Audit-Logging für Firebase Data Connect

Hinweis: Firebase Data Connect befindet sich in der öffentlichen Vorschau. Data Connect unterliegt den Nutzungsbedingungen für Pre-GA-Angebote in der Dienstspezifische Nutzungsbedingungen von die Nutzungsbedingungen der Google Cloud Platform. Pre-GA-Funktionen sind verfügbar „wie besehen“ und haben möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie in der Beschreibungen der Markteinführungsphase

Auf dieser Seite werden die Audit-Logs beschrieben, die von Firebase im Rahmen des Cloud-Audit-Logs.

Übersicht

Firebase-Dienste schreiben Audit-Logs, um Ihnen Antworten auf Fragen wie „Wer hat was wo und wann getan?“ zu liefern. Das sind Cloud-Audit-Logs, die im Rahmen des Google Cloud-Projekts bereitgestellt werden, das mit Ihrem Firebase-Projekt verknüpft ist.

Ihre Firebase-Projekte enthalten jeweils nur die Audit-Logs für Ressourcen, die direkt im Projekt erfolgen.

Eine allgemeine Übersicht über Cloud-Audit-Logs finden Sie unter Cloud-Audit-Logs. Detaillierte Informationen zum Audit-Logformat finden Sie unter Audit-Logs verstehen.

Verfügbare Audit-Logs

Für Firebase Data Connect sind die folgenden Arten von Audit-Logs verfügbar:

• Audit-Logs zur Administratoraktivität

  Umfasst „Admin Write“-Vorgänge, die Metadaten oder Konfigurationsinformationen schreiben.

  Sie können Audit-Logs zu Administratoraktivitäten nicht deaktivieren.

• Audit-Logs zum Datenzugriff

  Umfasst „Admin Read“-Vorgänge, die Metadaten oder Konfigurationsinformationen lesen. Umfasst auch „Data Read“- und „Data Write“-Vorgänge, die von Nutzern bereitgestellte Daten lesen oder schreiben.

  Wenn Sie Audit-Logs zum Datenzugriff erhalten möchten, müssen Sie sie explizit aktivieren.

Ausführlichere Beschreibungen der Audit-Logtypen finden Sie unter Arten von Audit-Logs.

Geprüfte Vorgänge

Im Folgenden ist zusammengefasst, welche API-Vorgänge den einzelnen Audit-Logtypen in Firebase Data Connect entsprechen:

Berechtigungstyp	Methoden
ADMIN_READ	google.firebase.dataconnect.v1alpha.FirebaseDataConnect.GetConnector google.firebase.dataconnect.v1alpha.FirebaseDataConnect.GetSchema google.firebase.dataconnect.v1alpha.FirebaseDataConnect.GetService google.firebase.dataconnect.v1alpha.FirebaseDataConnect.ListConnectors google.firebase.dataconnect.v1alpha.FirebaseDataConnect.ListSchemas google.firebase.dataconnect.v1alpha.FirebaseDataConnect.ListServices
ADMIN_WRITE	google.firebase.dataconnect.v1alpha.FirebaseDataConnect.CreateConnector google.firebase.dataconnect.v1alpha.FirebaseDataConnect.CreateSchema google.firebase.dataconnect.v1alpha.FirebaseDataConnect.CreateService google.firebase.dataconnect.v1alpha.FirebaseDataConnect.DeleteConnector google.firebase.dataconnect.v1alpha.FirebaseDataConnect.DeleteSchema google.firebase.dataconnect.v1alpha.FirebaseDataConnect.DeleteService google.firebase.dataconnect.v1alpha.FirebaseDataConnect.UpdateConnector google.firebase.dataconnect.v1alpha.FirebaseDataConnect.UpdateSchema google.firebase.dataconnect.v1alpha.FirebaseDataConnect.UpdateService

Audit-Logformat

Audit-Logeinträge umfassen folgende Komponenten:

• Den Logeintrag selbst. Dabei handelt es sich um ein Objekt vom Typ LogEntry. Interessante Felder sind unter anderem:

  • logName enthält die Ressourcen-ID und den Audit-Logtyp.
  • resource enthält das Ziel zum geprüften Vorgang.
  • timestamp enthält die Uhrzeit des geprüften Vorgangs
  • protoPayload enthält die geprüften Informationen

• Die Audit-Logdaten, bei denen es sich um ein AuditLog-Objekt handelt, das sich im Feld protoPayload des Logeintrags befindet

• Optionale dienstspezifische Auditinformationen. Das Objekt ist dienstspezifisch. Bei älteren Integrationen befindet sich dieses Objekt im Feld serviceData des AuditLog-Objekts. Neuere Integrationen verwenden das Feld metadata.

Informationen zu anderen Feldern in diesen Objekten sowie zu deren Interpretation finden Sie unter Audit-Logs verstehen.

