמין.

סוגי הרשאות גישה לנתונים:
- ‫ADMIN_READ: הרשאות IAM מהסוג הזה נבדקות ב-Cloud de Confiance API methods שקוראות מטא-נתונים או פרטי הגדרות. בדרך כלל, יומני הביקורת של ADMIN_READ מושבתים כברירת מחדל וצריך להפעיל אותם.
- DATA_READ: הרשאות IAM מהסוג הזה נבדקות ב-API methods שלCloud de Confiance שקוראות פרטים שהמשתמשים מספקים (UPD). בדרך כלל, יומני הביקורת של DATA_READ מושבתים כברירת מחדל וצריך להפעיל אותם.
- DATA_WRITE: הרשאות IAM מהסוג הזה נבדקות ב-Cloud de Confiance methods של API שכותבות פרטים שהמשתמשים מספקים (UPD). בדרך כלל, יומני הביקורת של DATA_WRITE מושבתים כברירת מחדל וצריך להפעיל אותם.
סוג ההרשאה "פעילות אדמין":
- ‫ADMIN_WRITE: הרשאות IAM מהסוג הזה נבדקות ב-methods שלCloud de Confiance API שכותבות מטא-נתונים או פרטי הגדרות. יומני הביקורת שמשויכים לסוג הזה, יומני הביקורת של פעילות אדמין, מופעלים כברירת מחדל ואי אפשר להשבית אותם.

אתם יכולים להפעיל או להשבית סוגי הרשאות לשירותים באמצעות מסוףCloud de Confiance או באמצעות קריאה ל-API.

רוב ממשקי ה-API של Cloud de Confiance בודקים רק אם למשתמש יש הרשאה אחת ב-IAM. אם סוג ההרשאה שמשויך להרשאה הזו מופעל בשירות שה-API שלו נקרא, ה-API יוצר יומן ביקורת.

בקטעים הבאים מתוארות באופן כללי דרכים אחרות שבהן השיטות של ה-API של Cloud de Confianceבודקות את הרשאות ה-IAM. במאמרי העזרה בנושא רישום ביומן הביקורת של השירות מוסבר אילו שיטות נבדקות לכל סוג הרשאה.

בדיקת הרשאות IAM לסוגי הרשאות של גישה לנתונים

בשיטות מסוימות של Cloud de Confiance API נבדק אם למבצע הקריאה החוזרת יש כמה הרשאות IAM עם סוגים שונים של הרשאות גישה לנתונים. יומן ביקורת נכתב כשמפעילים בפרויקט את אחד מסוגי ההרשאות האלה של Data Access.

לדוגמה, יכול להיות ש-method של API יבדוק אם לחשבון המשתמש ששולח בקשת API יש את ההרשאות example.resource.get (DATA_READ) ו-example.resource.write (DATA_WRITE). כדי שהשירות יפיק את יומן הביקורת כשהקריאה נשלחת, צריך להפעיל בפרויקט רק את DATA_WRITE או את DATA_READ.

סוגי ההרשאות של IAM שנבדקו: פעילות אדמין וגישה לנתונים

בחלק מה-methods של Cloud de Confiance API נבדקות גם הרשאת IAM מסוג ADMIN_WRITE וגם הרשאה אחת או יותר מסוג Data Access.

קריאות ל-API מהסוג הזה יוצרות יומני ביקורת של פעילות אדמין, שמופעלים כברירת מחדל ואי אפשר להשבית אותם.

ה-method של ה-API בודקת אם יש הרשאות IAM שלא בבעלות השירות

בחלק משירותי Cloud de Confiance יש שיטות API שיוצרות יומן ביקורת רק כשסוג הרשאה ספציפי מופעל בשירות אחר.

לדוגמה, לחיוב ב-Cloud יש שיטת API שבודקת את סוג ההרשאה ADMIN_READ שבבעלות מנהל המשאבים. כדי להפעיל את יומן הביקורת שמשויך ל-Cloud Billing API, צריך להפעיל את ADMIN_READ בשירות cloudresourcemanager.googleapis.com.

בדיקות של אותה שיטת API להרשאות IAM שונות

בחלק מממשקי ה-API של Cloud de Confiance , האופן שבו קוראים ל-method קובע אילו סוגי הרשאות IAM צריך להפעיל בפרויקט כדי ליצור יומן ביקורת.

