בדף הזה מתוארים יומני הביקורת שנוצרים על ידי Firebase כחלק מיומני הביקורת של Cloud.
סקירה כללית
יומני הביקורת של שירותי Firebase מיועדים לענות על השאלות "מי עשה מה, איפה ומתי?". הנושאים האלה יומני הביקורת של Cloud, המסופקים כחלק פרויקט Google Cloud מחובר אל פרויקט Firebase.
כל אחד מהפרויקטים ב-Firebase מכיל רק יומני ביקורת של משאבים הם ישירות בתוך הפרויקט.
לפרטים נוספים, ראו סקירה כללית על יומני הביקורת של Cloud. להבנה עמוקה יותר של הביקורת פורמט יומן, הסבר על יומני הביקורת
יומני הביקורת הזמינים
אלה סוגי יומני הביקורת שזמינים ל-Firebase Data Connect:
-
יומני הביקורת Admin Activity
כוללים רישום של פעולות במסגרת הרשאת admin write, שבהן נכתב מידע במטא-נתונים או ההגדרות.
לא ניתן להשבית את יומני הביקורת Admin Activity.
-
יומני הביקורת Data Access
כוללים רישום של פעולות במסגרת הרשאת admin read, שבהן נקרא מידע ממטא-נתונים או מהגדרות. היומנים כוללים גם פעולות במסגרת ההרשאות data read ו-data write, שבהן נקראים או נכתבים נתונים שהמשתמשים סיפקו.
כדי לקבל את יומני הביקורת Data Access, אתם צריכים להפעיל אותם באופן מפורש.
לתיאורים מלאים של סוגי יומני הביקורת, קראו את המאמר סוגים של יומני ביקורת.
פעולות מבוקרות
הטבלה הבאה מסכמת אילו פעולות API מתאימות לכל סוג של רישום ביומן הביקורת ב-Firebase Data Connect:
סוג הרשאה | שיטות |
---|---|
ADMIN_READ |
google.firebase.dataconnect.v1alpha.FirebaseDataConnect.GetConnector google.firebase.dataconnect.v1alpha.FirebaseDataConnect.GetSchema google.firebase.dataconnect.v1alpha.FirebaseDataConnect.GetService google.firebase.dataconnect.v1alpha.FirebaseDataConnect.ListConnectors google.firebase.dataconnect.v1alpha.FirebaseDataConnect.ListSchemas google.firebase.dataconnect.v1alpha.FirebaseDataConnect.ListServices |
ADMIN_WRITE |
google.firebase.dataconnect.v1alpha.FirebaseDataConnect.CreateConnector google.firebase.dataconnect.v1alpha.FirebaseDataConnect.CreateSchema google.firebase.dataconnect.v1alpha.FirebaseDataConnect.CreateService google.firebase.dataconnect.v1alpha.FirebaseDataConnect.DeleteConnector google.firebase.dataconnect.v1alpha.FirebaseDataConnect.DeleteSchema google.firebase.dataconnect.v1alpha.FirebaseDataConnect.DeleteService google.firebase.dataconnect.v1alpha.FirebaseDataConnect.UpdateConnector google.firebase.dataconnect.v1alpha.FirebaseDataConnect.UpdateSchema google.firebase.dataconnect.v1alpha.FirebaseDataConnect.UpdateService |
הפורמט של יומן הביקורת
הרשומות ביומן הביקורת כוללות את האובייקטים הבאים:
הרשומה עצמה, שהיא אובייקט מסוג
LogEntry
. אלה כמה מהשדות השימושיים ברשומה:- השדה
logName
מכיל את מזהה המשאב ואת סוג יומן הביקורת. - השדה
resource
מכיל את היעד של הפעולה המבוקרת. - השדה
timestamp
מכיל את השעה של הפעולה המבוקרת. - השדה
protoPayload
מכיל את המידע המבוקר.
- השדה
אובייקט מסוג
AuditLog
ששמור בשדהprotoPayload
של הרשומה ביומן, ומכיל את הנתונים של יומני הביקורת.אובייקט ספציפי לשירות שמכיל מידע אופציונלי על ביקורת ספציפית לשירות. בשילובים ישנים יותר, האובייקט הזה נשמר בשדה
serviceData
של האובייקטAuditLog
. בשילובים חדשים יותר נעשה שימוש בשדהmetadata
.
למידע על שדות אחרים באובייקטים האלה, ואיך לפרש אותם, קראו את המאמר הסבר על יומני הביקורת.