Logname

Ressourcennamen von Cloud-Audit-Logs geben das Firebase-Projekt oder andere Google Cloud-Entität, der die Audit-Logs gehören, und ob das Log die folgenden Informationen enthält: Audit-Logging-Daten zu Administratoraktivitäten, Datenzugriff, Richtlinien abgelehnt oder Systemereignissen. Im folgenden Beispiel sind Lognamen für Audit-Logs zur Administratoraktivität auf Projektebene und für die Audit-Logs einer Organisation zum Datenzugriff enthalten. Die Variablen kennzeichnen Firebase-Projekt- und Organisations-IDs.

projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity

organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access

Hinweis: Der Teil des Lognamens nach /logs/ muss URL-codiert sein. Der Schrägstrich / muss als %2F geschrieben werden.

Dienstname

Für Firebase Data Connect-Audit-Logs wird der Dienstname firebasedataconnect.googleapis.com verwendet.

Eine vollständige Liste aller Cloud Logging API-Dienstnamen und des jeweiligen überwachten Ressourcentyps finden Sie unter Dienste Ressourcen zuordnen.

Ressourcentypen

Firebase Data Connect-Audit-Logs verwenden Den Ressourcentyp audited_resource für alle Audit-Logs.

Eine Liste aller überwachten Cloud Logging-Ressourcentypen und beschreibende Informationen finden Sie unter Überwachte Ressourcentypen.

Audit-Logging aktivieren

Audit-Logs zu Administratoraktivitäten sind immer aktiviert. Sie können sie nicht deaktivieren.

Audit-Logs zum Datenzugriff sind standardmäßig deaktiviert und werden nur geschrieben, wenn sie explizit aktiviert werden. Eine Ausnahme bilden die Audit-Logs zum Datenzugriff für BigQuery, die nicht deaktiviert werden können.

Eine Anleitung zum Aktivieren einiger oder aller Audit-Logs zu Datenzugriffen finden Sie unter Datenzugriffslogs konfigurieren.

Berechtigungen und Rollen

Cloud IAM-Berechtigungen und -Rollen bestimmen, ob Sie auf Audit-Logs zugreifen können Daten in Google Cloud Ressourcen.

Berücksichtigen Sie Folgendes bei der Entscheidung, welche Logging-spezifischen Berechtigungen und Rollen für Ihren Anwendungsfall gelten:

• Die Rolle „Log-Betrachter“ (roles/logging.viewer) bietet Ihnen Lesezugriff auf die Audit-Logs zu Administratoraktivitäten, abgelehnten Richtlinien und Systemereignissen. Wenn Sie nur diese Rolle haben, können Sie keine Audit-Logs zum Datenzugriff aufrufen, die sich im Bucket _Default befinden.

• Die Rolle „Betrachter privater Logs“ ((roles/logging.privateLogViewer) enthält die Berechtigungen, die in roles/logging.viewer enthalten sind, sowie die Möglichkeit, Audit-Logs zum Datenzugriff im Bucket _Default zu lesen.

  Wenn diese privaten Logs in benutzerdefinierten Buckets gespeichert sind, kann jeder Nutzer, der Berechtigungen zum Lesen von Logs in diesen Buckets hat, die privaten Logs lesen. Weitere Informationen zu Log-Buckets finden Sie unter Routing und Speicher.

Weitere Informationen zu den geltenden Cloud IAM-Berechtigungen und -Rollen Weitere Informationen zu Audit-Logdaten finden Sie unter Zugriffssteuerung.

Logs ansehen

Um Audit-Logs zu finden und anzusehen, müssen Sie die ID des Firebase-Projekt, -Ordner oder -Organisation, dessen bzw. die Sie aufrufen möchten Informationen zum Audit-Logging. Sie können weitere indexierte LogEntry-Felder angeben, z. B. resource.type. Weitere Informationen erhalten Sie unter Logeinträge schnell finden.

Im Folgenden finden Sie die Namen der Audit-Logs: enthalten Variablen für die IDs des Firebase-Projekts, des Ordners oder der Organisation:

   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Factivity
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fpolicy

Sie können Audit-Logs in Cloud Logging mit der Google Cloud Console, dem gcloud-Befehlszeilentool oder der Logging API aufrufen.

Console

Sie können den Log-Explorer in der Google Cloud Console verwenden um die Audit-Logeinträge für Ihr Firebase-Projekt abzurufen, oder Organisation:

1. Rufen Sie in der Google Cloud Console die Seite Logging > Log-Explorer auf.

   Zur Seite „Log-Explorer“

   Hinweis: Wenn Sie sich auf der Seite Legacy-Loganzeige befinden, wechseln Sie zur Seite Log-Explorer.

2. Wählen Sie auf der Seite Log-Explorer einen vorhandenen Log-Explorer aus. Firebase-Projekt, -Ordner oder -Organisation.

3. Führen Sie im Bereich Query Builder folgende Schritte aus:

   • Wählen Sie unter Ressourcentyp die Google Cloud-Ressource aus, deren Audit-Logs angezeigt werden sollen.