לדוגמה, ל-Spanner יש שיטת API שלפעמים בודקת הרשאת IAM מסוג DATA_WRITE, ולפעמים בודקת הרשאת IAM מסוג DATA_READ, בהתאם לאופן שבו השיטה נקראת. במקרה כזה, הפעלת DATA_WRITE ל-Spanner בפרויקט של הקריאה ל-API מפעילה רק את יומן הביקורת שמשויך ל-API, כשנבדקת הרשאת ה-IAM עם הסוג DATA_WRITE.

הגדרות ספציפיות לשירות

אם יש גם הגדרה ברמת השירות ( Cloud de Confiance allServices) וגם הגדרה לשירות ספציפי ( Cloud de Confiance ), ההגדרה שמתקבלת לשירות היא שילוב של שתי ההגדרות. במילים אחרות:

אתם יכולים להפעיל יומני ביקורת של גישה לנתונים בשירותים ספציפיים של Cloud de Confiance, אבל אתם לא יכולים להשבית יומני ביקורת של גישה לנתונים בשירותיCloud de Confiance שמופעלים בהגדרה הרחבה יותר.
אפשר להוסיף סוגי מידע נוספים ליומן הביקורת של בקרת הרשאות גישה לנתונים של שירות Cloud de Confiance, אבל אי אפשר להסיר סוגי מידע שצוינו בהגדרה הרחבה יותר.
אתם יכולים להוסיף חשבונות משתמשים לרשימות ההחרגה, אבל לא להסיר אותם מרשימות ההחרגה בהגדרה הרחבה יותר.
בשירות העברת הנתונים ל-BigQuery, ההגדרה של יומן הביקורת Data Access עוברת בירושה מההגדרה של יומן הביקורת שמוגדר כברירת מחדל.

שרתי Google Cloud MCP כותבים יומני ביקורת של גישה לנתונים, שהם ספציפיים לשירות ומשתמשים בפורמט SERVICE_NAME.googleapis.com/mcp. כדי להפעיל את יומני הגישה לנתונים, צריך להפעיל את רישום הביקורת ביומן של mcp.googleapis.com באובייקט AuditConfig של IAM. מידע נוסף על רישום יומני ביקורת בשרתי Google Cloud MCP

הגדרות של משאביCloud de Confiance

אפשר להגדיר יומני ביקורת של גישה לנתונים בפרויקטים, בחשבונות לחיוב, בתיקיות ובארגונים ב- Cloud de Confiance . אם יש הגדרה שלCloud de Confiance שירות בהיררכיה, ההגדרה שמתקבלת היא איחוד של ההגדרות. במילים אחרות, ברמת הפרויקטCloud de Confiance :

אתם יכולים להפעיל יומנים לשירות של Cloud de Confiance , אבל לא להשבית יומנים לשירות של Cloud de Confiance שמופעל בארגון או בתיקייה ברמה גבוהה יותר בהיררכיה.
אתם יכולים להפעיל סוגי מידע, אבל לא להשבית סוגי מידע שמופעלים בתיקייה או בארגון ברמה גבוהה יותר בהיררכיה.
אתם יכולים להוסיף חשבונות משתמשים לרשימות פטורים, אבל לא להסיר אותם מרשימות פטורים בארגון או בתיקייה ברמה גבוהה יותר בהיררכיה.
ברמת הארגון או התיקייה ההורה, אתם יכולים להפעיל יומני ביקורת של בקרת הרשאות גישה לנתונים בפרויקט Cloud de Confiance באותו ארגון או באותה תיקייה, גם אם יומני הביקורת של בקרת הרשאות גישה לנתונים לא הוגדרו בפרויקטCloud de Confiance .

בקרת גישה

התפקידים וההרשאות של ניהול הזהויות והרשאות הגישה (IAM) קובעים את הגישה לנתוני הרישום ביומן, כולל הצגה וניהול של כללי המדיניות של IAM שעומדים בבסיס ההגדרות של בקרת הרשאות גישה לנתונים.