שם יומן הביקורת
שמות המשאבים ביומני הביקורת של Cloud מציינים את הפרויקט ב-Firebase או שם אחר ישות אחת (Google Cloud) שהיא הבעלים של יומני הביקורת, ואם היומן מכיל נתוני יומן הביקורת 'פעילות אדמין', 'גישה לנתונים', 'המדיניות נדחתה' או 'אירועי המערכת'. לדוגמה, למטה מוצגים שמות היומנים של פעילות אדמין ברמת הפרויקט יומני ביקורת ויומני הביקורת Data Access של הארגון. המשתנים מייצגים את המזהים של הפרויקט והארגון ב-Firebase.
projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity
organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access
שם השירות
יומני הביקורת של Firebase Data Connect משתמשים בשם השירות
firebasedataconnect.googleapis.com
לרשימה מלאה של כל שמות השירותים של Cloud Logging API וההתאמות שלהם סוג המשאב במעקב: מיפוי השירותים למשאבים.
סוגי המשאבים
יומני הביקורת של Firebase Data Connect משתמשים בסוג המשאב audited_resource
בכל יומני הביקורת.
במאמר סוגי המשאבים במעקב תוכלו למצוא רשימה של כל סוגי המשאבים במעקב ב-Cloud Logging ותיאור שלהם.
הפעלת רישום ביומן ביקורת
יומני הביקורת Admin Activity תמיד מופעלים, ולא ניתן להשבית אותם.
יומני הביקורת Data Access מושבתים כברירת מחדל, ולא מתעדכנים אלא אם כן מפעילים אותם בצורה מפורשת (למעט יומני Data Access של BigQuery, שלא ניתן להשבית אותם).
להוראות לגבי הפעלה של חלק מיומני הביקורת Data Access או של כולם: הגדרת יומני גישה לנתונים
הרשאות ותפקידים
ההרשאות והתפקידים ב-Cloud IAM קובעים את אפשרויות הגישה שלכם לנתוני יומני הביקורת במשאבי Google Cloud.
כשמחליטים אילו הרשאות ותפקידים ספציפיים לרישום ביומן יחולו על התרחיש לדוגמה שלכם, מומלץ להביא בחשבון את הנקודות הבאות:
התפקיד 'צפייה ביומנים' (
roles/logging.viewer
) נותן הרשאת קריאה בלבד ביומני הביקורת Admin Activity, Policy Denied ו-System Event. אם השתמשת רק בתפקיד הזה, אתה לא יכול לצפות ביומני הביקורת Data Access שנמצאים בהיררכיה של_Default
בקטגוריה שלכם.התפקיד 'צפייה ביומנים פרטיים' (
(roles/logging.privateLogViewer
) כולל את ההרשאות שכלולות בתפקידroles/logging.viewer
, וגם את האפשרות לקרוא את יומני הביקורת Data Access בקטגוריה_Default
.חשוב לזכור שאם היומנים הפרטיים האלה מאוחסנים בקטגוריות שהוגדרו על ידי משתמשים, כל משתמש שיש לו הרשאה לקרוא את היומנים בקטגוריות האלה יוכל לקרוא את היומנים הפרטיים. למידע נוסף על קטגוריות ביומן: סקירה כללית על ניתוב ואחסון
במאמר בקרת גישה תוכלו לקרוא מידע נוסף על ההרשאות והתפקידים ב-Cloud IAM שחלים על הנתונים של יומני הביקורת.
צפייה ביומנים
כדי למצוא יומני ביקורת ולצפות בהם, אתם צריכים לדעת את המזהה של
הפרויקט, התיקייה או הארגון ב-Firebase שאתם רוצים להציג
מידע על יומני הביקורת. ניתן לציין עוד סוגים של פריטים שנוספו לאינדקס
LogEntry
שדות, כמו resource.type
. לפרטים, אפשר לעיין
איתור מהיר של רשומות ביומן.
אלה השמות של יומני הביקורת, עם משתנים שיוחלפו במזהי הפרויקט, התיקייה או הארגון ב-Firebase:
projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fpolicy folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Factivity folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fdata_access folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fsystem_event folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fpolicy organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fsystem_event organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fpolicy
אתם יכולים לצפות ביומני ביקורת ב-Cloud Logging באמצעות מסוף Google Cloud, כלי שורת הפקודה gcloud
או Logging API.
המסוף
במסוף Google Cloud, תוכלו להשתמש ב-Logs Explorer כדי לאחזר את הרשומות ביומן הביקורת של הפרויקט, התיקייה או הארגון ב-Firebase:
במסוף Google Cloud, נכנסים אל רישום ביומן > הדף Logs Explorer.
בדף Logs Explorer, בוחרים פרויקט, תיקייה או ארגון קיימים ב-Firebase.
בחלונית Query builder:
בקטע Resource Type, בוחרים את המשאב Google Cloud של יומני הביקורת שרוצים לראות.