   • Wählen Sie unter Logname den Audit-Logtyp aus, den Sie sehen möchten:

     • Wählen Sie für Audit-Logs zu Administratoraktivitäten die Option activity aus.
     • Wählen Sie für Audit-Logs zum Datenzugriff die Option data_access aus.
     • Wählen Sie für Audit-Logs zu Systemereignissen die Option system_event aus.
     • Wählen Sie für Audit-Logs zu Richtlinienverstößen die Option policy aus.

   Wenn diese Optionen nicht angezeigt werden, sind im Firebase-Projekt, im Ordner oder in der Organisation keine Audit-Logs dieses Typs verfügbar.

   Weitere Informationen zu Abfragen mit dem Log-Explorer finden Sie unter Logabfragen erstellen.

gcloud

Das gcloud-Befehlszeilentool bietet eine Befehlszeile für die Cloud Logging API. Geben Sie dabei in jedem Lognamen eine gültige PROJECT_ID, FOLDER_ID oder ORGANIZATION_ID an.

Führen Sie den folgenden Befehl aus, um Ihre Audit-Logeinträge auf Firebase-Projektebene zu lesen:

gcloud logging read "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" --project=PROJECT_ID

Führen Sie den folgenden Befehl aus, um Ihre Audit-Logeinträge auf Ordnerebene zu lesen:

gcloud logging read "logName : folders/FOLDER_ID/logs/cloudaudit.googleapis.com" --folder=FOLDER_ID

Führen Sie den folgenden Befehl aus, um Ihre Audit-Logeinträge auf Organisationsebene zu lesen:

gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com" --organization=ORGANIZATION_ID

Weitere Informationen zur Verwendung des gcloud-Tools finden Sie unter Logeinträge lesen.

API

Ersetzen Sie beim Erstellen Ihrer Abfragen die Variablen durch gültige Werte, ersetzen Sie den entsprechenden Audit-Lognamen oder die entsprechenden Kennungen auf Projektebene, Ordnerebene oder Organisationsebene, wie in den Audit-Lognamen aufgeführt. Wenn Ihre Abfrage beispielsweise PROJECT_ID enthält, dann Die von Ihnen angegebene Projekt-ID muss sich auf die aktuell ausgewählte Firebase-Projekt

So rufen Sie Ihre Audit-Logeinträge mit der Logging API auf:

1. Rufen Sie den Abschnitt Diese API testen in der Dokumentation für die Methode entries.list auf.

2. Geben Sie im Teil Anfragetext des Formulars Diese API testen Folgendes ein. Wenn Sie auf dieses vorausgefüllte Formular klicken, wird der Anfragetext automatisch übernommen. Sie müssen jedoch in jedem der Lognamen eine gültige PROJECT_ID angeben.

   {
     "resourceNames": [
       "projects/PROJECT_ID"
     ],
     "pageSize": 5,
     "filter": "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com"
   }
   

3. Klicken Sie auf Ausführen.

Weitere Informationen zu Abfragen finden Sie unter Logging-Abfragesprache.

Ein Beispiel für einen Audit-Logeintrag und wie Sie die wichtigsten Informationen darin finden, sehen Sie unter Beispiel für einen Audit-Logeintrag.

Audit-Logs weiterleiten

Sie können Audit-Logs auf dieselbe Weise wie andere Arten von Logs an unterstützte Ziele weiterleiten. Im Folgenden erfahren Sie, warum es sinnvoll sein kann, Ihre Audit-Logs weiterzuleiten:

• Um Audit-Logs über einen längeren Zeitraum aufzubewahren oder leistungsstärkere Suchfunktionen haben, können Sie Kopien Ihrer Audit-Logs an Google Cloud Storage, BigQuery oder Google Cloud Pub/Sub. Mit Cloud Pub/Sub haben Sie die Möglichkeit, die Logs an andere Anwendungen, andere Repositories und Dritte weiterzuleiten.

• Um Ihre Audit-Logs organisationsweit zu verwalten, können Sie aggregierten Senken, mit denen Logs aus beliebigen oder allen Firebase-Projekten in der Organisation weiterleiten.

• Wenn die aktivierten Audit-Logs zum Datenzugriff Bei Firebase-Projekten über Ihre Log-Kontingente können Sie Senken erstellen, Audit-Logs zum Datenzugriff aus Logging ausschließen.

Eine Anleitung zum Weiterleiten von Logs finden Sie unter Senken konfigurieren.

Preise

Audit-Logs zur Administratoraktivität und Audit-Logs zu Systemereignissen sind kostenlos.

Audit-Logs zum Datenzugriff und die Audit-Logs zu Richtlinienverstößen sind kostenpflichtig.

Weitere Informationen zu den Preisen für Cloud Logging finden Sie unter Operations-Suite von Google Cloud – Preise: Cloud Logging.