כדי לראות או להגדיר את כללי המדיניות שמשויכים להגדרת הגישה לנתונים, צריך תפקיד עם הרשאות ברמת המשאב המתאימה. במאמר ניהול הגישה לפרויקטים, לתיקיות ולארגונים ב- Cloud de Confiance מוסבר איך מקצים את התפקידים האלה ברמת המשאב.

כדי להגדיר מדיניות IAM, צריך תפקיד עם ההרשאה resourcemanager.RESOURCE_TYPE.setIamPolicy.
כדי לצפות במדיניות IAM, צריך תפקיד עם ההרשאה resourcemanager.RESOURCE_TYPE.getIamPolicy.

חשוב: כשמציגים את ההגדרות של יומני הגישה לנתונים במסוף Cloud de Confiance ברמת הפרויקט או התיקייה של Cloud de Confiance , אם אין לכם את ההרשאה getIamPolicy לארגון או לתיקייה ברמה גבוהה יותר בהיררכיה, ההגדרות של יומני הגישה לנתונים שקיימות בישויות האלה לא יוצגו במסוף Cloud de Confiance . ההגדרות האלה של הגישה לנתונים עדיין חלות על כל הקריאות ל-API Cloud de Confiance בפרויקט או בתיקייה שאתם צופים בהם.

לרשימת ההרשאות והתפקידים שנדרשים כדי לצפות ביומני הביקורת של בקרת הרשאות גישה לנתונים, ראו בקרת גישה באמצעות IAM.

הגדרת יומני ביקורת של גישה לנתונים באמצעות מסוף Cloud de Confiance

כאן מוסבר איך משתמשים במסוף Cloud de Confiance כדי להגדיר יומני ביקורת של גישה לנתונים.

אפשר גם להשתמש ב-API או ב-Google Cloud CLI כדי לבצע את המשימות האלה באופן פרוגרמטי. פרטים נוספים זמינים במאמר הגדרת יומני ביקורת של גישה לנתונים באמצעות ה-API.

כדי לגשת לאפשרויות ההגדרה של יומני הביקורת במסוף Cloud de Confiance :

במסוף Cloud de Confiance , נכנסים לדף יומני ביקורת:
כניסה לדף Audit Logs

אם משתמשים בשורת החיפוש כדי למצוא את הדף הזה, בוחרים בתוצאה שכותרת המשנה שלה היא IAM & Admin.
בוחרים פרויקט, תיקייה או ארגון שקיימים ב- Cloud de Confiance .

הפעלה של יומני ביקורת

כדי להפעיל את יומני הביקורת של הגישה לנתונים:

בטבלה Data Access audit logs configuration, בוחרים שירות אחד או יותר בעמודהCloud de Confiance Service.
בכרטיסייה Permission types, בוחרים את סוגי יומני הביקורת של הגישה לנתונים שרוצים להפעיל בשירותים שנבחרו.
לוחצים על Save.

אם הפעלתם בהצלחה את יומני הביקורת, בטבלה יופיע הסמל Check.

בדוגמה הבאה, אפשר לראות שבשירות אישור גישה מראש מופעל סוג יומן הביקורת Data Read:

הגדרת יומני ביקורת

אפשר גם להפעיל יומני ביקורת לכל שירותי Cloud de Confiance שיוצרים יומני ביקורת של גישה לנתונים. בטבלה Data Access audit logs configuration, בוחרים את כל השירותים של Cloud de Confiance .

חשוב לזכור שהשיטה הזו להגדרה בכמות גדולה רלוונטית רק לשירותי Cloud de Confianceשזמינים למשאב שלכם. אם מוסיפים שירותCloud de Confiance חדש, הוא מקבל בירושה את הגדרת ברירת המחדל לביקורת.

השבתת יומני בקרת הרשאות גישה לנתונים

כדי להשבית את יומני הביקורת של גישה לנתונים:

בטבלה Data Access audit logs configuration, בוחרים שירות אחד או יותר שלCloud de Confiance .
בכרטיסייה Log Types בחלונית המידע, בוחרים את הסוגים של יומני הביקורת של הגישה לנתונים שרוצים להשבית בשירותים שנבחרו.
לוחצים על Save.