בקטע Log name, בוחרים את סוג יומן הביקורת שרוצים לראות:
- ליומני הביקורת Admin Activity בוחרים באפשרות activity.
- ליומני הביקורת Data Access בוחרים באפשרות data_access.
- ליומני הביקורת System Event בוחרים באפשרות system_event.
- ליומני הביקורת Policy Denied בוחרים באפשרות policy.
אם האפשרויות האלה לא מוצגות, המשמעות היא שאין יומני ביקורת מאותו סוג בפרויקט, בתיקייה או בארגון ב-Firebase.
מידע נוסף על שליחת שאילתות באמצעות Logs Explorer זמין במאמר יצירת שאילתות ביומן.
gcloud
כלי שורת הפקודה gcloud
מספק ממשק שורת פקודה ל-Cloud Logging API. לספק ערך תקין של
PROJECT_ID
, FOLDER_ID
או ORGANIZATION_ID
בכל אחד משמות היומנים.
כדי לקרוא את הרשומות ביומן הביקורת ברמת הפרויקט ב-Firebase, מריצים את הפקודה הבאה:
gcloud logging read "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" --project=PROJECT_ID
כדי לקרוא את הרשומות ביומן הביקורת ברמת התיקייה, מריצים את הפקודה הבאה:
gcloud logging read "logName : folders/FOLDER_ID/logs/cloudaudit.googleapis.com" --folder=FOLDER_ID
כדי לקרוא את הרשומות ביומן הביקורת ברמת הארגון, מריצים את הפקודה הבאה:
gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com" --organization=ORGANIZATION_ID
מידע נוסף על השימוש בכלי gcloud
זמין כאן
קוראים את הרשומות ביומן.
API
כשיוצרים את השאילתות, מחליפים את המשתנים בערכים תקינים, מחליפים את השם או המזהים המתאימים של יומן הביקורת ברמת הפרויקט, התיקייה או הארגון, כפי שמפורטים בשמות של יומני הביקורת. לדוגמה, אם השאילתה מכילה PROJECT_ID, הערך של הפרמטר מזהה הפרויקט שמספקים חייב להתייחס למזהה הפרויקט הנוכחי פרויקט Firebase.
כדי להשתמש ב-Logging API כדי לעיין ברשומות של יומן הביקורת:
עוברים לקטע Try this API במאמרי העזרה של ה-method
entries.list
.מזינים את הפרטים הבאים בקטע Request body בטופס Try this API. אם לוחצים על הטופס למילוי פרטים אוטומטי, גוף הבקשה יאוכלס בפרטים באופן אוטומטי אבל תצטרכו לציין
PROJECT_ID
תקין בכל אחד משמות יומני הביקורת.{ "resourceNames": [ "projects/PROJECT_ID" ], "pageSize": 5, "filter": "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" }
לוחצים על Execute.
פרטים נוספים על שליחת שאילתות זמינים במאמר שפת השאילתות של Cloud Logging.
דוגמה לרשומה ביומן הביקורת ואיך למצוא את הפרטים החשובים ביותר את המידע שבתוכן, ניתן לראות דוגמה לרשומה ביומן הביקורת.
ניתוב של יומני ביקורת
אתם יכולים לנתב יומני ביקורת ליעדים נתמכים באותו אופן שבו אתם יכולים לנתב סוגים אחרים של יומנים. כמה סיבות לניתוב יומני הביקורת:
אתם יכולים לנתב עותקים של יומני הביקורת ל-Google Cloud Storage, ל-BigQuery או ל-Google Cloud Pub/Sub, כדי לשמור את יומני הביקורת לפרק זמן ארוך יותר ולהשתמש ביכולות חיפוש מתקדמות יותר. באמצעות ב-Cloud Pub/Sub, ניתן לנתב לאפליקציות אחרות, ולצדדים שלישיים.
כדי לנהל את יומני הביקורת בארגון כולו, אפשר ליצור אובייקטים נצברים מסוג sink שיכולים לנתב יומנים בארגון מכל הפרויקטים של Firebase בארגון או מחלקם.
- אם יומני בקרת הרשאות הגישה לנתונים שהופעלו דוחפים בפרויקטים של Firebase, מעבר להקצאות ביומן, אפשר ליצור אובייקטים מסוג sink לא לכלול את יומני הביקורת Data Access ב-Logging.
להוראות לגבי ניתוב יומנים קראו את המאמר הגדרה של אובייקטים מסוג sink.
תמחור
יומני הביקורת Admin Activity וגם יומני ביקורת של אירועי מערכת הם ללא עלות.
יומני הביקורת Data Access ויומני הביקורת Policy Denied כפופים לחיוב.
למידע נוסף על התמחור של Cloud Logging: מחירי חבילת התפעול של Google Cloud: Cloud Logging.