אם השבתם בהצלחה את יומני בקרת הרשאות גישה לנתונים, בטבלה יופיע מקף. יומני הביקורת של בקרת הרשאות גישה לנתונים שמופעלים מסומנים בסמל Check.

הגדרת פטורים

אתם יכולים להגדיר החרגות כדי לקבוע אילו חשבונות משתמשים ייצרו יומני ביקורת של גישה לנתונים בשירותים מסוימים. כשמוסיפים חשבון משתמש מוחרג, לא נוצרים בשבילו יומני ביקורת לסוגי היומנים שנבחרו.

כדי להגדיר פטורים, מבצעים את הפעולות הבאות:

בטבלה Data Access audit logs configuration, בוחרים שירותCloud de Confiance מהעמודה Service.
בחלונית המידע, לוחצים על הכרטיסייה Exempted Principals.
בשדה Add exempted principal, מזינים את חשבון המשתמש שרוצים להחריג מיצירת יומני ביקורת של גישה לנתונים בשירות שנבחר.

כדי להוסיף כמה חשבונות ראשיים, לוחצים על הלחצן Add exempted principal כמה פעמים שצריך.

רשימה של חשבונות משתמשים תקינים, כולל משתמשים וקבוצות, מופיעה בהפניה לסוג Binding.
בקטע Disabled Log Types, בוחרים את הסוגים של יומני הביקורת של הגישה לנתונים שרוצים להשבית.
לוחצים על Save.

אם הוספתם בהצלחה ישויות מורשות פטורות לשירות, בטבלה Data Access audit logs configuration יופיע מספר בעמודה Exempted principals.

כדי להסיר חשבון ראשי מרשימת הפטורים:

בטבלה Data Access audit logs configuration, בוחרים שירותCloud de Confiance מהעמודה Service.
בחלונית המידע, לוחצים על הכרטיסייה Exempted Principals.
מעבירים את העכבר מעל שם של חשבון משתמש ולוחצים על Delete.
אחרי ששם חשבון המשתמש מוצג בטקסט עם קו חוצה, לוחצים על Save.

כדי לערוך את הפרטים של חשבון ראשי פטור, מבצעים את הפעולות הבאות:

בטבלה Data Access audit logs configuration, בוחרים שירות מהעמודה Service שלCloud de Confiance .
בחלונית המידע, לוחצים על הכרטיסייה Exempted Principals.
מאתרים את חשבון המשתמש ולוחצים על סמל ההרחבה Show more.
בוחרים או מבטלים את הבחירה של סוגי יומני הביקורת של בקרת הרשאות גישה לנתונים, בהתאם לישות המורשית.
לוחצים על Save.

הגדרת ברירת המחדל

אתם יכולים להגדיר הגדרה שכל השירותים החדשים והקיימים של Cloud de Confianceבפרויקט, בתיקייה או בארגון של Cloud de Confiance יקבלו בירושה. הגדרת ברירת המחדל הזו חלה אם שירות Cloud de Confiance חדש הופך לזמין וחשבונות משתמשים בארגון מתחילים להשתמש בו: השירות יורש את מדיניות רישום יומני הביקורת שכבר הגדרתם לשירותיCloud de Confiance אחרים, וכך מבטיח שיומני הביקורת של הגישה לנתונים יתועדו.

כדי להגדיר או לערוך את הגדרות ברירת המחדל:

לוחצים על Set Default Configuration.
בכרטיסייה Log Types בחלונית המידע, בוחרים את הסוגים של יומני הביקורת של הגישה לנתונים שרוצים להפעיל או להשבית.
לוחצים על Save.
בחלונית המידע, לוחצים על הכרטיסייה Exempted Principals.
בשדה Add exempted principal, מזינים את חשבון המשתמש שרוצים להחריג מיצירת יומני ביקורת של גישה לנתונים בשירות שנבחר.

כדי להוסיף כמה חשבונות ראשיים, לוחצים על הלחצן Add exempted principal כמה פעמים שצריך.

רשימה של חשבונות משתמשים תקינים, כולל משתמשים וקבוצות, מופיעה בהפניה לסוג Binding.
בקטע Disabled Log Types, בוחרים את הסוגים של יומני הביקורת של הגישה לנתונים שרוצים להשבית.
לוחצים על Save.

הגדרת יומני ביקורת של גישה לנתונים באמצעות ה-API

בקטע הזה מוסבר איך משתמשים ב-API וב-CLI של gcloud כדי להגדיר באופן פרוגרמטי את יומני הביקורת של הגישה לנתונים.

אפשר לבצע הרבה מהמשימות האלה גם באמצעות מסוף Cloud de Confiance . להוראות, ראו הגדרת יומני ביקורת של גישה לנתונים באמצעות מסוף Cloud de Confiance בדף הזה.

בחלק מהשירותים של BigQuery, כמו BigQuery Reservation API, צריך להפעיל באופן מפורש את יומני הביקורת של הגישה לנתונים. כדי להפעיל יומני ביקורת של גישה לנתונים ב-BigQuery Reservation API, צריך לערוך את ההגדרות ולהפעיל את יומני הביקורת של ADMIN_READ בשביל bigquery.googleapis.com.

אובייקטים של מדיניות IAM

כדי להגדיר את יומני הביקורת של הגישה לנתונים באמצעות ה-API, צריך לערוך את מדיניות ה-IAM שמשויכת לפרויקט, לתיקייה או לארגון ב- Cloud de Confiance . הגדרת יומן הביקורת נמצאת בקטע auditConfigs של המדיניות:

"auditConfigs": [
  {
    object(AuditConfig)
  }
]

לפרטים נוספים, קראו על הסוג Policy של IAM.

בקטעים הבאים מוסבר בהרחבה על האובייקט AuditConfig. בקטע getIamPolicy ו-setIamPolicy מפורטות פקודות ה-API וה-CLI של gcloud שמשמשות לשינוי ההגדרות האישיות.

‫`AuditConfig` אובייקטים

ההגדרה של יומן הביקורת מורכבת מרשימה של אובייקטים מסוג AuditConfig. כל אובייקט מגדיר את היומנים של שירות אחד, או קובע הגדרה רחבה יותר לכל השירותים. כל אובייקט נראה כך:

{
  "service": SERVICE_NAME,
  "auditLogConfigs": [
    {
      "logType": "ADMIN_READ"
      "exemptedMembers": [ PRINCIPAL,]
    },
    {
      "logType": "DATA_READ"
      "exemptedMembers": [ PRINCIPAL,]
    },
    {
      "logType": "DATA_WRITE"
      "exemptedMembers": [ PRINCIPAL,]
    },
  ]
},

‫SERVICE_NAME מכיל ערך כמו "appengine.googleapis.com", או את הערך המיוחד "allServices". אם בהגדרה מסוימת לא מצוין שירות ספציפי, השירות הזה ישתמש בהגדרה הרחבה יותר. אם אין הגדרה, יומני הביקורת של הגישה לנתונים לא מופעלים בשירות הזה. כאן תוכלו למצוא רשימה של שמות השירותים.

הקטע auditLogConfigs של האובייקט AuditConfig הוא רשימה של 0 עד 3 אובייקטים, שכל אחד מהם מגדיר סוג אחד של מידע ביומן הביקורת. אם משמיטים את אחד מהסוגים מהרשימה, סוג המידע הזה לא מופעל בשירות.

‫PRINCIPAL הוא משתמש שלא נאספים לגביו יומני בקרת הרשאות גישה לנתונים. הסוג Binding מתאר סוגים שונים של חשבונות משתמשים, כולל משתמשים וקבוצות, אבל לא את כולם אפשר להגדיר ביומני הביקורת של Data Access.

בהמשך מופיעה דוגמה להגדרת ביקורת בפורמטים JSON ו-YAML. פורמט YAML הוא ברירת המחדל כשמשתמשים ב-Google Cloud CLI.

JSON

"auditConfigs": [
  {
    "auditLogConfigs": [
      {
        "logType": "ADMIN_READ"
      },
      {
        "logType": "DATA_WRITE"
      },
      {
        "logType": "DATA_READ"
      }
    ],
    "service": "allServices"
  },
  {
    "auditLogConfigs": [
      {
        "exemptedMembers": [
          "499862534253-compute@developer.s3ns-system.iam.gserviceaccount.com"
        ],
        "logType": "ADMIN_READ"
      }
    ],
    "service": "cloudsql.googleapis.com"
  }
],

YAML

auditConfigs:
- auditLogConfigs:
  - logType: ADMIN_READ
  - logType: DATA_WRITE
  - logType: DATA_READ
  service: allServices
- auditLogConfigs:
  - exemptedMembers:
    - 499862534253-compute@developer.s3ns-system.iam.gserviceaccount.com
    logType: ADMIN_READ
  service: cloudsql.googleapis.com

הגדרות נפוצות

בהמשך מפורטות כמה הגדרות נפוצות של יומני ביקורת לפרויקטים ב- Cloud de Confiance .

הפעלה של כל יומני הביקורת של הגישה לנתונים

הקטע הבא של auditConfigs מפעיל את יומני הביקורת של בקרת הרשאות גישה לנתונים לכל השירותים וישויות מורשות:

JSON

"auditConfigs": [
      {
        "service": "allServices",
        "auditLogConfigs": [
          { "logType": "ADMIN_READ" },
          { "logType": "DATA_READ"  },
          { "logType": "DATA_WRITE" },
        ]
      },
    ]

YAML

auditConfigs:
- auditLogConfigs:
  - logType: ADMIN_READ
  - logType: DATA_WRITE
  - logType: DATA_READ
  service: allServices

הפעלת סוג אחד של שירות ומידע

ההגדרות הבאות מפעילות את יומני הביקורת של DATA_WRITE Data Access ב-Cloud SQL:

JSON

"auditConfigs": [
  {
    "service": "cloudsql.googleapis.com",
    "auditLogConfigs": [
      { "logType": "DATA_WRITE" },
    ]
  },
]

YAML

auditConfigs:
- auditLogConfigs:
  - logType: DATA_WRITE
  service: cloudsql.googleapis.com

השבתה של כל יומני בקרת הרשאות הגישה לנתונים

כדי להשבית את כל יומני הביקורת של הגישה לנתונים (חוץ מכמה יומנים של BigQuery) בפרויקט ב- Cloud de Confiance , צריך לכלול קטע auditConfigs: ריק במדיניות ה-IAM החדשה:

JSON

"auditConfigs": [],

YAML

auditConfigs:

אם מסירים את הקטע auditConfigs לגמרי מהמדיניות החדשה, setIamPolicy לא משנה את ההגדרות הקיימות של יומני הביקורת של Data Access. מידע נוסף זמין בקטע מסכת העדכון של setIamPolicy.

אי אפשר להשבית את יומני הביקורת של BigQuery Data Access.

`getIamPolicy` וגם `setIamPolicy`

אתם משתמשים ב-methods‏ getIamPolicy ו-setIamPolicy של Cloud Resource Manager API כדי לקרוא ולכתוב את מדיניות ה-IAM. יש כמה שיטות ספציפיות שאפשר להשתמש בהן:

ב-Cloud Resource Manager API יש את השיטות הבאות:

projects.getIamPolicy
projects.setIamPolicy
organizations.getIamPolicy
organizations.setIamPolicy

ב-Google Cloud CLI יש את הפקודות הבאות של מנהל המשאבים:

gcloud projects get-iam-policy
gcloud projects set-iam-policy
gcloud resource-manager folders get-iam-policy
gcloud resource-manager folders set-iam-policy
gcloud organizations get-iam-policy
gcloud organizations set-iam-policy
gcloud beta billing accounts get-iam-policy
gcloud beta billing accounts set-iam-policy

לא משנה מה תבחרו, בצעו את שלושת השלבים הבאים:

קוראים את המדיניות הנוכחית באמצעות אחת מהשיטות של getIamPolicy. שומרים את המדיניות בקובץ זמני.
עורכים את המדיניות בקובץ הזמני. משנים (או מוסיפים) רק את הקטע auditConfigs.
כותבים את המדיניות הערוכה בקובץ הזמני, באמצעות אחת מהשיטות של setIamPolicy.

הפעולה setIamPolicy תיכשל אם מנהל המשאבים יזהה שמישהו אחר שינה את המדיניות אחרי שקראתם אותה בשלב הראשון. במקרה כזה, צריך לחזור על שלושת השלבים.

דוגמאות

בדוגמאות הבאות מוסבר איך להגדיר את יומני הביקורת של הגישה לנתונים בפרויקט באמצעות הפקודה gcloud ו-Cloud Resource Manager API.

כדי להגדיר יומני ביקורת של גישה לנתונים ברמת הארגון, מחליפים את הגרסה של "projects" בפקודות ובשיטות ה-API בגרסה של "organizations".

gcloud

כדי להגדיר את יומני הביקורת של בקרת הרשאות גישה לנתונים באמצעות הפקודה gcloud projects:

קוראים את מדיניות ה-IAM של הפרויקט ושומרים אותה בקובץ:

gcloud projects get-iam-policy PROJECT_ID > /tmp/policy.yaml

הקוד הבא מציג את המדיניות שהוחזרה. במדיניות הזו אין קטע של auditConfigs:

bindings:
- members:
  - user:colleague@example.com
  role: roles/editor
- members:
  - user:myself@example.com
  role: roles/owner
etag: BwVM-FDzeYM=
version: 1

עורכים את המדיניות ב-/tmp/policy.yaml, ומוסיפים או משנים רק את ההגדרות של יומני בקרת הרשאות הגישה לנתונים.

אזהרה: צריך לשמור את הקטעים bindings: ו-etag: בלי שינויים. אם לא תעשו את זה, יכול להיות שלא תוכלו להשתמש ב Cloud de Confiance פרויקט. מידע נוסף זמין בקטע מסכת העדכון setIamPolicy שבדף הזה.

דוגמה למדיניות הערוכה, שמאפשרת יומני ביקורת של גישה לנתונים מסוג כתיבת נתונים ב-Cloud SQL:
```
auditConfigs:
- auditLogConfigs:
  - logType: DATA_WRITE
  service: cloudsql.googleapis.com
bindings:
- members:
  - user:colleague@example.com
  role: roles/editor
- members:
  - user:myself@example.com
  role: roles/owner
etag: BwVM-FDzeYM=
version: 1
```
כמו שרואים בדוגמה הקודמת, ארבע שורות נוספו לתחילת המדיניות.
כותבים את מדיניות ה-IAM החדשה:
```
gcloud projects set-iam-policy PROJECT_ID /tmp/policy.yaml
```
אם הפקודה הקודמת מדווחת על התנגשות עם שינוי אחר, חוזרים על השלבים האלה, החל מהשלב הראשון.

JSON

כדי לעבוד עם מדיניות IAM בפורמט JSON במקום ב-YAML, מחליפים את הפקודות הבאות של gcloud בדוגמה:

gcloud projects get-iam-policy PROJECT_ID --format=json >/tmp/policy.json
gcloud projects set-iam-policy PROJECT_ID /tmp/policy.json

API

כדי להגדיר את יומני הביקורת של הגישה לנתונים באמצעות Cloud Resource Manager API:

קוראים את מדיניות ה-IAM של הפרויקט, ומציינים את הפרמטרים הבאים בשיטת ה-API‏ getIamPolicy:
- resource: projects/PROJECT_ID
- גוף הבקשה: ריק
ה-method מחזירה את אובייקט המדיניות הנוכחי:
```
{
  "version": 1,
  "etag": "BwXqwxkr40M=",
  "bindings": [
    {
      "role": "roles/owner",
      "members": [
        "user:myself@example.com"
      ]
    }
  ]
}
```
בדוגמה הקודמת, במדיניות של הפרויקט אין קטע של auditConfigs.
עורכים את המדיניות הנוכחית:
- משנים או מוסיפים את הקטע auditConfigs.
  
  כדי להשבית את יומני הביקורת של הגישה לנתונים, צריך לכלול ערך ריק בקטע: auditConfigs:[].
- שמירה על הערך של etag.
אפשר גם להסיר את כל המידע האחר מהאובייקט של המדיניות החדשה, כל עוד מקפידים להגדיר את updateMask בשלב הבא. כך נראית המדיניות הערוכה, שמאפשרת את יומני הביקורת של Cloud SQL DATA_WRITE:
```
{
  "policy": {
    "auditConfigs": [
      {
        "auditLogConfigs": [
          {
            "logType": "DATA_WRITE"
          }
        ],
        "service": "cloudsql.googleapis.com"
      }
    ],
    "etag": "BwXqwxkr40M="
  },
  "updateMask": "auditConfigs,etag"
}
```
כותבים את המדיניות החדשה באמצעות ה-method‏ setIamPolicy של ה-API, ומציינים את הפרמטרים הבאים:
- resource: projects/PROJECT_ID
- גוף הבקשה: כוללים את המדיניות הערוכה.

מסכת העדכון של `setIamPolicy`

בקטע הזה מוסבר למה הפרמטר updateMask חשוב ב-method‏ setIamPolicy, ולמה צריך להיזהר כשמשתמשים בפקודה set-iam-policy ב-CLI של gcloud כדי לא לגרום נזק בטעות לפרויקט או לארגון ב- Cloud de Confiance .

ה-method‏ setIamPolicy של ה-API משתמשת בפרמטר updateMask כדי לקבוע אילו שדות של המדיניות יעודכנו. לדוגמה, אם המסכה לא מכילה את bindings, אי אפשר לשנות בטעות את החלק הזה במדיניות. מצד שני, אם המסכה מכילה את bindings, החלק הזה תמיד מתעדכן. אם לא תכללו ערך מעודכן ל-bindings, הקטע הזה יוסר לחלוטין מהמדיניות.

הפקודה gcloud projects set-iam-policy, שמפעילה את setIamPolicy, לא מאפשרת לציין את הפרמטר updateMask. במקום זאת, הפקודה מחשבת ערך ל-updateMask באופן הבא:

השדה updateMask תמיד מכיל את השדות bindings ו-etag.
אם אובייקט המדיניות שסופק ב-set-iam-policy מכיל שדות אחרים ברמה העליונה, כמו auditConfigs, השדות האלה מתווספים ל-updateMask.

כתוצאה מהכללים האלה, הפקודה set-iam-policy פועלת באופן הבא:

אם משמיטים את הקטע auditConfigs במדיניות החדשה, הערך הקודם של הקטע auditConfigs (אם יש כזה) לא משתנה, כי הקטע הזה לא נמצא במסכת העדכון. זה לא מזיק, אבל יכול להיות מבלבל.
אם משמיטים את bindings באובייקט המדיניות החדש, הקטע bindings יוסר מהמדיניות כי הוא מופיע במסכת העדכון. זה מזיק מאוד, וגורם לכל חשבונות המשתמשים לאבד את הגישה לפרויקט Cloud de Confiance .
אם משמיטים את etag באובייקט המדיניות החדש, הבדיקה של שינויים בו-זמניים במדיניות מושבתת, וייתכן שהשינויים שלכם יחליפו בטעות שינויים של מישהו אחר.

הפעלת יומני ביקורת של גישה לנתונים

לפני שמתחילים

סקירה כללית של ההגדרה

סוגי הרשאות

בדיקת הרשאות IAM לסוגי הרשאות של גישה לנתונים

סוגי ההרשאות של IAM שנבדקו: פעילות אדמין וגישה לנתונים

ה-method של ה-API בודקת אם יש הרשאות IAM שלא בבעלות השירות

בדיקות של אותה שיטת API להרשאות IAM שונות

הגדרות ספציפיות לשירות

הגדרות של משאביCloud de Confiance

בקרת גישה

הגדרת יומני ביקורת של גישה לנתונים באמצעות מסוף Cloud de Confiance

הפעלה של יומני ביקורת

השבתת יומני בקרת הרשאות גישה לנתונים

הגדרת פטורים

הגדרת ברירת המחדל

הגדרת יומני ביקורת של גישה לנתונים באמצעות ה-API

אובייקטים של מדיניות IAM

‫AuditConfig אובייקטים

JSON

YAML

הגדרות נפוצות

הפעלה של כל יומני הביקורת של הגישה לנתונים

JSON

YAML

הפעלת סוג אחד של שירות ומידע

JSON

YAML

השבתה של כל יומני בקרת הרשאות הגישה לנתונים

JSON

YAML

getIamPolicy וגם setIamPolicy

דוגמאות

gcloud

API

מסכת העדכון של setIamPolicy

‫`AuditConfig` אובייקטים

`getIamPolicy` וגם `setIamPolicy`

מסכת העדכון של `setIamPolicy`